WhatsApp zachytil nové útoky spájané so spywarom Pegasus. Meta tvrdí, že výrobca špionážneho softvéru opäť prekročil hranicu
Meta obvinila NSO Group z porušenia súdneho zákazu. WhatsApp zachytil nové pokusy o útoky cez škodlivé odkazy, ktoré ukazujú, že šifrovanie nestačí, ak útočník dostane používateľa mimo aplikácie.
Meta sa opäť obrátila na americký súd v spore s izraelskou firmou NSO Group. Sociálny gigant ju obvinil z porušenia súdneho príkazu, ktorý firme zakazuje cieliť na WhatsApp a jeho používateľov. Podľa Mety jej bezpečnostné tímy zachytili a zablokovali nové pokusy o cielené útoky, ktoré pripisuje práve NSO. Meta preto žiada súd, aby konanie firmy posúdil ako pohŕdanie súdom.
Nejde o obyčajný spor medzi dvoma technologickými firmami. NSO Group je známa najmä vďaka spywaru Pegasus, ktorý patrí medzi najpokročilejšie sledovacie nástroje na svete. Ak sa dostane do telefónu, útočník môže získať prístup k správam, hovorom, polohe, kontaktom, súborom či ďalším citlivým dátam. Práve preto je tento prípad taký citlivý. Netýka sa len WhatsAppu, ale aj toho, ako ďaleko môžu zájsť firmy, ktoré predávajú špionážne nástroje vládam.
Najnovšie incidenty mali stáť na útokoch založených na kliknutí. Útočníci sa podľa Mety nesnažili prelomiť šifrovanie WhatsAppu priamo. Namiesto toho sa pokúšali používateľov presvedčiť, aby klikli na škodlivý odkaz vedúci mimo aplikácie. Tam už mohla nasledovať stránka pripravená na ďalší krok útoku.
To je dôležitý detail. WhatsApp má end-to-end šifrovanie, no to neznamená, že každý odkaz v správe je bezpečný. Šifrovanie chráni obsah komunikácie počas prenosu. Neochráni ťa však pred tým, že klikneš na stránku, ktorú útočník pripravil presne na to, aby ťa oklamal alebo zneužil chybu v zariadení.
Na rozdiel od zero-click útokov, pri ktorých obeť nemusí urobiť vôbec nič, si tento typ útoku vyžaduje reakciu používateľa. Stačí však jeden presvedčivo napísaný odkaz, dôveryhodne pôsobiaca správa alebo tlak na rýchlu reakciu. Pri spear phishingu útočník často neútočí naslepo. Vie, koho chce zasiahnuť, a správu vie prispôsobiť konkrétnej osobe.
Neprehliadni
Celý prípad nadväzuje na dlhoročný konflikt, ktorý sa začal ešte v roku 2019. Vtedy WhatsApp obvinil NSO Group, že prostredníctvom jeho infraštruktúry pomohla dostať spyware do približne 1 400 zariadení. Medzi cieľmi mali byť novinári, aktivisti, právnici či predstavitelia verejného života. Už vtedy išlo o jeden z najväčších prípadov, ktorý ukázal, že komerčný spyware nie je len problém tajných služieb.
Medzi Metou a NSO Group to opäť vrie
Dôležitým míľnikom bolo rozhodnutie súdu v Kalifornii, ktorý NSO zakázal využívať WhatsApp na podobné aktivity. Práve tento zákaz je teraz základom aktuálneho sporu. Meta tvrdí, že nové incidenty predstavujú jeho porušenie. Podľa spoločnosti NSO nielenže skúšala nové útoky cez škodlivé odkazy, ale mala vytvárať aj testovacie účty a skupiny na WhatsAppe.
NSO sa voči rozhodnutiam bráni a prípad ešte nie je právne uzavretý. Izraelská firma dlhodobo tvrdí, že jej technológie sú určené pre vládne inštitúcie na boj proti kriminalite a terorizmu. Tento argument však naráža na opakované zistenia bezpečnostných výskumníkov a ľudskoprávnych organizácií, podľa ktorých sa podobné nástroje objavili aj pri sledovaní novinárov, aktivistov či opozičných politikov.
Zaujímavý je aj detail zo súdnych dokumentov. NSO tvrdila, že zákaz ohrozuje jej hlavný produkt Pegasus, ktorý mal v roku 2025 tvoriť všetky jej predaje. Inými slovami, nejde o okrajovú časť jej biznisu. Ak súd NSO skutočne zakáže využívať WhatsApp a podobné kanály, môže to zasiahnuť samotné jadro jej podnikania.
Práve pre opakované obavy zo zneužívania zaradila americká vláda NSO Group ešte v roku 2021 na sankčný zoznam Entity List. USA vtedy upozornili, že spyware tejto firmy sa dostal k vládam, ktoré ho mohli použiť proti novinárom, aktivistom, akademikom, diplomatom či ďalším osobám. NSO sa síce prezentuje ako dodávateľ nástrojov na boj proti vážnej kriminalite, no problém je v tom, že podobný nástroj sa po nasadení veľmi ťažko kontroluje.
Pegasus po úspešnom preniknutí do zariadenia nefunguje ako bežný vírus, ktorý ti zobrazí reklamu alebo spomalí telefón. Je to nástroj na sledovanie. Môže útočníkovi sprístupniť dáta, ktoré má človek priamo vo svojom mobile. A ak sa niekto dostane až do zariadenia, šifrovanie komunikácie prestáva byť rozhodujúcou ochranou. Správy môžu byť počas prenosu chránené, no útočník ich môže vidieť priamo tam, kde sa zobrazujú.
Ako to celé dopadne, zatiaľ nie je známe
Meta vo svojom oznámení pripomenula, že boj proti spywaru si vyžaduje spoluprácu technologických firiem, bezpečnostných expertov aj organizácií na ochranu ľudských práv. Pri odhalení útokov v roku 2019 zohrala dôležitú úlohu organizácia Citizen Lab, ktorá pomáhala identifikovať cieľové osoby a analyzovať techniky útokov. Podobný výskum často vedie aj k opravám zraniteľností v mobilných systémoch a aplikáciách.
Spoločnosť zároveň zverejnila technické indikátory súvisiace s najnovšími incidentmi a používateľom odporúča zvýšiť opatrnosť pri klikaní na odkazy. Základné pravidlo zostáva rovnaké. Ak ti príde podozrivý odkaz, neklikaj naň len preto, že prišiel cez známu aplikáciu. Dôležité sú aj pravidelné aktualizácie telefónu a aplikácií, pretože práve opravená zraniteľnosť môže rozhodnúť o tom, či útok uspeje.
WhatsApp zároveň pripomína, že správy a hovory sú štandardne chránené end-to-end šifrovaním. V praxi však platí, že ak útočník kompromituje samotný telefón, problém už nie je v šifrovaní, ale v tom, že má prístup k zariadeniu používateľa.
Výsledok právneho sporu je zatiaľ otvorený. No ak máš pocit, že teba sa podobný útok netýka, pravdepodobne máš z veľkej časti pravdu. Pegasus a podobné nástroje sú drahé, cielené a nepoužívajú sa proti náhodným ľuďom vo veľkom. Lenže taktika, na ktorej stojí aj tento prípad, je oveľa bežnejšia. Presvedčiť človeka, aby klikol na nesprávny odkaz, sa totiž dá aj bez špionážneho softvéru za milióny.
