Teknoloji şirketi NSO Group’un casus yazılımı, şirketin insan haklarına saygı gösterme vaadinden kısa süre sonra Fas hükümeti tarafından Faslı gazeteciye karşı kullanıldı. Bu casus yazılım; insan hakları savunucuları, aktivistler ve gazetecilere karşı kullanılmasıyla biliniyor.

COVID-19 ile mücadele kapsamında teknoloji ürünlerini pazarlayan İsrail merkezli NSO Group’un, Fas hükümetinin gazeteci Ömer Radi’ye karşı yürüttüğü istihbarat faaliyetlerine katkı sunduğu Uluslararası Af Örgütü’nün yeni incelemesi sayesinde ortaya çıktı. 

Uluslararası Af Örgütü (UAÖ), NSO Group’un ürettiği Pegasus casus yazılımının kişinin telefonuna gizlice yüklenerek, bir ağ saldırısı şeklinde kullanılabildiğini, gazeteci Ömer Radi’nin de telefonu vasıtasıyla bu saldırıya defalarca maruz tespit etti. En az Ocak 2020'ye kadar sürdürülen saldırılardan bir tanesi ise NSO'nun, ürünlerinin insan hakları ihlallerinde kullanılmasına engel olacağı vaadinden sonra gerçekleşti.  

‘NSO Group hak ihlallerinden Fas hükümeti kadar sorumlu’

UAÖ Teknoloji Birimi Direktör Yardımcısı Danna Ingleton, konuya dair yaptığı açıklamada şunları söyledi: “NSO Group’a kesinlikle güvenilemez. Şirketin imajını temize çıkarmaya yönelik halkla ilişkiler kampanyası yürüttüğü bir dönemde, ürünleri ödüllü gazeteci ve aktivist Ömer Radi’nin hukuka aykırı gözetimi için kullanılmaya devam edildi.

Casus yazılımlarının Fas'taki aktivistleri gözetlemek için kullanıldığına dair kanıtlar kendilerine sunulduktan sonra bile Fas hükümetini müşteri olarak tutmayı tercih ettiklerini görüyoruz. NSO, teknolojik ürünlerinin insan hakları ihlallerinde kullanılmasına engel olmazsa, bu teknolojileri insan hakları ihlallerinde kullanma ihtimali olan hükümetlere satması yasaklanmalıdır.”

“Her ne kadar aktivistleri ve Ömer Radi gibi gazetecileri hedef almanın sorumlusu Fas yetkilileri olsa da NSO Group en azından Ocak 2020'ye kadar Fas hükümetine hizmet vermeye devam ederek bu hak ihlallerine katkı sundu.”

Ömer Radi, gazeteciliği ve aktivizmi nedeniyle Fas yetkilileri tarafından sistematik olarak hedef alınıyor. Hükümetin insan hakları sicilini eleştirmekten çekinmeyen Ömer Radi, yolsuzluğun yanı sıra Fas'taki şirketler ile politikacılar arasındaki çıkar ilişkilerine dair haberler yayınladı. Nisan 2019’da bir grup aktivistin adil yargılanmamasını eleştiren bir tweet attığı için 17 Mart 2020’de dört ay hapis cezasına mahkum edildi. Hapis cezası denetimli serbestlik kapsamında ertelendi.

Danna Ingleton açıklamasının devamında şunları söyledi: “Fas yetkilileri muhalifleri bastırmak için dijital gözetimi giderek daha fazla kullanıyor. Bu hukuka aykırı gözetim ve gazeteciler ile aktivistlere yönelik yaygın taciz son bulmalıdır.”

UAÖ Teknoloji Birimi, Şubat 2020'de Ömer Radi'nin iPhone telefonunda bir adli bilişim incelemesi gerçekleştirdi. Bu inceleme, Radi'nin telefonunun bir dizi "ağ enjeksiyonu" saldırılarına maruz kaldığını ortaya çıkardı.

Saldırganlar, ağ enjeksiyonu ile hedef alınan kişinin internet trafiğini izleyebiliyor, kesebiliyor ve manipüle edebiliyor. Bu sayede, hedef alınan kişinin bir şey yapmasına gerek kalmadan telefonun internet tarayıcısı, kötü amaçlı bir web sayfasına yönlendirilerek, Pegasus casus yazılımı hedef alınan kişinin telefonuna gizlice yüklüyor

Ağ enjeksiyonu saldırısının gerçekleştirilebilmesi için saldırganın, hedef alınan kişiye fiziksel olarak yaklaşabilmesi veya ülkedeki cep telefonu ağlarının yönetimine erişim sağlayabilmesi gerekir. Cep telefonları ağlarına erişim yetkisinin sadece hükümet tarafından verilebilmesi, Ömer Radi’ye yönelik saldırıdan Fas yetkililerinin sorumlu olduğunu gösteren başka bir işarettir. NSO, bu gelişmiş gözetim teknolojisini en azından Ocak 2020’ye kadar pazarlamaya devam etti.

Pegasus yazılımı yüklendiği zaman saldırgan, telefondaki mesajlara, e-postalara, fotoğraflara, videolara, mikrofona, kameraya, aramalara ve rehbere sınırsız iletişim elde ediyor. Ağ enjeksiyonu saldırısı geride çok az ipucu bıraktığı için saldırının kurbanının durumu fark etmesi daha zor oluyor.

Ömer Radi’nin telefonundan elde edilen veriler ağ enjeksiyonu saldırılarının 27 Ocak, 11 Şubat ve 13 Eylül 2019 tarihlerinde gerçekleştirildiğini gösteriyor. NSO Group, 10 Eylül 2019’da BM İş Dünyası ve İnsan Haklarına Dair Rehber İlkeler’e uyacağını kamuoyuna açık şekilde taahhüt etmişti.

Ömer Radi’nin telefonundaki internet tarayıcısı, Uluslararası Af Örgütü’nün 10 Ekim 2019’da yayınladığı raporunda ifşa ettiği saldırının hedefindeki Faslı akademisyen ve aktivist Maati Monjib’in telefonun yönlendirildiği kötü amaçlı siteye yönlendirildi.

Raporun daha geniş bir versiyonu 2 Ekim 2019’da NSO Group ile paylaşılmıştı. İlgili kötü amaçlı web sayfası Uluslararası Af Örgütü bulgularını kamuoyu ile paylaşamadan hemen önce, 6 Ekim 2019’da kapatıldı. Fakat yeni kanıtlar Ömer Radi’nin telefonuna yönelik benzer ağ enjeksiyonu saldırılarının başka bir web sayfası kullanılarak 29 Ocak 2020’ye kadar devam ettiğini gösteriyor.

NSO Group casus yazılımını sadece devletlerin istihbarat ve emniyet teşkilatlarına sattığını iddia etse de Uluslararası Af Örgütü’nün ortaya çıkardığı deliller Fas hükümetinin NSO Group’un aktif müşterisi olmaya devam ettiğini ve aktivistleri, gazetecileri ve muhaliflerini takip etmek, sindirmek ve susturmak için NSO’nun teknolojisini kullanmaya devam ettiğini ortaya koyuyor.

Ağ enjeksiyonu için kullanılabilen NSO Groupun sattığı sahte baz istasyonu modeli     ©Becky Peterson-Business Insider

Uluslararası Af Örgütü en son bulgularını NSO Group ile paylaştı; ancak şirket, Fas yetkililerinin kendi teknolojik ürünlerini kullandığını ne doğruladı ne de inkar etti. Onun yerine yalnızca iletilen bilgilerin inceleneceği açıklandı. Danna Ingleton, “NSO Group’un, ürünlerinin Fas’ta insan hakları ihlalleri işlenmesinde kullanıldığını gösteren deliller kendisine sunulduğunda ne yaptığına ilişkin yanıtlaması gereken ciddi sorular var. Şirket, Fas yetkilileriyle sözleşmesini neden sonlandırmadı? Gazetecileri ve aktivistleri istenmeyen dijital gözetimle korkutmaya çalışmak, bu kişilerin gizlilik ve ifade özgürlüğü haklarının ihlalidir” dedi.

NSO Group, ürünlerinin satışı öncesinde insan hakları konusunda kapsamlı bir değerlendirme yaptığını söylüyor; fakat bu iddialar herhangi bir ayrıntıya yer vermediği gibi, sivil toplumu hedef alan saldırıların sayısı göz önünde bulundurulduğunda, birçok vakada etkisiz kaldığı da açıkça görülüyor.

Yaygın ihlaller

Uluslararası Af Örgütü ile diğer sivil toplum örgütleri, NSO Group’un ürettiği Pegasus casus yazılımının sivil toplumu hedef almak için yaygın olarak kullanıldığını belgeledi. Bu casus yazılım Meksika’da gazetecilere ve milletvekillerine; Suudi aktivistler Ömer Abdülaziz, Yahya Assiri ve Ghanem El-Masarir’e; Birleşik Arap Emirlikleri vatandaşı olan ödüllü insan hakları kampanyacısı Ahmed Mansur’a; Uluslararası Af Örgütü’nün bir çalışanına yönelik saldırılarda kullanıldı ve yazılımın öldürülen Suudi muhalif Cemal Kaşıkçı’yla bağlantılı olarak kullanıldığı öne sürüldü.

BM İş Dünyası ve İnsan Haklarına Dair Rehber İlkeler gereğince, NSO Group ve şirketin en önemli yatırımcısı olan Birleşik Krallık merkezli özel sermaye şirketi Novalpina Capital, dünyanın dört bir yanındaki insan hakları ihlallerine sebep olmadıklarından veya bu ihlallere katkı sunmadıklarından emin olmak için acilen gerekli adımları atmakla yükümlüdür.

NSO Group’a karşı açılan dava

Uluslararası Af Örgütü, ‘İsrail Savunma Bakanlığı’nın NSO Group şirketinin ihracat iznini iptal etmesi’ talebiyle açılan davayı desteklemektedir. Uluslararası Af Örgütü, İsrail Savunma Bakanlığı’nın, NSO’nun ürünlerini dünyanın dört bir yanındaki hükümetlere satmasına izin vererek insan haklarını tehlikeye attığını savunuyor. Davada kararın yakında açıklanması bekleniyor.

Ayrıca Facebook, NSO Group’un WhatsApp’taki bir güvenlik açığından faydalanarak en az 100 insan hakları savunucusunu hedef almasının ardından şirketi Kaliforniya’da dava etti.

Danna Ingleton, sözlerini şöyle sonlandırdı: “NSO Group’a karşı verilen hukuki mücadele, şirketin insan hakları ihlallerindeki sorumluluğunu inkar etmesi nedeniyle devam ediyor. Yeni kanıtlar, NSO’nun COVID-19 pandemisiyle mücadele kapsamındaki ürünleri de dahil olmak üzere şirketin gözetim teknolojisinin satışının neden engellenmesi gerektiğine dair son bir ikaz işaretidir.”