Avrupa Parlamentosu'nun casus yazılım istismarlarını soruşturan PEGA komitesinde görev yapan Yunan gazeteci ve eski politikacı Stelios Kouloglou'nun, tam da araştırma yaptığı Pegasus spyware'i kullanılarak telefonunun hacklendi. Kanada'daki Citizen Lab araştırmacıları tarafından doğrulanan saldırı, komite üyelerinin kendisine karşı bu teknolojinin nasıl silah olarak kullanıldığını gösteren ilk somut örnek oldu.

Araştırmacı Kendi İnvestigasyonunun Hedefi Oldu

Citizen Lab'ın dijital haklar birimi, Kouloglou'nun 2022 ve 2023 yıllarında en az iki kez Pegasus spyware'i ile hedef alındığını tespit etti. İlk saldırı Ekim 2022'de, ikincisi ise Mart 2023'te gerçekleşti. Her iki durumda da saldırganlar, Apple iPhone'un akıllı ev yazılımında daha önce bulunan bir açıktan yararlanarak, kullanıcının herhangi bir etkileşimde bulunmasına gerek kalmadan telefona erişim sağladı.

Araştırmacılar, saldırının belirli bir ülkeye atfedilemese de, aynı e-posta adresinin daha önceki kampanyalarda Avrupa çapında gazetecileri hedef alan saldırılarda kullanıldığını belirtti. Bu, saldırganın NSO Group'un Pegasus yazılımını birden fazla Avrupa ülkesinde kullanma yetkisine sahip olduğunu gösteriyor.

Komite Çalışmalarının Tam Ortasında Hedefleme

Ekim 2022'deki saldırı, PEGA komitesinin Kıbrıs, Yunanistan, Macaristan, Polonya ve İspanya'daki casus yazılım istismarlarını detaylandıran ilk taslağı hazırladığı dönemle tam olarak örtüşüyor. Benzer şekilde, Mart ayındaki ikinci saldırı, Kouloglou'nun Atina'dan Brüksel'e seyahat ettiği ve komite duruşmaları devam ederken yaşandı. Araştırmacılar, Ekim saldırısının, Kouloglou'nun ameliyat için hastanede bulunduğu tarihleri hedeflediğini ve böylece ortam sesinin kaydedilmiş olabileceğini belirtti.

Hükümet Casus Yazılımını Kontrol Mekanizması Olarak Kullanıyor

Pegasus spyware, teoride ciddi suçları tespit etmek için tasarlandığı iddia ediliyor. Bununla birlikte, bu olay bir kez daha hükümetlerin aynı teknolojiyi eleştirmenleri, gazetecileri ve muhalifları izlemek için nasıl kullandığını ortaya koyuyor. Saldırının hedef alındığı gazeteci-politikacı, spyware'in metin mesajları, konumlandırma verisi, fotoğraflar ve e-posta yazışmaları da dahil olmak üzere tüm kişisel verilerine erişim sağladığını açıkladı.

Avrupa Parlamentosu üyeleri, Avrupa Komisyonu'ndan 27 üye devlet genelinde casus yazılım kullanımına sıkı sınırlamalar getirmesini talep etti. NSO Group ve Avrupa Komisyonu söylemelerine cevap vermedi.

Ne anlama geliyor?

Bu olay, hükümet kurumlarının dijital gözetleme araçlarını ne kadar kolay istismar edebileceğini gösteriyor. Casus yazılım teknolojileri, bir güvenlik açığından faydalanarak hedef telefona erişim sağlıyor ve kullanıcı hiçbir şey yapmadan tüm kişisel verileri çalabiliyor. Bu tür saldırılar, gazeteci, politikacı ve insan hakları savunucuları gibi kamu görevlilerini özellikle hedef alıyor çünkü hükümetler onların haberleşmesini, kaynaklarını ve sosyal ağlarını izlemek istiyor.

Türkiye'de de benzer endişeler söz konusu. Ulusal hükümet kurumları, 'terörle mücadele' veya 'ulusal güvenlik' gerekçesiyle elektronik gözetleme araçlarını yaygın biçimde kullanıyor. Pegasus gibi yazılımlar, teoride şiddetli suçları ve terör eylemlerini önlemek için gerekli olarak sunuluyor. Ancak bu vakalar, söz konusu teknolojilerin kullanıcı izni olmaksızın haber kaynakları, muhalif siyasiler ve eleştirmenleri hedef alabileceğini ve böylece basın özgürlüğü, mahremiyet hakkı ve hukuk devleti ilkelerini baltalayabileceğini gösteriyor.

Sorun, gözetleme teknolojisinin kendisi değil, onun denetlenme mekanizmalarının yokluğu. Bir saldırı gerçekleştiğinde kimsenin sorumlu tutulamaması, hükümetlerin bu araçları giderek daha cesaretli biçimde kullanmasına yol açıyor. Hukuk devleti, ancak gözetleme araçlarının bağımsız yargı denetimine tabi tutulması halinde korunabilir.