Al Jazeeran työntekijöihin kohdistettiin Candidun kaupallista vakoiluohjelmaa Risky Bulletinin tällä viikolla julkaistun koosteen mukaan. Tapaus on lyhyt, mutta merkittävä: se on jälleen yksi esimerkki siitä, miten hallituksille rakennetut valvontatyökalut päätyvät toimittajien kohteeksi. Tässä artikkelissa tarkastellaan Candiru-vakoiluohjelma Al Jazeeran toimittajat -tapausta, sitä mikä on vahvistettua ja mikä ei, sekä realistisia puolustuskeinoja.

Huomautus lähteistä: Risky Bulletinin yhteenvedossa todetaan ainoastaan, että Al Jazeeran työntekijöihin kohdistettiin Candiru-vakoiluohjelmaa. Yksityiskohtia, kuten laitteiden lukumäärää, infektiomenetelmää tai sitä, kuka valvonnan määräsi, ei kyseisessä lähteessä mainita, joten tämä artikkeli ei väitä niitä tosiksi. Lukijoiden kannattaa tarkistaa yksityiskohdat alkuperäisten tutkijoiden ja Al Jazeeran omista lausunnoista.

Miten Candiru-vakoiluohjelma kohdistui Al Jazeeran henkilökuntaan

Ydinfakta on yksinkertainen. Suuren uutisorganisaation henkilökunta valittiin kohteeksi kaupallisen toimijan valmistamalla vakoiluohjelmalla. Candiru on nimi, joka yhdistetään kaupalliseen vakoiluohjelmateollisuuteen, jossa yritykset kehittävät tunkeutumistyökaluja ja lisensoivat niitä asiakkailleen. Tämä malli erottaa työkalujen rakentajat niistä, jotka valitsevat kohteet.

Toimitukselle riski ei ole abstrakti. Vakoiluohjelman saastuttama puhelin voi paljastaa viestejä, yhteystietoja, sijainnin ja lähteiden henkilöllisyydet. Jo yksi saastunut laite voi vaikuttaa kollegoihin ja henkilöihin, jotka puhuivat toimittajalle luottamuksellisesti.

Miten kaupallinen vakoiluohjelma päätyy toimittajien laitteisiin

Kaupallinen vakoiluohjelma tarvitsee yleensä tavan päästä laitteeseen. Alan yleisiin reitteihin kuuluvat haitalliset linkit, sovellusten tai selainten haavoittuvuudet sekä käyttöjärjestelmän puutteet. Sitä, mitä reittiä Al Jazeeran henkilökuntaa vastaan käytettiin, ei käsitellä lähdeyhteenvedossa, joten yhden nimeäminen olisi spekulaatiota.

Yleisesti voidaan sanoa seuraavaa:

  • Nämä työkalut ovat kalliita, ja niitä käytetään tyypillisesti tiettyjä henkilöitä vastaan, ei suurta yleisöä vastaan.
  • Ne nojaavat ohjelmistohaavoittuvuuksiin, jotka toimittajat korjaavat päivityksillä, kun puutteet tulevat tunnetuiksi.
  • Toimittajat, aktivistit, lakimiehet ja virkamiehet ovat tavanomaisia korkean arvon kohteita.

Koska hyökkäykset ovat valikoivia, henkilö voi joutua kohteeksi tekemättä mitään epätavallista. Huolelliset tavat auttavat, mutta eivät takaa turvallisuutta.

Käytännön suojakeinot: päivitykset, lockdown-tila ja VPN:n rajoitukset

Mikään yksittäinen asetus ei pysäytä määrätietoista vakoiluohjelmaa, mutta useat toimenpiteet nostavat hyökkääjän kustannuksia.

Päivitä viipymättä. Vakoiluohjelma riippuu usein tunnetuista tai äskettäin löydetyistä puutteista. Käyttöjärjestelmän ja sovellusten päivitysten asentaminen heti, kun ne ilmestyvät, sulkee aukkoja, joita voitaisiin muuten käyttää sinua vastaan.

Käytä lockdown-tyylisiä tiloja. Jotkin alustat tarjoavat kovennetun tilan, joka poistaa käytöstä tiettyjä ominaisuuksia, kuten joitakin viestiliitteitä ja linkkien esikatseluja, pienentääkseen hyökkäyspintaa. Se heikentää käyttömukavuutta, minkä vuoksi se on järkevintä henkilöille, joihin kohdistuu kohonnut riski. Se vähentää altistumista, mutta ei voi taata täyttä suojaa.

Ymmärrä, mitä VPN tekee. VPN salaa liikenteen laitteesi ja VPN-palvelimen välillä ja piilottaa IP-osoitteesi vierailemiltasi sivustoilta. Se ei poista puhelimessasi jo olevaa vakoiluohjelmaa, eikä se estä hyväksikäyttöä, joka asentaa sen. Jos laite on saastunut, vakoiluohjelma voi lukea tiedot ennen kuin ne salataan. VPN on hyödyllinen tietosuojatyökalu, mutta se ei ole puolustus tämänkaltaista uhkaa vastaan.

Vähennä altistumistasi. Käynnistä laitteet säännöllisesti uudelleen, poista sovellukset, joita et käytä, vältä odottamattomien linkkien napsauttamista ja pidä arkaluontoiset keskustelut alustoilla, joilla on vahva salaus. Organisaatioiden tulisi antaa riskiryhmässä olevalle henkilöstölle selkeät ohjeet ja tuki sen sijaan, että turvallisuus jätettäisiin yksilön harkinnan varaan.

Laajempi uhkakenttä: DataSuckers, DPRK:n kannettavatietokonetilat ja OpenAI:n sisäpiiritapaus

Sama Risky Bulletinin numero käsittelee muitakin juttuja, jotka osoittavat, miten moninaisia uhat ovat:

  • Venäjä pidätti DataSuckersin. Venäjän viranomaiset pidättivät DataSuckers-nimisen hakkeriryhmän jäseniä.
  • USA häiritsi 40 DPRK:n kannettavatietokonetilaa. USA ryhtyi toimiin 40:ää Pohjois-Koreaan yhdistettyä kannettavatietokonetilaa vastaan, mikä muistuttaa, että uhat voivat tulla etätyön ja rekrytointikanavien kautta yhtä lailla kuin teknisten haavoittuvuuksien kautta.
  • OpenAI:n työntekijä pidätettiin. OpenAI:n työntekijä pidätettiin vakoilulaitteen asentamisesta – sisäpiiritapaus, joka osoittaa, että fyysisellä pääsyllä ja luotetuilla asemilla on myös merkitystä.

Lähdeyhteenveto ei anna näistä tapauksista lisätietoja, joten ne kannattaa lukea signaaleina而非 täysinä juttuina. Luottamus ja infrastruktuuri muovaavat turvallisuutta myös internetin muilla kerroksilla. Artikkelimme Iranin ja Venäjän TLS-varmenteiden mitätöinnistä selittää, miten pakotteiden noudattaminen voi ulottua varmenteisiin, joihin selaimet nojaavat.

Mitä tämä tarkoittaa sinulle

Useimmat ihmiset eivät todennäköisesti joudu kaupallisen vakoiluohjelman kohteeksi, mutta opetukset pätevät laajasti. Laitteiden päivittäminen suojaa monenlaisilta hyökkäyksiltä, ei vain eksoottisilta. Jos työskentelet journalismin, ihmisoikeuksien, oikeuden tai politiikan parissa, riskiprofiilisi on korkeampi ja ylimääräiset varotoimet ovat perusteltuja. Kohtele VPN:ää yhtenä verkon yksityisyyden kerroksena, ei suojana saastunutta laitetta vastaan.

Keskeiset opetukset

  • Asenna järjestelmä- ja sovelluspäivitykset viipymättä, erityisesti jos olet kohonneessa riskissä.
  • Kytke päälle lockdown-tyylinen tila, jos laitteesi tarjoaa sellaisen ja työsi tekee sinusta todennäköisen kohteen.
  • Muista, että VPN ei pysäytä vakoiluohjelmaa eikä poista infektiötä.
  • Jos epäilet saastumista, ota yhteyttä organisaatiosi turvallisuustiimiin tai digitaalisen turvallisuuden asiantuntijaan sen sijaan, että luottaisit arvailuun.
  • Seuraa virallisia lausuntoja ja tutkijoiden raportteja vahvistettujen yksityiskohtien saamiseksi Candiru-vakoiluohjelma Al Jazeeran toimittajat -tapauksesta.