Al Jazeera-ansatte ble utsatt for kommersiell spionvare fra Candiru, ifølge en Risky Bulletin-oppsummering publisert denne uken. Saken er kort, men den er viktig: den er nok et eksempel på hvordan overvåkingsverktøy bygget for myndigheter ender opp med å rettes mot journalister. Dette innlegget ser på saken om Candiru-spionvare mot Al Jazeera-journalister, hva som er og ikke er fastslått, og hvilke forsvarstiltak som er realistiske.

En merknad om kilder: Risky Bulletin-oppsummeringen sier bare at Al Jazeera-ansatte ble utsatt for Candiru-spionvare. Detaljer som antall enheter, infeksjonsmetode og hvem som bestilte overvåkingen, finnes ikke i den kilden, så denne artikkelen hevder ikke noe om det. Lesere bør sjekke de opprinnelige etterforskernes og Al Jazeeras egne uttalelser for spesifikke detaljer.

Hvordan Candiru-spionvare rettet seg mot Al Jazeera-ansatte

Kjernepunktet er enkelt. Ansatte i en stor nyhetsorganisasjon ble spesielt utvalgt med spionvare laget av en kommersiell leverandør. Candiru er et navn knyttet til den kommersielle spionvareindustrien, der selskaper utvikler inntrengingsverktøy og lisensierer dem til kunder. Denne modellen skiller menneskene som bygger verktøyene fra menneskene som velger målene.

For et nyhetsrom er risikoen ikke abstrakt. En telefon kompromittert av spionvare kan avsløre meldinger, kontakter, posisjon og identiteten til kilder. Selv én infisert enhet kan påvirke kolleger og menneskene som snakket fortrolig med den journalisten.

Hvordan kommersiell spionvare når journalisters enheter

Kommersiell spionvare trenger vanligvis en vei inn på en enhet. Vanlige ruter i bransjen inkluderer ondsinnede lenker, utnyttelse av sårbarheter i apper eller nettlesere, og feil i operativsystemet. Hvilken rute som ble brukt mot Al Jazeera-ansatte, dekkes ikke i kildeoppsummeringen, så det ville være spekulasjon å navngi en her.

Det som kan sies i generelle termer:

  • Disse verktøyene er dyre og brukes typisk mot spesifikke personer, ikke allmennheten.
  • De er avhengige av programvaresårbarheter, som leverandører fikser gjennom oppdateringer når feilene er kjent.
  • Journalister, aktivister, advokater og tjenestepersoner er de vanlige høyverdige målene.

Fordi angrepene er selektive, kan en person bli utsatt uten å gjøre noe uvanlig. Forsiktige vaner hjelper, men de garanterer ikke sikkerhet.

Praktiske beskyttelsestiltak: oppdateringer, lockdown-modus og begrensningene ved en VPN

Ingen enkeltinnstilling stopper målrettet spionvare, men flere trinn øker kostnaden for en angriper.

Oppdater raskt. Spionvare er ofte avhengig av kjente eller nylig oppdagede feil. Å installere operativsystem- og appoppdateringer så snart de dukker opp, lukker hull som ellers kunne brukes mot deg.

Bruk lockdown-lignende moduser. Noen plattformer tilbyr en herdet modus som deaktiverer visse funksjoner, som enkelte meldingsvedlegg og lenkeforhåndsvisninger, for å redusere angrepsflaten. Det reduserer bekvemmeligheten, og det er derfor det gir mest mening for personer med forhøyet risiko. Det reduserer eksponering, men kan ikke love immunitet.

Forstå hva en VPN gjør. En VPN krypterer trafikken mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettsteder du besøker. Den fjerner ikke spionvare som allerede er på telefonen, og den blokkerer ikke utnyttelsen som installerer den. Hvis en enhet er kompromittert, kan spionvaren lese data før de i det hele tatt krypteres. En VPN er et nyttig personvernverktøy, men det er ikke et forsvar mot denne typen trusler.

Reduser eksponeringen din. Start enheter på nytt regelmessig, fjern apper du ikke bruker, unngå å klikke på uventede lenker, og hold sensitive samtaler på plattformer med sterk kryptering. Organisasjoner bør gi ansatte med forhøyet risiko klar veiledning og støtte, i stedet for å overlate sikkerheten til individuelt skjønn.

Det bredere trussellandskapet: DataSuckers, DPRK-bærbare datamaskin-farmer og en OpenAI-innsidensak

Samme utgave av Risky Bulletin dekker andre saker som viser hvor varierte truslene er:

  • Russland arresterer DataSuckers. Russiske myndigheter arresterte medlemmer av en hackergruppe kjent som DataSuckers.
  • USA forstyrrer 40 DPRK-bærbare datamaskin-farmer. USA iverksatte tiltak mot 40 bærbare datamaskin-farmer knyttet til Nord-Korea, en påminnelse om at trusler kan komme gjennom fjernarbeid og ansettelseskanaler så vel som tekniske utnyttelser.
  • OpenAI-ansatt arrestert. En OpenAI-ansatt ble arrestert for å ha plantet en spionenhet, en innsidensak som viser at fysisk tilgang og betrodde posisjoner også betyr noe.

Kildeoppsummeringen gir ingen ytterligere detaljer om disse sakene, så de bør best leses som signaler snarere enn fulle saker. Tillit og infrastruktur former også sikkerheten på andre lag av internett. Vår artikkel om TLS-sertifikattilbakekalling knyttet til Iran og Russland forklarer hvordan sanksjonsoverholdelse kan nå sertifikatene som nettlesere er avhengige av.

Hva dette betyr for deg

De fleste vil sannsynligvis ikke bli utsatt for kommersiell spionvare, men lærdommene gjelder bredt. Å holde enheter oppdaterte beskytter deg mot mange typer angrep, ikke bare eksotiske. Hvis du jobber innen journalistikk, menneskerettigheter, juss eller politikk, er risikoprofilen din høyere, og ekstra forholdsregler er berettiget. Behandle en VPN som ett lag for nettverkspersonvern, ikke som beskyttelse mot en kompromittert enhet.

Viktige punkter

  • Installer system- og appoppdateringer raskt, spesielt hvis du har forhøyet risiko.
  • Slå på en lockdown-lignende modus hvis enheten din tilbyr det, og arbeidet ditt gjør deg til et sannsynlig mål.
  • Husk at en VPN ikke stopper spionvare eller fjerner en infeksjon.
  • Hvis du mistenker en kompromittering, kontakt organisasjonens sikkerhetsteam eller en spesialist på digital sikkerhet i stedet for å stole på gjetting.
  • Følg offisielle uttalelser og etterforskerrapporter for bekreftede detaljer om saken om Candiru-spionvare mot Al Jazeera-journalister.