Al Jazeera uppger att en hemlig skadlig programvarukampanj med koppling till det israeliska företaget Candiru infekterade 45 enheter tillhörande dess journalister och personal, och hämtade data från dem utan att användarna behövde vidta några åtgärder. Avslöjandet är ett tydligt exempel på hur zero-click-spionprogramvara som journalister är beroende av kan vändas mot dem, och varför vanlig försiktighet ofta inte räcker mot välfinansierade angripare.

Detaljerna nedan kommer från en rapport som sammanfattar Al Jazeeras uttalande. Där den offentliga dokumentationen är tunn säger vi det.

Vad Al Jazeera uppger hände

Enligt rapporten beskrev Al Jazeera en zero-click-attack kopplad till Candiru som komprometterade 45 av dess journalisters enheter. Skadlig programvara uppges ha exfiltrerat data utan någon som helst användarinteraktion. Med andra ord behövde de drabbade inte öppna en fil, trycka på en länk eller godkänna något för att infektionen skulle få fäste.

Källsammanfattningen ger inte fler detaljer, till exempel vilka operativsystem som drabbades, vilka sårbarheter som utnyttjades, under vilken period infektionerna inträffade eller vem som beställt kampanjen. Vi tänker inte gissa oss till dessa detaljer. Läsare bör betrakta siffran 45 enheter som Al Jazeeras redovisade påstående och hålla utkik efter tekniska uppföljningar från tv-bolaget eller oberoende forskare.

Hur zero-click-spionprogramvara fungerar utan ett enda tryck

De flesta har lärt sig att undvika misstänkta länkar och oväntade bilagor. Det rådet riktar sig mot "one-click"-attacker, där offret måste göra något. Zero-click-spionprogramvara tar bort det steget.

I allmänna ordalag utnyttjar zero-click-attacker brister i programvara som automatiskt bearbetar inkommande data, såsom meddelandeappar, medietolkare eller nätverkstjänster. Om en angripare hittar en sårbarhet i den automatiska hanteringen kan ett specialutformat meddelande eller datapaket utlösa kodkörning på telefonen eller datorn innan ägaren ser något. Det kan saknas avisering, det kan saknas en märklig popup och det kan saknas uppenbara tecken efteråt.

När den väl är installerad kan spionprogramvara av detta slag vanligtvis användas för att läsa meddelanden, samla in filer och hämta andra data från enheten. Al Jazeeras rapport om dataexfiltrering passar in i det mönstret.

Den viktigaste poängen för icke-tekniska läsare: detta är inte ett misslyckande i användarens omdöme. Försiktigt beteende kan inte helt förhindra en attack som inte kräver något beteende alls.

Varför journalister är huvudsakliga mål för verktyg av Candiru-typ

Candiru beskrivs som ett israeliskt företag, och verktyg från företag som det kallas ofta legosoldatsspionprogram: kraftfulla övervakningsförmågor utvecklade av privata leverantörer och sålda till kunder. Dessa verktyg är dyra och komplexa att bygga, vilket är anledningen till att de tenderar att riktas mot ett litet antal högvärdiga mål snarare än allmänheten.

Journalister passar den profilen av tydliga skäl. Reportrar innehar känsligt material: källors identiteter, opublicerade fynd och privata kommunikationer med personer som kan vara i fara. Att kompromettera en nyhetsredaktions enheter kan avslöja allt detta på en gång. En enda infekterad telefon kan avslöja inte bara journalisten egen aktivitet utan också kontakterna och förtroendena hos alla de talar med.

Den skala som rapporteras här, 45 enheter hos en enda organisation, tyder på en kampanj riktad mot en hel institution snarare än en enskild individ. Det spelar roll för nyhetsorganisationer, människorättsgrupper och alla arbetsplatser där flera personer hanterar känslig information.

Övervakningstryck mot rapportering visar sig också i andra former. Vår bevakning av den långvariga internetavstängningen i pakistanskt administrerade Kashmir, som bygger på Al Jazeeras rapportering, visar hur begränsningar av kommunikation kan förvärra de risker människor möter när de försöker dela information.

Vad som realistiskt minskar din exponering

Inget enskilt steg gör en enhet immun mot en beslutsam angripare med stora resurser. Men vissa åtgärder höjer meningsfullt kostnaden och svårigheten för en attack.

  • Installera OS- och appuppdateringar snabbt. Zero-click-attacker är beroende av oåtgärdade eller icke-offentliggjorda brister. Säkerhetsuppdateringar stänger kända hål, och fördröjningar lämnar dem öppna.
  • Aktivera Lockdown Mode där det är tillgängligt. Vissa plattformar erbjuder en extrem skyddsinställning som minskar attackytan genom att begränsa vissa funktioner. Den byter bekvämlighet mot säkerhet, vilket kan vara en rimlig affär för personer med förhöjd risk.
  • Starta om enheter regelbundet. Viss skadlig programvara överlever inte en omstart, så periodiska omstarter kan tvinga en angripare att infektera igen.
  • Minska vad som lagras på din enhet. Försvinnande meddelanden och rutinmässig radering begränsar hur mycket en inkräktare kan samla in.
  • Separera känsligt arbete. Att använda en dedikerad enhet för de mest känsliga kommunikationerna kan begränsa skadorna om en annan enhet komprometteras.
  • Rapportera misstänkt kompromettering. Om du arbetar på en nyhetsorganisation eller intressegrupp, ta upp din oro med ditt säkerhetsteam eller en specialist på digital säkerhet i stället för att försöka utreda på egen hand.

Vad detta innebär för dig

De flesta läsare är osannolikt mål för verktyg som Candirus. Men lärdomarna gäller brett. Att hålla enheter uppdaterade är den enskilt mest användbara vanan, och den skyddar även mot många andra hot.

Om du är journalist, aktivist, jurist eller någon annan som kan väcka statligt intresse, utgå från att din risk är högre och agera därefter: uppdatera snabbt, använd de starkaste skyddslägena din enhet erbjuder och begränsa känsliga data på din telefon.

Det är också värt att vara tydlig med vad en VPN gör och inte gör. En VPN krypterar din nätverkstrafik och döljer din IP-adress för webbplatser och lokala nätverk. Den stoppar inte spionprogramvara som redan körs på din enhet, och den kan inte förhindra en zero-click-exploit som riktar sig mot programvara på telefonen själv. VPN är fortfarande användbara för nätverksintegritet, men de är inte ett försvar mot denna typ av attack.

Viktiga slutsatser

Al Jazeeras rapporterade avslöjande om en Candiru-länkad kampanj mot 45 enheter är en påminnelse om att zero-click-spionprogramvara som journalister möter kan kringgå även försiktiga användare. Betrakta detaljerna som under utveckling, eftersom den offentliga sammanfattningen är begränsad.

För alla med högre risk: tillämpa OS-uppdateringar så snart de är tillgängliga, slå på Lockdown Mode om din enhet stöder det, starta om regelbundet, lagra mindre känsliga data och förstå att en VPN inte skyddar dig mot spionprogramvara på enheten själv.