Nem egyedi eset a Pegasus-ügy, Európa-szerte megfigyelnek újságírókat és aktivistákat

Az elmúlt években több európai államról is kiderült, hogy olyan kémprogramot szereztek be, aminek nyomai később civil aktivisták vagy újságírók telefonjain jelentek meg. Görögországban idén börtönbüntetést kapott a megfigyelési botrány több szereplője, de a Belgrade Centre for Security Policy kutatása szerint a legtöbb esetben következmény nélkül maradt a civil szervezet és újságírók lehallgatása. A szervezet kutatása szerint a legtöbb incidenst politikailag érzékeny időszakokban, például választások vagy tüntetések környékén észlelték.

Pintér Sándor belügyminiszter 2016-ban azzal dicsekedett, hogy – a terrorelhárításra hivatkozva hozott törvények alapján – gyakorlatilag bárkit törvényesen le lehet hallgatni. A kijelentés akkor nem kavart nagy vihart, ellentétben az öt évvel később kirobbant Pegasus-üggyel, amelyből kiderült, hogy nemcsak bűnözőket, hanem újságírókat és civil szervezeteket is megfigyeltek.

2025-ben, a Pegasus után, egy másik izraeli fejlesztésű kémprogram, a Candiru-féle DevilsTongue használatára is fény derült. Idén pedig a VSquare írt arról, hogy a titkosszolgálatok a Cobwebs nevű cégtől szereztek be kémprogram-licenceket, és egy hazai fejlesztésű, mobiltelefonok titkos megfigyelésére alkalmas eszköz is létezhet.

Nemcsak magyar probléma

A magyarországi megfigyelési botrányok azonban nem egyediek Európában: a Belgrade Centre for Security Policy (BCSP) kutatása szerint a Nyugat-Balkán országaiban (Szerbia, Bosznia-Hercegovina, Észak-Macedónia, Albánia) és EU-tagországokban (Lengyelország, Görögország, Olaszország, Spanyolország) is arról számoltak be civil szervezetek és szerkesztőségek munkatársai, hogy digitális eszközeiket kémprogrammal figyelték meg, vagy azokhoz megpróbáltak hozzáférni.

A Defending Digital Freedoms: Strengthening Civil Society Resilience against Digital Repression in Europe című kutatásban 239 civil szervezet és szerkesztőség vett részt. A BCSP kérdéseire főleg olyan szervezetek válaszoltak, amelyeknek fő profilja az emberi jogok védelme (magyar részről például a Helsinki Bizottság vett részt a felmérésben), a környezetvédelem, a korrupciós ügyek feltárása, illetve nem EU-tagországokban az uniós integráció támogatása.

A kutatás legmeglepőbb eredménye talán az, hogy

a legtöbb incidens – beleértve az állami megfigyelésre utaló jeleket is – nem a kevésbé demokratikusnak tartott nyugat-balkáni országokban, hanem EU-tagállamokban történt.

Arra a kérdésre, hogy a válaszadók tapasztaltak-e valamilyen digitális incidenst, az EU-n kívüli országokban a „Nincs/nem tudom” válasz maradt a leggyakoribb (60). Az EU-s mintában viszont csak 37-en válaszoltak így. Ennél többen találkoztak adathalász (phishing) kísérletekkel (41). Az állami megfigyelés vagy feltételezett megfigyelés (26) és az online zaklatás (23) szintén gyakrabban fordult elő az EU-mintában.

Állami megfigyelést az összes válaszadó közül 39 tapasztalt. A legtöbben, nyolcan Görögországban, majd Szerbiában (7), Lengyelországban (6) és Magyarországon (5) jelentették a legtöbb esetet; őket követi Spanyolország (4), Olaszország (3), Észak-Macedónia és Albánia (mindkettő 2), valamint Montenegró és Bosznia-Hercegovina (mindkettő 1).

Precedensértékű ítélet Görögországban

Görögország elsősége a listán nem véletlen: itt már 2021-ben fény derült egy újságíró megfigyelésére. Egy akkor kiszivárgott dokumentum szerint a görög Nemzeti Hírszerző Szolgálat (EYP) elrendelte a menekültválságról tudósító Sztavrosz Malihudisz megfigyelését, feltehetően azért, hogy azonosítsa forrásait. A hír hallatán Malihudisz szeretett volna hozzáférni a megfigyelési aktájához, de ezt a Legfelsőbb Bíróság megtagadta arra hivatkozva, hogy ő „nem közvetlen áldozat”.

A botrány a következő években tovább gyűrűzött, miután újabb megfigyelt személyek, köztük ellenzéki politikusok nevei is nyilvánosságra kerültek. A Citizen Lab vizsgálata azt is megállapította, hogy a megfigyelésekhez a Predator nevű kémprogramot használták. Innentől az ügyet Predatorgate néven emlegették a nyilvánosságban. A görög kormány a programot nemcsak bevetette, hanem – a volt külügyminiszter vallomása alapján – a polgárháborús Szudánba is továbbadta a licencet.

A görög példa azért is egyedi, mert itt kivételesen jogi következményei is lettek a megfigyeléseknek:

2026 februárjában a Predator licenszét értékesítő Intellexa cég négy vezetőjét börtönbüntetésre ítélték.

Ez a következmény azonban nem tipikus: a BCSP kutatásában a legtöbben azt mondták, hogy a megfigyelések vagy adatlopási kísérletek miatt nincsenek jogorvoslati lehetőségek, vagy azok hatástalanok. Magyarországon is ez a helyzet: a Pegasus-ügyben a NAIH mindent törvényesnek talált, majd a vizsgálat részleteit 2050-ig titkosították.

Gyanús jelek tüntetések és választások idején

A BCSP szerint elképzelhető, hogy a valóságban több embert figyeltek meg, mint amennyien ezt a kutatásban jelezték, mivel az észleléshez komoly digitális forenzikai vizsgálatokra van szükség, erre pedig a legtöbb szervezetnek nincs kapacitása.

További 87 válaszadó jelezte, hogy észlelt ugyan szokatlan jelenségeket a mobilján, de ezek pontos kivizsgálására nem volt lehetősége. Aggodalomra ad okot, hogy ezek a jelenségek politikailag érzékeny időszakokban történtek, például tüntetések előtt vagy után. Szerbiai szervezetek azt jelezték, hogy azután kezdtek gyanúsan viselkedni aktivistáik telefonjai, hogy a rendőrség előállította az érintetteket, és ideiglenesen elkobozta a készülékeiket.

Hasonló jelenségeket már több mint tíz éve, a 2014-es tuzlai tüntetések idején is tapasztaltak. Máshol az eszközök gyanús viselkedése egybeesett lehallgatási botrányok feltárásával (Görögország), aktivisták pereivel (Spanyolország), külföldi diplomatákkal való találkozókkal (Albánia),

Magyarországon pedig a betiltott Budapest Pride-dal és az ellehetetlenítési törvény bejelentésével.

Az EU-n kívüli országokban főleg közösségimédia-fiókok elleni adathalászati kísérletekről számoltak be a válaszadók, vagyis egy egyszerűbb támadási formáról. Az EU-s országokban ezzel szemben a kémprogramokat tartják a nagyobb problémának. A legsúlyosabb támadásokat azoknak az úgynevezett zero click rendszerű eszközöknek a bevetése jelenti, amik, szemben az adathalászat hagyományos formáival, felhasználói beavatkozás nélkül is meg tudják fertőzni a célpont eszközét (például egy olyan szöveges üzeneten keresztül, amit az áldozat meg sem nyitott). Ilyen eszközökhöz hétköznapi kiberbünőzői csoportok rendszerint nem férnek hozzá. A zero click kémprogramokat fejlesztő vagy masszív összegekért licenszelő kis számú cég (NSO, Candiru, Cytrox, Paragon Solutions) jellemzően csak állami szervezetekkel szerződik.

Az elmúlt években több EU-s országban történtek esetek, amik igazolták a civilek aggodalmait. A nálunk is jól ismert Pegasus egyik első európai bevetését Lengyelországban erősítették meg. Célpontjai az akkori kormány kritikusai voltak: Roman Giertych ügyvéd és Ewa Wrzosek ügyész. A Citizen Lab megállapította, hogy 2019 végén Giertych telefonjához legalább 18 alkalommal fértek hozzá illetéktelenül, míg Wrzosek telefonján hat behatolást regisztráltak 2021-ben. Bár a Citizen Lab nem tudta azonosítani, ki rendelte el a támadásokat, a Pegasust értékesítő NSO azt mondta, hogy kizárólag átvilágított kormányzati szerveknek értékesít.

Ennek ellentmond, hogy 2020 augusztusa és 2023 januárja között Európában élő orosz és belorusz újságírókat és ellenzéki aktivistákat is megfigyeltek Pegasussal – olyan közszereplőket, akik bírálták a Putyin- vagy Lukasenka-rezsimet, és külföldre kellett menekülniük az üldöztetés elől. A Citizen Lab és az Access Now vizsgálata nem tudta megállapítani, hogy ki rendelte meg ezeket a megfigyeléseket, de

a menekült orosz és belorusz ellenzékiek lehallgatása kevésbé az őket befogadó államoknak lehetett célja.

A Citizen Lab tavalyi jelentésében a figyelmet a Pegasusról egy másik, szintén izraeli kémprogramcégre, a Graphite nevű programot forgalmazó Paragon Solutionsre irányította, amely többek között a WhatsApp üzenetküldő alkalmazás sérülékenységeit használta ki. A vizsgálat 90, a Paragon kémprogramjával célba vett embert azonosított, köztük elsősorban olasz újságírókat és civil aktivistákat, akik menedékkérőknek segítettek. Az érintettek telefonjainak vizsgálata kimutatta a kémprogram-fertőzést.

Magyarországon a HVG által közérdekű adatigényléssel kikért statisztika szerint az Igazságügyi Minisztérium az elmúlt években több ezer nemzetbiztonsági célú titkos információgyűjtésre vonatkozó kérelmet hagyott jóvá, évente jellemzően 1300–1400-at. A valós szám ennél azonban magasabb lehet, mert a titkosszolgálatok saját hatáskörben, miniszteri engedély nélkül is végezhetnek titkos információgyűjtést.

Zubor Zalán

Címlapkép: BCSP/Átlátszó montázs