Česká republika v tichosti toleruje špionážní veletrh ISS World, který sponzorují firmy zatížené skandály s nabouráváním soukromí a čelící sankcím. E15 nahlédla za zavřené dveře, kde zjistila, jak se v Praze pečou dohody, jež mohou rozvrátit celé státy. Událost to není malá. Slétají se na ni zástupci policie, tajných služeb i armád z celého světa, kde je zástupci technologických firem školí v tom, jak získávat informace i jak se před útoky protivníků bránit.
„Ples odposlouchávačů“ se každoročně koná v pražském hotelu Clarion. Technologické firmy z celého světa za zavřenými dveřmi prezentují svůj nejnovější špionážní software, který umožňuje nabourat se do cizího telefonu a cílovou osobu sledovat. Akreditace novinářům ISS World nevydává a na e-maily s mediálními dotazy E15 nikdo neodpovídal. Reportér se proto vydal na akci bez oficiální pozvánky.
Bez saka a bez kontroly
Před hotelem Clarion kousek od metra Vysočanská postávají skupinky lidí v oblecích a s výraznými visačkami na krku. Některé tabulky papíru jsou bílé, jiné žluté a obsahují nejen jméno, ale často i zemi, odkud delegát přiletěl. Několikrát se objevuje Kypr, který se stal oblíbenou destinací firem nabízející špionážní software, protože tak přísně nehlídá, komu se zbraň pro kyberprostor prodá.
Vstup je poměrně volný a visačky nikdo nekontroluje. I když se jedná o akci, která upozorňuje na přísná bezpečnostní opatření, do hotelu lze proniknout bez problémů a klidně si prohlížet exponáty, navíc bez saka a v kšiltovce.
Na první pohled by „ples odposlouchávačů“ šlo zaměnit třeba se Světem knihy. Na chodbách jsou stánky, jen místo posledního vydání Harryho Pottera slibují kouzla v nabourávání soukromí a kyberbezpečnosti. Na jednom ze stánků je rozložený dron s výkonnou kamerou. Na vedlejším jen LCD televize s prezentací nějakého „bezpečnostního řešení“. Při proplouvání mezi vystavovateli řada techniky laikovi nic neřekne. Na první pohled to jen občas vypadá jako sofistikovaná vysílačka.
Návštěvníka záhy zastaví cedule s důrazným varováním: „Jen pro lidi se žlutou visačkou.“ Dveře jsou pootevřené a tvoří se před nimi drobný shluk lidí. Vedou do velké haly, kde se nachází jedna z hvězd veletrhu, izraelská firma NSO Group, která vytvořila software Pegasus. Ten vlády v EU zneužily ke špehování politické opozice, novinářů i aktivistů. Její stánek se monumentálně tyčí hned u dveří, které oddělují návštěvníky podle barvy visačky. Rámy stánku svítí bílým neonovým světlem a uprostřed nich stejnou barvou září logo NSO Group.
Cílem návštěvy veletrhu bylo najít organizátory a konfrontovat je s tím, proč akci sponzorují firmy sankcionované Spojenými státy. Jednou z nich je zmíněná NSO Group, která dokonce figuruje jako hlavní sponzor ISS World. U registrace na akci se přitom jasně píše, že na veletrh nebude vpuštěn nikdo, na koho se vztahují sankce USA, a organizátoři tvrdí, že návštěvníky pečlivě prověřují.
Reportér E15 tedy zašel za ostrahou a požádal ji, zda by ho nemohla zavést k lidem odpovědným za pořádání akce. Bez protestů to udělala a ani se neptala, co tam novinář bez visačky pohledává. Organizátorka už tak vstřícná nebyla.
Ta nejdřív beze slova chvíli zírala a po vyslechnutí několika připravených otázek o sponzorech na sankčním seznamu USA začala opakovat: „Tady nemáte co dělat. Musíte ihned opustit tenhle prostor.“ Na další otázky nereagovala. Ani na žádost o poskytnutí kontaktu, kam lze poslat mediální dotazy. „Ostraha vás teď vyvede,“ oznámila. Bodyguard reportéra doprovodil téměř ke vchodu. „Nebudeš dělat problémy a skutečně odejdeš, že?“ ujistil se.
Praha, metropole spywaru
ISS World probíhá běžně i s českou účastí. Mezi vystavovateli jsou i tuzemské firmy a školitelé. Stát každopádně nerad přiznává, že se akce zúčastňují jeho zástupci. „Organizaci a způsob zajištění konference nikterak komentovat nebudeme. Je však zřejmé, že obsahová náplň této konference není a ani nemůže být zcela stranou našeho zájmu, stejně jako řada dalších, tematicky obdobně zaměřených akcí,“ odpověděl E15 Jozef Bocán z policejního prezidia. Na doplňující dotazy už nereagoval. Armáda účast přímo odmítá.
Zástupci bezpečnostní komunity pracující pro tajné služby, armádu i policii ale mluví mimo záznam pro E15 otevřeněji než mluvčí. Na otázku, kdo chodí na ISS World, odpovídají často shodně: „Všichni.“ Na rozdíl od běžných lidí pro ně nemá akce takový punc tajemna a působí na ně jako jeden z mnoha „zbrojařských veletrhů“.
„Pokud má stát zajišťovat svou roli, bez těchto nástrojů si ani neškrtne,“ říká zdroj z bezpečnostní komunity, jehož identitu nelze z pochopitelných důvodů zveřejnit. Stát podobné nástroje nemůže bez velkých finančních prostředků vyvinout sám a soukromý sektor má podle insiderů náskok. „Je tak zkrátka levnější podobná řešení koupit a učit se z nich,“ vysvětluje. Jak taková školení s hackerským softwarem vypadají, popsali investigativní novináři z projektu Lighthouse. Na ISS World bylo tolik spywaru neboli odposlouchávací techniky, že místy začala v okolí kolísat rychlost mobilního internetu. „Mám příjem pouze 2G,“ stěžoval si loni jeden ze školitelů na uzavřené přednášce.
Kvůli sedm let starému hackerskému útoku na společnost HackingTeam unikly stovky e-mailů, kde se o ISS World v Praze velmi intenzivně píše. Technologická firma si v korespondenci domlouvá třeba setkání a prezentace pro vládní činitele.
Výměna e-mailů proběhla například mezi Stéphanem Robinotem, který tehdy pracoval pro francouzské ministerstvo vnitra, a Philippem Vincim z HackingTeamu. „Nástroj je poměrně výkonný a působivý, opravdu si myslím, že stojí za to se na něj podívat. Rádi pro vás uspořádáme soukromou ukázku přizpůsobenou vašim požadavkům. Neváhejte mi navrhnout datum a čas, které vám vyhovují,“ domlouvá setkání Vinci.
Predator pro jihoafrické milice
Po úniku dat z roku 2015 se také ukázalo, že hackerský software od HackingTeamu kupovala i česká policie. Přesněji to byl Útvar zvláštních činností Policie ČR. Tehdejší zprávy v Česku nereflektovaly ISS World a jeho roli jako důležitého místa setkání.
Jsou zdokumentované i další případy, na které přímo upozorňuje vyšetřovací výbor Evropského parlamentu. Například v roce 2013 navštívil ISS World v Praze Andreas Mikellis, který měl na starosti ochranu tehdejšího kyperského prezidenta Nicose Anastasiadese a též jednal o nákupu odposlouchávacího softwaru.
Nejnovější skandál se týkal společnosti Intellexa, též sponzora ISS World, který vedl až k prodeji špionážního softwaru jménem Predator africkým milicím. Server Lighthouse dokázal, že malé letadlo značky Cessna s číslem AOJ71H přistálo v den konání akce v Praze. Let pak kopíroval místa, kde docházelo ke kontroverzním obchodům.
Uniklé dokumenty popsaly, jak nabídky špionážního softwaru pro klienty vypadají. Podle ceníku sto úspěšných infekcí a rok řízení projektu a extrakce dat stály kolem osmi milionů dolarů, zhruba 176 milionů korun.
Firma NSO Group se svým produktem Pegasus reagovala jen na první sadu otázek týkající se prodeje softwaru státům EU. Redakci E15 zajímalo, zda prodala nějaký produkt České republice. Firma totiž měla před osmi lety v tuzemsku prezentaci pro zástupce tajných služeb, již pomohl zprostředkovat nynější poradce pro národní bezpečnost Tomáš Pojar.
„NSO se nemůže vyjadřovat k zákazníkům nebo údajným zákazníkům z důvodu smluvních a regulačních omezení. Naše produkty se prodávají pouze prověřeným vládním subjektům, a to výhradně za účelem boje proti trestné činnosti a terorismu. Naše výrobky v uplynulém desetiletí zachránily tisíce životů po celém světě,“ odpověděla firma. Na další otázky už nereagovala.
Program konference prozrazuje, že tato firma spadající pod americké sankce měla letos na ISS World v Praze přednášku s názvem NSO: The unencrypted story, tedy NSO: Nezašifrovaný příběh. Médiím tam nebyl přístup povolen, a tak je otázka, co tam zaznělo. V roce 2021 každopádně vyšlo najevo, že pomocí softwaru Pegasus bylo sledováno nejméně padesát tisíc lidí z padesáti států.
Podle BBC se terčem stalo 189 novinářů, přes šest stovek politiků, 85 lidskoprávních aktivistů a desítky lidí z byznysu. Mezi terči byl i spolupracovník české eurokomisařky Věry Jourové. Software mělo zneužít i Maroko ke sledování francouzských politických špiček včetně prezidenta Emmanuela Macrona a jeho nejbližšího okolí.
Firma po skandálu už daný rok po odhalení skončila na sankčním seznamu USA. To znamená, že nemůže nakupovat americké technologie. „Skupina NSO by nemohla fungovat bez vědomí a tolerance izraelské vlády, ne-li bez její podpory,“ řekl v roce 2021 David Kaye, bývalý zvláštní zpravodaj OSN pro Washington Post.
Zda skončil Pegasus i v České republice, po obchodní prezentaci s jistotou nevíme. Izraelci poskytli vyšetřovací komisi informaci, že spyware koupilo čtrnáct států EU. Jména známe jen čtyři právě kvůli skandálům popsaným novináři. Týkaly se Maďarska, Polska, Řecka, Kypru a Španělska.
Deset zbylých států mlčí a tak není vyloučené, že mezi nimi je i tuzemsko. „Lze s jistotou předpokládat, že všechny členské státy zakoupily či použily jeden nebo více druhů špionážního softwaru,“ konstatuje vyšetřovací orgán Evropského parlamentu. Je téměř jisté, že podobným spywarem nějaká instituce v Česku disponuje.
Například nedávno se v tuzemsku našly stopy špionážního softwaru od společnosti QuaDream. Ve své zprávě na to upozornila kanadská nezisková organizace CitizenLab. Nevíme však, kdo tento nástroj použil a proti komu.
Od armády k soukromému sektoru
Firmy jako NSO Group do jisté míry těží z unikátního izraelského prostředí, kdy najímají experty z armády, kteří se zabývali právě kyberbezpečností. Díky tomuto unikátnímu prostředí je Izrael jedním z lídrů v oblasti špionážního softwaru.
To je i případ firmy Candiru, která též jako NSO Group sponzoruje ISS World v Praze. Také je na sankčním seznamu USA a letos měla na akci blok v programu s názvem: Zero-Click Attacks – The Holy Grail (Útoky bez kliknutí – svatý grál). Řada zaměstnanců této firmy se rekrutuje z izraelské zpravodajské jednotky 8200, která je zodpovědná za sběr zpravodajských informací. Podle analýzy CitizenLab byl spyware od Candiru ve Španělsku nasazen například proti zastáncům katalánské nezávislosti.
Po nátlaku začal Izrael vývoz podobného typu softwaru více kontrolovat a izraelské společnosti ho nemohou prodat bez schválení vlády. Pro spyware totiž platí pravidla a nemělo by docházet k volnému prodeji, jako když chce někdo udat tank, raketu či kulomet. Novým zajímavým sídlem se tak pro tyto firmy stal Kypr, který nemá tak přísná pravidla a výbor Evropského parlamentu ho označuje, stejně jako Českou republiku, za jedno z míst, které umožňují prodej spywaru.
