Как експерт по един шпионски софтуер стана негова жертва

Стелиос Кулоглу не е типичният политик. Преди да влезе в Европейския парламент през 2015 г., е работил десетилетия като разследващ журналист - човек, свикнал да задава въпроси, а не да им отговаря. Той прекара година и половина в разследване на злоупотребите с търговски шпионски софтуер в Европейския парламент. Изслушваше жертви, четеше доклади, питаше трудни въпроси пред представители на NSO Group. През цялото това време Pegasus четеше съобщенията му.

Citizen Lab установяват това едва през май 2026 г. - след преглед на iPhone-а му, който самият Кулоглу е поискал. Установени са два пробива - през октомври 2022 г. и март 2023 г. И двата пъти съвпадат с ключови моменти в работата на комисията - дни преди изслушвания и финален доклад. Това е първият публично потвърден случай на член на PEGA комисията, заразен с инструмента, който самият той е разследвал.

И иронията не е случайна.

Нулев клик, нулева грешка

Pegasus работи като zero-click exploit – иначе  казано, жертвата не трябва  да натисне нищо, да отвори  линк, да свали файл. Шпионският  софтуер пристига скрит в съобщение  или известие, които устройството  обработва автоматично. Уязвимостта в кода дава на атакуващия пълен контрол: файлове, съобщения, микрофон, камера, местоположение в  реално време.

Освен всичко в телефона на Кулоглу има сериозен архив, събиран в продължение на 15 години - снимки, съобщения с министър-председатели, лидери на партии и журналисти. Apple са изпращали предупреждения за шпионски софтуер три пъти. Кулоглу никога не ги е забелязал. Липсата на процес за реакция при предупредителен знак е също толкова опасна, колкото самата уязвимост.

Пазарът зад атаката

NSO Group твърди, че продава Pegasus само на правителствени агенции за законно разузнаване. Citizen Lab са документирали „заразявания“ в над 45 държави, като жертвите са журналисти, адвокати, опозиционни политици, правозащитници, бизнес ръководители.

Citizen Lab установяват, че същият Pegasus оператор стои зад атаките срещу Кулоглу и серия от опити за пробив срещу руски журналисти и опозиционери в Европа. В Полша бивши разузнавателни служители са обвинени за употреба на Pegasus срещу политици. В Гърция Predator е използван срещу 87 публични личности. В Каталуния са заразени устройствата на десетки хора, свързани с каталунското движение.

Случаите не са изолирани. Те описват пазар, на който властите купуват инструменти за наблюдение и ги насочват навътре - срещу собствени граждани, журналисти и политически опоненти. Препоръките на PEGA комисията от май 2023 г. са до голяма степен игнорирани от Европейската комисия. Три години по-късно член на самата комисия е потвърдена жертва.

Не засяга само политиците

Случаят с Кулоглу изглежда като история за политическо наблюдение на най-високо ниво. В по-широк контекст илюстрира нещо, което засяга всяка организация с чувствителна информация: колкото по-висока е позицията и колкото по-ценни са данните в устройството, толкова по-привлекателна е мишената.

В корпоративна среда това означава изпълнителни директори, финансови директори, юрисконсулти, ключови търговски екипи - хора, чиито устройства съдържат стратегически решения, договори и кореспонденция с клиенти. Търговският шпионски пазар не е резервиран само за държавни актьори срещу политици: Citizen Lab документират случаи срещу бизнес ръководители, адвокати и консултанти в чувствителни индустрии.

Осведомеността не е достатъчна, но е задължителна

Тук е и най-неудобният извод от случая с Кулоглу: той е знаел за Pegasus по-добре от почти всеки друг човек в Европа. И пак е станал жертва.

Zero-click атаките заобикалят потребителското поведение - не изискват грешка. Но голямата част от успешните атаки срещу организации не започват с Pegasus. Те започват с фишинг имейл, имитиращи позната марка. С парола, използвана на няколко места. С личен телефон, свързан към корпоративна система. С предупреждение, което никой не е знаел как да обработи.

Затова и реалните сценарии стоят в основата на решения за бизнеса като Security Awareness Training, каквито екипите на А1 провеждат за служителите на корпоративните си клиенти. Обучението изгражда у хората навика да разпознават признаците на риск преди пробива, стъпвайки на реални ситуации, а не на абстрактни правила. Защото разликата между Кулоглу и средностатистическия служител в корпоративна среда е, че Кулоглу е знаел теорията. Навикът за реакция при конкретен сигнал - предупреждение от Apple, необичайна заявка, подозрителен линк - се изгражда по различен начин.

А за заплахите, които заобикалят и най-добре обучения потребител - като zero-click уязвимости, необичайно поведение на смартфона или компютъра или аномалии в активността в мрежата - автоматизирани решения за защита на крайните устройства като Endpoint Protect на А1 имат ключово значение за бизнеса. Услугата е базирана на изкуствен интелект (AI) и машинно обучение (Machine Learning) – открива и неутрализира атаките автоматизирано.

Кулоглу е получавал сигнали. Три пъти. Нужни са били и двете неща едновременно: навикът да забелязваш, и системата, която да засече, когато не си забелязал.