Prije više od 7 (sedam!) mjeseci, svjetskom su javnošću odzvonili detalji poslovanja talijanskoga poduzeća HackingTeam – i to ne svojevoljno, već putem internetske stranice WikiLeaks, gdje je objavljena njihova interna prepiska u razdoblju između 04. siječnja 2011. i 30. lipnja 2015. U ovim e-mailovima spominje se i Sigurnosno-obavještajna agencija, i to počevši od 30. travnja 2011., temeljem susreta kojeg su talijanski poslovni ljudi imali s predstavnicima ukupne hrvatske obavještajne zajednice 12. travnja 2011. u Zagrebu.
Dva tjedna nakon objave na WikiLeaksu, ova je tema dospjela na stranice specijaliziranog hrvatskog portala ICT Business – od kuda ju je preuzeo i portal Obris.org s dodatkom uvodnog komentara. Budući da daleke odjeke ove situacije danas Jutarnji list prenosi uz naslov “EKSKLUZIVNO: OBAVJEŠTAJNI SKANDAL”, i mi smo odlučili biti jednako “ekskluzivni”. Zato ponavljamo tekst koji smo 12. srpnja 2015. godine s dozvolom preuzeli sa stranica portala ICT Business, napominjući da su podaci na koje se on poziva čitavo ovo vrijeme slobodno dostupni javnosti na servisu WikiLeaks – u cjelini, te jednako kao i u doba kada su prvotno bili objavljeni na internetu, 30. lipnja prošle godine.
Nije baš jednostavno baviti se sigurnosno-obavještajnim radom u današnje doba. Teško je prikupiti dovoljno stručnih ljudi, a kada se to i uspije, obično se susretne problem alata za nadzor kolopleta široko dostupnih digitalnih komunikacija. Kako, naravno, samo najveći igrači imaju daha za razvijati svoje operativne alate, oni manji (a tu je i niz hrvatskih instanci) osuđeni su na kupovinu takvih programskih rješenja od specijaliziranih prodavača. Jedan takav komercijalni subjekt – tvrtka HackingTeam iz Milana u Italiji – uspješno je godinama plivala na tom specijaliziranom tržištu, prodajući svoja programska rješenja za nadzor, doduše maskirana u ponešto manje reguliranu kategoriju “alata za daljinski pristup“.
Iako spomenuta kao potencijalni kupac, VSOA se tek skromno pojavljuje u objavljenoj prepisci
Pri tome, HackingTeam je prakticirao i aktivnu komunikaciju iz Hrvatske, gdje je niz specijaliziranih informatičkih tvrtki predstavljao vezu prema institucijama RH (pretežito MUP RH i SOA, ali u manjoj mjeri i VSOA, te OTC), ali i prema stranim tržištima u koja se pomagalo prodati talijanska programska rješenja. Prvenstveno je tu riječ o resorima unutarnjih poslova i sigurnosno-obavještajnim službama u Iraku, Azerbajdžanu, ali i ponešto bližim destinacijama kao što su to Bosna i Hercegovina, Crna Gora, Kosovo, te Makedonija. Dok je jedno pitanje osnova na kojima se takav sveobuhvatni digitalni nadzor hrvatskih građana mislilo raditi, o čemu bi tek trebalo biti širega govora, drugo je pitanje konkretne štete koju je objava ovih poslovnih odnosa napravila svim u njih uključenim igračima.
Iz međusobne komunikacije talijanske tvrtke HackingTeam i njenih partnera iz Hrvatske jasno se vidi model poslovanja i nabave u hrvatskom sigurnosno-obavještajnome sektoru. Vidi se da pojedine specijalizirane hrvatske tvrtke imaju dostupa ljudima “iz sustava” u Hrvatskoj (čija su imena sada javna, iako to do nedavno službeno i nisu bila), vidi se da nadležni po znanje i opremu odlaze na stručne sajmove te kongrese u inozemstvu (izrijekom su spomenuti MILIPOL u Parizu 2013. i više izdanja skupa ISS World Europe u Pragu), a jasno je vidljivo i da su djelatnici Sigurnosno-obavještajne agencije (SOA) u najmanje jednom navratu isprobavali i demo-verzije programa koje se željelo kupiti. No, dok je barem dio kupovina takvih alata u Hrvatskoj propao zbog kombinacije učinka izbora 2011. i proračunske stiske od tog doba naovamo (bez obzira na višekratno spominjanje iznimno visokog prioriteta koji ima ovakova nabavka) – ipak je ponešto nejasnije kako su se kretali poslovi u zemljama koje su Talijani dohvaćali uz posredovanje hrvatskih tvrtki. No, i tu je jasno da se radilo o posredovanju koje je išlo direktno u inozemne specijalizirane službe koje bi mogle biti potencijalni kupci, uz posredovanje u prezentiranju proizvoda, te dostavu i već spomenutih demo-verzija nadzornih paketa koje se prodavalo.
O tome kako su sve te poslovne transakcije najednom postale javne (WikiLeaks) danas je za portal ICT Business pisao Dražen Tomić, u tekstu “ŠPIJUNSKA AFERA: HackingTeam, SOA, Alfatec i SedamIT i Diverto u kolopletu hackiranja ili kako su progonjeni uvijek za korak ispred progonitelja” kojeg prenosimo u cijelosti.
“Kako svugdje u svijetu državne službe kaskaju polako za tehnologijom, talijanska mala tvrtka HackingTeam vidjela je u tome svoju šansu da zaradi nešto u branši gdje se inače vrte poslovi za čiju bi vrijednost, kako bi pravilno izgovorili iznos, trebalo ipak upregnuti moždane vijuge.
Jedan od glavnih potencijalnih kupaca u RH
Ipak, Hacking Team se i sam našao na meti hackera koji su pustili van njihov izvorni kod i time omogućili i drugima da okoriste propustima koje nisu prijavili, a koje su koristili u vlastitom softveru. Taj svoj softver su prodavali i na taj način i državama omogućavali napade i prisluškivanje, primjerice kroz propuste u Adobe Acrobatu. Tada bi državne agencije, primjerice poput domaće SOA-e (Sigurnosno-obavještajna agencija), imale mogućnost preuzeti nadzor nad određenim računalom. SOA je željela to rješenje.
To se ipak nije dogodilo jer za milijun eura (oko 7,5 milijuna kuna) plus 250 tisuća eura godišnjeg održavanja ipak je bilo preskupo za SOA-u koja je to htjela nabavljati preko domaćih tvrtki Alfatec i Sedam IT te tvrtka Diverto. Osim samog source coda HackingTeam-ova rješenja, procurila je i baza mailova koja pokazuje korespondenciju s jedne strane Alfateca i SedamIT-a te Diverta s druge strane o prodaji softvera SOA-i, a koju (zasad) možete pronaći ovdje.
Paket Galileo nastavak je na istovrsni proizvod Da Vinci talijanske tvrtke HackingTeam
Kako će se sad oprati SOA, Alfatec, SedamIT i Diverto kada se iz mailova vidi kako su komunicirali i što su sve nudili te kako – ručkovi i večere i ostalo. To je možda i manje važno u ovom slučaju, već je mnogo važnije da je SOA, dakle država, željela kontrolirati i prisluškivati svoje građane na prilično neetičan način. Ono što je sigurno je da se afera nastavlja.
Zarada na lak način
Nedostatak konkurencije, jer u vrijeme kada su počinjali postojalo je sličnih rješenja da se mogu nabrojati na prste jedne ruke, pogodovalo im je da vrlo brzo sa svojim rješenjima zauzmu dobar dio tržišta. Dakle, velika zarada na lak način uz malo konkurencije – san svakog poduzetnika, no o čemu se tu zapravo radi?
Uz niz sigurnosnih rupa u operativnome sustavu Windows, za upade su korišteni i propusti u programima tvrtke Adobe (posebno Flash Player)
Država piše zakone, zakoni omogućuju policiji, carini, tajnim službama i inima provedbu mjera tajnog prikupljanja podataka (MTPP), rekli bi sve OK, osim što se radi razvoja tehnologije u vrijeme procvata male talijanske tvrtke pojavilo dosta novih načina komunikacije koji su koristili internet kao prijenosni medij, ali i enkripciju, što je mučilo razne državne službe kojima se količina bitnih informacija, a koje su s njima do tada niti neznajući dijelili pripadnici kriminalnih skupina, šverceri, utajivači poreza i slični počela iz dana u dan smanjivati radi prelaska s klasičnog telefoniranja i SMS-a na jeftiniju komunikaciju putem raznih programa za komunikaciju.
„Velikog Brata“ (NSA) je jako mučio Skype, neke manje i ostali messengeri, talkovi i slične aplikacije za komunikaciju kako sa stolnih i prijenosnih računala, tako i s raznih pametnih telefona, kao i razni problemi koji su se pojavljivali prilikom provedbe MTPP na mobilnim telekomunikacijskim priključcima.
Sveobuhvatni nadzor
HackingTeam je sa svojim proizvodima omogućio nadzor internet i e-mail prometa, sadržaja komunikacije putem raznih programa za komunikaciju, dohvaćanja adresara i imenika, audio-snimanja, screenshot desktopa, keylogger, pregled sadržaja tvrdog diska ili memorijskih kartica, uključivanje GPS-a i dohvaćanje podatka o trenutnoj poziciji mobilnog uređaja, kao i mnogih drugih fancy funkcija koje svaka tajna služba samo poželjeti može, a od kojih se udrugama za zaštitu ljudskih prava diže kosa na glavi. Mlada i još zarade željna ekipa programera „grizla“ je za svaki posao i rado su (naravno uz za tu branšu razumnu naknadu) ispunjavali želje kupaca te su takvim pristupom zauzeli dobar dio tržišta i narasli do 40-ak zaposlenika.
Uporno su tvrdili da se proizvod koji prodaju ne može svrstati u proizvode vojno-policijske namjene te tako izbjegavali razna trgovinska ograničenja (pod izlikom da je njihov proizvod zapravo software za daljinsko upravljanje) i prodavali proizvod zemljama koje su pod određenom vrstom trgovinskih sankcija radi povećanog kršenja ljudskih prava. Kako su ostale tvrtke sa sličnim proizvodima smještene uglavnom u državama gdje se zakoni poštuju a ne traže načini kako zakone zaobići, u takvim su državama bili u većini slučajeva jedini ponuđači… opet san svakog poduzetnika ;).
Napad iz osvete
No, uvijek su progonjeni za korak ispred progonitelja, pa se HackingTeam-u dogodio revoltirani (vjerojatno progonjeni) hacker, što je rezultiralo objavom 400+ GB podataka s njihovih servera uključujući i mailboxove, software, poslovnu dokumentaciju… recimo da je od tog trenutka sve krenulo nizbrdo i da ćemo se kroz nekoliko godina HackingTeam-a sjećati još samo po zgodnim reklamnim olovkama koje su dijelili na specijaliziranim sajmovima.
Sigurnosne zakrpe su krenule, što će rezultirati pojavom problema i za druge tvrtke koje se bave proizvodnjom sličnog softwarea jer će morati pronaći nove sigurnosne propuste koje mogu iskoristi za instalaciju softwarea za nadzor na računala i mobilne telefone, pa su progonjeni opet za korak-dva ispred progonitelja”.
———————————–
Original ovoga teksta objavljen je 12. srpnja 2015. godine pod naslovom “ŠPIJUNSKA AFERA: HackingTeam, SOA, Alfatec i SedamIT i Diverto u kolopletu hackiranja ili kako su progonjeni uvijek za korak ispred progonitelja“, na internetskoj stranici http://www.ictbusiness.info/.
Njegov je autor Dražen Tomić, a tekst je u originalu dostupan na adresi: http://www.ictbusiness.info/vijesti/spijunska-afera-hackingteam-soa-alfatec-i-sedam-it-i-dvierto-u-kolopletu-hackiranja-ili-kako-su-progonjeni-uvijek-za-korak-ispred-progonitelja
