Demokrasi yanlısı ve insan hakları aktivisti, telefonlarının gözetleme yazılımı tarafından hacklenmesinin ardından Suudi Arabistan Krallığı’na karşı Birleşik Krallık mahkemesinde yasal işlem başlatma hakkını kazandı.
Londra’daki Yüksek Mahkeme, Suudi hükümetinin kendisini gözetim altına almak için İsrail casus yazılımını kullanmasının ardından kampanyacı Yahya Assiri’nin Suudi Arabistan’a karşı tazminat davası açmasına izin veren bir emir yayınladı.
Davanın, İsrail tarafından geliştirilen ve iPhone’ları hedef alan bir casus yazılım olan QuaDream’in yüksek mahkemeye ulaşmak için kullanılmasını içeren ilk dava olduğu anlaşılıyor.
Assiri’yi temsil eden Bindmans LLP’nin ortağı Monika Sobiecki, yüksek mahkemenin Assiri’nin Suudi Arabistan’a karşı açtığı davayı kazanma ihtimalinin makul olduğu sonucuna vardığını söyledi. “Yüksek Mahkeme böylece devletlerin davranışlarını gizlilikle gizleyemeyeceğine ve muhaliflere yönelik ulusötesi baskının sorumluluğunu üstlenemeyeceğine dair güçlü bir sinyal gönderdi” dedi.
2013’ten beri İngiltere’de yaşayan Assiri, Suudi muhalefetteki Ulusal Meclis Partisi’nin kurucu üyesi ve eski genel sekreteri ve Suudi Arabistan’da insan haklarını destekleyen ve savunan insan hakları örgütü ALQST’nin kurucusudur.
2018’de İstanbul’daki Suudi konsolosluğunda öldürülen gazeteci Cemal Kaşıkçı ve 2020’de Riyad’da gözaltındayken ölen Suudi şair ve aktivist Abdullah Hamid Ali el-Hamid de dahil olmak üzere Suudi rejimi muhalifleriyle çalıştı.
Şikayete göre, 2018 ile 2020 yılları arasında Assiri’nin mobil cihazları Pegasus ve QuaDream casus yazılımları tarafından hedef alındı ve bu yazılımlara bulaştı; bunların izleri Kanada’daki Toronto Üniversitesi merkezli Citizen Lab tarafından bağımsız analizle tespit edildi.
Veri erişimi
Casus yazılım potansiyel olarak Suudi hükümetinin kısa mesajlar, aramalar, konum verileri, fotoğraflar ve dosyalar dahil olmak üzere çok çeşitli verilere erişmesine olanak sağladı. Şikayete göre bu aynı zamanda Suudi yetkililere sesli çağrıları dinleme, mobil cihazlardaki mikrofonları uzaktan etkinleştirme ve kaydetme, fotoğraf çekme ve Assiri’nin hareketlerini takip etme olanağı da sağladı.
Assiri, özel bilgilerin kötüye kullanılması, taciz ve mallara izinsiz girilmesi nedeniyle Suudi Arabistan Krallığı’na karşı dava açıyor.
2014 yılında İngiltere’ye sığınma talebinde bulunan Suudi Kraliyet Hava Kuvvetleri’nin eski kaptanı, Suudi Arabistan Krallığı’nın insan hakları uygulamalarını açıkça eleştiren tanınmış bir muhaliftir.
Assiri, Mayıs 2018’de tıkladığı bir bağlantıyı içeren ve iPhone’unun donmasına neden olan bir kısa mesaj aldı.
Assiri’nin telefonunun Uluslararası Af Örgütü ve Citizen Lab tarafından analizi, kendisine gönderilen URL’nin Pegasus casus yazılımıyla bağlantılı ve Suudi Arabistan ile ilişkili bir sunucuda barındırıldığını ortaya çıkardı.
Eylül 2018’de, Assiri tarafından kullanılan yedek telefonun güvenliği, QuaDream’e atfedilen casus yazılım tarafından ele geçirildi ve bunun sonucunda büyük miktarda veriye gizlice erişildi.
Assiri, Temmuz 2020’de Suudi muhaliflere yönelik önceki saldırılarla eşleşen Pegasus internet alan adlarına bir bağlantı içeren bir kısa mesaj aldı.
Citizen Lab tarafından yapılan analiz, telefonunun Pegusus casus yazılımı tarafından “sıfır tıklama” açıklarından yararlanılarak başarıyla hacklendiğini doğruladı.
Saldırı sırasında Assiri, öldürülen gazeteci ve Suudi yönetimini eleştiren Cemal Kaşıkçı davası üzerinde çalışıyordu, Suudi yetkililere yönelik yaptırımları savunuyor ve İngiltere’nin Suudi ev sahipliğindeki G20 zirvesini boykot etmesi için lobi yapıyordu.
Assiri, iPhone’unda mahkeme belgeleri, iletişim bilgileri, Suudi Arabistan’daki insan hakları savunucularının kimlik belgeleri ve diğer son derece hassas bilgiler de dahil olmak üzere büyük miktarda hassas ve gizli bilgi saklamıştı.
Pegasus
Şikayete göre Pegasus casus yazılımı kısa mesajları, e-postaları, takvim kayıtlarını, çağrı geçmişini, anlık mesajları, kişi listelerini ve virüslü telefonların tarama geçmişini izleyebiliyor.
Ayrıca telefon görüşmelerini kesebilir ve yerleşik mikrofonlardan gizlice kayıt yapabilir, fotoğrafları alabilir, ekran görüntüleri ve fotoğraflar çekebilir, mobil cihazlarda depolanan dosyaları alabilir ve telefon hücresi kimlikleri ve GPS aracılığıyla konumu sürekli olarak izleyebilir.
Pegasus yazılımı kullanıcıları, örneğin hedefin belirli bir konuma ulaşması, başka bir hedefle karşılaşması, mesajda anahtar kelime kullanması veya belirli bir kişiyi araması gibi durumlarda uyarı göndermek için “kurallar” oluşturma yeteneğine sahiptir.
Pegasus uzaktan kaldırılabilir ve hedef cihazda olduğuna dair hiçbir iz bırakmayacak şekilde tasarlanmıştır. Maruz kalma riskinin olduğu yerlerde kaldırmak için kendi kendini imha etme mekanizmasına sahiptir.
QuaDream
Artık dağılmış olan İsrail şirketi QuaDream, Reign adı altında pazarlanan casus yazılım açıkları, kötü amaçlı yazılımlar ve altyapı sunuyordu.
QuaDream hakkında halka açık çok az bilgi var ve casus yazılımın hâlâ kullanımda olup olmadığı belli değil.
Yazılım, kullanıcının bir bağlantıya tıklamasını gerektirmeden bir cihaza kurulmasına izin vermek için “sıfır tıklama” istismarlarını kullanıyor.
Pegasus gibi casus yazılım da sesli aramaları yakalayıp kaydedebiliyor, virüslü cihazın mikrofonunu etkinleştirebiliyor, fotoğraf çekebiliyor, dosya ve veritabanlarında arama yapıp bunlara erişebiliyor ve kullanıcıların konumunu takip edebiliyor.
Assiri’nin davası, Pegasus casus yazılımı nedeniyle Suudi Arabistan’a İngiltere mahkemelerinde açılan ikinci dava oldu.
Ocak ayında Londra Temyiz Mahkemesi, Suudi Arabistan Krallığı’nın, insan hakları savunucusu Ghanem Al-Masarir’in, Suudi Arabistan’ın mahkemeye fon ödemesi emrine uymaması üzerine açtığı davaya karşı yaptığı itirazı reddetti.
Leigh Day tarafından temsil edilen Al-Masarir, Suudi hükümetinin telefonunu İsrailli teknoloji şirketi NSO Group’tan satın alınan Pegasus casus yazılımıyla hedeflemesinin ardından özel bilgilerin kötüye kullanılması ve tacizden kaynaklanan psikolojik hasarı iddia ediyor.
Büyükşehir Polisi soruşturması
Ayrı bir operasyonda Metropolitan Polisi, dört aktivistin Suudi Arabistan, Birleşik Arap Emirlikleri ve Bahreyn’den gelen casus yazılımların hedefi olduklarına dair şikayetlerini araştırıyor.
Küresel Yasal Eylem Ağı tarafından açılan davada, Pegasus teknolojisini sağlayan İsrailli yazılım şirketi NSO Group Technologies Limited; NSO’ya bağlı Lüksemburg merkezli bir firma olan Q Cyber Technologies; ve 2019’da NSO’nun “yönetim tarafından satın alınmasını” üstlenen Birleşik Krallık’taki özel sermaye şirketi Novalpina Capital; ve Pegasus’un satışına karışan kişiler.
Pegasus, Suudi Arabistan’ın İstanbul Büyükelçiliği’nde gazeteci Cemal Kaşıkçı’nın öldürülmesi olayına karışmıştı.
Başbakanlık Ofisi ve Dışişleri, Milletler Topluluğu ve Kalkınma Ofisi de dahil olmak üzere Birleşik Krallık hükümeti ağlarındaki saldırılarda kullanıldı ve Lordlar Kamarası üyesi Fiona Shackleton’a karşı, kendisinin yasal temsilcisi olarak görev yaptığı sırada kullanıldı. Dubai Prensesi Haya.
Suudiler insan hakları mağdurlarını hedef aldı
Yahya Assiri, Suudi Arabistan’ın sırf kendisiyle temas halinde oldukları için insan hakları ihlallerinin mağdurlarını ve ailelerini hedef almasından endişe duyduğunu söyledi.
Yetkililerin beni hedef almak isteyeceğinin tamamen farkındayım” dedi. “Ancak Suudi Arabistan’daki hak ihlali mağdurları ve aileleri gibi kişileri sırf bu kişiler benimle temasa geçti diye hedef göstermeleri de ayıptır. Yetkililerin cihazımda bulunan bilgileri kendilerine karşı nasıl kullanabilecekleri hakkında hiçbir fikrimiz yok.”
Suudi Arabistan’ın devlet dokunulmazlığına sahip olduğunu iddia etmesi bekleniyor; bu iddia şu anda hukuk firması Leigh Day tarafından, Pegasus tarafından hedef alınan ve Suudi rejiminin açık sözlü muhalifi Al-Masarir davasında test ediliyor.
Assiri’nin, maddi hasar ve kişisel yaralanma durumlarında devlet bağışıklığının istisnaları olduğunu savunması bekleniyor.