Почему шпионское ПО это новый вызов для прав человека

В цифровую эру технологии слежения вышли далеко за рамки классической наблюдательной деятельности. Сегодня коммерческие и государственные системы шпионажа становятся все более доступными и мощными, что порождает серьезный вызов правам человека. Причем проблема носит достаточно глобальный характер. По последним данным из 195 стран мира по меньшей мере 80 приобрели шпионское ПО от коммерческих поставщиков (подробнее в нашем материале). В одном из крупнейших расследований (Pegasus Project) упоминается выявление свыше 50 000 телефонных номеров, включенных в список потенциальных целей для эксплуатации. 

Исследование по странам-членам Council of Europe отмечает, что ПО такого рода (“Pegasus или аналогичные”) использовалось государствами не только против предполагаемых преступни_ц, но и против журналисто_к, правозащитни_ц и политических оппоненто_к. Одно из самых громких дел произошло в Польше, где было выявлено использование Pegasus против политических оппоненто_к в период предвыборной кампании. Подготовленный недавно организацией European Digital Rights доклад для ЕС подчеркивает, что отрасль spyware находится в «системе излишней терпимости (system of permissiveness), правовых лазеек и слабого регулирования», и что Европа стала одним из «хабов» разработки, торговли и экспорта таких технологий.

Использование spyware поднимает пласт новых вопросов в области защиты прав человека, которые ранее либо вообще не существовали, либо проявлялись не так ярко. Рассмотрим эти вопросы и проблемы и проиллюстрируем, почему это качественно новые вызовы.

Проблемы обнаружения использования Spyware

Если в подавляющем большинстве случаев нарушения прав человека, сами нарушения, последствия нарушения и действия, приведшие к нарушению прав человека понятны и очевидны для жертвы, то в случае использования spyware все иначе. Одним из главных вызовов, связанных с распространением spyware, является почти полная невидимость его присутствия. Эти программы создаются именно для того, чтобы оставаться незаметными как для пользователя, так и для специалистов по информационной безопасности. В отличие от “традиционных” недружественных действий государства, spyware стремится к тишине: его успех измеряется не количеством нанесенного ущерба, а длительностью незамеченного доступа к личной информации. 

Современные шпионские инструменты – от Pegasus и Predator до менее известных региональных аналогов – используют сложные методы внедрения. Они могут заражать устройства через нулевые уязвимости (zero-click exploits), то есть без участия пользователя. Это делает невозможным для жертвы даже заподозрить факт атаки. 

Zero-click-exploits следует отличать от сходного термина zero-day. Zero-click-exploits — это способ атаки: эксплойт срабатывает без какого-либо действия пользователя (не нужно кликать, открывать файл или отвечать на сообщение), чаще всего через автопредпросмотр, фоновую обработку сообщений или синхронизацию. Zero-day (уязвимость нулевого дня) — это конкретная уязвимость в ПО, о которой производитель еще не знает или которой еще не выпущен патч; она «нулевой день» потому, что до ее закрытия нет времени на подготовку защиты. Главное отличие: zero-click описывает как доставляют атаку и что пользователь не участвует, а zero-day описывает что используется — неизвестный баг. При этом атакующий может использовать zero-day для реализации zero-click-атаки, но zero-day может применяться и в других векторах (например, через вредоносный файл), а zero-click может эксплуатировать и известные, но не зафиксированные условия (например, отсутствие настроек безопасности).

Кроме того, spyware нередко использует легитимные системные процессы, шифрует трафик и стирает следы своего присутствия после перезагрузки. Даже эксперты лабораторий, занимающихся цифровой криминалистикой (например, Amnesty Tech или Citizen Lab), тратят недели, чтобы подтвердить наличие следов заражения. Технические возможности организаций, занимающихся обнаружением spyware, очень ограничены. При этом их опыт и технологии обнаружения не могут свободно тиражироваться и масштабироваться, поскольку организации, производящие spyware, очень заинтересованы в получении информации о том, как именно обнаруживаются угрозы с тем, чтобы ликвидировать уязвимости уже своего ПО.

Проблемы фиксации использования Spyware и сохранения цепочки доказательств

Обнаружить факт слежки с помощью spyware уже само по себе почти чудо. Но еще сложнее зафиксировать его и сохранить доказательства таким образом, чтобы они могли использоваться в судебных или правозащитных процедурах, когда потерпевшее лицо захочет защитить свои права. Spyware оставляет после себя крайне мало следов, а те, что остаются, часто легко уничтожаются – как автоматически, так и в результате неосторожных действий пользователя. Spyware обычно внедряется на уровне системных процессов, ядра операционной системы или даже базовых микрочипов (firmware). Это значит, что следы его активности не видны стандартными средствами диагностики и могут исчезнуть при любом обновлении системы. Более того, многие современные шпионские инструменты, например, Pegasus, Candiru или Predator, видимо, содержат функции самоуничтожения: они стирают себя при попытке обнаружения или анализа.

Но куда сложнее технических вопросов вопросы процедурные. Даже когда следы spyware удается зафиксировать, встает вопрос: насколько надежно это доказательство? Международных стандартов фиксации цифровых свидетельств в контексте spyware не существует. Лаборатории вроде Citizen Lab, Amnesty Tech или Access Now Digital Security Lab разрабатывают собственные протоколы, но их результаты часто оспариваются, особенно когда речь идет о возможной ответственности государства. Отсутствие единых методик приводит к тому, что каждая сторона в судебных или публичных спорах интерпретирует технические данные по-своему: одни видят «следы заражения», другие «некорректно интерпретированные логи». И, вполне логично, что государства изо всех сил будут использовать в своих интересах распределение бремени доказывания, а именно необходимость доказывания нарушений заявителем. В частности, именно поэтому в очень важном и прецедентном деле ЕСПЧ Krzysztof Brejza vs Poland представленные amicus curiae, в частности, обращают внимание суда на необходимость перераспределения бремени доказывания в таких делах в пользу возложения большего бремени на государство.

Кроме того, в случае со spyware мы вынуждены иметь дело с цепочкой доказательств. Дело в том, что сами доказательства, если можно так выразятся, не приносятся в суд или иной орган, который должен убедиться в их достоверности. Есть множество шагов, отделяющие факт обнаружения доказательств от непосредственного предъявления доказательств для оценки. И при оценке достоверности доказательств важно смочь доказать, что доказательство не было изменено, модифицировано или иным образом перестало соответствовать реальности. И целостность этого пути доказательств от обнаружения до предъявления для оценки, например, в суд в случае spyware особенно уязвима сразу по многим причинам:

• зараженные устройства часто передаются из рук в руки, пересылаются за границу для анализа;
• копии данных делаются разными организациями с разным уровнем компетенции и оборудованием;
• часть данных может храниться в облаке или на серверах, доступ к которым регулируется другими юрисдикциями.

Естественно, что это все факторы, которые очень сильно затрудняют процесс доказывания нарушений. В свою очередь недоступность юридического трека крайне сильно осложняет и адвокационные действия, и системное влияние на законодательства – если нет доказанных фактов, то государству легко отбиваться от требований, ссылаясь на голословность и предположительный характер.

Трудности с атрибуцией нарушения прав конкретным государствам

Но даже если представить, что вмешательство обнаружено, надлежаще зафиксировано, возникает следующая проблема spyware: невозможно однозначно установить, кто стоит за его применением. В отличие от классических форм государственного насилия или цензуры, цифровые атаки не оставляют очевидных следов. Государственные и негосударственные акторы могут использовать одни и те же технологии, скрываясь за сложными техническими и юридическими конструкциями

Технические средства не всегда в состоянии установить, какому именно субъекту передавались данные. Остаются только косвенные методы, например, отслеживание закупок соответствующего ПО государствами, анализ, кто является интересантом наблюдения за конкретным лицом, кто использовал обнаруженную информацию. И тут в полной мере проявляются все особенности рынка spyware. 

Современный рынок spyware это гибридная экосистема, где пересекаются государственные структуры, частные компании и посредники. Производители, такие как NSO Group (Pegasus), Cytrox (Predator), Intellexa, FinFisher и другие, официально позиционируют себя как «поставщики решений для правоохранительных органов». Однако в действительности их продукты нередко оказываются в распоряжении авторитарных режимов, спецслужб и частных заказчиков, действующих в собственных интересах. При этом государства часто используют многоуровневые схемы закупок: контракты оформляются через подрядчиков, субподрядчиков или офшорные структуры, что делает юридическую связь с правительством крайне трудно доказуемой. Кроме того, много чего маскируется на техническом уровне.

Таким образом, у государств всегда остается возможность, даже признавая факт, что использование spyware в отношении конкретного лица доказано, отрицать свою причастность к этому конкретному случаю, ссылаясь на использование в отношении других лиц и только в целях борьбы с терроризмом.

Отсутствие возможности надежной атрибуции подрывает саму идею ответственности государства за нарушение прав человека. Если невозможно доказать, кто именно стоит за атакой на журналиста или правозащитника, то нарушитель остается безнаказанным. Это, в свою очередь, укрепляет практику применения цифрового насилия, за которое никто не несет ответственности, делая spyware инструментом системного запугивания и подавления критики.

Проблемы отсутствия разумных механизмов контроля использования spyware и средств эффективной судебной защиты прав жертв

Следующий блок проблем является достаточно сложным, но очень важным. Дело в том, что в соответствии с международным правом прав человека, государства обязаны предоставлять человеку, чьи права ограничиваются, надлежащие средства правовой защиты (как правило, это суд). Например, если человек помещается под стражу, средством правовой защиты является оспаривание его помещения под стражу в судебном порядке (или применение такой меры только судом). Отсутствие средств правовой защиты в случае ограничения прав является самостоятельным нарушением прав человека.

Применение spyware, очевидно, является, как минимум, вмешательством в частную жизнь. Однако одной из наиболее тревожных сторон распространения spyware является разрушение самой логики правового контроля над таким вмешательством. Сама логика применения spyware делает практически невозможной ни превентивную, ни последующую оценку правомерности вторжения в частную жизнь, поскольку такой контроль невозможен по сути технологии. Уведомление лица, санкционирование суда, фиксирование сроков и объемов вмешательства: все эти элементы, обеспечивающие законность и соразмерность ограничения права на частную жизнь, здесь попросту отсутствуют. Лицо просто не знает, что его права нарушены, соответственно, не может защитить себя или оспорить ограничение в надлежащем порядке. 

Некоторые государства утверждают, что использование spyware подчинено внутренним законам или судебному надзору. Однако практика показывает, что эти механизмы носят формальный характер. Контрольные органы не обладают ни техническими возможностями, ни независимостью, чтобы реально проверять применение таких инструментов. Само по себе использование spyware может быть легко скрыто даже от контрольных органов — нет технологической возможности удостовериться в полноте представленной информации об использовании spyware.

Таким образом, spyware подрывает основополагающий принцип верховенства права: невозможность обжалования вмешательства означает, что право на защиту становится фикцией. Если нельзя установить факт вторжения и привлечь виновных, то само существование юридических гарантий теряет смысл. К слову, в уже упоминавшемся деле Krzysztof Brejza vs Poland отсутствие средств эффективной правовой защиты указано заявителями как самостоятельное нарушение. И в уже упоминавшихся Amicus Curiae, в том числе, высказывается мнение, что поскольку невозможно организовать контроль за использованием Pegasus, отсутствуют средства правовой защиты, то государствам должно быть запрещено использование Pegasus.

Ответный удар: давление разработчиков spyware на тех, кто пытается их разоблачить

Особую тревогу вызывает то, что индустрия spyware не ограничивается скрытым наблюдением. Производители таких технологий и государства, где они зарегистрированы все активнее используют правовые и административные механизмы для защиты своих интересов и нападения на тех, кто пытается их разоблачить. Наиболее известным примером стала серия судебных споров между NSO Group и Apple. После того как Apple подала иск против NSO Group в 2021 году, последней был предпринят ряд действий, в частности истребован ряд документов, ставящих под угрозу применяемые Apple технологии безопасности (что в конечном итоге привело к отзыву иска со стороны Apple). Также в дело вмешалось государство Израиль, чтобы не допустить раскрытия технических деталей. В одном из дел Министерство обороны Израиля изъяло документы, связанные с лицензированием Pegasus, чтобы они не попали в материалы суда. Это показало, насколько тесно правительство и производитель действуют как единый субъект защиты общих интересов

В деле WhatsApp v. NSO, NSO прямо утверждала, что действовала как агент иностранного государства и потому имеет право на иммунитет. Этот аргумент был отвергнут судом, однако сама аргументация весьма показательна.

Не менее тревожной тенденцией является давление на независимые исследовательские центры, такие как Citizen Lab (Канада) или Amnesty Tech. NSO пыталась через процедуру letters rogatory добиться от канадского Citizen Lab дополнительных данных (в т. ч. о классификации целей и методологии). Суд в Калифорнии в 2024 году существенно ограничил и частично отклонил эти требования как чрезмерные и нерелевантные, что позволило избежать раскрытия критичных исследовательских материалов.

Многие эксперты, работающие с темой spyware, сообщают и о прямом давлении — угрозах, наблюдении, цифровом преследовании. Исследователи, журналисты и адвокаты, участвующие в делах против производителей spyware, становятся объектами контратак. По данным Amnesty Tech, некоторые сотрудники их лабораторий подвергались попыткам взлома своих личных устройств вскоре после публикации отчетов о Pegasus и Predator.

Вместо вывода

Этот, даже не окончательный перечень проблем и вопросов, возникающих в сфере защиты прав человека при использовании spyware, показывает, что перед нами стоит по-настоящему новый вызов. Критерии еще только предстоит выработать, регулирование создать, а новые методы борьбы изобрести. Так что, в какой-то степени, нам повезло — мы находимся внутри по настоящему захватывающей и очень важной борьбы.