پرسش‌های پگاسوس: شواهد و واکنش مسئولانه

در ژوئیهٔ ۲۰۲۱ مجموعه گزارش‌هایی با نام پروژهٔ پگاسوس منتشر شد. Forbidden Stories و عفو بین‌الملل همراه چند رسانه نشان دادند که نرم‌افزار جاسوسی شرکت NSO Group، معروف به پگاسوس، علیه روزنامه‌نگاران، مدافعان حقوق بشر و افراد نزدیک به آن‌ها در چند کشور به کار رفته است. این ابزار می‌تواند بدون اینکه هدف روی پیوندی بزند — حملهٔ بدون کلیک — وارد گوشی شود و به پیام‌ها، میکروفن و دوربین دسترسی پیدا کند.

این صفحه روش ساخت یا به‌کارگیری چنین ابزاری نیست و جای مشاورهٔ حقوقی یا بررسی آزمایشگاهی را نمی‌گیرد. هدف این است که بفهمید از ۲۰۲۱ تا ۲۰۲۶ چه چیزی دربارهٔ این سطح از حمله روشن شده و واکنش را با میزان خطر واقعی‌تان متناسب کنید، نه با وحشت عمومی.

از ۲۰۲۱ تا امروز چه می‌دانیم

بازار جاسوس‌افزار مزدور بعد از ۲۰۲۱ از بین نرفته است. شرکت‌ها و دولت‌ها همچنان چنین ابزاری می‌خرند و می‌فروشند و روش‌های ورود عوض می‌شوند. نام‌ها و فروشندگان ممکن است تغییر کنند؛ ویژگی مشترک این است که حمله گران و انتخابی است و اغلب برای دستگاه مشخص و فرد مشخص طراحی می‌شود.

آنتی‌ویروس خانگی و Play Protect برای پیدا کردن این سطح از حمله طراحی نشده‌اند. گزارش «تمیز» از یک اسکنر فروشگاهی به معنای پاک بودن گوشی از جاسوس‌افزار مزدور نیست. بیشتر مردم هدف چنین ابزاری نیستند. اگر کارتان یا تهدیدهایی که دریافت می‌کنید شما را در دایرهٔ افراد «جالب» برای یک دولت یا مشتری NSO-مانند می‌گذارد، باید فرض‌های دیگری داشته باشید.

1. از خود بپرسید آیا تهدید مشخصی دریافت کرده‌اید، آیا اطرافیانتان هم هدف گرفته شده‌اند، و آیا کارتان برای یک بازیگر دولتی یا مشتری چنین بازاری ارزش هزینهٔ بالا دارد.
2. یک احساس کلی نگرانی بعد از خواندن خبر را با دلیل مشخص یکی نکنید.
3. نشانه‌های هم‌زمان در چند حساب — خروج ناگهانی، پیام‌های ارسال‌شده که شما نفرستاده‌اید، دستگاه ناشناس در نشست‌ها — را جدی بگیرید، حتی اگر به پگاسوس مربوط نباشند. آن‌ها را با راهنمای پاسخ به بدافزار و فیشینگ و راهنمای بازیابی حساب هم ببینید.

حملهٔ بدون کلیک چه معنایی برای عادت روزمره دارد

در بسیاری از بدافزارهای معمولی، قربانی باید روی پیوندی بزند یا پرونده‌ای را نصب کند. در بعضی عملیات پگاسوس، ورود از راه ضعف در خود برنامهٔ پیام یا تماس و بدون کنش شما رخ داده است. معنای عملی‌اش این نیست که دیگر هیچ احتیاطی فایده ندارد؛ این است که برای این سطح از مهاجم، «من روی لینک نزدم» به‌تنهایی تضمین پاک بودن نیست.

1. به‌روزرسانی سیستم‌عامل و برنامه‌های پیام را به تأخیر نیندازید. بسیاری از ورودهای بدون کلیک بعداً با وصله بسته شده‌اند. وصله تضمین ابدی نیست، اما سطح حملهٔ شناخته‌شده را کوچک می‌کند.
2. نصب از بیرون فروشگاه رسمی را محدود کنید. این کار جلوی هر حملهٔ بدون کلیک را نمی‌گیرد، اما مسیرهای معمولی‌تر را می‌بندد.
3. همهٔ زندگی دیجیتال — بانک، نامهٔ اصلی، کلیدهای عبور، آرشیو کاری — را روی یک گوشی جمع نکنید. اگر همان دستگاه هدف باشد، جداسازی حساب‌ها روی دستگاه‌های مختلف خسارت را محدود می‌کند.

واکنش متناسب، نه پر کردن دستگاه با ابزار تصادفی

یک اسکن خانگی که چیزی پیدا نکند به معنای پاک بودن گوشی نیست. اگر دلیل مشخصی برای نگرانی دارید — تهدید مستقیم، نشانهٔ نفوذ هم‌زمان در چند حساب، یا بررسی توسط آزمایشگاه معتبر — دستگاه را با برنامه‌های تصادفی پر نکنید. همان برنامه‌ها می‌توانند شواهد را خراب کنند یا خودشان داده را پخش کنند.

1. دستگاه را در صورت امکان از شبکه جدا کنید یا کمتر به کار روزمره ببرید تا اگر نفوذی هست گسترشش کمتر شود. این به معنای اثبات آلودگی نیست.
2. شواهد را حفظ کنید: گوشی را بی‌دلیل بازنشانی کارخانه نکنید اگر می‌خواهید بررسی تخصصی شود. بازنشانی ممکن است ردهای لازم برای آزمایشگاه را از بین ببرد.
3. از کمک تخصصی دیجیتال‌فارنزیک استفاده کنید اگر برایتان در دسترس است: آزمایشگاه یا تیمی که تجربهٔ جاسوس‌افزار مزدور دارد، نه اولین کانال «گوشی‌تان را پاک می‌کنیم» در پیام‌رسان.
4. ابزارهایی برای بررسی نشانه‌های شناخته‌شده وجود دارند، اما تفسیرشان تخصص می‌خواهد. یک خروجی را خودتان دلیل قطعی آلودگی یا پاک بودن نگیرید.
5. حساب‌های حساس را از دستگاه دیگری که به آن بیشتر اعتماد دارید بازبینی کنید: نشست‌ها، ورودهای تازه، تغییر روش دومرحله‌ای. رمز را در صورت امکان از همان دستگاه مشکوک عوض نکنید.

کارهایی که هنوز برای بیشتر تهدیدها مفیدند

به‌روز نگه داشتن سیستم‌عامل، محدود کردن نصب از بیرون فروشگاه، قفل صفحه، رمز یکتا و تأیید دومرحله‌ای حملهٔ بدون کلیک خیلی پیشرفته را ناممکن نمی‌کنند، اما سطح حملهٔ معمولی را کوچک می‌کنند و برای بیشتر افراد همان‌ها اولویت درست‌اند. اگر تهدید مشخصی ندارید، وحشت از پگاسوس نباید جای این کارها را بگیرد.

1. روی آیفون، اگر ممکن است با تهدید پیشرفته روبه‌رو باشید، Lockdown Mode را بررسی کنید: مسیر Settings > Privacy & Security > Lockdown Mode. این حالت بعضی قابلیت‌ها را می‌بندد تا سطح حمله کوچک‌تر شود و کار هرروز را سخت‌تر می‌کند. جایگزینی برای به‌روزرسانی نیست و حمله را از نظر ریاضی ناممکن اعلام نمی‌کند. جزئیات بیشتر دستگاه اپل در راهنمای امنیت آیفون و آیپد است.
2. روی اندروید، سیستم‌عامل پشتیبانی‌شده، قفل قوی و پرهیز از نصب بیرون فروشگاه همچنان خط پایه است. اسکنر تازه از گروه را اضافه نکنید.
3. پیش‌نمایش اعلان روی صفحهٔ قفل را برای پیام‌رسان‌های حساس محدود کنید و دستگاه را در جمع باز نگذارید. پگاسوس را با دزد معمولی دستگاه عوضی نگیرید؛ هر دو می‌توانند همزمان معنا داشته باشند.

این صفحه چه چیزی را به شما نمی‌دهد

• فهرست دستور برای نفوذ به گوشی دیگران.
• ادعا که با یک برنامهٔ خانگی می‌توان پگاسوس را با اطمینان پیدا یا پاک کرد.
• توصیه به اینکه هر خواننده‌ای باید زندگی‌اش را وقف ترس از جاسوس‌افزار مزدور کند.

اگر تهدیدتان در حد بدافزار معمولی، فیشینگ یا حساب سرقت‌شده است، از راهنمای پاسخ به بدافزار و فیشینگ جلو بروید. آن مسیر برای بیشتر حادثه‌ها مناسب‌تر است.

شواهد را چطور نگه دارید و با که حرف بزنید

اگر به بررسی تخصصی فکر می‌کنید، داستان دستگاه را از جایی که ایستاده ادامه ندهید و هم‌زمان آن را در جمع عمومی بازگو نکنید. جزئیات فنی همان دستگاه و نشانه‌های مشکوک را در هیچ کانال عمومی باز یا هر گروه همگانی کاملاً باز نگذارید.

1. تاریخ تهدیدها، پیام‌های عجیب و ورودهای ناشناس را جدا از خودِ گوشی مشکوک یادداشت کنید.
2. گوشی را به اولین تعمیرگاه ناشناس یا به کسی که می‌گوید با یک برنامهٔ جادویی پاکش می‌کند نسپارید.
3. اگر سازمانی دارید که مسئول امنیت دیجیتال است، همان را در جریان بگذارید. اگر کارتان روزنامه‌نگاری یا دفاع از حقوق است، از مسیر حمایتی همان حرفه کمک بخواهید، نه از یک تبلیغ در شبکهٔ اجتماعی.
4. آماده‌سازی حقوقی — اگر بازداشت یا پرونده‌ای در میان است — را با وکیل هماهنگ کنید؛ این صفحه مشاورهٔ حقوقی نیست.

بعد از بررسی چه کار کنید

نتیجهٔ آزمایشگاه هرچه باشد، حساب‌ها را از دستگاه دیگری سخت کنید: رمز یکتا، عامل دوم، بستن نشست‌های ناشناس. اگر دستگاه باید کنار گذاشته شود، دادهٔ لازم را فقط از مسیری که متخصص توصیه می‌کند به محیط تازه ببرید، نه با کپی کور همهٔ نسخه پشتیبان آلوده.

1. حتی اگر نتیجه «نشانهٔ شناخته‌شده پیدا نشد» باشد، آن را گواهی ابدی ندانید؛ ابزارها فقط ردهای معروف را می‌بینند و نسخه‌های تازه ممکن است جور دیگری باشند.
2. اگر آلودگی تأیید شد، دستگاه را طبق توصیهٔ همان تیم کنار بگذارید یا بازنشانی کنید و حساب‌ها را از نو بسازید یا از نشست‌های تازه وارد شوید.
3. بعد از بحران دوباره همهٔ زندگی را روی یک گوشی واحد برنگردانید.

Lockdown Mode را با زندگی هرروز بسنجید

حالت قفل شدید بعضی قابلیت‌ها و فناوری‌های پیچیدهٔ وب را محدود می‌کند تا نقاطی که در حمله‌های پیشرفته سوءاستفاده شده‌اند کمتر در دسترس باشند. بعضی سایت‌ها و پیوست‌ها ممکن است درست کار نکنند. این حالت روی آیپد و مک هم وجود دارد.

1. قبل از روشن کردنش ببینید کدام کار هرروزتان به آن قابلیت‌ها وابسته است.
2. آن را روی دستگاهی که بیشترین پیام حساس را دارد اول در نظر بگیرید، نه لزوماً روی همهٔ دستگاه‌های خانه.
3. روشن کردنش را جایگزین وصلهٔ سیستم‌عامل نکنید و بعد از روشن کردن همچنان به‌روزرسانی را از مسیر رسمی همان دستگاه بگیرید. اگر زندگی روزمره را بیش از حد مختل کرد، می‌توانید آن را خاموش کنید و همان تصمیم را دوباره با همان میزان خطر واقعی زندگی روزمره و کار خودتان دوباره بسنجید.

اشتباه‌های رایج

• گمان اینکه «من روی لینک نزدم پس گوشی نمی‌تواند آلوده باشد» در مواجهه با مهاجم پیشرفته.
• گمان اینکه هر خوانندهٔ خبر پگاسوس هدف محتمل است.
• نصب چند اسکنر ناشناس بعد از خواندن یک گزارش و خراب کردن شواهد.
• بازنشانی فوری دستگاه وقتی قرار است بررسی تخصصی انجام شود.
• عوض کردن همهٔ رمزها از روی همان گوشی مشکوک.
• نادیده گرفتن به‌روزرسانی چون «اگر بخواهند بدون کلیک می‌آیند، پس وصله فایده ندارد».

از همین امروز چه کار کنید

1. اگر تهدید مشخصی ندارید، روی به‌روزرسانی، قفل صفحه و حساب‌ها تمرکز کنید؛ وحشت از پگاسوس جای این‌ها را نگیرد.
2. اگر دلیل مشخصی دارید، از کمک تخصصی استفاده کنید، شواهد را حفظ کنید و دستگاه را با ابزار تصادفی پر نکنید.
3. روی آیفون، Lockdown Mode را در Settings > Privacy & Security ببینید و بسنجید که آیا محدودیت‌هایش با خطر واقعی‌تان می‌خواند.
4. حساب‌های خیلی حساس را از یک دستگاه واحد وابسته نکنید.
5. اگر نشانه‌ای در حساب‌ها می‌بینید و دلیل قوی برای جاسوس‌افزار مزدور ندارید، اول مسیر بدافزار و فیشینگ معمولی را طی کنید و بعد در صورت باقی ماندن نگرانی سراغ کمک تخصصی بروید.