Uluslararası Af Örgütü ve Forbidden Stories ortaklığında The Washington Post, The Guardian ve Le Monde'un da aralarında olduğu 17 medya kuruluşu tarafından gerçekleştirilen araştırmada İsrailli teknoloji şirketi NSO Group’un geliştirdiği Pegasus adlı casus yazılımın farklı ülkelerde elli bin kişinin telefonlarına yüklendiği iddiası yer aldı. The Guardian'da yayınlanan haberde İstanbul'da Suudi Arabistan Başkonsolosluğu'nda öldürülen Cemal Kaşıkçı davasına bakan Türk savcının telefonunun da Suudiler tarafından izlendiği yazıldı. NSO Group geliştirdiği yazılımları özellikle ülkelere aslında o ülkelerin güvenlik örgütlerine satıyor. Ancak ortaya çıkan yeni bilgilere göre, bu yazılımı yalnızca ülkeler satın almıyor. Uluslararası Af Örgütü’nün ortaya çıkardığı yeni veriler, yazılımın özellikle muhalif gazeteciler, sivil toplum örgütleri, insan hakları savunucuları ve çeşitli muhalifleri izlemek, bulmak ve yok etmek için de kullanıldığını ortaya koydu.

İsrailli şirketin geliştirdiği bu casus yazılımın muhalifleri yok etmek için kullanmasının ilk bilinen örneği ise İstanbul’da Suudi Arabistan Konsolosluğu’nda öldürülen gazeteci Cemal Kaşıkcı olayı. Türkiye’nin bu yazılımı satın aldığına ilişkin ise resmi bir bilgi bulunmuyor. Ancak bu konuda tek ipucu yine Sedat Peker’in itiraflarında ortaya çıktı.

Sedat Peker’in bahsettiği yazılım Pegasus mu?

Sedat Peker’in sosyal medya paylaşımlarında sözünü ettiği yazılımın Pegasus olduğu şüphesi akla geliyor. Peker, hükümete yakın olduğunu söylediği Ekba Holding Yönetim Kurulu Başkanı Cihan Ekşioğlu ile ilgili bir dizi iddiada bulunmuştu. Peker’in, iddialarından biri de bir casus yazılımla ilgiliydi. Peker, Cihan Ekşioğlu’nun devlete sattığını iddia ettiği yazılım ile ilgili şöyle diyordu: “İsraillilerden 3 milyon dolara aldığın sosyal platformların çözümlemelerini yapan cihazı, Türk devletine 50 milyon dolara nasıl sattığın da ortaya çıkacak.”

Pegasus nasıl sızıyor?

Af Örgütünün Güvenlik Laboratuvarı'nı yöneten Claudio Guarnieri bir telefona Pegasus yazılım bulaşması durumunda o telefonun bütün kontrolünün ele geçirildiğini aktarıyor. Yani yazılımın yüklendiği telefondaki bütün mesajlar, aramalar, fotoğraflar, mailler okunabiliyor. En önemlisi telefonun kamerası kullanılarak hem dinleme yapılıyor hem izleme. Ayrıca telefon kullanıcılarının güvenli sandığı WhatsApp, Telegram, Signal gibi şifreli mesajlaşma uygulamalar da okunabiliyor.

Üstelik kişinin yalnızca bütün bilgileri değil, telefonda bulunan GPS gibi uygulamalara erişilerek kişinin bütün geçmiş hareketleri bulunduğu gibi, anlık hareketleri de izleniyor. Kişi eğer bir araçta ise o aracın hızı, seyahat ettiği yön ve konum belirleniyor. Uluslararası Af Örgütü telefonuna bu yazılımın yüklendiği Meksikalı bir gazetecinin yerinin bu şekilde tespit deilerek öldürüldüğünü düşünüyor.

Peki Pegasus telefonlara nasıl yükleniyor? Pegasus’un kişinin telefonlarına sızması için bir şey yapmaya gerek görülmüyor. Bilinen virüsler için sizin “yanlışlıkla” bir uygulamayı indirmeniz ya da yanlış bir sayfayı tıklamanız gerekiyor. Oysa Pegasus’un böyle bir uygulamaya ihtiyacı yok. Guarnieri İsrailli şirketin tüm iPhone’larda yüklü olarak gelen mesaj ile ilgili güvenlik açıklarından yararlandığını söylüyor. Yani telefonunuzun yaptığı otomatik güncellemeler ile Pegasus da telefonlara sızıyor.

Kimler hedefte?

İsrailli şirket, yazılımın devletlere ulusal güvenlik konularında yardımcı olmak için satıldığını iddia ediyor. Şirketin açıklamasına göre, Pegasus suçlulara ve teröristlere karşı kullanılıyor. Ancak Guardian gazetesi ve 16 medya kuruluşu tarafından ortak yürütülen araştırmada Pegasus’un daha çok muhaliflere karşı kullanılan bir yazılım olduğu ifade edildi.

Gazete, bu yazılımı satın alan kurumlar tarafından 2016’dan itibaren 50 binden fazla telefon numarasının izlendiğini öne sürdü.  The Guardian önümüzdeki günlerde listede yer alan kişilerin kimliklerini açıklayacaklarını yazdı. Guardian listede bir kralın yakın aile üyelerini izlettiğini gösteren kanıtlar olduğunu belirtti. Guardian’ın açıklaması yakın zamanda aile üyelerine karşı bir operasyon yapan Ürdün kralı Abdullah’ı ya da Suudi Arabistan veliaht prensi Muhammed bin Selman’ı akla getiriyor.

Kaşıkçı davasına bakan Türk savcı izlendi iddiası

Cemal Kaşıkcı’nın da bu yazılım kullanılarak izlendiği ve dinlendiği anlaşılıyor. Yazılım konusunda yeni ortaya çıkan bir bilgiye göre ise Suudi Arabistan, Kaşıkçı davasını üstlenen Türk savcıyı da Pegasus'u kullanarak izlemiş. Kaşıkçı’nın yakın arkadaşı olan Ömer Abdülaziz’in cep telefonunda da bu yazılım bulunmuştu. Ayrıca “Financial Times, CNN, New York Times, France 24, The Economist, Associated Press ve The Economist'teki muhabirler, editörler ve yöneticiler de dahil olmak üzere 180'den fazla gazetecinin” yine bu yazılım aracılığı ile izlendiği ortaya çıktı. The Guardian ve onunla birlikte araştırma yapan gazeteciler bu konu ile ilgili yeni belgeleri önümüzdeki günlerde yayınlayacaklarını belirtti.

Türkiye’de 500’den fazla kişi Suudi Arabistan ve BAE tarafından izleniyor

Uluslararası Af Örgütü’nün iş birliği yaptığı Kanada Toronto Üniversitesi Citizen Lab incelemelerine göre Türkiye bu yazılımın kullanıldığı ülkelerden birisi. Pegasus’u en fazla kullanan ülke ise Meksika. Meksika'da birden fazla devlet kuruluşu Pegasus’u satın almış durumda. Meksika’da 15 binden fazla numaranın izlendiği tespit edildi. Meksika’yı ise 10 binden fazla numaranın izlendiği Fas ve Birleşik Arap Emirlikleri izliyor. Birleşik Arap Emirlikleri ve Suudi Arabistan’ın izlediği numaraların beş yüze yakını ise Türkiye’de bulunuyor. Yani bu ülkeler yalnızca kendi vatandaşlarını değil, başka ülkelerdeki kişileri de telefon numaraları üzerinden izliyor.

Türkiye en yaygın kullanılan ülkeler arasında

İsrailli şirket yaptığı açıklamada müşterilerinin yasal devletler olduğunu, satıştan sonra müşterilerinin hedeflerine ilişkin erişiminin olmadığını iddia ediyor. Diğer yandan “tüm güvenilir kötüye kullanım iddialarını araştırmaya ve uygun önlemleri almaya devam edeceğini” söylüyor. Yine Pegasus hakkında araştırma yapan kuruluşlar tarafından ortaya çıkartılan 50 bin rakamını abartılı buluyor.  Ayrıca satış yaptığı hükümetlerin “insan hakları kayıtlarını titizlikle incelediklerini” ileri sürüyor. Ancak Guardian, Uluslararası Af Örgütü ve diğer medya kuruluşlarının yaptığı araştırmalar, şirketin açıklamalarını çok geçerli kılmıyor. Toronto Üniversitesi Citizen Lab’da listede ismi bulunan bazı gazeteci, akademisyen ve insan hakları aktivistinin telefonları incelendi. Bu telefonlarda Pegasus’un kullanıldığına ilişkin veriler bulundu.

Ayrıca Pegasus’a numara giren en az 10 hükümet belirlendi. Bu ülkeler Azerbaycan, Bahreyn, Kazakistan, Meksika, Fas, Ruanda, Suudi Arabistan, Macaristan, Hindistan ve Birleşik Arap Emirlikleri oldu. Fakat şirketin toplamda 45 ülkeye satış yaptığı biliniyor. Yine Toronto Üniversitesi Citizel Lab verilerine göre bu yazılımın en yaygın olduğu ülkelerden birisi Türkiye. Birleşik Arap Emirlikleri, Katar, İsrail, Fransa, ABD ve Azerbaycan da yoğun kullanılan ülkelerden.

Türkiye’de konuyu ilk yazan bilişim uzmanı anlatıyor

Füsün Sarp Nebil, Türkiye’de bu konuyu yakından izleyen bilgi işlem uzmanlarından birisi. NSO Group hakkında daha önce turk-internet.com adlı sitede 2018 yılında bir yazı kaleme aldı. The Guardian’da dün yayınlanan bilgiler üzerine Füsün S. Nebil ile bir görüşme yaptım. Aslında Guardian’da yayınlanan bilgilerin önemli bir bölümünü Füsün S. Nebil bu yazısında kaleme almış. Nebil, “Yazılımın kullanıldığı en önemli ülkelerden birisi Türkiye” ifadesini kullanmıştı. O da bu yazılımın sadece hükümetlere satıldığı iddialarına inanmıyor. Örnek olarak dünya basınına da yansıyan Amazon’un kurucusu Jef Bezos’un boşanma sürecinde ortaya çıkan gerçeklere dikkat çekiyor. Bezos’un bazı görüntülerinin Pegasus kullanılarak elde edildiği ortaya çıkmıştı. Nebil yalnızca NSO’nun geliştirdiği Pegasus değil, başta İsrail olmak üzere çeşitli ülkelerden teknoloji firmalarının başka casus yazılımlarının da devrede olduğunu söylüyor. Son günlerde ortaya çıkan yazılımların biri de ismini Amazon’da yaşayan ve insanların vücuduna giren bir balık cinsi olan Candiru’dan almış. Bu yazılım da İsrail merkezli Sour Gum firması tarafından üretilmiş.

Yazılımın sabit kurulum ücreti 500 bin dolar

Füsun S. Nebil konuşmamızda özellikle Türkiye’de internet güvenliği konusunda çalışacak üniversitelerin ve sivil toplum örgütlerinin olması gerektiğine özel bir vurgu yaptı. Dünyada bu casus yazılımlar, Toronto Üniversitesi, bağımsız medya kuruluşları ve Af Örgütü gibi kuruluşların yaptığı çalışmalar ile ortaya çıktı. Nebil, benzer çalışmaların kişisel özgürlüklerin korunması açısından mutlaka gerektiğini belirtiyor. Nebil 2018’de yazdığı yazısında NSO Group’un ürettiği Pegasus’un satış ve kurulum fiyatlarını da aktarmış. Buna göre şirket, izleme araçlarını 500 bin dolarlık sabit bir kurulum ücreti ile başlayarak, hedef sayısına göre fiyatlandırıyor. NSO Group, 10 iPhone kullanıcısına casusluk etmek için devlet kurumlarından 650 bin dolar; 10 Android kullanıcısı için 650 bin dolar, beş BlackBerry kullanıcısı için 500 bin dolar veya beş Symbian kullanıcısı için 300 bin dolar alıyor. Ayrıca toplam fiyatın yüzde 17’si oranında yıllık sistem bakım ücreti alınıyor.”

Cihan Ekşioğlu: MİT'e yazılım sattık

Sedat Peker'in MİT'e casus yazılım sattığını söylediği Ekba Holding'in sahibi Cihan Ekşioğlu 2017’nin Haziran ayında magazin dergisi Klass’a verdiği röportajda şu ifadeleri kullanmıştı: 

İSTİHBARAT SERVİSLERİNE SATIYORUZ: Biz şu anda savunma sanayisiyle ilgili silahlı, silahsız, insansız hava aracı üretiyoruz. (…) Bunun dışında sosyal medya çözümleme ve takip işleri var bizde. Biz takip etmiyoruz bunları, çözümleyen sistemleri istihbarat servislerine satıyoruz. Örneğin Twitter'daki hareketliliği takip edebiliyorsunuz, hangi noktadan çıktığını, çağrıların nereden geldiğini kimin kiminle neler yaptığını çözümleyebiliyoruz.

WHATSAPP MESAJLARI ÇÖZÜMLENEBİLİYOR: Bunun içinde sosyal medya ve Whatsapp yazışmaları da var. Bunlar çözümlenebiliyor. Biz bu işleri yapmıyoruz bunları devletin istihbarat teşkilatı yapıyor. Biz bu takibin yapılabilmesi için birtakım yazılım ve sistem geliştiriyoruz. Dubai'de bizimle çalışan 100'e yakın Hintli ve Pakistanlı mühendis var. Bu konuda onlar çok iyidir. Uydu takip sistemleri, sosyal medya takip sistemleri üzerine çeşitli yazılımlar var. Biz bunları istihbarat servislerine satıyoruz. Onlar bunların üstüne kendi teknik alt yapılarını birleştirip halkın can ve mal güvenliği için terörist grupları takip ediyoruz.

SUÇ İŞLEYEN İNSANIN TEDİRGİN OLMASI LAZIM: Normal vatandaşlarımızda bile dinleniyor muyum, takip ediliyor muyum gibi bir algı var. Suç işleyen insanın tedirgin olması lazım. Devlet vatandaşın özel yazışmasıyla uğraşmaz. Eğer bir terörist isen devlete karşı faaliyetin varsa, kamu düzenine karşı bir faaliyetin varsa o zaman incelenirsiniz. Zaten o zaman gizli haberleşme yöntemlerini benimsediğin için devlet de o yüzden takip eder. Devlet durup dururken vatandaşın Whatsapp'ında ne yazıyor diye onu takip etmez ki. Ailevi ya da özel yatak odası ilişkilerini takip etmez. Ama vatandaşta böyle bir psikoloji var.

Sadık Güleç - Gazete Duvar / 19.07.21