DÜNYAYI TEHDİT EDEN CASUS YAZILIM PEGASUS NEDİR ?

Pegasus’a dair kelam mevzusu tezlerin büyük bir kısmı esasında senelerdir lisana getiriliyor. Birinci olarak 2016 senesinde teknik araştırma raporlarında gördüğümüz Pegasus’un, Suudi Arabistan, Birleşik Arap Emirlikleri (BAE), Fas, Pakistan, Hindistan, Sudan, Meksika, İspanya, Fransa, Macaristan suretiyle 50’den fazla ülkede tespit edilmiş olduğu, adı geçen ülkelerde üst düzey siyasetçiler, gazeteciler, aktivistler, hukukçular ve STK temsilcilerinin izlendiği iddia edilmişti. Pegasus’un üreticisi Herzliya merkezli şirket olan NSO Group, o periyotlarda kelam mevzusu savların tümünü yalanlamıştı.

2016 yılından günümüze kadar gelen süreçte, Pegasus’un Türkiye’de de tespit edilmiş olduğu ve bazı adların maksat alındığı savlar ortasındaydı. Probleminin temel münakaşa mevzusu haline gelmesi ise 2018 yılının Ekim ayında vahşice katledilen Cemal Kaşıkçı’nın Pegasus ile bir süre izlenmiş ve hedef alınmış olmasıydı. 2019 senesinde, Kaşıkçı’nın yakın arkadaşı Ömer Abdülaziz ilkin kendisinin sonrasında da Kaşıkçı’nın Suudi Arabistan Veliaht Prensi Muhammed bin Selman idaresi tarafınca amaç alındığını fazlaca kere lisana getirmişti. NSO, bu savların doğruluk hissesi olmadığını, eserlerinin Kaşıkçı cinayetinde rastgele bir rolünün bulunmadığını açıklamıştı.

Milletlerarası basında, Pegasus yazılımının hal böyle olunca kötüye kullanıldığına dair çıkan birçok haberi yalanlayan şirket, bu telaffuzlarına bugün de ısrarla devam ediyor. Bilhassa memleketler arası gazeteciler konsorsiyumu Forbidden Stories ve Memleketler arası Af Örgütü’nün (UAÖ) hazırlayıp 16 medya kuruluşundan 80 gazeteciyle paylaşmış olduğu “dünya genelinde 50 bin telefona Pegasus bulaştı” savları şirket tarafınca peş peşe meydana getirilen açıklamalarla reddediliyor. Savlara verilen karşılıkların ikna edici olmadığı da milletlerarası alanda tartışılıyor. Pekala bu argümanların doğruluk hissesi nedir? Bu soruya cevap vermeden evvel NSO Group şirketinden ve Pegasus casus yazılımından anlatmak gerekiyor.

PEGASUS İLE GELEN MAKUS ŞÖHRET
İsrail’in en malum siber casusluk ve teknoloji şirketi olan NSO Group, 2010 senesinde Herzliya kentinde üç İsrailli tarafınca kuruldu. On bir senelik geçmişe haiz olan şirket, global şöhretini amiral gemisi eseri olan Pegasus casus yazılımı yardımıyla kazanmıştır. Lakin çeşitli skandallar ve insan hakları ihlalleri suretiyle davalarda adı geçen NSO için Pegasus, makûs bir şöhret getirdi.

NSO, İsrail askeri danışma servisi AMAN’da teknik danışma faaliyetlerinde temel görevi olan Unit8200 teşkilatından gelen üç şahıs tarafınca kuruldu. Niv Carmi, Shalev Hulio ve Omri Lavie tarafınca kurulan firmanın adı, kurucularının isimlerinin baş harflerinden oluşuyor. Sonrasında Niv Carmi ekipten ayrıldı ve NSO 2019 senesinde İngiltere merkezli yatırım şirketi olan Novalpina Capital tarafınca satın alındı. Niv Carmi’nin yerine Novalpina Capital geçti. Shalev ile Omri, firmanın üst düzey yöneticileri olarak vazifelerine hala devam ediyorlar.

2016 yılından itibaren adını daha fazlaca duyduğumuz NSO, bugün haiz olduğu paha bakımından İsrail’in en büyük siber teknoloji şirketi olarak nitelendirilebilir. Her ne kadar birden fazla yerde Pegasus suretiyle siber casusluk ürünleri elde eden bir şirket olarak bilinse de NSO, Eclipse adını verdiği bir “counter-drone” sistemi de geliştiriyor. 2020 yılının başlarında şirket, yeniden bir diğer İsrail şirketi olan ve anti-drone teknolojileri üreten Convexum adlı şirketi 60 milyon dolara satın almıştı. Bu satın almanın akabinde NSO, yalnız altı ayda büsbütün kendi eseri olan Eclipse’i üretti.
Firmanın, Pegasus ve Eclipse haricinde iki değişik eseri daha mevcut. Telefon dinleme ve teknik takip aleti/aygıtı olan Pixcell ve coğrafik danışma (GEOINT) alanında askeri teknolojilere örnek olan Landmark isminde stratejik araçlar da geliştiriyor. Pixcell ve Landmark adlı eserler hakkında yalnızca “hususi” görüşmelerde data veriliyor.
NSO’nun en meşhur ve muhtemelen en kıymetli eseri olan Pegasus, ifşa olan resmi dokümana nazaran firmanın en stratejik eseri olarak biliniyor. 2021 sayılarına nazaran 45 ülkede kullanıma sunulan Pegasus’u çoğunlukla devletlerin danışma servisleri satın aldı. Bedeli net olarak bilinmese de çeşitli kaynaklarda 30-50 milyon dolar ortası sayılardan kelam ediliyor.
Kamuoyunda iğrenç şöhretle anılmaya başladığı 2016 yılından itibaren NSO’ya karşı milletlerarası alanda çeşitli kabahat duyuruları yapılmış oldu. Bunlardan en bilineni, 2019 senesinde WhatsApp tarafınca oluşturulan dava. Şirket, günümüzde de çeşitli devletlerin ve şirketlerin açmış olduğu onlarca davayla uğraş ediyor.
PEGASUS’U BAŞKALARINDAN AYIRAN NEDİR?
Stratejik siber tabanca olarak tanımlayabileceğimiz Pegasus casus yazılımı kişi ya da şirketlere değil, yalnızca devletlerin danışma servislerine ve kolluk kuvvetlerine satılıyor. Satışlar ve diğer tüm görüşmeler direkt NSO uzmanları ile yapılıyor. Bu satışlar da İsrail Müdafa Bakanlığı’nın onayından geçmek zorunda. Doğrusu Pegasus, yalnız Tel Aviv idaresinin müsaade verdiği devletlere satılabiliyor.
Günümüzde 45 ülkede kullanımda olduğu söylenen Pegasus’un, yeniden Tel Aviv idaresinin talebiyle yalnızca beş ülkeye satışı yapılmıyor; ABD, Rusya, Çin, İsrail ve İran. Hatta bir diğer bilgiye nazaran Pegasus, kelam mevzusu beş ülkenin sonlarına girmiş olduğu anda kendini imha ediyor. Bu özellik, danışma fonksiyonu olan bir teknoloji eseri için stratejik bir mevzu. Pegasus’un en büyük özelliklerinden biri de bu tip bir “self-destruction” (kendini imha etme) niteliğine haiz olması. Diğer taraftan NSO şimdiye kadar 90 ülkenin Pegasus’u satın alma talebini reddetmiş. Burada da Tel Aviv’in çıkarlarının göz önünde tutulduğu görülüyor.
Pegasus, temel olarak iki değişik metotla maksada bulaşıyor. Birincisi, kullanıcı etkileşimi (tıklama vb.) gerektirirken, başkası ise “zero click” olarak malum, WhatsApp suretiyle uygulamalar üstünden enfekte olma usulü. Pegasus casus yazılımı, (en inançlı olarak bilinenler dahil) dünyada malum tüm mobil aygıtlara bu iki yoldan sızıp onları büsbütün denetim edebiliyor. Yalnızca kamera, mikrofon ve uygulamalara erişmekle, bildirileri okumakla kalmıyor, amaç olan aygıta büsbütün hükmedebiliyor.
Seneler evvel ifşa olan NSO dokümanından gördüğümüz bilgilere gore Pegasus’un sızdığı bir aygıttan elde etmiş olduğu datalar şu formda listelenebilir:
-Telefon davetleri (görüşmeleri anlık olarak dinler ve kayıt alır)
-Kamera ve mikrofon (Anlık olarak etraftan ses ve görünüm alır)
-Metin iletileri (SMS’lerin tamamına erişir, okur)
-Chat uygulamaları (WhatsApp suretiyle programlardaki yazışmaları okur)
-E-postalar (Gelen ve giden e-posta ve eklerini okur)
Konum detayları (Anlık olarak pozisyon takip edeni yapar, gidilen bölgeleri kaydeder)
-Aygıt özellikleri, ayarlar ve şebeke detayları
-Rehberde kayıtlı şahıslar
-Web tarayıcı kayıtları (her türlü web tarayıcısını anlık olarak izler)
-Takvim aktiflikleri
-Dosya transferleri (alınan ve gönderilen evrakları okur)
Tüm bunlar Pegasus’un kolay bir casus yazılım değil, stratejik bir akılla üretilen bir siber tabanca bulunduğunun göstergesi. Pegasus’un İsrailli uzmanlarca “askeri seviyede casus yazılım” olarak tanımlandığını da vurgulamak gerekir. Son olarak, Pegasus için söylenen şu kelam, onun niteliğini özetliyor: “Pegasus aygıtınıza bulaşırsa, o aygıt artık sizin değildir.”
PEGASUS, 50 BİN KİŞİYİ İZLEDİ Mİ?
NSO ve Pegasus’tan bahsettikten sonrasında, tahlile husus olan temel meseleye geliyoruz. Geçtiğimiz günlerde “Pegasus Project” başlığıyla birçok gösterim kuruluşu tarafınca eş vakitli olarak gündeme taşınan haberlerdeki en sarsıcı mevzu, Pegasus’un dünya genelinde 50 bin telefona bulaştığı ve muhtemelen tamamını anlık olarak izlediği teziydi. Forbidden Stories ve UAÖ, kelam mevzusu iddiaların deposu olarak biliniyor. Forbidden Stories ve UAÖ’nün teknik analizlerine dayandırdığı argümanları hemen sonra diğeri milletlerarası medya kuruluşları da haberleştirince milletlerarası kamuoyunun dikkati aniden bu bahis üstüne odaklandı.
50 bin telefon numarasının yer almış olduğu listeden bahseden kelam mevzusu kuruluşlar, listenin nasıl ve nereden elde edildiğini açıklamadılar. İddiaları öne sürerken de ellerinde nasıl bir kanıt olduğuna dair açık data/veri sunmadılar.
Ortalarında Fransa Cumhurbaşkanı Emmanuel Macron, Pakistan Başbakanı İmran Han suretiyle onlarca üst düzey devlet görevlisinin, tüm ortaklık işverenlerinin, gazetecilerin, aktivistlerin ve akademisyenlerin bulunmuş olduğu ve 50 bin şahıs ihtiva ettiği söylenen sıralama, temelinde potansiyel gayeler olarak nitelendiriliyor. Listenin içeriğine dair bilgiler kısıtlı olarak açıklansa da bunlara dair sunulan teknik rapor ve ortaya konulmuş olan dokümanlar, mevcut haliyle ikna edici olmaktan uzak kalıyor.
Bu bahiste NSO’nun CEO’su ve kurucu ortağı Shalev Hulio da iddiaları yalanlayan bir izahat yapmış oldu. Hulio, kendilerine, 50 bin kişilik listenin sirkülasyonda olduğuna dair emniyetli yerden bir ihbarın geldiğini söz ediyor. NSO’nun Kıbrıs’ta yer edinen sunucularının hacklendiğini ve sonrasında kelam mevzusu listenin elde edildiğini öğrendiklerini lakin incelemeler sonrası bu türlü bir listenin varlığı mevzusunda rastgele bir bulguya ulaşmadıklarını vurguluyor.
Burada bir noktayı da açmak gerekiyor: NSO’nun İsrail haricinde Kıbrıs ve Bulgaristan’da da ofisleri olduğu söyleniyor. İsrailli bir diğeri şirket olan Circles, Kıbrıs’ta etkinlik yürüten bir siber danışma şirketiydi. Kurucusu Tal Dilian, Unit8200’de üst düzey yönetici olarak vazife yaptıktan sonrasında oradan ayrılıp Circles’ı kurmuştu.
2019 senesinde “Casus Panelvan” ismiyle haberlere bahis olan Tal Dilian, şirketi üstünden Kıbrıs’ta teknik danışma faaliyetleri yürüttüğü tespit edilince üç bireyle beraber tutuklanmıştı. Firmanın NSO’ya katılmasıyla beraber faaliyetlerinin tümü de NSO uzmanlarınca yürütülmeye başlanmıştı. Lakin firmanın karşı karşıya kalmış olduğu sıkıntılardan sonrasında NSO geçen yıl tüm Circles çalışanlarının işine son verdi ve Kıbrıs’taki ofisi de kapattı.
NSO’nun CEO’su Hulio, 50 bin kişilik listeyle ilgili tezlerin tümünü birçok kere yalan olduğunu beyan etti. “NSO’nun tüm geçmişini alsanız dahi, firmanın kuruluşundan bu yana Pegasus’ta 50 bin şahıs içeren bir amaç listesine ulaşamazsınız,” diyen Hulio; “Pegasus’un 45 müşterisi var ve alan kişi başına yılda ortalama 100 hedef var. NSO’nun tüm Pegasus gayelerini içeren bir sıralaması bulunmuyor. Zira şirket, müşterilerinin sistemi nasıl kullandığını gerçek vakitli olarak bilmesi imkansız,” tabirlerini kullandı.
Hulio bu açıklamalara ek olarak şunu da belirtmişti: “Eğer Bin Ladin suretiyle bir terörist değilseniz, Pegasus sizi maksat almaz.” Fakat tıpkı zamanda Hulio’nun açıklamalarında başkalarıyla çelişen bir cümle de var: “Müşterilerimizin kimleri amaç aldığını anlık olarak bilemeyiz. Lakin soruşturma başlattıktan sonrasında ihtiyaç duyulan incelemeleri yapabiliriz. Alışılmamış durum olursa, sistemi kapatırız…” Bu tabirlerden şunu anlayabiliriz: NSO, Pegasus operatörlerinin (devletlerin) kimleri amaç aldığını sonucunda kesinlikle bilir ve istediğine müdahale edip sistemi kapatabilir.
Diğeri taraftan, Pegasus’un amaç almış olduğu argüman edilen 50 bin kişilik listeyi öne devam eden kaynaklardan kabul edilen UAÖ, kendi içinde de çelişen açıklamalarda bulunmuş oldu. UAÖ’nün İsrail temsilcisi, kelam mevzusu listeyi hiçbir halde NSO ile ilişkilendirmediklerini resmi bir dokümanla deklare etti. “İsrail menşeli bir haber sitesinde gösterilen bu iddiayı Twitter’da paylaştığımızda dünya genelinde mükemmel bir tepki gelişti.” UAÖ’nün milletlerarası ofisi NSO’yu suçlarken, İsrail ofisi aksini söylüyor. Buradan da anlaşılacağı suretiyle, baş karıştırıcı açıklamalar yüzünden NSO’nun hakikaten toplamda 50 bin kişiyi amaç alıp almadığı mevzusu tartışmalı bir problem olarak kaldı.
TÜRKİYE’DEN KİMLER VAR?
Pegasus’un dünya genelinde maksat almış olduğu isimlere dair haberler 2016 yılından beri teknik raporlarda açıklanıyor. Bugüne dek onlarca gazeteci, aktivist, avukat, siyasetçi, cürüm örgütü başkanı ve teröristin maksat alındığı biliniyor. Pegasus’un yalnızca terörle ve memleketler arası kabahatlerle çaba amacıyla geliştirildiğini söyleyen NSO yöneticileri, muhalif gazeteci, siyasetçi ya da diğeri meslek kümelerinin niçin maksat olduklarına dair ikna edici açıklamalar yapamıyorlar.
Elli bin kişilik listeye erişince tekrardan birebir durumla karşı karşıyayız. Listede yer edinen adların hiçbirinin terör örgütü/suç örgütü üyesi olmadığı söyleniyor. Devlet liderleri, siyasetçiler ve üst düzey bürokratların yer almış olduğu listede Türkiye’den de bazı adların olduğu lisana getiriliyor.
2018 senesinde Cemal Kaşıkçı vahşice öldürüldükten sonrasında, Kaşıkçı’yla beraber yakın arkadaşı gazeteci Ömer Abdülaziz, eski eşi El Atr ve nişanlısı Hatice Cengiz’in telefonlarının Pegasus’la amaç alındığı açıklanmıştı. Kanada’da yaşayan Abdülaziz, bu tezleri fazlaca sefer doğrulamıştı. Hulio, diğer argümanlar benzer biçimde bunların da tamamını reddediyor.
Dünyanın konuşmuş olduğu argümanlar, geçtiğimiz günlerde ortaya atılan listedeki kimi adların açıklanmasını takiben Türk kamuoyunun da dikkatini çekti. Kaşıkçı cinayetini soruşturan eski İstanbul Cumhuriyet Başsavcısı İrfan Fidan, AK Parti Genel Önder Danışmanı Yasin Aktay ve gazeteci Turan Kışlakçı listede malum adlar olarak öne çıktılar.

Savların gerçek olup olmadığını net olarak bilen tek merci NSO’nun kendisi. Lakin adı geçen adların de husus hakkında bilgisi olması ihtimaller içinde. Diğeri taraftan danışma kurumlarının da Pegasus’un ülkemizdeki aktivitelerine dair bilgiye haiz olduğu düşünülüyor.
PEGASUS VE BENZERLERİNİN GİDİŞİ NEREYE?
Dünya siber tabanca pazarının geldiği nokta fazlaca tasa verici. Hem bireyler ve devletler hem de firmalar ve memleketler arası örgütler bazında büyük tehlikeler kelam mevzusu. Pegasus suretiyle siber casusluk araçlarının kimler tarafınca ne gayeyle kullanıldığı net olarak bilinmediği için bilhassa devletler büyük tehdit altındalar.
Ulusal güvenlik sıkıntısı olarak görülebilecek bu cins siber silahlar, iki düşman devletin birbirine karşı kullanabileceği bir tabanca haline gelebilir. Hatta sulh devirlerinde bile devletler, ergonomik ve süratli olmaları sebebiyle bu tıp “dijital casuslara” danışma toplama maksadıyla başvurabilir.
Buraya kadar anlattıklarımız yalnızca Pegasus değil, diğer casus yazılımlar de ilgilendiriyor olabilir. Bu durum, siber tabanca endüstrisinin gidişatının ürkütücü boyutuna işaret ediyor. Bu ürkütücü gidişata “dur” diyecek olanlar ise yalnızca devletler