التّجارة السرّية بالأدوات المستَخدَمة لاختراق الصّحافة: مقابلة مع نيكول بيرلروث

“نيكول بيرلروث”، صحفيّة الأمن السيبراني في صحيفة نيويورك تايمز، تتحدث إلى World Affairs: الحوارات التي تشكّل فرقًا. لقطة شاشة: يوتيوب

في آخر مرّةٍ تحدّثتْ فيها صحفيّةُ الأمن السيبراني في صحيفة نيويورك تايمز “نيكول بيرلروث“ مع النّاشط الإماراتي “أحمد منصور“ سنةَ 2016، كانَ جواز سفره قد أُخذَ منه وكان قد تعرّضَ في وقتٍ قريب للضّرب حتى الموت تقريباً. قالت بيرلروث أمام لجنة حماية الصحفيين في محادثة هاتفية في أوائل مارس/آذار: “علمنا لاحقاً أنَ محادثتنا الهاتفيّة قد تمّ التنصُّت عليها، وأن شخصاً ما كان كان قد اخترقَ جهازَ مراقبة طفله، وأنهم كانوا يتجسسون على زوجته. كان يعيش حقاً في سجن”.

“منصور” قابعٌ في سجنٍ من نوعٍ آخر منذ اعتقلته سلطاتُ الإمارات العربيّة المتّحدة بسبب نشاطه في 2017، بحسب هيومن رايتس ووتش،التي ذكرت في يناير/كانون الثاني 2021 أنه محبوس حبسًا انفراديًا وليس لديه حتى فراش لينام عليه. وقد راسلتْ لجنة حماية الصّحفيين سفارةَ الإمارات العربية المتّحدة في واشنطن العاصمة لطلب التعليق على قضيّة “منصور”، لكنها لم تتلقَّ أيّ رد.

وكما قالت للجنة حماية الصحفيين، “بيرلروث” لم تنسَ “منصور” أثناء عملها على كتابها الذي نُشرَ هذا العام “هكذا يقولون أن العالم سينتهي”. يتناول الكتّاب تفاصيل السّوق المُبهَم لاستغلال الثّغرات الموجودة في البرمجيّات (إمكانيات للقرصنة تعزّزُ الأخطاء في كودات البرمجة الموجودة في الهواتف والحواسيب في جميع أنحاء العالم). وكتبت “بيرلروث” أن الحكومات تدفع سرّا لقراصنة الإنترنت (الهاكرز) ملايين الدولارات مقابل الحصول على الثّغرات في البرمجيّات، على أمل استخدامها قبل أن يصلح أحدٌ الأخطاء نفسها أو قبل أن يستغلها أحدهم. 

والنّتيجة أن الجميع أكثر عرضةً للاختراق، خاصةً عندما يتم استخدام الثّغرات ضدّ الصّحفيين والنّاشطين. أطلق الباحثون في “سيتيزن لاب” على “منصور” اسم “المنشق الذي يساوي مليون دولار” بعد استخدام ثغرات البرمجيات (تُعرف باسم ثغرات اليوم صفر) لإصابة هاتفه الآيفون بـبرمجية “بيغاسوس” التّجسسيّة، التي أنتجتها مجموعة NSO الإسرائيلية، سنةَ 2016.

نيكول بيرلروث

وفي بيانٍ أدلى به ممثّلٌ عن شركة “ميركوري للشؤون العامّة” في واشنطن العاصمة، رفض الكشف عن اسمه لأنه لم يكن ناطقًا رسميًا باسم NSO، قالت الشّركة: “في حين يبني منتقدونا الاعتياديون انتقاداتهم على مزاعم لم يتمّ التحقُّق منها وعلى استنتاجاتهم الخاصّة، فإن تكنولوجيا NSO تساعد الحكومات على إنقاذ الأرواح بطريقة تقلّل من التّهديدات التي قد تتعرّض لها خصوصية الأفراد الأبرياء. إن مجموعة NSO خاضعة للأنظمة بالكامل، وتحتلّ الصدارة بلا منازع بين أقراننا في مجال حماية واحترام حقوق الإنسان. لقد وضعنا سياسات صارمة لضمان استخدام تقنيتنا بما يتماشى مع ما صُمِّمت له فقط – للتّحقيق في الجرائم الخطيرة والإرهاب – ونحن نحقق بعمق في كل ادّعاء موثوق يُقدَّمُ إلينا عن إساءة الاستخدام”.

تحدّثت لجنة حماية الصّحفيين إلى “بيرلروث” عن عملها الصّحفيّ، وعن الآثار المترتبة على التجارة المتنامية في الثغرات الأمنيّة وبرامج التّجسس على الصحفيين في جميع أنحاء العالم. تمّ تحرير المقابلة لضبط طولها ووضوحها.

لماذا أردتِ الاشتراك في  هذا المشروع؟

أكتبُ عن الهجمات الإلكترونيّة منذ سنة 2010، وبدا أن كلّ هجوم بات أسوأ بقليل من سابقه. ولكن بدا الأمر وكأنّ كل الحوافز مكرّسة لصالح المزيد من الضعف. كان الجميع يصدقون وعود المجتمع غير الاحتكاكي، من تطبيق “أوبر” على هاتفك إلى الضوابط الكيميائية في منشأة لمعالجة المياه. وكانت حوافز الأعمال التجارية “دعونا نوصل المنتج إلى السّوق.” وكانت التّشريعات المتعلّقة بتحسين أمن البنى التحتية تُخفّف كثيراً أو لا يتمّ إقرارها أبداً.

كنت أنظر إلى واقع التّهديدات التي يتعرّض لها الصحفيون والنّاشطون. وكنت أتلقّى نصيبي من هجمات الانتحال، ومن يدري إنْ كانوا مجرّد سبامرز (spammers) أو أنظمة تجسس أكثر تطوّرا تابعة للدّول القوميّة. لهذا أردت أن أكشف هذه الأنماط، ولكن لم تكن لدينا الشفافية أو إمكانية الوصول للشخص العادي لنفهم أن الاحتمالات كانت ضدنا عندما يتعلّق الأمر بالأمن.

وكان الجزء الملموس والأوضح هو سوق الثّغرات الأمنيّة؛ وأن الحكومات – بما فيها حكومتنا – كانت تدفع للقراصنة لتسليم الثّغرات الأمنيّة، وليس لإصلاحها، بل لتركها مفتوحةً للتجسُّس والمراقبة.

لطالما رأيت هذا الأمر كخطر أخلاقي واضح. الآن بعد أن صرنا نستخدم جميعاً نفس التكنولوجيا، كيف يمكن للولايات المتّحدة أو غيرها من حكومات “العيون الخمسة”  (الأعضاء في اتّفاق لتبادل المعلومات الاستخباريّة المكوّن من خمس دول، هي أستراليا وكندا ونيوزيلندا والمملكة المتحدة) كيف يمكنها أن تبرّرَ تركَ ثغرةٍ أمنيّة مفتوحة على برمجية iOS  على أجهزة آيفون، مع العلم أنها يمكن أن تكون برامج تجسسيّة؟

ما هو الفرق بين برامج التّجسُّس والثّغرات الأمنيّة؟

الثّغرات خطأٌ في كود البرمجة. إذا كنتُ هاكر ووجدتها وتوفّرت لدي الإمكانات، يمكنني أن أطوّر برنامجًا يمكنه استخدام الثّغرات لأغراض أخرى. هذه ثغرةٌ أمنيّة.

نسميها ثغرة “الصفر يوم” لأنه يوجد أمام المُصَنِّع صفر يوم لإصلاحها عندَ اكتشافها، وريثما يُصلح الثغرة، يمكنُ لأيّ شخصٍ استغلالها ضد زبائنه. ثغرة “الصفر يوم”   هي الثغرة المناسبة لتحقيق غرض آخر، مثل التّجسس على رسائلك النصّية، أو تتبُّع موقعك، أو تشغيل الصّوت على هاتف المحمول دون أن تعرف ذلك.

هذه الإمكانات قيِّمةٌ جداً للجاسوس. ولكن على مدى السّنوات العشر الماضية، وجدتْ مجموعاتٌ مثل Hacking Team  وNSO أنها يمكن أن تحوّل هذه الثغرات إلى أدوات تُشغَّل بضغطة زر (المعروفة باسم برامج التجسس) لتعطيها للوكالات الحكوميّة. في بعض الأحيان لا يتطلّب الأمر ثغراتٍ أمنيّة، يتطلّب فقط العيوبَ المعروفةَ التي لم تقُمْ الشّركات المصنِّعة بتصحيحها، أو التي لم يشغّل النّاس تحديثاتها.

كان هنالك طلبٌ متزايد، خاصّةً أن شركات مثل Apple أضافت حمايةً أفضل إلى اتصالات الهواتف النقّالة لعملائها. لطالما اهتمّت الحكومات بشأن التّشفير والإبقاء على إمكانية الوصول اللازمة لتعقُّب المجرمين.

ما هو نوع التّنظيم الذي نحتاج إليه في هذا المجال لحماية الصّحفيين وغيرهم؟

هذه تكنولوجيات لها استخدام مزدوج.  جادل البعضُ قائلين أننا إن حاولنا السّيطرة على بيع الثغرات الأمنيّة عبر الحدود، فسوف نعرقل الدّفاع.

تقول الحُجّة أن هنالك نقاط ضعفٍ جديدة تُدْخَل إلى كود البرمجة كل يوم. إن معرفة كيفيّة استغلالها أمرٌ مفيدٌ للحكومات لأغراض التّجسُّس أو التّحضير للمعركة. كما تستخدمُ شركاتُ اختبارِ الاختراق الثّغرات الأمنيّة لاختبارِ أمنِ الشّركة. والحجة الأخرى هي أننا، إلى حدٍّ بسيط، لدينا ضوابط على التّصدير – على الأقل هنا في الولايات المتّحدة، بسبب بعض الضّوابط القديمة على التّشفير. إذا كنت ترغب في بيع تكنولوجيا التّسلُّل، عليك أن تذهب إلى وزارة التجارة [الأمريكية] وأن تحصل على ترخيص. ولكن هذا يمنعك من البيع للبلدان التي فرضنا عقوبات عليها، مثل إيران أو كوبا أو كوريا الشمالية. هنالك مجالٌ كبير للحركة، وعلى حدّ علمي، لم يُرفضْ إلا القلّة.

أعتقد أن الكثيرين ممّن ساقوا هذه الحُجّة قد استفادوا من بيع الثّغرات الأمنيّة ولم يكشفوا عن ذلك علناً، ولا يمكنهم ذلك، لأن السوق غارق في اتفاقيّات التّصنيف وعدم الإفصاح. كان هدفي هو أن أفتح الموضوع على مصراعيه، حتى لا نفوّض النّقاش لأولئك المُنتفعين من الوضع القائم.

كان أحد أهداف كتابي هو أن أقول إلى أين تذهب هذه الحرفة: تذهب إلى أماكن مثل الإمارات العربية المتّحدة والمملكة العربية السّعودية. كلّنا رأينا ما حدث مع جمال خاشقجي.

لا نعرف إلا القضايا التي تطفو على السطح، عندما يتلقّى شخصٌ ما هذه الرسائل واحدةً تلو الأخرى، ويبلغني أو يبلغ Citizen Lab عنها. ولكن هنالك أدوات يتمّ تطويرها لا تتطلّب منك أن تتلقّى رسالةً نصّية، والشّركات لا تعمل على الإنفاذ من جهتها. حتى أن NSO اعترفت بأنهم لا يستطيعون الدخول إلى وكالة استخبارات في المكسيك وأن يستعيدوا البرمجية: هذا سهمٌ لا يعودُ إذا انطلق. ولكن يمكننا أن نفرض عليهم استعادة السّهم، إذا كان هنالك دليلٌ على سوء استخدام هذه الأدوات. هناك خطوات يمكن القيام بها، وهي الفارق بين عدم فعل أي شيء وبين إيذاء الدّفاع.

[ملاحظة من رئيس تحرير لجنة حماية الصحفيين: في البيان الذي قدّمته إلى لجنة حماية الصحفيين، قالت مجموعة NSO إنها “أوضحت عدّة مرات منذ ذلك الحين أن برنامجنا يحتوي على “زر إطفاء” يمكنه إطفاء النّظام. وقد استُخدم ذلك في الحالات التي ثبت فيها إساءة استخدام برمجيتنا.”

ذكرتِ في كتابك مكالمةً هاتفيّة متعدّدة الأطراف مع NSO لم يفصح فيها أحدٌ عن اسمه. لماذا ينبغي للشّركات العاملة في هذا القطاع أن تتعامل مع وسائل الإعلام؟

للأمانة، كانت تلك هي المرّة الأولى التي أتلقّى فيها اتّصالاً من أحد تجّار برامج التجسس في تلك الفترة، حتى لو لم يعرّف أيٌّ منهم عن نفسه. [مستثمرو الأسهم الخاصة] حاولوا تحسين صورة NSO لكن الأمر في الحقيقة يندرج تحت إدارة الأزمات – لم نشهد الكثير من الشفافيّة من هذا المجال. هذا ليس مُستغربًا، لأننا نتعامل مع منتَج يجب أن يكون غير مرئيّ لينجح، والزبائن هم الحكومات التي تتطلب سرّيّة تامّة. [ملاحظة المحرر: قالت NSO  “الاجتماع الذي ذكرته السيدة “بيرلروث” حدث قبل خمس سنوات، في ظل هيكل إداري مختلف تمامًا، وبمشاركة مستثمرين لم يعودوا معنا. وعلى هذا النحو، فإننا لسنا في وضعٍ يسمح لنا بالتّعليق.”]

وقالت NSO إنهم يجلبون الخبراء، ويراجعون مؤشّرات حقوق الإنسان؛ ولا يبيعون لأيّ جهة تحلّ تحت مرتبة معيّنة. هذا كلامٌ جميل ولطيف، ولكن أُمسكت المكسيك وهي تتجسس على خبراء تغذية وعلى الأميركيين; والهند تتجسس على الصّحفيين. في الإمارات العربية المتحدة، يقبع “أحمد منصور” في الحبس الانفراديّ دون أي كتب. ما المرتبة المعيّنة التي راعيتموها في تلك الحالات؟

من الواضح أنّه من السهل جداً استغلال هذه الأدوات. ربما عليك أن تجلب مراقبين لحقوق الإنسان يمكنهم معرفة الحكومات التي تستخدم الأدوات بطرقٍ مسيئة. في الولايات المتّحدة – لأنني أعيش هنا، ولأننا نصِفُ أنفسنا بأننا نحترم حقوق الإنسان – ربما نحتاج إلى قواعد حول كيفية إعطاء هذا التكنولوجيات التي يتمّ تطويرها هنا إلى هذه البلدان. لا أعتقد أنّه يتوجّب علينا ألّا نشرّع على الإطلاق.

هل يمكنك أن تحدّثينا عن اللحظات التي شعرتِ فيها بالضّعف بسبب عملك الصحفيّ؟

تعرضت صحيفة النيويورك تايمز لهجومٍ من الصّين لاكتشافِ مصادرِ زميلي “ديفيد باربوزا” لقصص عن الفساد في الأسرة الحاكمة في الصين. كانت تلك المرة الأولى التي أدركُ فيها أن الحكومات تخترق حسابات الصّحفيين حقًا، وصرتُ حذرةً منذ ذلك الحين في التّواصل مع المصادر. لا أتواصل مع بعضهم عبر الإنترنت على الإطلاق، ولا نجلب هواتفنا معنا عندما نلتقي.

في الكتاب، تحدّثتُ عن زيارتي للأرجنتين. نزلتُ في فندقٍ صغير في بوينس آيرس. [عدتُ إلى غرفتي لأجد] أن الخزنة التي قد وضعتُ فيها حاسوبي المحمول الاحتياطيّ مفتوحة، رغم أن نقودي كانت لا تزال على الطّاولة. لم أكنْ قد استخدمت الحاسوب أصلاً، بل كنت أستخدم الورقة والقلم. أدركتُ أن شيئًا ما قد وُضِع على الجهاز، فتخلّصت منه. بعض هذه [برامج التجسس] الأدوات مخفيّة في البرامج الثابتة [برامج الكمبيوتر المُدمجة في الهاردوير] لأجهزتنا بحيث لا يوجد طريقة إلا التخلُّص منها.

للأمانة، أكثر مكانٍ شعرت فيه بالضّرر هو تويتر، وتركته تمامًا [في فبراير]. في بعض الأحيان تلعب الدّول دورًا في الموضوع. لقد تمّ استهدافي من من قِبل “روسيا اليوم”، حيث وضعوا صورًا غير جميلة لي على حسابهم على إنستاغرام وأطلقوا جيوش بلطجية الإنترنت (trolls) الرّوس نحوي. ولكن في كثير من الأحيان تكمن المشكلة في السلوك اليومي الذي أفسحنا له المجال على المنصّات. قد أنشر شيئًا ما وأتعرّض لهجومٍ شرس من بلطجية الإنترنت، وأتلقّى تهديدات، ورسائل مباشرة، وكل ما يخطر بالبال. ثم أرى  منافِساً رجلًا ينشر شيئاً، حتى مع وجود أخطاء ولكن لا ينبس أحدٌ بكلمةٍ ضدّه.  ردّ الفعل السلبي الذي تتعرّض له الصحفيّات النساء، والصحفيون من غير البِيض، ردٌّ فظيع. أنا أكتب في صحيفة التايمز، وهذا يفتح الباب للكثير من النّقد المُنصِف لأننا نُلزمُ أنفسنا بمعايير عالية. ولكنني أجد نفسي في بعض الأيام منكفئة على نفسي، وأقول لنفسي: لقد كان اليوم حافلاً بالإساءة.

كيف تقررين مقدارَ اللغةِ التّقنية التي ستستخدمينها عند شرح هذه القضايا؟

أصفُ في كتابي وثائق سنودن التي تُبيِّنُ أن وكالة الأمن القومي كانت قد وصلت إلى النقطة المواتية حيث كانت حركةُ عملاءِ غوغل وياهو غير مشفّرة بين مراكز بياناتهم. وألمحت إلى [أن] هذا يُعتبر “قرصنة”. وقد هاجمني الكثير من الناس بسبب هذه النقطة – قائلين أنها لم تكن قرصنةً في الخوادم، بل شمشمةً لما يدور على الإنترنت بدون تشفير. عدتُ إلى النّاشر لأغيرها في المرة القادمة، لكن إذا كنت تتصيّد أخطاء الصحفيين، فأعتقد أنك اخترت المعركة الخاطئة.

الحكومات تخترق شبكتنا. نحن نخترق شبكتهم. لن يهتمّ أحدٌّ بالمصطلحات عندما تنطفئ الأنوار بسبب هجومٍ إلكتروني – سيؤثّر ذلك على النّاس العاديين. من المرجّح جداً أن نرى شيئاً من هذا القبيل في السنوات العشر المقبلة، ومن المهم أن نشرح للناس أن المخاطر كبيرة وأن هنالك ما يدفعهم للمشاركة.

ماذا يمكن أن يفعل الصّحفيون المهتمّون بهذه القضايا؟

فكّر بما لديك وقد يرغبُ شخصٌ آخر بالحصول عليه لأسباب إجراميّة — على الأرجح مصادرك، وبيانات الموقع. لا تنقر على الرّوابط، قم بتشغيل المصادقة الثنائية (two-factor authentication)، سجّل في الحماية المتقدمة على Google، اشترِ Yubikey،  استخدمْ Signal، وإذا كان عليك أن تقابل مصدرًا حساسًا: استخدم الورقة والقلم.

نحن أيضًا بحاجة إلى المزيد من النّاس المتيقّظين. أنا صحفيّة الأمن السيبراني في صحيفة نيويورك تايمز، ولكن يمكن أن يكون لدينا عشر صحفيين. هذه قضايا ضخمة، ولا يمكن أن يكون الأمر متروكاً لصحافة التّكنولوجيا. أصفُ عملي بأنّه كعمل المترجم. نحن بحاجة إلى الكثير من المترجمين.

مادلين إيرب هي محررة تكنولوجيا استشارية للجنة حماية الصّحفيين. حرّرت العديد من أبحاث الأمن الرقمي والحقوق لمشاريع مختلفة، بما في ذلك خمس طبعات من تقرير Freedom on the Net الصّادر عن Freedom House ، وهي باحثة سابقة في لجنة حماية الصّحفيين في آسيا.