Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα: Απόπειρες εγκατάστασης Predator σε χρήστες κινητής τηλεφωνίας στην Ελλάδα

Απόπειρες εγκατάστασης του κατασκοπευτικού λογισμικού «Predator» και μάλιστα προς πολυάριθμους χρήστες κινητής τηλεφωνίας στην Ελλάδα επιβεβαιώνει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, δίνοντας νέα διάσταση στο σκάνδαλο των υποκλοπών, το οποίο μετρά ήδη ένα χρόνο ζωής από την αρχική του αποκάλυψη.

Η Αρχή από τα τέλη Ιουλίου 2022 κίνησε αυτεπάγγελτη έρευνα σε σχέση με δραστηριότητες εγκατάστασης και χρήσης κατασκοπευτικού λογισμικού στην Ελλάδα, ιδίως σε σχέση με το λογισμικό παρακολούθησης που αναφέρεται ως «Predator» και συσχέτισε κατά την ερευνά της και τις καταγγελίες-αναφορές που υποβλήθηκαν από πέντε φυσικά πρόσωπα.

«Με βάση τα έως τώρα στοιχεία, έχει διαπιστωθεί ότι πραγματοποιήθηκαν απόπειρες εγκατάστασης κατασκοπευτικού λογισμικού προς πολυάριθμους χρήστες κινητής τηλεφωνίας στην Ελλάδα», αναφέρει ξεκάθαρα η Αρχή σε ανακοίνωση που εξέδωσε την Πέμπτη.

Κατά τις έρευνές της η Αρχή εντόπισε πάνω από 350 μηνύματα SMS τα οποία σχετίζονται με τις παραπάνω απόπειρες, εκ των οποίων πάνω από 220 περιείχαν παραπλανητικό σύνδεσμο ιστού. Πάνω από 120 μηνύματα πιθανολογείται ότι έχουν σταλεί για λόγους δοκιμής προς αταυτοποίητα κινητά προσωρινής, σύντομης χρήσης (“burner phones”). Η Αρχή έχει ήδη αποστείλει αναλυτική ενημέρωση προς τους συνδρομητές και χρήστες 92 τηλεφωνικών αριθμών οι οποίοι έλαβαν μήνυμα SMS με τα παραπάνω χαρακτηριστικά.

Η Αρχή διευκρινίζει πως μια τέτοια απόπειρα πραγματοποιείται μέσω αποστολής μηνύματος SMS προς τον αριθμό κινητού τηλεφώνου ενός αποδέκτη - στόχου. Τα μηνύματα SMS αυτού του είδους περιέχουν σύντομο κείμενο και σύνδεσμο σε ιστοσελίδα, ο οποίος είναι παραπλανητικός, καθώς έχει μεγάλη ομοιότητα με μια πραγματική ιστοσελίδα. Στην περίπτωση κατά την οποία ο αποδέκτης του μηνύματος SMS ενεργοποιήσει τον σύνδεσμο που περιέχεται σε αυτό, επιλέγοντάς τον, τότε λαμβάνει χώρα εγκατάσταση του κατασκοπευτικού λογισμικού στη συσκευή του. Τα μηνύματα SMS έχουν αποσταλεί μέσω υπηρεσιών διαδικτύου (Web to SMS) με χρήση προπληρωμένων καρτών. Επισημαίνεται ειδικά ότι σε αυτά τα μηνύματα SMS διαπιστώθηκε ότι τα στοιχεία του αποστολέα υπήρξαν τροποποιημένα και ότι δεν αντιστοιχούν στον πραγματικό αποστολέα, προκειμένου να παραπλανάται ο παραλήπτης τους για να ενεργοποιεί τον περιεχόμενο σύνδεσμο ιστοσελίδας και με τον τρόπο αυτό να εγκαθίσταται το κατασκοπευτικό λογισμικό.

Αν και αρχκά ολιγάριθμα μηνύματα SMS φάνηκε να σχετίζονται με την ηλεκτρονική εφαρμογή εμβολιασμού της ελληνικής Κυβέρνησης, η ομάδα ελέγχου της Αρχής φαίνεται να την «αθώωνει» τελικά, αφού «διενήργησε επιτόπιο έλεγχο στην εν λόγω εφαρμογή, από τον οποίο διαπιστώθηκε ότι τα παραπλανητικά αυτά μηνύματα δεν εστάλησαν εν τέλει από αυτή την εφαρμογή. Εξετάζοντας τα διαθέσιμα στοιχεία, η Αρχή έκρινε ότι δεν προκύπτει περιστατικό παραβίασης (διαρροής) δεδομένων από τους επίσημους φορείς της διαδικασίας εμβολιασμού».

Προκειμένου να διερευνήσει αυτό το μείζον ζήτημα που προκύπτει από τις απόπειρας εγκατάστασης του Predator σε δεκάδες πλέον ταυτοποιημένα κινητά, η Αρχή συνέστησε ομάδα έρευνας για την εν λόγω υπόθεση και έχει προβεί σε συγκεκριμένες ενέργειες, με βάση τα ευρήματα που προέκυψαν κατά την εξέλιξη της έρευνάς της, στις οποίες συγκαταλέγονται:

• η έκδοση προσωρινών διαταγών για την αναστολή διαγραφής προσωπικών δεδομένων,

• η διενέργεια ερευνών και επιτόπιων ελέγχων σε ιδιωτικές εταιρείες και δημόσιους φορείς,

• η συλλογή στοιχείων και πληροφοριών από εταιρείες και φορείς εντός και εκτός Ελλάδας (όπως ενδεικτικά από την Εθνική Αρχή Διαφάνειας (ΕΑΔ), την Ανεξάρτητη Αρχή Δημοσίων Εσόδων (ΑΑΔΕ), το Citizen Lab, την Google, τη Meta, εταιρείες παροχής υπηρεσιών αποστολής μηνυμάτων SMS μέσω διαδικτύου, εταιρείες παροχής υπηρεσιών φιλοξενίας ιστοσελίδων),

• η έκδοση απόφασης επιβολής προστίμου σε μία από τις ελεγχόμενες εταιρείες, λόγω μη συνεργασίας με την Αρχή, και η ενημέρωση των εισαγγελικών αρχών επί των ευρημάτων στον αντίστοιχο χρόνο εντοπισμού τους.

Επιπλέον η Αρχή έχει ενημερώσει και θα συνεχίζει να ενημερώνει τις εισαγγελικές αρχές για τα ευρήματα της έρευνάς της, όσο αυτή είναι σε εξέλιξη. «Στην παρούσα φάση, η Αρχή δεν διαθέτει στοιχεία, από τα οποία να είναι δυνατή η ταυτοποίηση συγκεκριμένου υπευθύνου επεξεργασίας (φυσικού ή νομικού προσώπου) για τις δραστηριότητες εγκατάστασης και χρήσης του υπό διερεύνηση κατασκοπευτικού λογισμικού, αλλά επισημαίνει ότι τόσο οι έρευνές της, όσο και η εξέταση της υπόθεσης, βρίσκονται ακόμα σε εξέλιξη».

Επιπλέον, η Αρχή, στο πλαίσιο των αρμοδιοτήτων της που απορρέουν από τον Γενικό Κανονισμό (ΕΕ) 2016/679 για την Προστασία Δεδομένων έχει κινήσει τις διαδικασίες συνεργασίας με τις εποπτικές αρχές άλλων κρατών μελών για τη διερεύνηση της υπόθεσης και τον έλεγχο των εταιρειών και φορέων που ενδέχεται να εμπλέκονται σε αυτή και βρίσκονται εντός Ε.Ε., αλλά εκτός Ελλάδας.

Να σημειωθεί ότι η αρμοδιότητα της Αρχής σε τέτοιες περιπτώσεις πηγάζει τόσο από τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΕΕ) 2016/679 (ΓΚΠΔ), όσο και από την ειδική νομοθεσία (e-privacy) για την προστασία των προσωπικών δεδομένων στις ηλεκτρονικές υπηρεσίες. Συγκεκριμένα, οι δραστηριότητες εγκατάστασης και χρήσης λογισμικού παρακολούθησης σε τερματικές συσκευές κινητής τηλεφωνίας χρηστών, εν αγνοία τους, συνιστούν παραβίαση της οικείας νομοθεσίας (άρθρο 4 παρ. 5 του ν. 3471/2006, όπως έχει τροποποιηθεί και ισχύει ? ο εν λόγω νόμος μεταφέρει στο εθνικό δίκαιο την οδηγία 2002/58/ΕΚ μετά και την τροποποίησή της από την οδηγία 2009/136/ΕΚ), ενώ και η τυχόν συνακόλουθη συλλογή και επεξεργασία των προσωπικών δεδομένων, τα οποία συλλέγονται από τέτοιο λογισμικό, εμπίπτει εντός του πεδίου εφαρμογής του ΓΚΠΔ, στον βαθμό που τα συλλεγόμενα δεδομένα σχετίζονται με τις ενέργειες ενός συνδρομητή ή χρήστη φυσικού προσώπου (υποκειμένου των δεδομένων).

ΣΥΡΙΖΑ: Να δώσει εξηγήσεις η κυβέρνηση

Να δώσει εξηγήσεις για τις παρακολουθήσεις των 92 ατόμων που έχουν ταυτοποιηθεί, καλεί την κυβέρνηση ο ΣΥΡΙΖΑ, με αφορμή τις αποκαλύψεις της έρευνας της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ενώ συμπληρώνει ότι πλέον αποδεικνύεται πως επρόκειτο για «συντονισμένη επιχείρηση συστηματικής υποκλοπής προσωπικών δεδομένων δεκάδων στόχων».

Καλεί επίσης την ηγεσία του υπουργείου Δικαιοσύνης να ενισχύσει με όλα τα δυνατά μέσα την Εισαγγελία Πρωτοδικών Αθηνών, «ώστε να ολοκληρώσει το ταχύτερο δυνατόν την έρευνα της δυσώδους αυτής υπόθεσης».

Παράλληλα, καθώς – όπως επισημαίνεται - ήδη έχει αποδειχθεί πως στόχοι του Predator είχαν τεθεί υπό παρακολούθηση και με τον συμβατικό τρόπο από την ΕΥΠ, δηλαδή με εισαγγελική εντολή, «αναμένουμε πως η Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών θα προχωρήσει αυτεπάγγελτα σε έρευνα προκειμένου να διαπιστωθεί το κατά πόσο κάποια από τα 92 άτομα που ταυτοποίησε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έχουν παρακολουθηθεί και με εντολή της εποπτεύουσας εισαγγελέως της ΕΥΠ».

Στην ίδια ανακοίνωσή ο ΣΥΡΙΖΑ επαναλαμβάνει ότι θα εξακολουθεί να υποστηρίζει το έργο των Ανεξάρτητων Αρχών, «ώστε να πέσει άπλετο φως και η ελληνική κοινωνία να πληροφορηθεί ποιοι κρύβονται πίσω από το παρακράτος των υποκλοπών».

Σημειώνει πως «είναι λοιπόν ξεκάθαρο, ότι αυτό που αρχικά η κυβέρνηση Μητσοτάκη είχε χαρακτηρίσει ως «παρακολούθηση ιδιώτη από ιδιώτες», αποδεικνύεται με τον πλέον επίσημο τρόπο πως ήταν μια συντονισμένη επιχείρηση συστηματικής υποκλοπής προσωπικών δεδομένων δεκάδων στόχων».

Προσθέτει ότι οι πρόσφατες αποκαλύψεις πως στελέχη της Intellexa είχαν αναπτύξει τέτοια σχέση με την ΕΥΠ και το Μέγαρο Μαξίμου, «ώστε διόρθωναν ακόμη και προσχέδια μνημονίων συνεργασίας των μυστικών υπηρεσιών της Ελλάδας με τις υπηρεσίες της Βόρειας Μακεδονίας, είναι η πλέον τρανή απόδειξη για το ποιοι κρύβονται πίσω από τις παρακολουθήσεις των 92 αυτών ατόμων. Σε συνδυασμό με τις διευκολύνσεις που παρείχε η Κυβέρνηση Μητσοτάκη στις Intellexa και Krikel για την εξαγωγή του Predator από την Ελλάδα με άδεια μάλιστα του υπουργείου Εξωτερικών, ολοκληρώνουν πλήρως την εικόνα των ευθυνών».

Ο ΣΥΡΙΖΑ υπογραμμίζει πως η κυβέρνηση Μητσοτάκη «σιωπά» για όλα τα παραπάνω. «Δεν έχει καν σχολιάσει το ότι την ίδια στιγμή που η Ελλάδα επικρίνεται από το διεθνή Τύπο και τα ευρωπαϊκά όργανα ως διεθνές κέντρο διάχυσης του παράνομου λογισμικού, η Κυβέρνηση Μπάιντεν έθεσε τις Intellexa και Cytrox σε καθεστώς διεθνών κυρώσεων, ξεκαθαρίζοντας πως το Predator λειτουργεί σε βάρος της εθνικής ασφάλειας των ΗΠΑ».