الأمن الرقمي للصحفيين.. الوقاية خط الدفاع الأخير ...فكيف تحمي نفسك ومصادرك؟

2022-01-11 11:55

التقارير

الأمن الرقمي للصحفيين.. الوقاية خط الدفاع الأخير

مي شيغينوبو-معهد الجزيرة للاعلام

أُثيرَت مؤخرا في أوساط العاملين في قطاع الإعلام مخاوف مشروعة بشأن المعلومات التي كُشف عنها في تموز/يوليو 2021، والتي تفيد باستخدام بعض الأنظمة القمعية حول العالم نظام تجسس إسرائيلي الصنع للتلصص على هواتف صحفيين ونشطاء (1).

في 18 تموز/يوليو 2021، كشفت مجموعة مكونة من 17 مؤسسة إعلامية تسمي نفسها مشروع بيغاسوس (2) عن أن نظام تجسس صنعته شركة برمجيات المراقبة الإسرائيلية إن إس أو (NSO Group) والذي يحمل نفس الاسم "بيغاسوس" استُخدِم لاختراق هواتف النشطاء والصحفيين والسياسيين. سُرِّب حجم عمليات المراقبة هذه أولا إلى منظمة العفو الدولية ومنظمة فوربيدن ستوريرز (قصص محرمة)، وهي منظمة غير ربحية مقرها في باريس. وعلى إثر ذلك أجرت كلتا المنظمتين تحقيقا جنائيا حول البيانات وشراكتها مع الجهات الإعلامية.

ضمن تلك البيانات قائمة تشمل 50.000 رقم هاتف تعود لصحفيين ونشطاء سياسيين وشخصيات سياسة عامة، يُعتَقد أنهم على قوائم المستهدفين من قبل عملاء شركة إن إس أو. وحسب تقرير نشرته صحيفة الغارديان تضمنت القائمة أرقام عاملين في وكالة فرانس برس، وول ستريت جورنال، سي إن إن، نيويورك تايمز، الجزيرة، فرانس24، إذاعة أوروبا الحرة، ميديا بارت، إلباييس، أسوشيتد برس، لوموند، بلومبيرغ، ذي إيكونوميست، رويترز، وصوت أمريكا.

وتضمنت القائمة كذلك أرقام بعض رؤساء الدول ورؤساء الوزراء وأفراد الأسر الملكية ودبلوماسيين وسياسيين بالإضافة إلى نشطاء ورجال أعمال. وأفادت الغارديان أنه لم يتم التحقق بعد مما إذا كانت كل الأرقام الموجودة على القائمة قد تعرضت للاختراق.

وأفادت صحيفة واشنطن بوست (3) أن برنامج التجسس بيغاسوس استهدف كذلك هاتف خطيبة الصحفي الراحل جمال خاشقجي قبل أيام من اغتياله داخل قنصلية المملكة العربية السعودية في إسطنبول العام 2018.

قبل ذلك بعامين، تعهدت (4) إن إس أو بضبط تجاوزات إساءة استخدام برامجها، مشيرة إلى أنها ستوائم أنشطة الشركة مع مبادئ الأمم المتحدة التوجيهية في الأعمال التجارية وحقوق الإنسان. ونفت الشركة ما أوردته صحيفة الغارديان في تقريرها واعتبرته "ادعاءات كاذبة".

وقالت الشركة في بيانها: "تنفي مجموعة إن إس أو بشدة المزاعم الكاذبة الواردة في تقريركم. وتؤكد أن معظم ما ورد فيه هو نظريات مختلقة تثير الشكوك حول مصداقية مصادركم والأسس التي انبنى عليها تقريركم".

وبيغاسوس هو برنامج تجسس يستطيع تحويل هواتف الأندرويد أو الآيفون لأجهزة مراقبة، وقد ذاع الجدل حوله سابقا لاستخدامه من قبل الأنظمة القمعية لاختراق الصحفيين والنشطاء الحقوقيين والتجسس عليهم.

ففي العام 2016، كشفت مؤسستا سيتيزن لاب ولوك آوت عن تعرض أحد نشطاء حقوق الإنسان الإماراتيين (5) للاختراق، مما دفعهما لتنبيه شركة آبل التي أصدرت تحديثا لسد الثغرة الأمنية التي استُغلّت لاختراق هاتفه.

ورفعت واتساب سنة 2019 دعوى قضائية (6) ضد إن إس أو، بسبب برنامج التجسس بيغاسوس والذي استُخدم لاختراق حسابات أكثر من 1400 صحفي وناشط حقوقي ومعارض في جميع أنحاء العالم، من خلال استغلال ثغرات لم تكن قد اكتُشِفَت بعد.

ما يميز الفضيحة الأخيرة هو أعداد الضحايا والكشف عن أن برنامج التجسس المتقدم هذا قادر على اختراق الهواتف دون الحاجة لتفاعل أو تجاوب من الشخص المستهدف (صفر نقرة) حتى يمنح المخترق السيطرة والوصول الكامل إلى هاتف الضحية.

ومن المعروف أن بيغاسوس ليس برنامج التجسس الأول ولا الأخير، كما لا يمكننا الجزم بأنه البرنامج الأكثر تطورا.

ولطالما استخدمت الأجهزة الحكومية برامج التجسس لمراقبة أنشطة الأشخاص الذين يثيرون القلق أو الشبهة؛ ففي الولايات المتحدة، استخدمت وكالة الأمن القومي برنامج تجسس يسمى Dropout Jeep (7) لاختراق أجهزة الأيفون (8). كما حظي برنامج Cellebrite (9) الذي صنعته إسرائيل كذلك باستخدام واسع من قبل وكالات إنفاذ القانون وأجهزة الاستخبارات والوكالات الخاصة في 150 دولة مختلفة، في حين أنتجت شركة كانديرو/ Candiru برنامج تجسس يسمى Sourgum (10) يستطيع استغلال الثغرات الموجودة في منتجات مايكروسوفت وغوغل ، ويُعتقد أنه استُخدم كذلك لمراقبة صحفيين ونشطاء حقوقيين.

كيف تحمي نفسك من برامج التجسس

يصعب أحيانا منع برامج التجسس المتطورة والتي ترقى لمستوى الأسلحة من مراقبة وسرقة المعلومات بمجرد تثبيتها على الهاتف. مع ذلك، يمكن لممارسات الأمن الرقمي الأساسية حمايتك من أنظمة التجسس الأقل تطورا.

(1) احرص دائما على تحديث نظام التشغيل والتطبيقات الموجودة على جهازك: تعمل الشركات المصنعة للهواتف باستمرار على إصلاح الأخطاء والعيوب الأمنية التي يمكن أن يستغلها المخترقون وبرامج التجسس.

(2) استخدم خاصية التحقق بخطوتين (11) لتأمين حساباتك متى ما أمكن ذلك. تعتمد هذه الخدمات على تطبيقات مثل Google Authenticator وأُعِدّت لإرسال رمز إلى جهاز مختلف أو إلى منصة لا يمكن الوصول إليها عبر كل الأجهزة.

(3) استخدم تطبيقات إدارة كلمات المرور (12) بدلا من حفظ كلمات المرور على مذكرة الهاتف، والتي يسهل على المخترقين الوصول إليها (إلا إذا كنت تستخدم رمزا لا يفهمه أحد سواك). ولا تسمح لجهازك بحفظ كلمات المرور.

(4) أبق هاتفك منظما، تخلص من التطبيقات الغريبة وغير المستخدمة.

(5) راجع إعدادات خصوصيتك مرارا؛ لأنها تخضع للتعديل والتغيير بشكل متكرر بواسطة مالكي التطبيقات والشركات المصنعة للهواتف. قم بتعطيل الوصول إلى الصور والميكروفون والكاميرا وجهات الاتصال وموقعك على جميع التطبيقات (امنح وصولا مؤقتا للتطبيقات التي تحتاج لاستخدامها فقط).

(6) استخدم كلمات مرور معقدة وآمنة لجميع الأجهزة والمواقع والتطبيقات. واستخدم بصمة الإصبع وخاصية التعرف على الوجه عند توفرهما.

(7) تجنب استخدام شبكات الواي فاي العامة. في الحالات الضرورية استخدم فقط الشبكات الافتراضية الموثوقة VPN لتأمين نشاطك عبر الإنترنت. يمكن أن تُستخدَم شبكات الواي فاي والشبكات الافتراضية الخاصة غير الآمنة كنقطة لاختراق جهازك. لا تستخدِم شبكة الواي فاي العامة مطلقا للتواصل مع مصادر تريد حمايتها، أو لتلقي ملفات مهمة أو تنزيلها.

(8) حمل التطبيقات من المتاجر الرسمية فقط؛ إذ تختبئ الفيروسات وبرامج التجسس أحيانا داخل الكود البرمجي لبعض التطبيقات. (لن تمنع هذه الخطوة برامج التجسس المتطورة مثل بيغاسوس؛ لأن لديها القدرة على الوصول حتى لتطبيقات iOS الداخلية).

(9) تحقق من الروابط قبل النقر عليها، ثم تحقق مما إذا كان الرابط بأكمله مرئيا، وما إذا كان مرسله موثوقا ومؤتمنا.

(10) غط كاميرات كل الأجهزة (إذا كانت أداة تأمين الهاتف غير متوفرة، فاستخدم الملصقات) لتجنب تصوير المحيطين بك أو الإضرار بمرافقيك.

(11) أغلق جهازك مرة كل يوم على الأقل. توصل مختبر الأمن التابع لمنظمة العفو الدولية إلى أن العديد من عمليات الفيروسات وأنظمة التجسس تتوقف مؤقتًا (13) عند إعادة تشغيل الجهاز.

كيف تدافع عن نفسك ضد هجوم بمستوى بيغاسوس

بيغاسوس عبارة عن برنامج ضار، تلقائي التنزيل على هاتفك (أي إنك لا تحتاج للنقر على شيء كي يتم تثبيته). بمجرد دخول الهاتف، يمكنه التجسس على كل شيء؛ سجل الاتصالات (بما في ذلك المعلومات المحذوفة)، والمكالمات والرسائل القصيرة، وجهات الاتصال، ورسائل البريد الإلكتروني، والصور، ومقاطع الفيديو، وبيانات نظام تحديد الموقع، بالإضافة إلى سجل تصفح الإنترنت والمحادثات النصية.

يمكنه التحكم في جهازك، وتنشيط الميكروفون والكاميرا وتسجيل المكالمات ونقر المفاتيح وتصوير الشاشة دون أن يلاحظ الضحية أي شيء.

حدد التحليل الجنائي الذي أجري على هواتف الضحايا عدة منافذ وثغرات (تقنيات هجوم) لبيغاسوس، ولا تخلو جميعها من النقرات. إليك كيف تواجه كلًّا منها:

هجمات النقرة الواحدة

تستغل هذه الهجمات الثغرات في برمجيات جهازك. وإحدى طرق ذلك هو تلقي مكالمة واتساب بسيطة على الجهاز، وبعد ذلك يتعطل التطبيق ويختفي اسم المتصل من سجل المكالمات. وبالمثل، يمكن لرسالة على خدمة الرسائل النصية iMessages (دون إشعار) اختراق الجهاز دون الحاجة لأي تفاعل من الضحية. لحماية المعلومات من هجمات الصفر نقرة:

・عطل التطبيقات التي تمثل نقطة دخول برنامج التجسس مثل iMessages وخدمة البريد الإلكتروني على الآيفون Mail، وآبل ميوزيك وفيس تايم، وألغ تثبيتها.

・ أبق تطبيقاتك وأجهزتك محدثة (ابحث بنشاط عن التحديثات الجديدة).

・ استخدم هاتفا آخر غير متصل بالإنترنت لإجراء المقابلات التي قد ترد فيها معلومات حساسة وللبحث والتحقيق وإجراء الاتصالات.

هجمات الوسيط

تُعرف أيضا باسم "هجمات حقن الشبكة"، وتُستخدم لإعادة توجيه الضحية إلى موقع ويب ضار دون الحاجة إلى تفاعل المستخدم عن طريق غزو الجهاز من خلال الثغرات البرمجية. تتطلب هذه التقنية التحكم في شبكة الواي فاي المحلية، ومن الصعب جدا تحديد إن كنت أنت الشخص المستهدف. لتجنب هذا النوع من الهجوم:

・ تجنب استخدام خدمة الواي فاي المجانية العامة أو غير الآمنة.

・ استخدم شبكات خاصة افتراضية VPN خضعت لفحص مكثف ولديها سجلات خصوصية جيدة ولا تسمح بتخزين سجل التصفح.

・ استخدم شبكات افتراضية خاصة موجودة خارج البلد الذي تتواجد فيه.

هجمات التصيد الاحتيالي

ترسل هذه الهجمات إلى الضحايا رسائل مفصلة بحسب اهتماماتهم لإغرائهم للضغط على الرابط أو الملف المرفق. هوجم العديد من الصحفيين الذين استهدفوا بواسطة بيغاسوس (وكانديرو) بهذه الطريقة، بحسب التحليل الجنائي الذي أجري في تموز/يوليو 2021. قد تصل هذه الروابط الخبيثة إلى الضحية على شكل رسائل بريد إلكتروني أو رسائل نصية أو رسائل على منصات التواصل الاجتماعي أو عبر الواتس آب أو تطبيقات المراسلة؛ فما إن يتم الضغط عليها حتى يتم تثبيت برمجيات التجسس على الجهاز. وللوقاية من هذا النوع من الهجمات:

لا تضغط على رابط قصير قبل التأكد من الرابط الكامل. استخدم تطبيقات لتوسيع الرابط مثل URL Expander (14) أو ExpandURL (15) لرؤية الرابط بالكامل قبل الضغط عليه.
افحص مصداقية مرسل الرابط أو الملف المرفق قبل الضغط عليه ولا تضغط على أي شيء مرسل من قبل شخص لا تعرفه.

أما على وسائل التواصل، حتى لو كان المرسل شخصا تعرفه، اسأله قبل فتح الرابط إن كان هو من أرسله بالفعل. حتى لو كان المرسل من معارفك، قد يكون حسابه قد تعرض للاختراق ويُستخدَم لإرسال روابط التصيد الاحتيالي.

إذا بدا الرابط مهما، افتحه في متصفح غير المتصفح الافتراضي (16). غالبا ما تكون أجهزة آبل وأندرويد مضبوطة على متصفحات افتراضية هي سفاري وغوغل كروم. ما نعرفه عن بيغاسوس حتى الآن أنه يستهدف المتصفحات الافتراضية (17). ويُفضَّل بدلا من ذلك أن تستخدِم جهازا ثانويا لا يحوي معلومات مهمة لفتح الرابط.

توصل (18) التحقيق الجنائي لمنظمة العفو الدولية وسيتيزن لاب إلى أن الصحفيين المستهدفين تلقوا روابط التصيد الاحتيالي مدمجة في رسائل عن الحسابات البنكية ومشتريات البطاقات الائتمانية، أو عن العمل ومواضيع أعدوا تقارير بشأنها، أو عن خطر أمني محدق ورسائل من وكالات إخبارية أو سفارات، أو حتى رسائل ذات أهمية شخصية.

الهجمات المادية

بإمكان المهاجمين تثبيت برامج التجسس على الهاتف المستهدف يدويا إن تمكنوا من الحصول عليه، وللوقاية من هذا النوع من الهجمات:

عليك الحد من إمكانية الوصول إلى أجهزتك من قبل أشخاص آخرين. لا تسمح لأي شخص لا تعرفه ولا تثق فيه باستخدامها.
عليك أيضا تأمين أجهزتك وأي تطبيقات مراسلة تستخدمها باستخدام كلمات سر معقدة وفريدة واستخدم خصائص بصمات الأصابع والتعرف على الوجه متى ما أمكن ذلك.
حاول ألا يغيب جهازك عن نظرك في التجمعات والأماكن العامة، وخصوصا في المطارات وأثناء عبور الحدود ونقاط التفتيش (حين يطلب أفراد الأمن التحقق من حاسوبك وهاتفك).
قلل من إمكانيات أوامر شاشة الإغلاق لمنع دخول أشخاص غير مصرح لهم. لفعل ذلك، عليك أن تلغي الوظائف وإمكانية الوصول إلى التطبيقات التي تتصل بالإنترنت من مركز التحكم في شاشة الإغلاق في هواتف آيفون أو قائمة الإعدادات السريعة في هواتف سامسونج. ويشمل هذا ماسحات رموز QR واتصال الواي فاي والروابط المؤدية إلى ويندوز.
فعّل خاصية المسح عن بعد في إعدادات إيجاد الهاتف (find my iPhone/mobile/device) في قائمة إعدادات الهاتف وفي حساب التخزين السحابي الخاص بك؛ لتكون قادرا على مسح كل المعلومات إن فقدت هاتفك.

ما الذي عليك فعله إن أصيب جهازك ببرنامج تجسس

إن أوصلك عملك الصحفي أو نشاطك السياسي إلى قائمة الأشخاص المستهدفين من قبل حكومة ما، فلن يحميك حينئذ من هجمات الصفر نقرة في برنامج بيغاسوس لا حائط ناري ولا تشفير من النظير إلى النظير. إن كنت تشك -برغم اتخاذك للاحتياطات- بأن جهازك مصاب ببرنامج تجسس عليك بالآتي:

توقف عن استخدام جهازك المصاب، خصوصا في الاتصالات المتعلقة بالعمل. ابدأ باستخدام هاتف جديد للتواصل مع مصادرك دون تحميل النسخة الاحتياطية من ملفات هاتفك القديم من خدمة التخزين السحابي (بعض برامج التجسس يمكن إخفاؤها في الكود البرمجي لتطبيق ما أو عبر تطبيقات المصنع مثل Apple Music و Photo stream (19) وربما تنتقل إلى هاتفك الجديد عبر خدمة التخزين السحابي.
احتفظ بجهازك المصاب دليلا من أجل التحليل.
أبق جهازك المصاب بعيدا عن بيئة عملك حتى لا تعرض محيطك ومصادرك للخطر.
إن لم يكن استبدال الجهاز ممكنا، أعد ضبط الجهاز إلى إعدادات المصنع. فعل ذلك وإعادة تشغيل الجهاز بانتظام بإمكانه إيقاف برنامج التجسس عن العمل في الخلفية مؤقتا.
أزل الأجهزة غير المعروفة المتصلة بحسابات التواصل الاجتماعي وتطبيقات المراسلة الخاصة بك. بإمكانك فعل ذلك من إعدادات الأمان.
سجل خروجك من كل حسابات التطبيقات على الجهاز المصاب (البريد الإلكتروني، واتساب، سيغنال، تويتر، لاين، فيسبوك، وغيرها)، وتابع كلمات السر المستخدمة في هذه الحسابات. أعد ضبط كلمات السر في كل الحسابات من على جهازك الجديد باستخدام تطبيقات إدارة كلمات السر، ولا تستخدم أبدا كلمات سر قديمة.
استشر خبير أمن رقمي لمساعدتك في إعادة إنشاء حساب رقمي آمن. إن كنت صحفيا حرا أو لا تستطيع الوصول إلى دعم تقني، تواصل مع خط المساعدة (20) في منظمة Access Now .
تواصل مع خبراء تقنية المعلومات في مشروع بيغاسوس لتتحقق من إن كان رقمك من بين الأرقام الخمسين ألفا المسربة عبر إرسال رقم هاتفك إلى عنوان البريد الإلكتروني [email protected] ليتم التحقق منه، وكذلك للحصول على مساعدة تقنية في كيفية استخدام عدة أدوات التحقق من الهاتف المحمول (21) والتي تستخدم للكشف عن الهواتف المصابة بيغاسوس.

الضرر الواقع على الصحافة

أثارت تسريبات بيغاسوس مخاوف حقيقية بين المدافعين عن حقوق الإنسان (22) والصحفيين حول مخاطر تكنولوجيا المراقبة ومستقبل الصحافة الحرة وحرية التعبير وسلامة الصحفيين والحق في الخصوصية.

لن تتوانى الحكومات القمعية عن استغلال برامج التجسس المعقدة التي ترقى لمستوى الأسلحة ضد شعوبها خلف دعاوى الأمن الوطني.

وفي ظل غياب لوائح منظمة مناسبة تضبط بيع ونقل واستخدام تكنولوجيا المراقبة دون روادع وعقوبات تمنع الحكومات والشركات من إساءة استخدام مثل هذه التكنولوجيا، ستكون حقوق الإنسان الأساسية مثل حرية التعبير والحق في الخصوصية وحرية الصحافة في مرمى الخطر والتهديد.

صرحت (23) مفوضة الأمم المتحدة السامية لحقوق الإنسان ميشيل باشيليت بعد الإعلان عن اكتشافات مشروع بيغاسوس قائلة: "ارتبط استخدام برمجيات المراقبة باعتقال وترهيب وحتى قتل الصحفيين والمدافعين عن حقوق الإنسان. وحتى التقارير التي تكشف عن وسائل المراقبة هذه تستحث في نفوس الناس أثرا بغيضا يدفعهم لفرض الرقابة على أنفسهم. إحدى الخطوات الأساسية في منع إساءة استخدام تكنولوجيا المراقبة هي الضغط على الحكومات لفرض قوانين على الشركات المنخرطة في إنتاج هذه التكنولوجيا لدفعها للالتزام بمسؤولياتها تجاه حقوق الإنسان، وأن تكون أكثر شفافية بشأن تصميم واستخدام منتجاتها، وأن تطبق وسائل محاسبة أكثر فاعلية".

أخبر عدد من الصحفيين الذين استُهدِفوا عن طريق بيغاسوس موقع The Wire بأنهم يخشون من تأثير هذا الأمر على قدرتهم على نيل ثقة مصادرهم (24). وأفاد أحدهم "بأن ذيوع خبر استهدافه قد يثني مصادره عن التواصل معه في المستقبل".

وقد دعت مفوضة الأمم المتحدة السامية لحقوق الإنسان ميشيل باشيليت ومنظمة العفو الدولية إلى وقف استخدام وبيع الأسلحة السيبرانية، لكن حتى ذلك الوقت ربما علينا تقليل الاعتماد على التكنولوجيا في العمل الصحفي وألا نصطحب أجهزتنا معنا أثناء تأديتنا لمهامنا.

مصادر مفيدة: