Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα: Απόπειρες εγκατάστασης Predator σε κινητά τηλέφωνα

Σύμφωνα με ανα­κοί­νωση της Αρχής Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα δια­πι­στώ­θηκε ότι πραγ­μα­το­ποι­ή­θη­καν από­πει­ρες εγκα­τά­στα­σης κατα­σκο­πευ­τι­κού λογι­σμι­κού («Predator») προς πολυά­ριθ­μους χρήστες κινητής τηλε­φω­νίας στην Ελλάδα.

Παράλ­ληλα, η Αρχή εντό­πισε πάνω από 350 μηνύ­ματα SMS που απο­σκο­πού­σαν στην εγκα­τά­σταση λογι­σμι­κού παρα­κο­λού­θη­σης. Για όλα τα ευρή­ματα η Αρχή έχει ενη­με­ρώ­σει τις αρμό­διες εισαγ­γε­λι­κές αρχές.

Όσον αφορά τα SMS που φαι­νό­ταν να προ­έρ­χο­νται από την ηλε­κτρο­νική εφαρ­μογή εμβο­λια­σμού η Αρχή σημειώ­νει ότι «διε­νήρ­γησε επι­τό­πιο έλεγχο στην εν λόγω εφαρ­μογή, από τον οποίο δια­πι­στώ­θηκε ότι τα παρα­πλα­νη­τικά αυτά μηνύ­ματα δεν εστά­λη­σαν εν τέλει από αυτή την εφαρ­μογή» και «έκρινε ότι δεν προ­κύ­πτει περι­στα­τικό παρα­βί­α­σης (διαρ­ροής) δεδο­μέ­νων από τους επί­ση­μους φορείς της δια­δι­κα­σίας εμβο­λια­σμού».

Ανα­λυ­τι­κό­τερα, η Αρχή ανα­φέ­ρει στην ανα­κοί­νωσή της τα εξής:

«Η Αρχή κίνησε από τα τέλη Ιουλίου 2022 αυτε­πάγ­γελτη έρευνα σε σχέση με δρα­στη­ριό­τη­τες εγκα­τά­στα­σης και χρήσης κατα­σκο­πευ­τι­κού λογι­σμι­κού στην Ελλάδα, ιδίως σε σχέση με το λογι­σμικό παρα­κο­λού­θη­σης που ανα­φέ­ρε­ται ως “Predator”. Η Αρχή συσχέ­τισε κατά την ερευνά της και τις καταγγελίες-αναφορές που υπο­βλή­θη­καν από πέντε φυσικά πρόσωπα.

Η αρμο­διό­τητα της Αρχής σε τέτοιες περι­πτώ­σεις πηγάζει τόσο από τον Γενικό Κανο­νι­σμό Προ­στα­σίας Δεδο­μέ­νων (ΕΕ) 2016/679 (ΓΚΠΔ), όσο και από την ειδική νομο­θε­σία (e-privacy) για την προ­στα­σία των προ­σω­πι­κών δεδο­μέ­νων στις ηλε­κτρο­νι­κές υπη­ρε­σίες.

Συγκε­κρι­μένα, οι δρα­στη­ριό­τη­τες εγκα­τά­στα­σης και χρήσης λογι­σμι­κού παρα­κο­λού­θη­σης σε τερ­μα­τι­κές συσκευές κινητής τηλε­φω­νίας χρηστών, εν αγνοία τους, συνι­στούν παρα­βί­αση της οικείας νομο­θε­σίας (άρθρο 4 παρ. 5 του ν. 3471/2006, όπως έχει τρο­πο­ποι­η­θεί και ισχύει ‒ ο εν λόγω νόμος μετα­φέ­ρει στο εθνικό δίκαιο την οδηγία 2002/58/ΕΚ μετά και την τρο­πο­ποί­ησή της από την οδηγία 2009/136/ΕΚ), ενώ και η τυχόν συνα­κό­λουθη συλλογή και επε­ξερ­γα­σία των προ­σω­πι­κών δεδο­μέ­νων, τα οποία συλ­λέ­γο­νται από τέτοιο λογι­σμικό, εμπί­πτει εντός του πεδίου εφαρ­μο­γής του ΓΚΠΔ, στον βαθμό που τα συλ­λε­γό­μενα δεδο­μένα σχε­τί­ζο­νται με τις ενέρ­γειες ενός συν­δρο­μητή ή χρήστη φυσικού προ­σώ­που (υπο­κει­μέ­νου των δεδο­μέ­νων).

Η Αρχή συνέ­στησε ομάδα έρευνας για την εν λόγω υπόθεση και έχει προβεί σε συγκε­κρι­μέ­νες ενέρ­γειες, με βάση τα ευρή­ματα που προ­έ­κυ­ψαν κατά την εξέλιξη της έρευνάς της, στις οποίες συγκα­τα­λέ­γο­νται η έκδοση προ­σω­ρι­νών δια­τα­γών για την ανα­στολή δια­γρα­φής προ­σω­πι­κών δεδο­μέ­νων, η διε­νέρ­γεια ερευνών και επι­τό­πιων ελέγχων σε ιδιω­τι­κές εται­ρείες και δημό­σιους φορείς, η συλλογή στοι­χείων και πλη­ρο­φο­ριών από εται­ρείες και φορείς εντός και εκτός Ελλάδας (όπως ενδει­κτικά από την Εθνική Αρχή Δια­φά­νειας (ΕΑΔ), την Ανε­ξάρ­τητη Αρχή Δημο­σίων Εσόδων (ΑΑΔΕ), το Citizen Lab, την Google, τη Meta, εται­ρείες παροχής υπη­ρε­σιών απο­στο­λής μηνυ­μά­των SMS μέσω δια­δι­κτύου, εται­ρείες παροχής υπη­ρε­σιών φιλο­ξε­νίας ιστο­σε­λί­δων), η έκδοση από­φα­σης επι­βο­λής προ­στί­μου σε μία από τις ελεγ­χό­με­νες εται­ρείες, λόγω μη συνερ­γα­σίας με την Αρχή, και η ενη­μέ­ρωση των εισαγ­γε­λι­κών αρχών επί των ευρη­μά­των στον αντί­στοιχο χρόνο εντο­πι­σμού τους.

Με βάση τα έως τώρα στοι­χεία, έχει δια­πι­στω­θεί ότι πραγ­μα­το­ποι­ή­θη­καν από­πει­ρες εγκα­τά­στα­σης κατα­σκο­πευ­τι­κού λογι­σμι­κού προς πολυά­ριθ­μους χρήστες κινητής τηλε­φω­νίας στην Ελλάδα. Μια τέτοια από­πειρα πραγ­μα­το­ποιεί­ται μέσω απο­στο­λής μηνύ­μα­τος SMS προς τον αριθμό κινητού τηλε­φώ­νου ενός αποδέκτη-στόχου. Τα μηνύ­ματα SMS αυτού του είδους περιέ­χουν σύντομο κείμενο και σύν­δε­σμο σε ιστο­σε­λίδα, ο οποίος είναι παρα­πλα­νη­τι­κός, καθώς έχει μεγάλη ομοιό­τητα με μια πραγ­μα­τική ιστο­σε­λίδα. Στην περί­πτωση κατά την οποία ο απο­δέ­κτης του μηνύ­μα­τος SMS ενερ­γο­ποι­ή­σει τον σύν­δε­σμο που περιέ­χε­ται σε αυτό, επι­λέ­γο­ντάς τον, τότε λαμ­βά­νει χώρα εγκα­τά­σταση του κατα­σκο­πευ­τι­κού λογι­σμι­κού στη συσκευή του. Τα μηνύ­ματα SMS έχουν απο­στα­λεί μέσω υπη­ρε­σιών δια­δι­κτύου (Web to SMS) με χρήση προ­πλη­ρω­μέ­νων καρτών. Επι­ση­μαί­νε­ται ειδικά ότι σε αυτά τα μηνύ­ματα SMS δια­πι­στώ­θηκε ότι τα στοι­χεία του απο­στο­λέα υπήρξαν τρο­πο­ποι­η­μένα και ότι δεν αντι­στοι­χούν στον πραγ­μα­τικό απο­στο­λέα, προ­κει­μέ­νου να παρα­πλα­νά­ται ο παρα­λή­πτης τους για να ενερ­γο­ποιεί τον περιε­χό­μενο σύν­δε­σμο ιστο­σε­λί­δας και με τον τρόπο αυτό να εγκα­θί­στα­ται το κατα­σκο­πευ­τικό λογι­σμικό.

Κατά τις έρευνές της η Αρχή εντό­πισε πάνω από 350 μηνύ­ματα SMS τα οποία σχε­τί­ζο­νται με τις παρα­πάνω από­πει­ρες, εκ των οποίων πάνω από 220 περιεί­χαν παρα­πλα­νη­τικό σύν­δε­σμο ιστού. Πάνω από 120 μηνύ­ματα πιθα­νο­λο­γεί­ται ότι έχουν σταλεί για λόγους δοκιμής προς αταυ­το­ποί­ητα κινητά προ­σω­ρι­νής, σύντο­μης χρήσης (“burner phones”). Η Αρχή έχει ήδη απο­στεί­λει ανα­λυ­τική ενη­μέ­ρωση προς τους συν­δρο­μη­τές και χρήστες 92 τηλε­φω­νι­κών αριθμών οι οποίοι έλαβαν μήνυμα SMS με τα παρα­πάνω χαρα­κτη­ρι­στικά.

Επι­ση­μαί­νε­ται, ειδικά, ότι ολι­γά­ριθμα μηνύ­ματα SMS φάνηκε αρχικά να σχε­τί­ζο­νται με την ηλε­κτρο­νική εφαρ­μογή εμβο­λια­σμού της ελλη­νι­κής Κυβέρ­νη­σης. Η ομάδα ελέγχου της Αρχής διε­νήρ­γησε επι­τό­πιο έλεγχο στην εν λόγω εφαρ­μογή, από τον οποίο δια­πι­στώ­θηκε ότι τα παρα­πλα­νη­τικά αυτά μηνύ­ματα δεν εστά­λη­σαν εν τέλει από αυτή την εφαρ­μογή. Εξε­τά­ζο­ντας τα δια­θέ­σιμα στοι­χεία, η Αρχή έκρινε ότι δεν προ­κύ­πτει περι­στα­τικό παρα­βί­α­σης (διαρ­ροής) δεδο­μέ­νων από τους επί­ση­μους φορείς της δια­δι­κα­σίας εμβο­λια­σμού.

Η Αρχή έχει ενη­με­ρώ­σει και θα συνε­χί­ζει να ενη­με­ρώ­νει τις εισαγ­γε­λι­κές αρχές για τα ευρή­ματα της έρευνάς της, όσο αυτή είναι σε εξέλιξη. Στην παρούσα φάση, η Αρχή δεν δια­θέ­τει στοι­χεία, από τα οποία να είναι δυνατή η ταυ­το­ποί­ηση συγκε­κρι­μέ­νου υπευ­θύ­νου επε­ξερ­γα­σίας (φυσικού ή νομικού προ­σώ­που) για τις δρα­στη­ριό­τη­τες εγκα­τά­στα­σης και χρήσης του υπό διε­ρεύ­νηση κατα­σκο­πευ­τι­κού λογι­σμι­κού, αλλά επι­ση­μαί­νει ότι τόσο οι έρευνές της, όσο και η εξέταση της υπό­θε­σης, βρί­σκο­νται ακόμα σε εξέλιξη.

Επι­πλέον, η Αρχή, στο πλαίσιο των αρμο­διο­τή­των της που απορ­ρέ­ουν από τον Γενικό Κανο­νι­σμό (ΕΕ) 2016/679 για την Προ­στα­σία Δεδο­μέ­νων έχει κινήσει τις δια­δι­κα­σίες συνερ­γα­σίας με τις επο­πτι­κές αρχές άλλων κρατών μελών για τη διε­ρεύ­νηση της υπό­θε­σης και τον έλεγχο των εται­ρειών και φορέων που ενδέ­χε­ται να εμπλέ­κο­νται σε αυτή και βρί­σκο­νται εντός Ε.Ε., αλλά εκτός Ελλάδας».

Πηγή ΑΠΕ-ΜΠΕ

Παν. Τσι­μπού­κης