من اللؤلؤة إلى بيغاسوس الحكومة البحرينية تخترق نشطاء عبر استغلال ثغرة “Zero-Click” من “NSO Group”

الملخص والنتائج الرئيسية

• لقد حددنا تسعة نشطاء بحرينيين تم اختراق أجهزتهم الآيفون باستخدام برنامج تجسس “Pegasus” من NSO Group في الفترة ما بين يونيو 2020 و فبراير 2021. بعض النشطاء قد تم اختراقهم باستغلال ثغرتين zero-click في iMessage, كنا قد سمينا الثغرتين التي تم اكتشافها في 2020 ب KISMET، أما الثغرة المستخدمة في 2021 فنسميها  FORCEDENTRY
• من ضمن النشطاء الذين قد تم اختراقهم، ثلاثة من أعضاء الوعد (تجمع سياسي علماني بحريني)، وثلاثة أعضاء من مركز البحرين لحقوق الإنسان، واثنين من النشطاء في المنفى، وعضو من الوفاق (تنظيم سياسي إسلامي شيعي بحريني).
• أربعة نشطاء على الأقل قد تم اختراقهم بواسطة LULU، وهو مشغّل بيغاسوس نعزوه بثقة عالية إلى الحكومة البحرينية، والتي تعد ذائعة الصيت بإساءة استخدام برامج التجسس. تعرض أحد النشطاء للاختراق في عام 2020، فقط بعد عدة ساعات من كشفه خلال مقابلة أن هاتفه قد تعرض للاختراق بواسطة Pegasus في عام 2019.
• اثنان من النشطاء الذين تعرضوا للاختراق يقيمان في لندن، وواحد منهم على الأقل قد كان في لندن حينما تعرض للاختراق. من خلال بحثنا كنا قد وجدنا أن حكومة البحرين تتجسس باستخدام Pegasus فقط في البحرين وقطر، وليس في أوربا. لذلك قد يكون الناشط البحريني الذي تم استهدافه في لندن قد تم اختراقه بواسطة مشغّل    Pegasus مرتبط بحكومة أخرى.
• شاركنا قائمة بأرقام الهواتف المستهدفة، والتي كنا قد حددناها، مع Forbidden Stories، والذين قد أكدوا أن خمسة من الأرقام مرتبطة بخمسة من الأجهزة المخترقة المدرجة في قائمة مشروع بيغاسوس للأهداف المحتملة لعملاء NSO Group، وهي البيانات التي وصفتها منظمة العفو الدولية “أمنستي” و Forbidden Stories بأنها تعود إلى عام 2016 وحتى السنوات البضع الماضية.
  .

1. حقوق الإنسان في البحرين: تاريخ من القمع الوحشي

• البحرين ملكية دستورية نظرياً، ولكن في الواقع، كل السلطات الرئيسية تتركز في أيدي العائلة الحاكمة “آل خليفة”. يتكون المجلس التشريعي البحريني من مجلس الشيوخ (مجلس الشورى) الذي يُعين من قبل الملك، ومجلس النواب (الجمعية الوطنية) والذي ينتخب من دوائر غير متساوية في عدد السكان، يتم تشكيلها لضمان عدم حصول المعارضة على الأغلبية. للبحرين تاريخ طويل من الحركات السياسية التي تسعى إلى إصلاح سياسي ديمقراطي أوسع.
• للبحرين تاريخ طويل في القمع الوحشي للمعارضين. بعد وصول الملك حمد إلى السلطة كأمير في عام 1999، شهدت الأوضاع السياسية والحقوقية تحسنا لفترة وجيزة. سمح الملك بإنشاء منظمات مجتمع المدني، بما فيها منظمات حقوق الإنسان، والصحف المستقلة، والأحزاب السياسية. بيد أنه قد تم التراجع عن هذه الإصلاحات بشكل تدريجي، و بحلول عام 2010، عادت السلطات البحرينية إلى ديدنها الطويل في اعتقال وتعذيب وكم أفواه المعارضة السياسية. لا يزال هناك القليل من بقايا المجتمع المدني البحريني حتى اليوم.
• توظّف البحرين العديد من الوسائل لحظر محتوى الإنترنت أو قمعه. تطبق البحرين الرقابة على الإنترنت باستخدام تقنية حجب المواقع من شركة “Netsweeper” الكندية، كما تلجأ إلى التشويش الممنهج على الإنترنت لإحباط التظاهرات. يتعرض البحرينيون الذين ينشرون على الإنترنت محتوى ينتقد الحكومة، للملاحقات من قبل وحدة الجرائم الإلكترونية في وزارة الداخلية، وكذلك يتعرضون للاعتقال.
• تراقب البحرين النشطاء الحقوقيين والمعارضين وأعضاء في المعارضة السياسية. تستخدم الحكومة بشكل متزايد برامج التجسس وضوابط الانترنت, وتستهدف الأفراد داخل البحرين وخارجها. منذ 2010 اشترت البحرين برامج تجسس من FinFisher و Hacking Team و NSO Group.

2. اختراق Pegasus للنشطاء البحرينيين

يبدو أن حكومة البحرين قد اشترت برنامج التجسس Pegasus التابع لمجموعة NSO Group في عام 2017. تقريرنا “لعبة الغمّيضة” حدد مشغّل Pegasus والذي يتجسس بشكل كامل في البحرين وقطر وأشرنا إليه باسم PEARL، والذي كان نشطاً منذ يوليو 2017.

لاحظنا ارتفاعاً عالمياً هائلاً في نشاط Pegasus في يوليو 2020، وبدأنا في إجراء الأبحاث في عدد من سياقات الدول، بما في ذلك البحرين. بحثنا عن Pegasus في البحرين عبر الطلب من الأشخاص المستهدفين إرسال سجلات هواتفهم لتحليلها، ومن خلال إعداد شبكات VPN للأهداف الرئيسية لمراقبة حركة مرور الإنترنت الخاصة بهم. قمنا بتحليل سجلات الهواتف باستخدام تقنيات التحليل خاصتنا، ووجدنا أن تسعة أجهزة تخص تسعة نشطاء بحرينيين قد تم اختراقها. في ثلاث حالات أكدت تقنيات التحليل الاختراق، ولكن لم نكن قادرين على تحديد التاريخ التقريبي للإختراق. ما يزال التحليل مستمراً في هذه الحالات لمعرفة ما إذا كان يمكن تحديد تواريخ أكثر دقة. أما في الحالات الستة المتبقية، فقد حدد تحليلنا بعض التواريخ الدقيقة عندما كان Pegasus نشطاً على الهواتف.

وافق الشخصان المستهدفان في لندن على ذكر أسمائهم، ولكن جميع المستهدفين في البحرين رغبوا في ذكر انتماءاتهم فقط، دون أسماء.

5. الخلاصة

رغم مرور نصف عقد على تورطها في انتهاكات حقوق الإنسان، تزعم NSO Group أنها ملتزمة بحماية حقوق الإنسان. وحتى أن الشركة قد نشرت “سياسة حقوق الإنسان“، و “تقرير الشفافية والمسؤولية“، وادعت تأييدها للمبادئ التوجيهية للأمم المتحدة بشأن الأعمال التجارية وحقوق الإنسان. بيد أن هذا الاهتمام المزعوم يتناقض بشكل كبير مع الكم المتزايد من الأدلة على أن برامج التجسس الخاصة بها تستخدم من قبل الأنظمة الاستبدادية لاستهداف نشطاء حقوق الإنسان والصحفيين وغيرهم من نشطاء المجتمع المدني.

مؤخراً كشف مشروع Pegasus -وهو تعاون ما بين منظمة العفو الدولية ومنظمة Forbidden Stories- أن مجموعة كبيرة من الحكومات قد استفادت من برنامج التجسس Pegasus لاستهداف نشطاء من المجتمع المدني وأصدقائهم وأفراد أسرهم في جميع أنحاء العالم. في سياق هذا التقرير، شاركنا مع Forbidden Stories قائمة بأرقام الهواتف المستهدفة التي حددناها. وقد أكدوا أن الأرقام المرتبطة بخمسة من الأجهزة المخترقة مدرجة في قائمة مشروع Pegasus للأهداف المحتملة لعملاء مجموعة NSO، وهي البيانات التي وصفتها منظمة العفو الدولية “أمنستي” و Forbidden Stories بأنها تعود إلى عام 2016 وحتى السنوات البضع الماضية.

إساءة استخدام البحرين لبرامج التجسس NSO كانت متوقعة بشكل مأساوي

بينما تحاول NSO Group بانتظام تشويه سمعة تقارير الانتهاكات، تتضمن قائمة عملائها العديد من المسيئين لاستخدام تكنولوجيا المراقبة. يعتبر بيع Pegasus إلى البحرين -بشكل خاص- أمراً فظيعاً، مع الأخذ في الاعتبار أن هناك أدلة مهمة وقديمة وموثقة على إساءة استخدام البحرين المتسلسل لمنتجات المراقبة بما في ذلك Trovicor و FinFisher و Cellebrite ، والآن NSO Group.

كما هو موضح في هذا التقرير، فإن سجل البحرين في مجال حقوق الإنسان ذائع الصيت بسوء السمعة والانتهاكات الجسيمة:

• وفقًا لمؤسسة فريدوم هاوس ، أصبحت البحرين “واحدة من أكثر دول الشرق الأوسط قمعاً” ، و “قضت بشكل منهجي على مجموعة واسعة من الحقوق السياسية والحريات المدنية، وفككت المعارضة السياسية، وقمعت بشدة المعارضة المستمرة بين السكان الشيعة.”
• في عام 2019، قالت هيومن رايتس ووتش إن السلطات البحرينية شاركت في “قمع بلا هوادة” و “قضت فعليًا على كل المعارضة”.
• في عام 2017، لاحظ المفوض السامي للأمم المتحدة لحقوق الإنسان “زيد بن رعد الحسين” أن “حكومة البحرين قد فرضت قيودًا صارمة على المجتمع المدني والنشاطات السياسية من خلال الاعتقالات والترهيب وحظر السفر وأوامر الإغلاق، مع تزايد التقارير عن التعذيب من قبل السلطات الأمنية”، مضيفًا أن” الفضاء الديمقراطي في البلاد قد أُغلق بشكل كامل”.
• يتعرض المدافعون البحرينيون عن حقوق الإنسان للسجن والمراقبة والترهيب في الداخل، كما يتعرض من هم في المنفى للقمع العابر لحدود باستخدام الوسائل الرقمية والتقليدية للقمع.

إن انتهاكات حقوق الإنسان هذه، وعمليات المبيعات السابقة لتقنيات المراقبة هي كلها أمور يجب أن تكون جزء من سجل متاح للعموم. كان ينبغي أن تكون “الإشارات الحمراء” واضحة إن كانت مجموعة NSO مهتمة حقاً بضمان الحيطة الواجبة المناسبة لعملائها. حقيقة أن البحرين استخدمت برنامج التجسس التابع لمجموعة NSO لاستهداف المعارضين السياسيين والناشطين -بالنظر إلى سجل الدولة- كان متوقعًا. إن قيام NSO Group ببيع Pegasus إلى البحرين في ضوء هذا الدليل هو إهمال جسيم باسم الربح.

الحماية من هجمات Zero-Click تتطلب مقايضات

نعتقد أنه كان من الممكن منع الهجمات المحددة والتي ذكرناها في هذا التقرير عن طريق تعطيل FaceTime و iMessage. بيد أن NSO Group كانت قد نجحت في استغلال ثغرات في برامج مراسلة أخرى في الماضي؛ مثل WhatsApp.

بالتالي، فإن تعطيل iMessage و FaceTime لن يوفر حماية كاملة من هجمات Zero-Click أو برامج التجسس. بالإضافة إلى ذلك، فإن تعطيل iMessage يعني أن الرسائل التي يتم تبادلها عبر تطبيق الرسائل المدمج من Apple سيتم إرسالها بشكل غير مشفر (أي “رسائل خضراء” بدلاً من “رسائل زرقاء”)، مما يجعل اعتراضها سهلاً للغاية.

6. شكر وتقدير

تم دعم عمل علي عبد الإمام في هذا المشروع من قبل Access Now. تم تقديم الدعم المالي لهذا البحث من قبل مؤسسة جون دي وكاثرين تي ماك آرثر, مؤسسة Ford, مؤسسة Open Societies, مؤسسة Oak وصندوق Sigrid Rausing

شكر مايلز كينيون و ماري زو للتواصل و التصميم ودعم التحرير. و شكر لآدم صنفت و بحر عبد الرزاق للمراجعة التحريرية