Citizen Lab, bu yıl Sırbistan'daki bir öğrenci aktivistinin telefonunun Pegasus ile enfekte edildiğini ayrıntılı olarak analiz ederek ortaya çıkardı. Bu saldırı, Apple'ın iMessage uygulaması üzerinden "zero-click" saldırısı olarak gerçekleştirildi. Yani öğrenci herhangi bir şüpheli linke tıklamak veya belge açmak zorunda kalmadan bile saldırganlar telefonuna erişebildi.
Bu, Sırbistan'daki Pegasus kullanımıyla ilgili ilk olay değil. Amnesty International, Mart 2025'te BIRN gazetecilerinin aynı yazılım hedef alındığını açıkladı ve organizasyon, bu saldırılarda bir veya daha fazla Sırp devlet aktörü veya onların adına hareket eden kişilerin yer aldığına dair "yüksek olasılığa" sahip olduğunu belirtti. Amnesty, Pegasus'un daha önce Sırbistan'daki sivil toplum üyelerine de yönelik olarak kullanıldığını da kaydetti.
Ancak şimdi ortaya çıkan hikaye çok daha eski ve farklı bir gerekçeyle başlıyor: teröristlerle ve en tehlikeli suçlularla mücadele. Pegasus, İsrail merkezli NSO Group tarafından geliştirilen bir yazılımdır. 2010 yılında kurulan şirket, devlet güvenlik güçlerine, mobil telefonlara erişim sağlayan teknoloji sunarak uzmanlaşmıştır.
NSO, ürünlerinin siyasi muhalifler, gazeteciler veya protestocuların izlenmesi için kullanılmadığını defalarca vurguladı. Şirketin müşterileri yalnızca yetkili devlet istihbarat ve polis birimleridir ve teknoloji ağır suçlar ve terörist saldırıları araştırmak ve önlemek için kullanılır.
Ayrıca Pegasus Project'te yer alan OCCRP, NSO'nun programını yalnızca hükümetlere sattığını ve herhangi bir insan hakları ihlali veya terörle mücadele dışında kullanımı şirket kurallarına aykırı olduğunu iddia ediyor.
Ancak Pegasus'un amacı ile gerçekte nasıl kullanıldığı arasındaki uçurum, bu İsrailli programı küresel bir skandala dönüştürdü.
Pegasus, başarılı bir saldırı sonrasında telefon sahibine ait büyük miktarda veriye erişim sağlayabilir: mesajlar, e-postalar, fotoğraflar, iletişim geçmişi ve hatta mikrofon ve kamera. Yani, kişinin her zaman yanındayken taşıdığı cihaz, onun izlenmesi için bir araç haline gelebilir.
Pegasus zamanla geliştirildi. Eski saldırılar genellikle kurbanın bir mesaj alıp özel olarak hazırlanmış bir linke tıklaması gerektirirdi. Amnesty International, bu tür "one-click" saldırıların Sırbistan, Polonya, Hindistan ve Meksika gibi ülkelerde de belgelendiğini belirtti.
Daha sonra çok daha tehlikeli "zero-click" saldırılar geliştirildi, burada telefon sahibi hiçbir şey yapmadan bile enfekte edilebilir. Citizen Lab, FT'ye göre en son Sırbistan vakasında da tam olarak bu tür bir enfeksiyonun iMessage üzerinden gerçekleştiğini tespit etti.
2021 yılında Pegasus Project uluslararası araştırma, durumu daha net hale getirdi. Forbidden Stories tarafından koordine edilen ve Amnesty International ve 80'den fazla gazeteciyi içeren bu proje, NSO teknolojisinin potansiyel müşterilerine ait 50.000'den fazla telefon numarasını içeren bir veri tabanına erişmeyi başardı.
Önemli bir sınırlama, listede yer alan bir sayının o telefonda gerçekten haklonup olmadığına dair kanıt olmamasıdır. Ancak, o dönemde analiz edilen 67 telefonun 37'sinde Pegasus aktivitesi izlendi. Listedeki 1.000'den fazla kişinin kimliği belirlenen kişiler arasında en az 188 gazeteci vardı.
Pegasus Project, NSO'nun potansiyel müşterilerini 11 ülkeye bağladı: Azerbaycan, Bahreyn, Macaristan, Hindistan, Kazakistan, Meksika, Fas, Ruanda, Suudi Arabistan, Togo ve Birleşik Arap Emirlikleri.
Potansiyel hedefler sadece suçla suçlanan kişilerle sınırlı değildi.
Meksika'dan ilk büyük alarm geldi. Citizen Lab, 2017 yılında NSO altyapısına bağlı saldırılarla Meksika gazetecilerini ve insan hakları savunucularını hedef aldığını ortaya çıkardı. Araştırmacılar, Pegasus enfeksiyonu için tasarlanmış 76'dan fazla bağlantılı mesaj buldular.
On gazeteci ve insan hakları aktivisti, bir Amerikan vatandaşı ve hatta küçük bir çocuk hedef alındı.
Pegasus Project daha sonra en az 25 Meksika gazetecinin iki yıl boyunca potansiyel hedef olarak seçildiğini ortaya çıkardı. Bunlar arasında gazeteci Sesilio Pineda vardı, telefon numarası öldürülmesinden birkaç hafta önce seçildi. NSO, Pineda'nın ölümle ilgili olası bağlantıları reddetti.
Pegasus ile en ünlü olaylardan biri, Suudi Arabistanlı gazeteci Djamal Kaşoçi'nin çevresindeki kişilerle ilgilidir.
Kaşoçi, Ekim 2018'de İstanbul'daki Suudi Konsolosluğunda öldürüldü. Amnesty daha sonra, sevgilisi Hatice Cengiz'in telefonuna Kaşoçi'nin ölümünden sadece dört gün sonra Pegasus'un başarıyla yüklendiği ortaya çıktı.
Kaşoçi'nin eşi Hanan Elatar da Eylül 2017 ile Nisan 2018 arasında yapılan saldırılara defalarca hedef oldu ve oğlu Abdulah da potansiyel bir hedef olarak belirlendi. Amnesty tarafından belirtildiği gibi, bu listedeki olaylar devam ediyor.
Hindistan'da Pegasus Project'e göre, 2017 ile 2021 yılları arasında neredeyse tüm büyük medya kuruluşlarından en az 40 gazeteci potansiyel hedef olarak seçildi. Forensik analizler, Sidarta Varadarajan ve MK Venua gibi bağımsız haber portalı The Wire'ın kurucularının telefonlarında Pegasus'u buldu.
Azerbaycan'da Pegasus Project'e göre 40'tan fazla gazeteci potansiyel hedef olarak belirlendi. Amnesty International, gazeteci Sevinç Vagifgizi'nin iki yıldan uzun süre boyunca enfekte edildiğini ortaya çıkardı.
Potansiyel hedefler arasında Reuters, Associated Press, CNN, New York Times ve Financial Times gibi ünlü medya kuruluşlarının gazetecileri de yer aldı. En ünlü isimlerden biri FT Genel Yayın Yönetmeni Rula Kalaf'tı.
