Một người đàn ông đã xây dựng một đế chế spyware tuyên bố: đây là thời điểm ngành hack nên lộ diện

Shalev Hulio muốn giải thích về những hành động của mình.

Theo cuộc phỏng vấn được đăng tải trên MIT Technology Review của Patrick Howell O'Neill, một nhà báo chuyên về công nghệ và an ninh mạng. 

Thường thì, sự yên lặng và kín đáo là hai phẩm chất không thể thiếu của ngành gián điệp. Trong suốt 9 năm qua, Hulio không bao giờ đề cập công ty hack tỷ đô của mình một cách công khai - ngay cả khi công cụ hack của anh dính líu tới những vụ việc nổi tiếng, và cả khi anh bị buộc tội liên quan đến lạm dụng nhân quyền. Gần đây, Hulio đã lên tiếng trước công chúng.

“Mọi người không hiểu về cách hoạt động của công việc tình báo”, Hulio nói với tôi trong một cuộc phỏng vấn điện thoại khi anh đang ở Tel Aviv, Israel. “Đó không phải là công việc dễ dàng. Không dễ chịu một chút nào. Tình báo là một mảng kinh doanh đáng sợ mà đầy những tình huống đạo đức phức tạp”.

Công ty NSO Group do Hulio dẫn dắt là một công ty spyware - phần mềm gián điệp lớn nhất thế giới. Nó đang nằm ở trung tâm của một ngành công nghệ đang phát triển mạnh mẽ, nơi mà các công ty nổi tiếng tìm kiếm các lỗ hổng trong phần mềm, phát triển ra các lỗ hổng để khai thác thông tin và bán malware cho các chính phủ trên toàn thế giới. Công ty có trụ sở tại Israel và liên quan đến nhiều vụ việc tai tiếng trên khắp thế giới.

Mười năm sau khi thành lập công ty, Hulio làm một điều không ai trong ngành này nghĩ tới: anh công khai nói về NSO Group, về ngành hack và về tính minh bạch sẽ ảnh hưởng ra sao tới các công ty spyware. Anh cho rằng đây là điều quan trọng nhất mà ngành hack có thể làm ở thời điểm này: “Chúng tôi bị nhiều bên buộc tội, mà cũng với những lý do vài phần xác đáng, rằng đã không đủ minh bạch trong các hoạt động của mình”.

Một nền văn hóa của sự im lặng tồn tại

Với vị trí là cựu chỉ huy trong quân đội Israel và sau đó là một nhà đầu tư tập trung vào nghiên cứu, phát triển công ty cho phép truy cập điện thoại từ xa, Hulio nói rằng anh thành lập NSO Group vào năm 2010, với sự hỗ trợ từ các cơ quan tình báo Châu Âu. Lúc đó, NSO tự xưng là doanh nghiệp hàng đầu thế giới trong chiến tranh mạng. 

NSO trở nên nổi tiếng từ năm 2016, khi nhóm nghiên cứu an ninh tại Citizen Lab chỉ ra mối liên hệ giữa Pegasus - sản phẩm hàng đầu của NSO - với một vụ cài đặt spyware đình đám. NSO im lặng, một phần là do quy định của cơ quan chủ quản: năm 2014, công ty tư nhân Francisco Partners mua lại NSO với giá 100 triệu USD, và họ áp đặt chính sách “không tiếp xúc với báo chí” một cách triệt để. Hulio nói rằng quy định này tạo ra một nền văn hóa của sự im lặng gây ra nhiều vấn đề.

“Không tham gia phỏng vấn - chúng tôi không thể nói chuyện với nhà báo, trừ câu ‘không có bình luận gì thêm’”, Hulio nói. “Điều này gây ra nhiều tranh cãi xung quanh chúng tôi, vì mỗi lần bị cáo buộc lạm dụng điều này thì chúng tôi không thể bình luận gì”.

Hulio cho rằng đây là một sai lầm mà các công ty tình báo tương tự NSO nên tránh trong tương lai. “Ngành hack cần phải minh bạch hơn. Mỗi công ty cần biết rõ mình đang bán [dữ liệu] cho ai, ai là khách hàng, và mục đích sử dụng là gì”.

Thực tế, vụ hack năm 2016 đã làm nổi danh NSO - gửi một tin nhắn kèm link cài spyware lên máy người nhận - đưa cho chúng ta và các nhà nghiên cứu bảo mật cái nhìn rõ ràng hơn về cách thức xâm nhập ngày càng tinh vi hơn. Tin nhắn sử dụng kỹ thuật “zero-click”, tức là lây nhiễm phần mềm độc hại lên máy nhận mà không cần người dùng thực hiện bất kỳ hành động nào. Có những cách cài phần mềm gián điệp lên điện thoại mà tránh được hệ thống báo động và không để lại dấu vết.

“Các công ty hack đề xuất: tội phạm cũng như khủng bố có thể ẩn mình thông qua mã hóa, nên các quốc gia cần có khả năng đuổi theo chúng tại hang ổ”, John Scott-Railton, một nhà nghiên cứu kỳ cựu tại Citizen Lab, nói. “Các công ty bán những kỹ thuật hack ngày càng trở nên im lặng. Không chỉ WhatsApp có lỗ hổng. Chúng tôi cũng nhận thấy lỗ hổng trên iMessage, phần mềm SS7, có khả năng truyền tải kỹ thuật zero-click. Việc xác định quy mô vấn đề gần như là không thể. Chúng tôi chỉ có thể phỏng đoán và chỉ biết một số người tham gia. Thị trường ngày càng mở rộng, nhưng lại thiếu thông tin nghiêm trọng về việc lạm dụng”.

Hiểu và đánh giá đúng quy mô của ngành công nghiệp hack không bao giờ dễ dàng. Các kỹ thuật phát hiện và điều tra trở nên hiếm hơn, khi các kỹ thuật hack ngày càng tinh vi và kín đáo hơn. Vì vậy, việc phát hiện hành vi hack và lạm dụng càng trở nên khó khăn.

Hulio đồng ý với nhận định rằng ngành công nghiệp hack đang lùi dần vào bóng tối. Khi được hỏi về việc liệu các công ty hàng đầu đã cố gắng giải thích mọi thứ một cách minh bạch, anh lắc đầu:

“Thực tế, tôi thấy mọi thứ đang diễn ra ngược chiều. Ngành công nghiệp hack đang ngày càng tránh xa các quy định. Tôi nhận thấy nhiều công ty đang cố che giấu hoạt động của mình. Điều này gây hại cho cả ngành công nghiệp nói chung”.

Tránh việc phải minh bạch

Hulio khẳng định NSO đang diễn ra theo hướng ngược lại, khi đang cố gắng thích ứng với sự thay đổi dưới sự lãnh đạo mới. Dù phải đối mặt với các cáo buộc lạm dụng Pegasus và vướng vào vụ kiện liên quan đến ứng dụng nhắn tin WhatsApp, Hulio vẫn kiên định rằng công ty đang trải qua những thay đổi. Một ví dụ rõ ràng là việc anh đang mở cửa với báo chí, kèm với những chính sách quản lý mới mà công ty thiết lập. Tuy nhiên, việc chuyển đổi không hề dễ dàng khi NSO tiếp tục đối mặt với các cáo buộc mới.

Hulio cũng nói rằng các đối thủ của NSO đang tránh né trách nhiệm phải giải trình và minh bạch bằng cách di chuyển hoạt động đến các quốc gia có quy định pháp lý lỏng lẻo.

“Họ đang thành lập các công ty ở những quốc gia với quy định pháp luật không chặt chẽ. Tôi thấy nhiều công ty cố gắng che giấu hoạt động của mình bằng cách thay đổi tên nhiều lần. Hoặc thông qua việc phát triển nghiên cứu ở một cơ sở, tiến hành bán hàng qua một công ty khác rồi thực hiện hoạt động thông qua một công ty thứ ba, khiến cho việc theo dõi hoạt động của họ gần như là không thể”.

NSO Group cũng thực hiện điều tương tự, khi họ xuất hiện dưới nhiều tên gọi khác nhau như Q Cyber Technologies tại Israel hay OSY Technologies tại Luxembourg, NSO cũng có cơ sở tại Bắc Mỹ với tên gọi Westbridge. Nhân viên của NSO phân bố trên toàn thế giới. Trong nhiều năm hoạt động, NSO đã tạo ra một mạng lưới phức tạp, làm cho việc theo dõi các giao dịch, các hoạt động của công ty trở nên gần như là không thể.

Vậy 'trách nhiệm giải trình' cụ thể là gì? Khi NSO Group lần đầu tiên xuất hiện, Hiệp định Wassenaar, một thỏa thuận quan trọng về xuất khẩu vũ khí và thiết bị điện tử kép, chưa có luật về các thiết bị điện tử cao cấp như máy tính và thiết bị công nghệ thông tin. Trên phạm vi toàn cầu, ngành công nghiệp hack vẫn rất kín đáo và mơ hồ, nên việc hiểu và đánh giá sức mạnh và khả năng của họ trở nên ngày càng khó khăn.

“Có nhiều lỗ hổng. Không phải tất cả các quốc gia đều tham gia Hiệp định Wassenaar. Tôi nghĩ việc đạt được thỏa thuận quốc tế là rất khó khăn. Rõ ràng, ý tưởng về một cái gì đó 'quốc tế' luôn là ý tưởng tốt, nhưng phải thừa nhận rằng có những quốc gia có chính sách thuế rất lỏng lẻo, có những quốc gia nới lỏng quy định về xuất khẩu. Cần có quy trình điều lệ toàn cầu cho những quốc gia đó”.

Ai là mục tiêu của các kỹ thuật hack tinh vi này?

Nhưng ai sẽ đứng ra chịu trách nhiệm khi những thế lực lớn sở hữu những công cụ gián điệp mạnh mẽ này để áp dụng vào đối thủ của họ? Màn đêm bao phủ càng ngày càng rộng lớn, khiến cho ánh sáng của sự thật trở nên mờ nhạt hơn từng ngày.