Pegasus 再打入歐洲議員手機：零點擊 spyware 點解仲咁難防
Citizen Lab 指 PEGA 委員任內至少三次中招，高風險手機要收緊設定
呢單案點解刺眼
Citizen Lab 話，希臘調查記者兼前歐洲議員 Stelios Kouloglou，喺 2022 至 2023 年做歐洲議會 PEGA spyware 調查委員會替補成員期間，部 iPhone 多次俾 NSO Group Pegasus 打入。TechCrunch 訪問入面，Kouloglou 形容件事好魯莽，NSO 同歐委會喺出稿前都冇回應。重點係，呢部電話當時可能放住委員會文件、訊息、行程同私人相片；攻擊者一旦攞到內容，委員會點傾、幾時出報告、邊個有 contact，都可以變成情報。
圖片：Citizen Lab
時間線太啱位
Citizen Lab 鑑證見到，Kouloglou 部機喺 2022 年 10 月 21 日中招；嗰陣 PEGA 正趕住準備第一份草擬報告，內容講 Cyprus、Greece、Hungary、Poland 同 Spain 幾單 spyware 濫用指控。同日佢喺希臘醫院做預約手術，仲同曾俾 Predator spyware 針對嘅記者 Thanasis Koukakis 見面；如果 spyware 當時開到咪高峰，病房對話同醫療私隱都有機會一齊外洩。到 2023 年 3 月 6、7 日，佢由 Athens 去 Brussels，委員會正處理最後報告前嘅密集討論，部機又再有 Pegasus 活動。呢種貼住行程同會議節奏嘅入侵，嚴重過單純某部電話中毒好多。
圖片：Apple
零點擊代表咩
今次鑑證指向 Apple iPhone 軟件漏洞，攻擊經 HomeKit／Messages 相關路徑落手，屬於 zero-click：你唔使撳連結、唔使開附件，部機都可以俾人打入。Citizen Lab 判斷，2022 同 2023 嗰幾日部機行緊 iOS 15.5；部分修補去到 iOS 16.1 同 16.3.1 先逐步補上。呢就係好多高風險用戶最容易出事嘅位：端到端加密只保護傳輸，手機 endpoint 一俾人入咗，Signal、WhatsApp、email、相片同位置資料喺機內都可能俾人讀到。
唔好恐慌，但要分級處理
Pegasus 呢類 mercenary spyware 貴、短命、用完易俾研究員追蹤，正常唔會攞嚟掃街式打一般用戶。Apple 官方都講，呢類通知主要針對因為自己身份或者工作而俾人盯上嘅極少數人，絕大部分用戶唔會遇到。但係「少數」唔等於「離地」：調查記者、律師、NGO、政界、金融交易團隊、公司高層、跨境出差同處理敏感資料嘅 IT 管理員，都要跟返自己角色評估風險。Apple notification 都唔係實時警鐘；Citizen Lab 見到佢收過三次通知紀錄，但佢本人話唔記得見過。高風險組織要有自己嘅資產盤點、更新節奏同支援渠道，唔好等平台提醒先補鑊。
iPhone 同 Android 可以點做
iPhone 高風險用戶，第一步係系統更新同打開自動更新；真係可能俾商業 spyware 盯上，就開 Lockdown Mode，預咗 Messages 附件、部分網頁技術、FaceTime 來電同 Apple 服務邀請會受限制。Android 方面，Google 喺 Android 16 加咗 Advanced Protection，會集中打開多層防護；部分裝置仲有 Intrusion Logging，方便日後做鑑證。呢啲模式會麻煩少少，但對高風險手機嚟講，少少唔方便換到少啲攻擊面，值。
公司同編輯部唔好只靠 BYOD 自覺
如果團隊入面有人處理敏感採訪、法律文件、交易文件或者人權個案，BYOD 政策要寫得實際啲：公司機同私人機分開、出差機預先清乾淨、MDM 只裝喺公司機、更新逾期就停用公司帳號、可疑 Apple／Google threat notification 即時搵外部鑑證支援。通訊 app 設定都要收緊，例如未知來電、群組邀請、附件自動下載同雲端備份權限；但最重要係清楚知道，加密 app 保護唔到一部已經失守嘅手機。
下一步睇咩
Citizen Lab 而家冇指名邊個政府客戶，仲特別講未見到希臘政府用 Pegasus 嘅技術指標；但係同一個 HomeKit email 曾出現喺針對歐洲俄語、白俄語記者同反對派人士嘅 Pegasus campaign，代表 operator 可能有跨多個歐洲司法區落手嘅授權。呢點要繼續追：手機 spyware 市場最難管嘅地方，就係買家、授權地區同實際目標之間永遠有層霧。
參考來源
- TechCrunch — Politician who investigated spyware abuses had his phone hacked with Pegasus spyware — original report
- Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus — 鑑證主來源，確認感染日期、iOS 版本、PWNYOURHOME zero-click、Apple 通知紀錄同未歸因判斷。
- Parliament establishes inquiry committee: Pegasus spyware — 歐洲議會官方背景，確認 PEGA 委員會成立同調查範圍。
- Pegasus spyware inquiry: MEPs outline necessary reforms — 歐洲議會官方背景，交代 PEGA 報告後嘅改革建議同時間線。
- About Lockdown Mode — Apple 官方解釋 Lockdown Mode 適用對象、限制同開啟方法。
- About Apple threat notifications and protecting against mercenary spyware — Apple 官方說明 mercenary spyware 通知點運作，同點分辨真假通知。
- Improve device security with Advanced Protection — Google 官方說明 Android Advanced Protection 點保護裝置同開啟方式。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
