Birn: Srbija uvozi opremu za masovni nadzor mobilnih komunikacija - Da li je ovakvo "prisluškivanje" krivično delo?

Zvanično, IMSI kečeri se koriste za prikupljanje obaveštajnih podataka, u krivičnim istragama i potragama. Međutim, oni omogućavaju i masovni nadzor velikog broja ljudi u određenim područjima, na šta organizacije civilnog društva i zagovornici digitalnih prava upozoravaju već godinama.

- Ovi uređaji nemaju ograničenja, mogu se koristiti na bilo kojoj lokaciji i u bilo kojoj situaciji, kontinuirano prateći veliki broj korisnika istovremeno - rekao je IT stručnjak koji je želeo da ostane anoniman.

On je rekao da postoje različite verzije, uključujući stacionarne uređaje velikog kapaciteta, prenosivi modeli u rancu, uređaji veličine kofera, pa čak i dronovi u poslednjih nekoliko godina. Najčešće se koriste u urbanim područjima, gde postoji gusta pokrivenost baznim stanicama.

Matej Kovačič, istraživač u oblasti sajber bezbednosti i predavač na Univerzitetu u Novoj Gorici u Sloveniji, izjavio je za Birn da, kada se koriste u prometnim mestima poput tržnih centara ili urbanih centara, IMSI kečeri prikupljaju podatke ne samo o ciljanim uređajima, već i o svima koji se nalaze u radijusu od nekoliko stotina metara.

Naglašavajući da je prisluškivanje bez sudskog naloga krivično delo, Jelena Pejić Nikić postavila je pitanje kako operater IMSI kečera može izolovati samo uređaje obuhvaćene takvim sudskim nalogom.

- Ako je to tehnički moguće, onda je pitanje kako se vrši nadzor nad primenom i kontroliše da li je došlo do prekomerne upotrebe, odnosno zloupotrebe - rekla je Pejić Nikić za Birn.


Pejić Nikić je naglasila da "ne postoji zakonska osnova" za upotrebu ovakve tehnologije u kontekstu antivladinih protesta, koji se u Srbiji ponavljaju već godinama.

- Takva upotreba ne bi bila ni legitimna ni proporcionalna, ozbiljno ugrožavajući ne samo pravo na zaštitu ličnih podataka, već i slobodu izražavanja i okupljanja - rekla je ona.

Upozorila je da upotreba IMSI kečera "očigledno zaobilazi mobilne operatere, koji su inače obavezni da provere da li su svi zahtevi koje dobijaju zasnovani na sudskim nalozima i da odbace one koji su nepotpuni."

Matej Kovačič je dodao da se zapisi IMSI kečera mogu izbrisati i predložio da se razmotri osnivanje nezavisnog tela koje bi nadziralo njihovu upotrebu od strane policije i obaveštajnih službi.

Regulatorna agencija za elektronske komunikacije Srbije, Ratel, saopštila je za Birn da u poslednjih deset godina nije otkrila nijedan IMSI kečer u zemlji, niti su ih bezbednosne agencije obavestile o nameri njihove upotrebe.

IMSI kečer nije jeftina oprema.

U oktobru 2023. godine, kompanija NeoSoft iz Ciriha isporučila je dva uređaja – jedan srpskom Ministarstvu unutrašnjih poslova, a drugi obaveštajnoj agenciji BIA. Ministarstvo je za svoj uređaj platilo 1,95 miliona švajcarskih franaka, odnosno nešto više od 2 ml EUR.

Drugi uređaj je uvezen radi testiranja, a BIA ga nije dugo zadržala, potvrdio je švajcarski Državni sekretarijat za ekonomske poslove (SECO) za BIRN.

NeoSoft je već krajem 2016. godine isporučio svoj prvi IMSI kečer Ministarstvu unutrašnjih poslova, ali po znatno nižoj ceni od 147.000 švajcarskih franaka, odnosno 158.000 EUR.

Dokumenta koja je Birn dobio od finskog Ministarstva spoljnih poslova otkrivaju da je Srbija kupovala IMSI kečere i drugu opremu od kompanije EXFO, koja je specijalizovana za opremu za nadzor i komunikacije. Srbija je u protekloj deceniji, kako navodi Birn, uvezla najmanje 20 IMSI kečera od EXFO-a. Samo u februaru prošle godine, izdato je osam dozvola za izvoz ovih uređaja.

Još u maju 2016. godine, Srbija je nabavljala EXFO-ovu seriju NetHawk, dizajniranu za presretanje i geolokaciju mobilnih i Wi-Fi komunikacija, skeniranje radio frekvencija, ometanje signala i detekciju IMSI kečera.

Ovi uređaji dolazili su sa softverom NetHawk F10, namenjenim za "taktičko prikupljanje obaveštajnih podataka" u GSM, UMTS i LTE mrežama, pa čak i u oblastima koje nisu pokrivene baznim stanicama.

Srbija je, dodaje Birn, između 2015. i 2018. godine nabavljala IMSI kečere i iz Velike Britanije. Među dobavljačima bila je i londonska kompanija CellXion, koja je dobila dozvolu za isporuku alata za presretanje bežičnih komunikacija, ometanje signala i identifikaciju pretplatnika.

Još jedna britanska firma, TGL Services Ltd, dobila je privremenu dozvolu 2016. godine za izvoz IMSI kečera u Srbiju. Birn navodi da je početkom 2018 u Srbiju, radi demonstracije proizvoda i bez posrednika, stigao uređaj danske kompanije Chora, sa tarifnim brojem 5A001 f. – oprema za presretanje ili ometanje. Izvozna licenca nije precizirala podvrstu robe o kojoj je reč, ali dokumentacija potvrđuje da je uređaj namenjen za bezbednosne strukture- "Vojna/policijska/obaveštajna služba/ministarstvo spoljnih poslova/ministarstvo odbrane".


IMSI kečeri na domaćim rafovima

Bezbednosne agencije u Srbiji sada mogu da nabave ovu tehnologiju i na domaćem tržištu, navodi Birn. Dve srpske kompanije nude proizvode i usluge u oblasti presretanja mobilnih komunikacija: Ibis Instruments i MRG Export-Import.

Ibis Instruments reklamira usluge IMSI hvatanja, presretanja odlaznih SMS poruka i biranih brojeva, geolokacije i profilisanja korisnika na osnovu otvorenih izvora i karakteristika uređaja. Kompanija takođe tvrdi da može da blokira ili generiše SMS i glasovne pozive za bilo koju metu sa bilo kog broja.

MRG Export-Import, koji godinama isporučuje forenzičke alate za mobilne telefone Ministarstvu unutrašnjih poslova Srbije, nudi IMSI kečere brenda Septier. Takođe promoviše uređaj "Cellular Extractor", sposoban za geolokaciju telefona, presretanje razgovora i poruka, kao i za modifikaciju SMS poruka. U ponudi je i mini-IMSI kečer sa sličnim mogućnostima, ali sa ograničenim dometom do 100 metara.

Razmere uvoza sajber-nadzorne opreme u Srbiju nisu u potpunosti poznate. Većina zemalja koje je Birn kontaktirao radi informacija o izvozu u Srbiju odbila je da otkrije detalje, često pozivajući se na razloge nacionalne bezbednosti.

Mark Bromli, istraživač za robu dvostruke namene i transfere naoružanja u Stokholmskom međunarodnom institutu za istraživanje mira (SIPRI), rekao je da mnoge države Evropske unije skrivaju podatke o takvom izvozu, da ove kompanije često menjaju sedište, a neke invazivne tehnologije postoje isključivo u obliku softvera.

Prema njegovim rečima, odgovornost je na zemljama izvoznicama da prate šta se izvozi i gde.

"Međutim, postoje ograničenja u ovim mehanizmima nakon što se izvoz desi. Potreban je period naknadnog praćenja kako bi se proverila usklađenost i istražilo kako se tehnologija koristi u zemlji odredišta."