Pegasus, Predator a Paragon se často objevují ve stejných zprávách o napadených telefonech novinářů, politiků, diplomatů nebo aktivistů. Nejde však o tři názvy stejného programu. Pegasus je spyware společnosti NSO Group, Predator je spojován se společností Cytrox a skupinou Intellexa a Paragon Solutions je výrobce nástroje nazvaného Graphite.
Jednotlivé systémy se liší technickým provedením, způsobem napadení i rozsahem funkcí. Spojuje je však základní princip: jde o vysoce specializovaný komerční spyware určený k cílenému sledování konkrétních osob.
Spyware, který nepotřebuje ukrást telefon
Běžný škodlivý software se často snaží přimět co největší počet lidí, aby otevřeli přílohu, nainstalovali falešnou aplikaci nebo zadali heslo na podvodné stránce. Komerční špionážní nástroje fungují jinak. Útok může být připravený pro jediného konkrétního člověka a využívat zranitelnosti, které nejsou veřejně známé.
Některé infekční řetězce vyžadují kliknutí na podstrčený odkaz. Jiné jsou označovány jako zero-click, protože k napadení může dojít bez aktivní interakce uživatele, například prostřednictvím speciálně připravené zprávy nebo síťové komunikace.
Právě proto nestačí spoléhat na zásadu „na nic podezřelého neklikám“. Ta zůstává důležitá, ale proti nejpokročilejším útokům nemusí být rozhodující.
Pegasus: synonymum cíleného sledování
Pegasus od izraelské společnosti NSO Group se stal nejznámějším představitelem této kategorie. Výzkumníci opakovaně popsali jeho nasazení proti novinářům, obráncům lidských práv, politickým představitelům a dalším exponovaným osobám.
Po úspěšném napadení může podobný nástroj získat přístup k velmi citlivým částem telefonu. Potenciálně tak může odhalit komunikaci, fotografie, polohu, kontakty nebo další data, která uživatel považuje za chráněná šifrováním jednotlivých aplikací.
Šifrovaná komunikace totiž chrání zprávu při přenosu. Pokud útočník ovládne samotné koncové zařízení, může se k obsahu dostat ve chvíli, kdy je již v telefonu zobrazený nebo uložený.
Apple uvádí, že útoky komerčního spywaru bývají mimořádně nákladné, složité a zaměřené pouze na velmi malý počet osob. Většina uživatelů se s nimi nikdy nesetká, pro vybrané cíle ale představují jednu z nejpokročilejších digitálních hrozeb. Apple proto ohroženým uživatelům rozesílá zvláštní bezpečnostní upozornění.
Predator: jiný výrobce, podobný cíl
Predator byl původně spojován se společností Cytrox, která se stala součástí širšího uskupení Intellexa. Známé případy ukazují, že může být do telefonu doručen prostřednictvím cíleného odkazu, síťové infrastruktury nebo pokročilejšího infekčního mechanismu.
Citizen Lab v jednom ze svých nejznámějších zjištění popsal telefon egyptského opozičního politika, na kterém současně běžel Pegasus i Predator. Zařízení tedy bylo kompromitováno dvěma odlišnými špionážními systémy provozovanými dvěma různými zákazníky. Tento případ dobře ukazuje, že problém není omezený na jedinou společnost nebo značku. Technickou analýzu případu zveřejnil Citizen Lab.
Paragon není název spywaru
U třetího jména je vhodné upřesnění. Paragon Solutions je společnost, zatímco její sledovací nástroj se nazývá Graphite.
Podle výzkumu Citizen Lab se Graphite zaměřuje zejména na přístup ke komunikaci v aplikacích pro okamžité zprávy. V roce 2025 byli prostřednictvím WhatsAppu upozorněni uživatelé, kteří měli být cílem zero-click útoku spojeného s Paragonem. Následná forenzní analýza potvrdila stopy Graphitu na telefonech některých novinářů. Citizen Lab zveřejnil analýzu infrastruktury i napadených zařízení.
Graphite tedy nemusí fungovat úplně stejně jako Pegasus nebo Predator. Z pohledu napadeného člověka je ale výsledek podobný: soukromá komunikace může být získána přímo z koncového zařízení, aniž by bylo nutné prolomit šifrování používané komunikační služby.
Co mají všechny tři systémy společného?
Nejdůležitější společnou vlastností není konkrétní způsob napadení, ale obchodní a provozní model. Jde o nástroje vytvářené soukromými firmami a nabízené státním nebo bezpečnostním zákazníkům pro cílené sledování.
Typicky je spojuje:
-
zaměření na konkrétní vybrané osoby,
-
využívání neveřejných nebo velmi čerstvých zranitelností,
-
snaha fungovat bez viditelného upozornění uživatele,
-
získávání dat přímo z napadeného telefonu,
-
komunikace s externí řídicí infrastrukturou,
-
vysoká cena a technická složitost celého útoku.
Rozdíly mohou být v rozsahu získaných oprávnění, způsobu přetrvání v zařízení, použitém infekčním vektoru nebo datech, na která se nástroj soustředí. Schopnosti se navíc průběžně mění podle aktualizací operačních systémů i vývoje nových exploitů.
Co v této situaci změní fyzická izolace?
Telefon vložený do Faraday bagu nemůže běžným způsobem komunikovat přes mobilní síť, Wi-Fi, Bluetooth ani další bezdrátová rozhraní. To zásadně mění jednu část rovnice: spojení mezi telefonem a okolním světem.
Pokud je zařízení již napadené, fyzická izolace může dočasně přerušit komunikaci s řídicí infrastrukturou a odesílání získaných dat. Může také omezit možnost doručení dalšího vzdáleného příkazu. To je důležité například při reakci na bezpečnostní incident nebo při přepravě telefonu k forenzní analýze.
Fyzická izolace ale spyware neodstraní. Nevrátí zpět data, která již byla odeslána, a nevymaže škodlivý kód z telefonu. Některé informace mohou být během izolace dál shromažďovány lokálně a k jejich odeslání může dojít po obnovení připojení.
Faraday bag proto není „antivirus proti Pegasu“. Je to nástroj pro dočasnou kontrolu komunikace zařízení a získání času na další odborný postup.
Kdy může Faraday bag dávat smysl?
Většina lidí nepotřebuje nosit telefon ve Faraday bagu každý den. U vysoce rizikových osob však může mít fyzická izolace své místo při citlivých jednáních, přepravě zařízení nebo bezprostředně po obdržení důvěryhodného upozornění na cílený útok.
Pro takové situace je určen například FWR Faraday bag Small Gen. M s 12vrstvou stínicí konstrukcí, magnetickým zavíráním a naměřeným útlumem až 102 dB. Pokud má být podezřelé zařízení předáno k odborné analýze a je důležitá také evidence fyzické manipulace, existuje i varianta s možností zaplombování.
Jde však pouze o jednu část reakce. Uživatel, který obdrží důvěryhodné bezpečnostní upozornění, by neměl telefon bez rozmyslu mazat, obnovovat nebo začít samostatně procházet. Neodborné zásahy mohou odstranit stopy důležité pro analýzu. Vhodnější je vyhledat pomoc specialistů na incident response nebo mobilní forenzní analýzu.
Nejúčinnější ochrana vzniká ještě před útokem
Pro běžné uživatele zůstává základem aktuální operační systém, silný přístupový kód, vícefaktorové ověřování a opatrnost při práci s odkazy a přílohami.
Lidé, kteří mohou být cílem vysoce sofistikovaného sledování, mohou využít také omezení rizikových funkcí zařízení. Apple pro tyto případy nabízí Lockdown Mode, který zmenšuje dostupný prostor pro útok tím, že omezuje některé funkce zpráv, webových technologií a příchozích služeb.
Pegasus, Predator a Graphite ukazují, že bezpečnost telefonu už není jen otázkou silného hesla. Pokud útočník získá kontrolu nad koncovým zařízením, může obejít ochranu, na kterou uživatel běžně spoléhá.
Fyzická izolace tuto hrozbu sama nevyřeší. Dokáže však udělat jednu zásadní věc: na určitou dobu oddělit napadené nebo ohrožené zařízení od infrastruktury, kterou útočník potřebuje ke komunikaci. A v okamžiku bezpečnostního incidentu může být právě tento získaný čas velmi cenný.
