Circles ve Intellexa İttifakı: Bulgaristan üzerinden küresel siber gözetleme ağı

İnsan Hakları İzleme Örgütü (Human Rights Watch), Avrupa Birliği üyesi Bulgaristan’ın, dünya genelinde muhaliflere baskı uygulamakla ve insan haklarını ihlal etmekle tanınan otoriter rejimlere siber casusluk teknolojileri satılması için resmi lisanslar verdiğini ortaya çıkardı. Örgütün incelediği resmi belgeler, AB’nin siber silah ticaretini engellemeyi amaçlayan yasal denetim mekanizmalarının üye ülkeler tarafından nasıl göz ardı edildiğini somut verilerle kanıtlıyor.

HRW; Bulgaristan Ekonomi ve Sanayi Bakanlığı bünyesinde faaliyet gösteren Kitle İmha Silahlarının Yayılmasının Önlenmesi ve İhracat Kontrolü Bakanlıklar Arası Komisyonu’na ait 2018-2023 yılları arasındaki resmi lisans kayıtlarını inceledi. Bu kayıtlar, Bulgaristan merkezli siber gözetleme şirketi Circles’a, aralarında istihbarat servisleri, askeri birimler ve hatta özel şirketlerin de bulunduğu sivil hak ihlalleriyle anılan birçok ülkeye kritik yazılımlar satabilmesi için resmi onay verildiğini gösteriyor.

Siber güvenlik analistlerinin raporlarına göre Circles şirketi, hedef kişilerin bilgisayarlarına doğrudan sızan geleneksel casus yazılımlardan farklı bir yöntem kullanıyor. Şirket, küresel telekomünikasyon altyapısının temelini oluşturan SS7 (Signaling System 7) protokolündeki güvenlik açıklarından faydalanarak cihazları uzaktan izliyor.

Resmi belgelere göre Bulgaristan’ın ihracatına yeşil ışık yaktığı ve siber istihbarat amacıyla tasarlanan 4 temel Circles ürünü şunlar:

1. "Landmark" Yazılımı: Kullanıcıların hiçbir tıklama yapmasına gerek kalmadan, tamamen mobil şebeke bazlı bir çözümle hedef kişilerin konumlarını coğrafi olarak tespit eden, işleyen ve yöneten istihbarat sistemi.
2. "Voice Over Location Enabler (VOLE)": SS7 protokolünü istismar ederek, hedeflenen kişinin gelen ve giden tüm sesli aramalarını, konum verileriyle birlikte uzaktan dinleyen ve kaydeden yazılım.
3. "Saphire" Yazılımı: Mobil operatör sistemlerine uzaktan komut göndererek, hedef alınan belirli bir cihaza yeni bir IP adresi atanmasını sağlayan ve böylece iletişimin araya girilerek (interception) dinlenmesini kolaylaştıran sistem.
4. "Pixcell" Ürün Ailesi: Havadan geçen mobil veri trafiğini, kısa mesajları (SMS) ve internet aktivitelerini doğrudan yakalayabilen taktiksel sinyal istihbaratı (SIGINT) cihazları, yani IMSI Yakalayıcılar (IMSI-catchers).

Bulgaristan’daki bu ağ, siber casusluk dünyasının en büyük aktörleriyle doğrudan bağlantılı. Circles şirketinin iki kurucusundan biri olan Tal Dillian, aynı zamanda dünya çapında politikacıları ve gazetecileri izlemek için kullanılan ünlü Predator casus yazılımının (Intellexa) da kurucusu. Dillian, bu faaliyetleri nedeniyle Atina'daki bir mahkeme tarafından suçlu bulunmuş ve 2024 yılında ABD hükümeti tarafından doğrudan yaptırım listesine alınmıştı.

Ayrıca Bulgaristan'ın onayladığı ihracat lisans belgeleri, Circles teknolojilerinin bir diğer meşhur casus yazılım olan Pegasus'un üreticisi NSO Group ile onun şemsiye şirketi Q Cyber Technologies'e (İsrail) de gönderilmesine izin verildiğini ortaya koyuyor.

Bulgaristan’ın bir yıllık sürelerle onayladığı bu lisanslar; Birleşik Arap Emirlikleri (BAE), Azerbaycan, Bahreyn, El Salvador, Guatemala, Meksika, Fas, Suudi Arabistan, Sırbistan ve Ürdün gibi ülkelere yasal teknoloji gönderiminin önünü açtı.

Örneğin, sıfır tolerans politikasıyla muhalif mesajları ve e-postaları sınır ötesinde bile takip eden BAE ile gazetecileri, aktivistleri ve sivil toplum kuruluşu temsilcilerini casus yazılımlarla hedef aldığı uluslararası raporlarla kanıtlanmış olan Meksika ve Azerbaycan gibi ülkeler bu lisans listelerinde yer alıyor. Belgeler bu yazılımların yüzde yüz teslim edildiğini kesin olarak göstermese de, AB üyesi bir ülkenin bu riskli satışlara resmi olarak "onay vermiş" olması denetim zafiyetini net olarak ortaya koyuyor.

HRW Kıdemli Gözetleme Araştırmacısı Zach Campbell, konuya dair yaptığı açıklamada duruma tepki göstererek şu ifadeleri kullandı: “Avrupa Komisyonu, AB hükümetlerinin hiçbir ciddi insan hakları incelemesi yapmadan bu lisansları onayladığına dair kanıtlara sahip olmasına rağmen hareketsiz kalıyor. Avrupa merkezli siber şirketler, asgari bir insan hakları denetimi bile olmadan dünyaya siber silah satmaya devam ediyor.”