Vysoko postavený zamestnanec ExpressVPN bol zadržaný pri operácii trestného sledovania

Riaditeľ informačných technológií spoločnosti ExpressVPN Daniel Gericke uzavrel s americkou vládou dohodu o vine a treste za jeho úlohu pri napomáhaní Spojeným arabským emirátom (SAE) pri sledovaní disidentov štátu.

Gericke, ktorý bol v minulosti zamestnaný americkou armádou, sa priznal k porušeniu amerických zákonov a napomáhaniu SAE v tajnej kyberšpionážnej operácii s názvom Project Raven. K týmto udalostiam prišlo ešte predtým, ako Gerickeho zamestnal ExpressVPN.

Minulý mesiac sme napísali článok o tom, ako sa ExpressVPN stal majetkom spoločnosti Kape Technologies, bývalého distribútora škodlivého softvéru. Dnes sa budeme zaoberať ďalším horúcim problémom, ktorý sa práve objavil. Vysoko postavený predstaviteľ ExpressVPN bol obvinený z trestného činu medzinárodnej špionáže.

Podľa agentúry Reuters bol Daniel Gericke, súčasný riaditeľ ExpressVPN sekcie informačných technológií, jednou z troch osôb, ktoré uzavreli dohodu o vine a treste s ministerstvom spravodlivosti. Títo traja jednotlivci, všetko bývalí vojenskí alebo spravodajskí funkcionári, dostali príkaz zaplatiť spolu 1,69 milióna dolárov, spolupracovať s vládou USA a už nikdy sa nesnažiť o americké bezpečnostné previerky.

Čo konkrétne urobil Daniel Gericke?

Pred nástupom do ExpressVPN v decembri 2019 bol Gericke súčasťou tímu, ktorý pomohol vláde Spojených arabských emirátov špehovať svojich nepriateľov. To všetko odhalili súdne dokumenty, ktoré boli nedávno zverejnené. Agentúra Reuters ďalej uvádza:

Na príkaz monarchie SAE sa tím Project Raven nabúral do účtov aktivistov za ľudské práva, novinárov a konkurenčných vlád.

Vyšetrovanie agentúry Reuters ukázalo, že Project Raven sledoval početných aktivistov za ľudské práva, z ktorých niektorých neskôr mučili bezpečnostné sily Spojených arabských emirátov.

Podľa súdnych spisov Baier, Adams a Gericke pripustili, že nasadili sofistikovanú kybernetickú zbraň s názvom Karma, ktorá umožnila SAE preniknúť do telefónov Apple iPhone bez toho, aby cieľ musel klikať na škodlivé odkazy.

Karma umožnila používateľom prístup k desiatkam miliónov zariadení a bola kvalifikovaná ako systém zhromažďovania spravodajských informácií. Podľa úradov však agenti nedostali požadované povolenie vlády USA predať nástroj SAE.

Gericke nielenže porušil zákony USA, ale tiež uľahčil monitorovacie úsilie represívnemu režimu, ktorý je známy porušovaním ľudských práv.

Dohoda o vine a treste

Ministerstvo spravodlivosti zverejnilo odloženú dohodu o stíhaní, ktorá podrobne popisuje prípad. Tvrdí, že Gericke bol niekoľkokrát informovaný, že jeho práca s vládou SAE bola v rozpore s medzinárodnými predpismi o obchode so zbraňami (ITAR) a americkým právom.

V rámci dohody o vine a treste dostal Gericke pokutu 335 tisíc dolárov. Okrem toho musí plne spolupracovať s FBI, ako je to uvedené v súdnych dokumentoch:

Obžalovaní plne spolupracujú s úradmi a poskytujú úplné a pravdivé informácie FBI alebo akejkoľvek inej vládnej organizácii USA na základe žiadosti Federálneho úradu pre vyšetrovanie (FBI). Prvé stretnutie sa uskutoční do 90 dní od podpisu dohody, pokiaľ sa strany nedohodnú inak, na miestach a v časoch, ktoré určí FBI. To zahŕňa poskytnutie akýchkoľvek dokumentov, materiálov, údajov alebo iných informácií požadovaných FBI, ktoré sú v čase prijatia tejto dohody v držbe obžalovaných.

ExpressVPN obhajuje svojho zamestnanca

ExpressVPN sa napriek kontroverznosti prípadu rozhodol stáť po boku Gerickeho a pokračovať s ním v spolupráci. Napísali blogový príspevok reagujúci na situáciu a vysvetľujúci, ako Gericke pomohol VPN posilniť ich bezpečnosť.

Odkedy sa k nám Daniel pridal, plní presne tú funkciu, na ktorú sme ho najali. Neustále posilňoval bezpečnosť našich systémov, ktoré nám umožňujú ochraňovať súkromie miliónom ľudí.

Od vypuknutia škandálu sa zdá, že Gerickeho účty na sociálnych médiách takmer všetky zmizli. Našli sme však jeden účet, ktorý podrobne uvádza niektoré z jeho predchádzajúcej pracovnej histórie. Reportér agentúry Reuters medzitým tiež zistil, že Gericke sa v roku 2017 vzdal amerického občianstva.

Je tiež dôležité poznamenať, že to všetky k všetkým popísaným udalostiam prišlo skôr, ako Gericke začal pracovať v ExpressVPN. ExpressVPN tiež vysvetlil, že nevedeli o žiadnej z týchto aktivít, vrátane Project Raven.

Keď sme v decembri 2019 najali Daniela, poznali sme jeho minulosť: 20 rokov v kybernetickej bezpečnosti, najskôr s americkou armádou a rôznymi vládnymi dodávateľmi, potom s americkou spoločnosťou poskytujúcou spravodajské služby v oblasti boja proti terorizmu USA a ich spojencom. Nepoznali sme podrobnosti o žiadnych utajovaných činnostiach ani o vyšetrovaní. Vedeli sme však, čo sme tu v ExpressVPN vybudovali: spoločnosť, v ktorej je každý systém a proces zdokonalený a navrhnutý tak, aby minimalizoval riziká akéhokoľvek druhu, vonkajšie či vnútorné.

Môžete veriť ExpressVPN? Je to stále bezpečné?

Za posledných niekoľko dní ExpressVPN zasiahli dve mimoriadne udalosti, ktoré poškodili ich povesť.

Najprv ju získala spoločnosť Kape Technologies, spoločnosť s históriou distribúcie škodlivého softvéru. Ako sme uviedli, vedenie Kape má tiež väzby na operácie štátneho dozoru. Olej do ohňa prilievajú najnovšie správy týkajúce sa Gerickeho a Spojených arabských emirátov, ktoré sa objavili len o deň neskôr.

Z týchto udalostí sa bude ExpressVPN zotavovať veľmi ťažko. V snahe zmierniť obavy a posilniť dôveru však spoločnosť ExpressVPN sľúbila podstúpiť ďalšie audity tretích strán na overenie opatrení na ochranu osobných údajov a zabezpečenia:

Aj keď sme presvedčení, že náš záväzok voči zákazníkom je neochvejný, chápeme, že činy hovoria hlasnejšie než slová. Na začiatok budeme zvyšovať periodicitu auditov tretích strán, aby sme každoročne certifikovali úplný súlad s našimi zásadami ochrany osobných údajov vrátane neukladania protokolov aktivít a pripojení našich používateľov.

V konečnom dôsledku je otázka dôvery veľmi subjektívna a je potrebné zvážiť veľa vecí. Akvizícia spoločnosťou Kape však rozhodne nie je ideálna pre VPN službu, ktorá patrila medzi top produkty v tomto sektore.

Z nášho pohľadu aktuálne nemôžeme službu ExpressVPN ďalej odporúčať. Aj keď je to služba, ktorú používame, ktorej dôverujeme a odporúčame ju už roky, nedávne správy vyvolali niekoľko otázok o ExpressVPN a jej budúcnosti.

Ako vždy, situáciu budeme naďalej pozorne monitorovať a budeme naďalej aktualizovať naše odporúčania na základe všetkých najnovších informácií a výsledkov vlastných testov.