Как компания из Небраски помогает ФБР прослушивать пользователей Facebook и Google
PenLink, возможно, самый вездесущий шпион, о котором вы никогда не слышали.
Когда правоохранительные органы хотят проследить за общением между подозреваемыми в преступлении, они часто обращаются именно к этой компании из Линкольна, штат Небраска. Пожалуй, она более всего известна (если вообще можно считать ее известной) тем, что помогла добиться обвинительного приговора для Скотта Петерсона, который убил свою жену Лейси и их нерожденного сына, в начале 2000-х годов это дело было в центре внимания всех таблоидов. Сейчас компания помогает полицейским следить за предполагаемыми правонарушениями со стороны пользователей Google, Facebook и WhatsApp — в зависимости от того, какой сервис интересует правоохранителей.
Получая ежегодно $20 млн от клиентов — Управления по борьбе с наркотиками, ФБР, Иммиграционно-таможенной полиции (ICE) и почти всех остальных федеральных правоохранительных органов — PenLink обеспечила себе стабильный источник дохода. Сюда не входят контракты с отделениями полиции штатов, с которыми компания тоже часто работает (данные о доходах неизвестны). Forbes изучил контракты со всей Америки, включая города в Калифорнии, Флориде, Иллинойсе, Северной Каролине, Неваде и на Гавайских островах.
«PenLink гордится тем, что поддерживает правоохранительные органы в США и во всем мире в их усилиях по борьбе с правонарушениями, — сообщила компания. — Мы не обсуждаем публично, как наши решения используются нашими клиентами».
Иногда добиться прозрачности от компании, которая занимается слежкой, может только шпион. Джек Пулсон, основатель аналитической фирмы Tech Inquiry, побывал инкогнито на зимней конференции Национальной ассоциации шерифов в Вашингтоне. Он записал выступление давнего сотрудника PenLink, который рассказывал, как компания может помочь правоохранительным органам, и описывал масштаб ее деятельности. Эта запись не только приподнимает завесу тайны над участием PenLink в слежке по всей Америке, но и раскрывает мельчайшие детали того, как IТ-корпорации вроде Apple, Facebook и Google предоставляют полиции информацию по предъявлении ордера или судебного запроса.
Скотт Тума, который 15 лет проработал в PenLink, рассказал участникам конференции, что компания начала работу в 1987 году, когда некое правоохранительное ведомство нуждалось в том, чтобы организовать множество записей телефонных разговоров. В 1998 году компания впервые применила систему прослушивания. «В целом эти системы разбросаны по всей Америке и по всему миру», — сказал Тума. Он не стал подробно описывать инструмент, однако компания называет его Lincoln.
Сегодня благодатной почвой для PenLink и ее клиентов из правоохранительных органов стали социальные сети, а не телефоны. Тума рассказал, что работал со следователем из Министерства юстиции, который занимался бандами в Калифорнии, и сообщил, что вел до 50 «перехватов» в соцсетях. Задача PenLink — собирать для полиции информацию, которая поступает от сервисов вроде Facebook и Google.
Представитель PenLink сказал, что IТ-компаниям можно приказать предоставлять информацию о подозреваемых практически в режиме реального времени и бесплатно. Единственный недостаток в том, что в отличие от прослушки телефонов данные из соцсетей поступают не сразу. В случае с Facebook и Instagram это задержка в 15 минут. А вот Snapchat, по его словам, редко предоставляет полицейским информацию более четырех раз в день. Однако, рассказал Тума, в некоторых «исключительных обстоятельствах» компании все же совершают перехваты практически в реальном времени.
Дополнительная сложность для полиции состоит в том, что для перехвата данных на Facebook сотрудникам нужно скачивать файлы. Если следователь не заходит в свой профиль каждый час в ходе перехвата, он лишается доступа. «Вот какой занозой в заднице является Facebook», — пожаловался Тума. Однако PenLink автоматизирует этот процесс, поэтому, если сотрудникам правоохранительных органов понадобился перерыв или если их рабочий день заканчивается, по возвращении они все равно получат перехваченные данные.
Представитель компании Meta, которая владеет Facebook, сообщил: «Meta подчиняется действительным правовым документам, предоставленным правоохранительными органами, передает необходимую информацию только напрямую сотруднику, направившему запрос, а также убеждается, что применимые нормы права разрешают раскрывать такую информацию».
Дженнифер Грэник, советник по вопросам наблюдения и кибербезопасности Американского союза защиты гражданских свобод (ACLU), проанализировала высказывания сотрудника PenLink. Ее обеспокоило количество информации, которое власти собирают через компанию. «Закон предписывает полиции минимизировать количество перехваченных данных, а также уведомлять об этом и демонстрировать необходимость такого перехвата, — сказала она. — Сложно представить, что действительно необходимо постоянно следить за 50 аккаунтами в соцсетях, и я сомневаюсь, что полиция сообщает всем, кто пишет комментарии на Facebook или состоит в группах, что их прослушивают».
Она предположила, что заявление о том, что «простой судебный запрос» к Facebook позволяет получить подробные сведения (например, когда и откуда была загружена фотография или когда на Facebook Marketplace произошла транзакция по кредитной карте), может быть нарушением закона.
По словам Рэнди Милча, преподавателя права из Университета Нью-Йорка и бывшего юрисконсульта телеком-корпорации Verizon Communications, есть много нюансов в том, где действия органов власти могут пересекать черту. «Я согласен с идеей, что государство будет просить больше, чем ему нужно, однако и фраза «слишком много данных — это непременно злоупотребление» звучит как произвольное правило, неприменимое на практике, — рассказал он Forbes. — Государство не может знать, какой объем данных оно запрашивает, заранее». Милч отметил, что закон о персональных данных прямо разрешает использовать судебные запросы для получения таких сведений, как имена, адреса, способы и источники платежей, а также информация о времени и продолжительности сессий.
«Google просто лучший»
В своем выступлении в Вашингтоне Тума восхищался возможностями Google по определению геолокации пользователей. «Google показывает мне локацию с точностью до пары метров, — сказал он. — Я затрудняюсь посчитать, сколько «холодных» дел я помог раскрыть, когда преступления были совершены пять, шесть, семь лет назад и нужно было определить местонахождение [подозреваемого] при нападении или сексуальном насилии». По его словам, если люди носят с собой телефоны и создают аккаунты на Gmail, правоохранительным органам «может очень повезти, и такое случается очень часто». Тума рассказал, что Facebook, например, позволяет определить локацию с точностью до 20–30 м, а Snapchat начал определять локацию с точностью до 4–5 м.
Snapchat не ответил на просьбу о комментарии.
Тума также рассказал, что ему удавалось успешно запрашивать у Google поисковую историю пользователей: «Я видел такое во множестве дел об убийствах: «как избавиться от человеческого тела», «куда выбросить тело». Богом клянусь, они, правда, это ищут. Это в их истории Google. Они чистят браузер, куки и думают, что следов не осталось. Google просто лучший». Представитель Google сообщил, что компания старается соблюдать баланс между заботой о конфиденциальности и потребностями полиции. «Как и в случае со всеми запросами от правоохранительных органов, мы ввели жесткий процесс, направленный на защиту конфиденциальности наших пользователей и одновременно поддержку важной работы правоохранительных органов», — сообщил представитель.
Тума назвал «феноменальными» судебные ордеры относительно сервиса iCloud, принадлежащего Apple. «Если вы совершили преступление, я наверняка найду следы в резервной копии», — сказал он. Apple не ответила на просьбы дать комментарии. По словам сотрудника PenLink, можно также просматривать сообщения в WhatsApp, несмотря на заверения платформы в конфиденциальности. Пользователи, которые сохраняют резервную копию сообщений, фактически убирают защиту, которую обеспечивает сквозное шифрование приложения. Тума рассказал, что работал в Нью-Йорке над делом, где в его распоряжении было «около тысячи записей из WhatsApp». Однако принадлежащее Facebook приложение в меньшей степени подходит для перехвата информации в реальном времени, поскольку резервные копии можно делать только раз в день. Тем не менее метаданные, которые показывают, как использовался аккаунт WhatsApp, а также какие номера связывались друг с другом и когда, можно отслеживать с помощью инструмента, известного как регистратор телефонных звонков. PenLink оказывает такую услугу.
Представитель WhatsApp заявил, что все сообщения в приложении подвергаются сквозному шифрованию и компания соблюдает прозрачность в отношении взаимодействия с правоохранительными органами. «Мы знаем, что люди хотят, чтобы их мессенджеры были надежными и безопасными, а это значит, что WhatsApp может хранить только ограниченный объем данных, — сказал представитель компании. — Мы тщательно анализируем и проверяем запросы от правоохранительных органов и отвечаем на них в соответствии с применимым законодательством и нашим пользовательским соглашением. Мы прямо говорим об этом на нашем сайте и в регулярных отчетах о прозрачности. Эта работа помогла нам стать лидерами отрасли частных коммуникаций, не забывая о безопасности пользователей, и привела к арестам по уголовным делам». Компания подчеркнула, что в прошлом году была добавлена функция, которая позволяет пользователям зашифровывать резервные копии в iCloud или Google Drive, и отметила, что когда она отвечает на запрос правоохранительных органов, то предоставляет информацию напрямую органам власти, а не какой-нибудь частной компании вроде PenLink.
Движение вслепую или море данных?
В последние несколько лет ФБР и различные полицейские ведомства выражали обеспокоенность тем, что сквозное шифрование Google или Facebook лишает их ценных источников информации. Однако, по словам сотрудника PenLink, гиганты Кремниевой долины вряд ли начнут скрывать сведения от полиции, поскольку это означало бы, что так же следует поступить и с рекламодателями. «Я всегда над этим смеялся, и вот почему: в 2020 году выручка Google от рекламы составила $182 млрд», — сказал Тума.
Грэник из ACLU сказала, что такие заявления показывают, что ФБР, вопреки утверждениям ведомства, не теряет подозреваемых из виду из-за зашифрованных приложений вроде WhatsApp. «Тот факт, что резервные копии и другие данные не зашифрованы, создает кладезь информации для полиции, — сказала Грэник. — Они не просто не движутся вслепую — они купаются в море данных». Примечательно, что Signal, зашифрованный мессенджер, который стал очень популярен в последние годы, не позволяет пользователям сохранять резервные копии данных в облаке.
Действительно, компании вроде Google и Facebook передают полиции невероятные объемы данных. Недавно Forbes изучил ордер, благодаря которому полиция получила 27 000 страниц информации об аккаунте в Facebook, принадлежащем мужчине, которого обвиняли в проведении незаконных экскурсий по Гранд-Каньону. Тума сказал, что видел и более внушительные отчеты — самый крупный включал в себя около 340 000 страниц.
По данным LinkedIn, в PenLink работает менее 100 сотрудников, однако благодаря своему умению работать со множеством телеком- и интернет-сервисов компания за последние 20 лет вызвала большой интерес у полиции. Только за последний месяц Управление по борьбе с наркотиками заключило лицензионные договоры на сумму почти $2 млн, а ФБР — на $750 000.
На основании закона о свободе информации Forbes получил сведения о контракте между PenLink и Иммиграционно-таможенной полицией США на $16,5 млн, который был подписан в 2017 году и действовал до 2021 года. Там подробно описывается предоставляемый компанией набор программного обеспечения для анализа и перехвата телекоммуникаций, который включает в себя инструмент под названием PLX. По условиям контракта, PenLink должна как минимум оказать помощь в прослушивании множества провайдеров, включая AT&T, Iridium Satellite, Sprint, Verizon, T-Mobile, Cricket, Cablevision, Comcast, Time Warner, Cox, Skype, Vonage и Virgin Mobile, а также сервисов, которые правительство называет «социальными сетями и рекламными сайтами», например, Facebook и WhatsApp.
Работа PenLink была бы невозможна без согласия IТ-компаний, которые, по словам Грэник, «слишком долго хранят слишком много данных, а затем слишком много передают следователям. Соцсети могут фильтровать по дате, типу данных и даже по отправителю и получателю. Терабайты данных почти никогда не подчиняются правилам об обоснованном подозрении, как того требует Четвертая поправка к Конституции».
Перевод Натальи Балабанцевой