Amerika Birleşik Devletleri, gazetecilerin, insan hakları savunucularının, politikacıların ve diplomatların gizlice gözetlenmesine olanak tanıyan ve insan hakları ile ulusal güvenlik için ciddi tehditler oluşturan küresel bir endüstri olan ticari casus yazılımlara en büyük yatırımcı olarak öne çıktı.
Yeni bir rapora göre, 2024 yılında ABD merkezli 20 yeni casus yazılım yatırımcısı tespit edildi. Bu durum, bu teknolojinin Amerikan destekçilerinin toplam sayısını 31'e çıkardı. Bu büyüme, İsrail, İtalya ve Birleşik Krallık gibi diğer büyük yatırımcı ülkelere kıyasla önemli ölçüde daha hızlı gerçekleşti.
Yapılan bir araştırmada, 1992 ile 2024 yılları arasında 46 ülkede 561 kuruluş incelendi ve 34 yeni yatırımcı belirlendi. Geçen yıl yayımlanan veri setine göre bu sayı 94'ten 128'e yükseldi.
Avrupa Birliği Tek Pazar ülkeleri ve İsviçre'de 31 yatırımcı bulunuyor; bunlardan 12'si, önemli bir casus yazılım merkezi olan İtalya'dan geliyor. İsrail merkezli yatırımcı sayısı ise 26.
ABD merkezli yatırımcılar arasında, D.E. Shaw & Co. ve Millennium Management gibi büyük yatırım fonları, Jane Street adlı önde gelen işlem şirketi ve mainstream finansal hizmet şirketi Ameriprise Financial yer alıyor. Atlantik Konseyi'ne göre, bu şirketlerin tümü, Azerbaycan ve Endonezya gibi yerlerde insan hakları ihlalleriyle bağlantılı olduğu iddia edilen İsrailli yasal takip yazılımı sağlayıcısı Cognyte'a fon aktarmış durumda.
ABD'nin casus yazılımlara yaptığı bir diğer dikkat çekici yatırım ise, ABD merkezli, ulusal güvenlik odaklı özel sermaye şirketi AE Industrial Partners'ın, İsrailli casus yazılım satıcısı Paragon Solutions'ı 2024'ün sonlarında satın alması oldu. Paragon, Göç ve Gümrük Muhafaza (ICE) ile olan bir yıllık sözleşmesinin uzun bir aradan sonra aniden yeniden aktive edilmesiyle gündeme gelmişti.
Sivil toplum kuruluşları, ABD yönetiminin bu hamlesini "son derece endişe verici" olarak nitelendirmiş ve ICE'nin bütçesi ile yetkisinin hızla ve dramatik bir şekilde genişlemesi etrafındaki sivil özgürlük endişelerini artırdığını belirtmişti.
Paragon, WhatsApp'ın İtalyan gazeteciler ve sivil toplum üyelerinin bu teknolojiyle hedef alındığını bildirmesinin ardından Avrupa'da iddia edilen usulsüzlüklerle ilişkilendirilmişti. İtalyan bir parlamento komitesi, hükümetin insan hakları savunucularını gözetlemek için Graphite casus yazılımını kullandığını tespit etmişti. Ancak Toronto Üniversitesi'nden Citizen Lab, bir İtalyan gazetecinin hedef alındığını doğruladı ve Avustralya, Kanada, Danimarka, Kıbrıs, Singapur ve İsrail'de potansiyel Paragon müşterilerini belirledi.
Paragon, komitenin bulgularına yanıt olarak, İtalyan yetkilileri kapsamlı bir teknik doğrulama yapmayı reddetmekle suçladı ve bu değerlendirmenin sorunu çözebileceğini savundu.
Yatırım odağının yanı sıra Atlantik Konseyi, küresel casus yazılım pazarının "büyüdüğünü ve geliştiğini" belirtiyor. Veri setine dört yeni satıcı, yedi yeni bayi veya aracısı, 10 yeni tedarikçi ve bu endüstriyle bağlantılı 55 yeni kişi eklendi.
Yeni belirlenen satıcılar arasında İsrail'den Bindecy ve İtalya'dan SIO bulunuyor. Bayiler arasında, Meksika hükümeti tarafından vurgulandığı gibi, Panama'dan KBH ve Meksika'dan Comercializadora de Soluciones Integrales Mecale gibi NSO ürünleriyle bağlantılı görünen şirketler yer alıyor. Yeni tedarikçiler arasında ise Birleşik Krallık'tan Coretech Security ve BAE'den ZeroZenX yer alıyor.
Rapor, bu bayi ve aracılarının merkezi rolünü vurgulayarak, bunların "önemli ölçüde yeterince araştırılmamış bir aktör kümesi" olduğunu belirtiyor. Rapora göre, "Bu kuruluşlar aracı olarak hareket ederek satıcılar, tedarikçiler ve alıcılar arasındaki bağlantıları gizliyorlar. Çoğu zaman, aracılar satıcıları yeni bölgesel pazarlara bağlıyor."
Raporda ortak yazarlardan biri olan Sarah Graham, "Bu durum, kurumsal yapıları, yargı yetkisini ve nihayetinde hesap verebilirlik önlemlerini çözmeyi zorlaştıran geniş ve şeffaf olmayan bir casus yazılım tedarik zinciri yaratıyor" diyor.
Graham, "Buna rağmen, bayiler ve aracılar şu anda politika yanıtlarının bir parçası değil" diye ekliyor.
Araştırma, casus yazılım faaliyetleriyle bağlantılı üç yeni ülkenin eklenmesini ortaya koyuyor: Japonya, Malezya ve Panama. Japonya, özellikle casus yazılım istismarına karşı uluslararası çabalara, Ticari Casus Yazılımın Yayılmasının ve Kötüye Kullanımının Önlenmesine Yönelik Ortak Bildiri ve Devletler İçin Uygulama İlkeleri gibi girişimlere imza atmış durumda.
Graham, "Japonya gibi yeni yargı bölgelerinde faaliyet gösteren kuruluşların keşfi, uluslararası taahhütler ile pazar dinamikleri arasındaki potansiyel çıkar çatışmalarını vurguluyor" şeklinde konuşuyor.
Biden yönetiminin, icra kararı, ticaret ve vize kısıtlamaları ve yaptırımları aracılığıyla casus yazılım pazarını sınırlama çabalarına rağmen, bu endüstri büyük ölçüde sınırsız bir şekilde faaliyet göstermeye devam etti.
Rapor üzerinde çalışan Atlantik Konseyi'nden Jen Roberts, "ABD'li politika yapıcılar, sağlam politika eylemleriyle casus yazılımın yayılmasını ve kötüye kullanılmasını sistematik olarak hedef aldılar, ancak ABD dolarlarının ABD'li politika yapıcıların mücadele etmeye çalıştığı kuruluşları finanse etmeye devam ettiği ABD yatırımcıları ile politika yapıcılar arasında kritik bir boşluk var" diyor.
Örneğin, 2021'den beri ABD Ticaret Bakanlığı'nın Varlık Listesi'nde yer alan casus yazılım satıcısı Saito Tech (eski adıyla Candiru), 2024 yılında ABD firması Integrity Partners'tan yeni yatırım aldı. Roberts, "Bu, ABD hükümetinden gelen sinyallerin bu teknolojiye yatırımı caydırmak için yeterince ileri gitmediğini gösteriyor" diye belirtiyor.
Ayrıca, bu tartışmalı teknolojiye harcanan paranın bir kısmının nihayetinde sıradan vatandaşların kendi ceplerinden çıkabileceği konusunda halkın farkındalığı sınırlı.
AE Industrial Partners örneğinde, yatırım performansı raporları, şirketin ABD emeklilik fonlarından destek aldığını gösteriyor; bunlar arasında Contra Costa County Employees' Retirement Association, Baltimore Fire & Police Retirement System, Houston Firefighters' Relief and Retirement Fund ve New Mexico Educational Retirement Board bulunuyor. Bu fonlar, 900 milyon dolara ulaşabilecek Paragon anlaşmasını desteklemeye yardımcı olabilecek nakit sağlıyor.
Roberts, "Bu, hem ABD hükümeti hem de halk için daha iyi bir anlayış ihtiyacını vurguluyor; ortalama bir Amerikalının, kendi dolarlarının casus yazılımın yayılmasına ve kötüye kullanılmasına nasıl fon sağladığını anlamayabileceğini gösteriyor" diyor.
Kritik olarak, önceki ABD yönetiminin bu alandaki politikası henüz tam olarak tanımlanmış değil.
Atlantik Konseyi'nden Roberts, ABD'den çıkan yatırımları hedef almak için daha fazla eylem çağrısında bulunuyor ve halihazırda kuantum teknolojisi, yapay zeka, yarı iletkenler ve mikroelektronikte yurt dışı yatırımlarının bildirilmesini gerektiren İcra Kararnamesi 14105'in kapsamının casus yazılım yatırımlarını da kapsayacak şekilde genişletilmesini öneriyor.
Bazı raporlar, önceki yönetimin ayrıca casus yazılım kullanımını kısıtlayan İcra Kararnamesi 14093'te değişiklikler yapmayı düşündüğünü öne sürüyor.
Roberts, özellikle Amerikalıları bu teknolojiden korumak için ABD'nin satın alma gücünü kullanan bu icra kararının sürdürülmesinin kritik olduğunu açıklıyor.
Roberts, "ABD'nin satın alma gücü, casus yazılımın küresel pazarını şekillendirme ve sınırlama konusunda önemli bir araçtır."
