Potrivit OCCRP, autoritățile lituaniene au deschis o procedură de revizuire a statutului juridic al unui om de afaceri belarus, după ce o anchetă comună realizată de OCCRP și publicația Buro a dezvăluit că mai multe aplicații mobile create de acesta transmiteau date ale utilizatorilor către servere din Rusia și Belarus. Cazul ridică întrebări despre modul în care software-ul comercial aparent inofensiv poate funcționa ca instrument de colectare a informațiilor în favoarea unor state cu care Lituania se află în relații tensionate.
Investigația jurnalistică a identificat aplicații distribuite pe piețele internaționale de software care, în fundal, exportau date personale ale utilizatorilor fără consimțământul acestora. Omul de afaceri belarus în cauză este cel care se află în spatele acestor produse. Lituania, membră NATO și UE, are o sensibilitate deosebită față de riscurile de securitate legate de Rusia și Belarus, mai ales după ce Minsk a folosit migrația ca armă hibridă la granița sa estică și a facilitat atacuri cibernetice atribuite serviciilor de informații ruse.
Autoritățile lituaniene nu au precizat public ce măsuri concrete ar putea urma, însă revizuirea statutului juridic al unui rezident sau al unei entități comerciale poate duce la retragerea permiselor de activitate, expulzare sau trimiterea dosarului către serviciile de contrainformații. Cazul este în curs de instrumentare.
Cum funcționează schema
Aplicațiile mobile implicate în acest caz funcționau ca orice alt produs software disponibil în magazinele digitale: erau descărcate de utilizatori obișnuiți, ofereau funcționalități reale și nu ridicau suspiciuni la o primă analiză. Mecanismul de exfiltrare a datelor era integrat în codul aplicației și activa transferuri către servere externe localizate în Rusia și Belarus, fără ca utilizatorul să fie informat și fără un temei legal transparent.
Acest tip de arhitectură — aplicație legitimă cu funcție ascunsă de colectare a datelor — este dificil de detectat de utilizatorii obișnuiți și chiar de autoritățile de reglementare, dacă nu există o analiză tehnică aprofundată a codului sursă. Investigația OCCRP și Buro a presupus tocmai o astfel de disecție tehnică, urmată de trasarea fluxului de date până la destinatarii finali.
Omul de afaceri belarus reprezintă veriga dintre produsul comercial și infrastructura de colectare. Structura de proprietate a aplicațiilor și relația cu eventuale entități din Rusia sau Belarus rămân aspecte pe care autoritățile lituaniene le examinează în prezent.
Cine plătește
Victimele directe sunt utilizatorii care au descărcat și folosit aplicațiile respective, fără să știe că datele lor personale — care pot include locație, contacte, comportament online sau alte informații stocate pe dispozitiv — ajungeau pe servere controlate de entități din state considerate adversare de NATO. Amploarea exactă a colectării nu a fost făcută publică integral.
La un nivel mai larg, costul este suportat de securitatea națională a statelor baltice și a altor țări în care aplicațiile au fost distribuite. Datele agregate despre utilizatori pot fi valorificate în operațiuni de influență, profilare a cetățenilor sau identificarea unor ținte pentru serviciile de informații.
De ce contează
Cazul lituanian este unul dintre puținele exemple în care o anchetă jurnalistică a dus direct la o reacție instituțională concretă față de o potențială operațiune de colectare a datelor cu caracter de spionaj comercial. De regulă, astfel de scheme sunt descoperite de cercetători în securitate cibernetică și rămân în sfera tehnică, fără consecințe juridice imediate pentru cei implicați. Faptul că Lituania a deschis o procedură formală sugerează că probele adunate de jurnaliști au fost suficient de solide pentru a justifica o anchetă oficială.
Precedentul contează și pentru restul Europei. Piețele de aplicații mobile găzduiesc mii de produse create de dezvoltatori din spații gri juridice, iar verificarea destinației reale a datelor colectate rămâne o provocare sistemică. Cazul subliniază că reglementările GDPR și controalele existente nu sunt suficiente pentru a detecta exfiltrarea deliberată de date către state terțe, mai ales atunci când aceasta este mascată în spatele unor aplicații funcționale și aparent inofensive. De urmărit: decizia finală a autorităților lituaniene și eventualele implicații pentru alte state UE unde aceleași aplicații au fost distribuite.
