Большую часть первой части встречи я потратил на то, чтобы набросать наш план действий, который в основном сводился к тому, что мы обсуждали с Бастианом, с небольшими дополнительными деталями. Мы объяснили Данне и Клаудио два круга партнеров — несколько коллег из СМИ, которым мы доверяли больше всего на начальном этапе, а затем добавили столько репортеров, сколько потребуется, со всего мира, для поиска наиболее перспективных зацепок. Мы объяснили, что нам нужно благополучно завершить наш текущий проект "Картель", прежде чем с головой нырнуть в "Пегас". Это означало, что мы сообщим первому кругу партнеров о проекте после первого числа года, в январе 2021-го, и, возможно, сядем всей группой и начнем формировать части расследования в начале марта. Мы хотели сделать это лично в Париже.
Мы работали с этой небольшой группой в течение нескольких месяцев, выявляли как можно больше жертв и передавали их телефоны на экспертизу. Когда мы почувствуем уверенность в том, что полученные результаты действительно уличают NSO и ее конечных пользователей в этой масштабной кампании кибершпионажа, и определим истории, которые хотим рассказать, мы расширим круг читателей. По нашим расчетам, на публикацию уйдет еще шесть-восемь недель. Мы понимали, что последние месяцы будут самыми уязвимыми для всех нас — Forbidden Stories, наших партнеров, Security Lab и особенно для источника. Чем дольше длилось расследование, чем больше добавлялось партнеров и чем больше жертв было оповещено, тем выше были шансы быть обнаруженными, а значит, мы опасались растянуть сроки до предела. Мы сказали Данне и Клаудио, что надеемся опубликовать книгу в июне 2021 года.
Нам с Лораном не терпелось узнать о протоколах безопасности, за которые будут отвечать Клаудио и его команда. Они должны были разработать способ связи с Лабораторией безопасности, а также со всеми нашими информационными партнерами. Они должны были создать защищенный веб-сайт, на котором все большее число партнеров могли бы делиться своими последними сообщениями в режиме реального времени. Слушая разговор Клаудио и Доннча об онлайн-безопасности, я извлек несколько интересных уроков. Как я понял, менее важным, чем понимание того, когда и где вы защищены, было понимание того, когда и где вы уязвимы. А это практически везде в цифровой вселенной. Вот как они это сформулировали:
"Мы исходим из того, что любое устройство может быть взломано".
"И поэтому, несмотря на то что мы регулярно проверяем свои телефоны, мы все равно выключаем их и оставляем в другой комнате [когда обсуждаем деликатные темы]. Или мы выходим из офиса и идем прогуляться".
"Если бы мне пришлось беспокоиться о каждом конкретном типе атаки и о том, найду ли я средства, чтобы обнаружить или не обнаружить ее, это было бы совершенно невозможно для меня. Мне пришлось бы проверять это устройство, и это устройство, и это устройство. Проверить комнату с помощью нашего F-сканера и другого оборудования, проверить каждую розетку. Я должен был бы убедиться, что нет антенн, направленных в сторону окна. Знаете, это просто невозможно. Поэтому нам нужно задуматься: "Что я могу сделать, чтобы минимизировать эти вещи на оперативном уровне? Вот тут-то и приходит на помощь компартментализация. Например, встречаться в определенных местах и не встречаться в других. Или я знаю, что мой телефон могут взломать, поэтому либо у меня нет телефона, либо я не использую его для чего-то важного. Я не беру его с собой в важные моменты или слежу за тем, чтобы мой номер телефона не был никому известен.
"На моем ноутбуке есть меры, которые я могу себе позволить в плане смягчения последствий, контроля и так далее. Но я не использую этот ноутбук для личных целей, и я не беру его с собой, если мне нужно провести встречу [по поводу Pegasus]. Если есть какие-то конфиденциальные вещи, которые я не хочу оставлять открытыми, потому что боюсь, что кто-то вломится в мой дом, то я обязательно беру их с собой. Именно такие меры имеют значение.
"В конечном счете, разница заключается в оперативных аспектах безопасности, а не в цифровых. Вот к чему все сводится".
Бастиан смог присоединиться к нам по защищенному приложению через несколько часов после встречи в Берлине, и он очень успокоил Данну. У него был опыт сотрудничества с крупными журналистами, где секретность имела первостепенное значение, и он сказал ей в своей обычной прямой и решительной манере, что у нас с Лораном нет причин делиться источником утечки с кем-либо из медиа-партнеров. Возможность публикации, в конце концов, зависела от того, насколько криминалистический инструмент Лаборатории безопасности выкопает из списка доказательства заражения Pegasus в мобильных телефонах. Если бы экспертиза прошла успешно, у медиапартнеров было бы все необходимое для публикации; источник утечки не имел бы значения. Если же экспертиза окажется пустой, то и сюжета не будет.