Suomi vie urkintavälineitä Persianlahden maihin – EU:n vientivalvonta vuotaa

23. helmikuuta 2017, Hanna Nikkanen

Yhteistyössä: Johanna Vehkoo / Long Play, Maaike Goslinga / De Correspondent, Lasse Skou Andersen ja Sebastian Gjerding / Information​

OULULAINEN EXFO Finland valmistaa valetukiasemia, jotka sieppaavat lähistöllä käytävät puhelinkeskustelut, kännyköiden sijaintitiedot ja dataliikenteen. Suomalaisia valetukiasemia myydään esimerkiksi Arabiemiirikuntiin, Omaniin, Kuwaitiin ja Kolumbiaan.

EU:n vientivalvontasääntöjen mukaan valvontateknologiaa ei tulisi myydä maihin, joissa sitä saatetaan käyttää ihmisoikeuksien polkemiseen. Kahden viime vuoden aikana Suomen ulkoministeriö on kuitenkin myöntänyt EXFO Finlandille 68 vientilupaa 22 maahan. Monet näistä rikkovat ihmisoikeuksia.

Long Play on tutkinut tanskalaisen Dagbladet Informationin ja hollantilaisen De Correspondentin kanssa televalvontavälineiden vientiä epädemokraattisiin maihin. Tarkastelujakso alkaa tammikuusta 2015, jolloin EU luokitteli joukon televalvontaan soveltuvia laitteita niin sanotuiksi kaksikäyttötuotteiksi: ne on usein tehty alun perin rauhanomaiseen käyttöön, mutta niitä saatetaan käyttää myös sotilaallisesti. Laitteiden valmistajat joutuvat hakemaan kotimaassaan vientilupaa aina, kun kauppa suuntautuu EU:n ulkopuolelle.

Työryhmä tutki 18 EU-maan vuosina 2015–16 myöntämät valvontateknologian vientiluvat, yhteensä 317 lupaa. Vain 14 lupahakemusta – nelisen prosenttia kaikista hakemuksista – hylättiin.

Suomi on aktiivinen televalvontavälineiden viejä: peräti 21 prosenttia tutkituista eurooppalaisista vientiluvista myönnettiin EXFO Finlandille. Vain yksi EXFO:n hakemus hylättiin. Sillä kertaa ostaja olisi ollut Laos.

Grafiikka: Leon de Korte / De Correspondent

(Suomen todellinen osuus EU:n valvontateknologiaviennistä ei ole näin suuri. Osa EU-maista ei kertonut työryhmälle vientiluvistaan. Lupia ei kirjata yhtenäisesti, ja osa maista voi saada lupamäärän näyttämään todellista pienemmältä sovittamalla useita tuotteita yhden luvan alle.)

SUURIMMASSA OSASSA EXFO Finlandille myönnettyjä vientilupia mainitaan tuote nimeltä NetHawk F10. Yhtiön omien esitteiden mukaan se on IMSI catcher, valetukiasema.

Valetukiasema on usein kannettavan tietokoneen kokoinen laatikko; pienimmät mahtuvat taskuun. Laitteen lähettämä voimakas signaali houkuttelee lähiseudun puhelimet ottamaan yhteyden valetukiasemaan oikean tukiaseman sijaan. Kun liikenne kulkee valetukiaseman kautta, asema voi identifioida SIM-kortteja ja usein myös tallentaa puhelinkeskusteluita, dataa ja sijaintitietoja. Käyttäjä ei yleensä voi mitenkään huomata sieppausta.

Valetukiasemia on käytetty esimerkiksi mielenosoittajien tunnistamiseen, ulkomailla tapahtuvaan vakoiluun ja jopa lennokki-iskun kohteeksi valitun ihmisen paikantamiseen. Poliisi voi käyttää valetukiasemaa välttääkseen kuunteluluvan hankkimisen oikeudelta.

EXFO:lla valetukiasemien myynnistä vastaa Homeland Security -niminen yksikkö. Se lupaa tuotteidensa ostajille muun muassa ”mobiiliviestinnän sieppausta tien päällä” ja kertoo, että F10-laite kykenee datan sieppaamisen lisäksi estämään mobiiliverkon käytön.

”Saatavilla sekä kannettavassa että ajoneuvosta käytettävässä muodossa”, mainostaa esite, jonka alareunassa annetaan Homeland Security -yksikölle kaksi osoitetta: Quebeciin ja Ouluun. (EXFO Finland tunnettiin ennen oululaisena NetHawkina. Kanadalainen EXFO osti sen vuonna 2010.)

Long Play pyysi EXFO Finlandilta lisätietoja tuotteesta. Yrityksen johto ei suostunut niitä antamaan. Sen sijaan EXFO:n Kanadassa sijaitsevasta pääkonttorista otettiin pian yhteyttä.

EXFO:n kanadalainen myyntijohtaja Tim Adams väitti ensin puhelimessa, ettei yhtiö myy lainkaan televalvontavälineitä vaan ainoastaan televerkkojen testauslaitteita. NetHawk F10 on hänen mukaansa harmiton diagnostiikkaohjelmisto.

Seurasi erikoinen keskustelu, jonka aikana Adams toisti useita kertoja, ettei EXFO:lla ole mitään tekemistä valvontateknologian kanssa.

”Se [NetHawk F10] on kaksikäyttölistalla vain siksi, että se käyttää tehokasta salausta”, Adams sanoi.

Sieppaako F10 langatonta puhelinliikennettä kulkemaan epävirallisen tukiaseman kautta?
”Ei, se ei sieppaa mitään.”

Mutta EU:n kaksikäyttöluokituksessa F10:stä käytetään koodia, joka annetaan valvontavälineille.

”Ihanko totta? Mikä koodi se on? Ehkä olemme rekisteröineet sen väärin.”

Kun Adams kuuli Long Playn nähneen EXFO Homeland Securityn omia esitteitä, joissa F10 nimetään mobiililiikennettä sieppaavaksi valetukiasemaksi, hän halusi lopettaa puhelun – ja kielsi käyttämästä nimeään tai kommenttejaan jutussa.

”Jos tämä teknologia joutuisi vääriin käsiin, sillä voitaisiin kuunnella ihmisten keskusteluita”, Adams myönsi puhelun lopuksi.

Jos se joutuisi väärien ihmisten käsiin, hän vielä toisti.

Vastuun ”väärien käsien” määrittelemisestä EXFO siirtää Suomen ulkoministeriölle; sitä varten vientilupajärjestelmä on olemassa.

Mutta lupajärjestelmä ei vaikuta kovin tiukalta.

VUOSIKYMMENEN ALUSSA Euroopassa kiinnitettiin ensi kertaa huomiota valvontalaitteisiin, joita eri maiden armeijat ja poliisit käyttivät kansannousujen tukahduttamiseen. Ne olivat nimittäin usein Euroopassa valmistettuja. Silloin Iranissa ja arabimaissa kuohui ja demokratialiikkeet jäivät jatkuvasti toiseksi valtioiden turvallisuuskoneistoille. Diktatuurit ostivat valvontalaitteistojaan muun muassa italialaiselta Hacking Teamilta, ranskalaiselta Amesysiltä, suomalais-saksalaiselta Nokia Siemens Networksilta ja brittiläiseltä FinFisheriltä.

Eurooppalaisia valvontalaitteita löytyi muun muassa silloin, kun Muammar Gaddafi jätti Tripolin elokuussa 2011 ja Libyan kapinalliset pääsivät tutkimaan hallintopalatsien kellareita.

Kun EU vuoden 2014 lopussa lisäsi joukon digitaaliseen tarkkailuun soveltuvia laitteita vientivalvontalistalleen, toivottiin, etteivät eurooppalaisyritykset vastedes myisi urkintalaitteita Iranin ja Libyan kaltaisiin maihin.

Valvontatuotteiden vienti kuitenkin vetää yhä. Long Playn, Dagbladet Informationin ja De Correspondentin tutkimuksessa selvisi, ettei EU-mailla ole yhteistä käsitystä siitä, mitä vientivalvonta tarkoittaa tai miten sitä tulisi toteuttaa.

Euroopan unionin asetus kaksikäyttötuotteiden viennistä toteaa, että EU-maan tulisi evätä lupahakemus, jos on olemassa selvä riski, että myytävää teknologiaa voitaisiin käyttää sortoon maan sisällä. Asetuksen mukaan vientilupia myöntävien ministeriöiden tulee tutkia erityisen tarkkaan kaikki suunnitellut kaupat sellaisiin maihin, joissa loukataan ihmisoikeuksia, ja mieluiten hylätä sellaiset hakemukset, jotka on jo hylätty toisessa jäsenmaassa.

Osa maista tulkitsee lupasäännöksiä hyvin väljästi. Esimerkiksi Tanska ja Saksa katsovat, että ihmisoikeustilanteen tarkastelu on vain ei-sitova ehdotus, johon on sitä paitsi ryhdyttävä vain, kun ostajana on armeija. Hollanti, Itävalta ja Espanja puolestaan tulkitsevat, että lupahakemus täytyy automaattisesti hylätä, jos on olemassa riski laitteen käytöstä ihmisoikeuksien rikkomiseen.

Suomen ulkoministeriö sanoo noudattavansa jälkimmäistä tulkintaa.

”Jos tuote on ihmisoikeuksien kannalta relevantti, seuraamme Hollannin linjaa”, sanoo ulkoministeriön vientivalvontayksikön kaupallinen neuvos Heikki Yrjölä.

Siitä huolimatta Suomi on hyväksynyt kymmeniä valetukiasemakauppoja maihin, joissa ihmisoikeuksia tiedetään poljettavan.

”Yleiskuva näyttää olevan se, että säännösten takana oli kauniita puheita ja hyvä tarkoitus mutta ne eivät ole näkyneet käytännössä”, sanoo yhdysvaltalainen internet-politiikan tutkija Collin Anderson, joka on tutkinut valvontateknologian vientiä ja sen käyttöä muun muassa Iranissa.

Millaisiin maihin valvontavälineitä sitten vietiin? Tutkimusjärjestö Freedom House julkaisee vuosittain Freedom in the World -raportin, jossa maailman maat jaetaan kansalaisten poliittisten oikeuksien mukaan kolmeen kategoriaan: ”vapaa, ”osittain vapaa” ja ”ei vapaa”. Tarkastelluista eurooppalaisista vientiluvista vain 17 prosenttia liittyi Freedom Housen listaamiin ”vapaisiin” maihin. 52,5 prosenttia liittyi ”osittain vapaisiin”, esimerkiksi Turkkiin. Noin 30 prosentissa tapauksista kohdemaa luokitellaan ”ei vapaaksi”.

”On kuvaavaa, että enemmistö välineiden ostajista on joitain muita kuin liberaaleja demokratioita”, Anderson sanoo.

”Juuri siksi on tärkeää, että valvontatuotteiden vientiä säännellään tehokkaasti. On olemassa merkittävä mahdollisuus, että niitä käytetään väärin."

EXFO FINLAND vie F10-valetukiasemia muun muassa Arabiemiirikuntiin ja Omaniin. Molemmat maat ovat Freedom Housen listalla ei-vapaita.

Arabiemiirikunnat on perustuslaillinen monarkia, jonka muodostavat seitsemän autonomista emiraattia. Öljyllä vaurastunut maa on viime vuosina houkutellut paljon turisteja Dubain ja Abu Dhabin kaupunkeihin.

Oppositiopuolueet on kielletty, ja maan hallitus on viime vuosina säätänyt uusia lakeja helpottamaan toisinajattelijoiden vangitsemista. Vuoden 2012 kyberturvallisuuslakia ja vuoden 2014 terrorismin vastaista lakia on käytetty kymmenien ihmisten syyttämiseen ja tuomitsemiseen. Rikokseksi on riittänyt maan johdon kritisointi Twitterissä, eikä tuomioista voi valittaa.

Tavallista on myös kansalaisten sieppaaminen ilman syytteitä tai oikeudenkäyntiä. Monet ”kadonneet” ovat vapauduttuaan syyttäneet vangitsijoitaan kidutuksesta.

Arabiemiraatit panostaa erityisesti kansalaistensa digitaaliseen valvontaan. Maa on käyttänyt muun muassa Hacking Teamin ja FinFisherin valvontaohjelmistoja vuosien ajan. Ohjelmistojen avulla valtio on voinut seurata toisinajattelijoiden matkapuhelimien ja tietokoneiden viestiliikennettä.

Viime vuoden aikana Arabiemiraatit vaikuttaa investoineen kansalaistensa viestiliikenteen seuraamiseen entistä enemmän. The Intercept -verkkolehti kirjoitti lokakuussa 2016, että tietoturvayhtiö Dark Matter olisi ottamassa eräänlaisen yksityisen verkkopoliisin roolin Arabiemiraateissa. Lehden lähteiden mukaan Dark Matter oli rekrytoinut vuoden aikana lukuisia erityisen taitavina pidettyjä hakkereita sekä Pentagonin ja NSA:n työntekijöitä Arabiemiraatteihin. Heidän tehtävänään olisi muun muassa etsiä haavoittuvuuksia ohjelmistoista ja rakentaa haittaohjelmia, jotka voisivat ”seurata, paikallistaa ja hakkeroida kenet tahansa koska tahansa”.

EXFO FINLAND sai vuosina 2010–15 yhteensä 6 936 157 euroa Tekesin myöntäminä tutkimus- ja kehitystukina sekä työ- ja elinkeinoministeriön kansainvälistymisavustuksena.

Kun EXFO Finlandin edeltäjä NetHawk perustettiin, se ei heti tehnyt valvontavälineitä. 1990-luvun Suomessa oli kysyntää laitteille, joita puhelinten ja mobiiliverkkojen valmistajat tarvitsivat. NetHawk teki pitkään testaustyökaluja ennen kuin ryhtyi laajentamaan toimintaansa urkintalaitteiden suuntaan.

Helsingin yliopiston tietojenkäsittelytieteen professorin Valtteri Niemen mukaan siirtymä testilaitteistojen myynnistä valvontateknologiaan voi olla luonteva. Tuotteissa on vain pieniä eroja.

”Alun perin on ollut testitukiasema, jonka tehtävä on jäljitellä tavallista mobiiliverkkoa. Sen avulla voidaan testata kehittelyssä olevaa puhelinta. Sitten on huomattu, että valetukiasema on lähes sama tuote ja sille on olemassa tällainen markkina.”

Voisivatko EXFO Finlandin viemät laitteet siis sittenkin olla harmittomia testilaitteita, kuten yritys väittää?

”Eivät ne kyllä voi. He käyttävät itse termiä IMSI catcher. Ei sille ole mitään muuta selitystä”, Niemi sanoo.


Lue lisää aiheesta englanniksi De Correspondentin sivuilta: www.securityforsale.eu

 

Mikä tutkimus?

  • Long Play on osallistunut yhteistyöprojektiin, jossa useat eurooppalaiset julkaisut ovat keränneet tietoa valvontateknologian viennistä. Yhteistyössä ovat olleet mukana De Correspondent, Dagbladet Information, Svenska Dagbladet, Knack, Zeit Online, Die Zeit ja L’Espresso.  
  • Vientilupadataa vuosilta 2015–16 on pyydetty kaikista EU-maista ja Norjasta. Data saatiin 18 maasta. Seitsemän maata kieltäytyi antamasta vientitietoja. Nämä olivat Kypros, Tšekki, Ranska, Kreikka, Unkari, Italia ja Slovenia. Lisäksi Ruotsista vastattiin, ettei tietoja voida antaa, koska niistä ei ole olemassa tarpeeksi tarkkaa tilastointia.
  • Puola, Portugali ja Luxemburg eivät vastanneet tietopyyntöihin.
  • Vientidata ei paljasta, kuka on varsinainen asiakas vastaanottajamaassa, eikä sitä, mihin tuotetta käytetään. Valvontateknologiaa voidaan käyttää myös puolustustarkoituksiin, kuten kyberhyökkäyksiltä suojautumiseen.