data als kans

— donderdag 2 juni 2022, 14:15 | 0 reacties, praat mee

De AIVD maakt gebruik van afluistersoftware Pegasus, maar wat is dat eigenlijk?

Openingspagina van de website van NSO Group. Misdaad- en terreurbestrijding zijn officieel het voornaamste doel van Pegasus en andere diensten van het bedrijf.

Nu blijkt dat de omstreden Pegasus-afluistersoftware ook in het arsenaal van inlichtingendienst AIVD zit, is het een geschikt moment om terug te kijken: wat is Pegasus eigenlijk? Wat zijn de opmerkelijkste incidenten uit het recente verleden, die de Israëlische fabrikant NSO Group zo'n beruchte reputatie hebben opgeleverd? Laatste wijziging: 2 juni 2022, 15:47

Besmetting
Allereerst het goede nieuws, wie een Apple-toestel gebruikt met iOS 15 of later is niet langer gevoelig voor het type aanvallen rondom Pegasus. Apple adviseert gebruikers daarom dringend naar die versie van het besturingssysteem te upgraden.

Bij aanvallen op het Android-besturingssysteem probeert Pegasus of het hoogste rechten kan bemachtigen, maar dat is op de meeste toestellen niet eenvoudig. Volgens Google is het aantal Pegasus-besmettingen daarom beperkt.

Pegasus is dus vooral succesvol op verouderde of slecht onderhouden toestellen. Soms kán een toestel niet naar een veilige versie upgraden. Geef daarom bij aanschaf van een nieuwe telefoon of tablet niet alleen een fraai uiterlijk hoge punten, maar ook of een fabrikant toestellen tijdig (en langdurig) van updates voorziet.

Apple vervult daarin een voorbeeldfunctie. Het besloot bovendien om NSO Group eind 2021 aan te klagen voor het misbruik van Apple-infrastructuur. Naast straf voor het infecteren van telefoons en tablets van gebruikers vorder Apple “een permanent verbod op het gebruik van enige Apple software, diensten of devices door NSO Group.”

Het Android-ecosysteem is helaas versplinterd en het update-beleid bij fabrikanten wordt zo slecht afgedwongen, dat je nu nog nieuwe, maar al wat oudere Android-toestellen kunt kopen, die vermoedelijk nooit meer worden bijgewerkt.

Begin februari heeft de Tweede Kamer ingestemd met een recht op software- en beveiligingsupdates, aanstaande regelgeving die het fabrikanten van slimme elektronica verplicht updates te leveren en apparatuur veilig te houden. Via de campagne Doe Je Updates wijst de overheid op de noodzaak software-updates te installeren.

Omdat NSO Group inziet dat de succes rate van infecties via Pegasus op langere termijn afneemt, richt het bedrijf zich sinds enkele jaren op zogeheten zero-day exploits, letterlijk gaten die zo nieuw zijn dat een fabrikant er geen weet van heeft of er nog geen verdediging tegen heeft ontwikkeld.

NSO Group zou verder hebben geprobeerd om toegang te krijgen tot cruciale vaste telefonie-infrastructuur. Een klokkenluider van een bedrijf dat zulke infrastructuur beheert zegt dat er “zakken met geld” werden geboden voor toegang tot het zogeheten SS7-netwerk. Een man die namens NSO Group bij onderhandelingen was, zegt dat het om een onschuldig lost in translation grapje ging.

Verder zijn er natuurlijk andere gevaren: phishing-mails om je te verleiden bank- en wachtwoordgegevens te delen of pogingen mee te kijken met mails en je mobiele verkeer. De risico’s zijn omvangrijk en te veel om hier op te noemen. Techjournalist Daniël Verlaan (RTL Nieuws) onderhoudt de uitstekende site Laat Je Niet Hack Maken, met tips en heldere uitleg van gevaren en hoe je daartegen te wapenen.

Een oude bekende
Al sinds 2016 is Pegasus in omloop. Hoewel fabrikant NSO Group zweert dat de software is gemaakt voor terreur- en misdaadbestrijding én contracten bij misbruik opzegt, zijn er tientallen voorbeelden waarbij repressieve overheden de software tegen journalisten, mensenrechtenactivisten, advocaten en politieke tegenstanders hebben ingezet.

Nadat het is aangeschaft zegt NSO Group geen zicht meer te hebben op eventueel misbruik. Dat gebrek maakt de software omstreden en gevaarlijk in verkeerde handen.

De Verenigde Staten plaatsten NSO Group in november vorig jaar op een zwarte lijst. De Europese Unie onderzoekt een totaalverbod op dit type software. De Europese toezichthouder voor gegevensbescherming EDPS is voorstander van een verbod. Software als Pegasus beschadigt fundamentele vrijheidsrechten, aldus de toezichthouder.

Israël besloot uiteindelijk zelf om de export van dit type software te beperken.

Journalisten als doelwit
De software is de laatste jaren doorlopend ingezet tegen journalisten. Soms om ze te volgen en hun contacten in kaart te brengen -  tot ziens brongeheim - maar niet zelden om materiaal te verzamelen voor dubieuze rechtszaken.

De telefoon van de Marokkaanse onderzoeksjournalist Omar Radi bleek met Pegasus te zijn besmet. Radi schreef over mensenrechtenschendingen in het land, belichtte corrupte grondtransacties en berichtte kritisch over protesten en leverde kritiek op de vermeende partijdigheid van rechters.

Hij werd in de zomer van 2021 veroordeeld tot zes jaar cel, onder meer voor spionage. De Marokkaanse overheid stelde namelijk dat Radi contact had gehad met Nederlandse autoriteiten. Toenmalig minister van Buitenlandse Zaken Ben Knapen verwierp de beschuldiging aan het adres van Radi.

Eerder dit jaar diende het hoger beroep in Radi’s zaak. De zes jaar cel bleef gehandhaafd.

De telefoon van miljardair Jeff Bezos werd in 2018 besmet, om materiaal te vinden waarmee hij kon worden afgeperst. Die was er: Bezos was indertijd verwikkeld in een buitenechtelijke affaire. Het kostte hem zijn huwelijk en markeerde ‘s werelds prijzigste scheiding van 38 miljard dollar.

Bezos koos indertijd voor een vlucht vooruit toen het roddelblad National Inquirer hem met die informatie wilde chanteren.

Een door Bezos ingehuurd onderzoeksbureau ontdekte een Pegasus-infectie op zijn telefoon. The Guardian berichtte begin 2020 dat Bezos’ telefoon vermoedelijk door niemand minder dan de Saudische kroonprins bin-Salman is besmet. Rapporteur Agnès Callamard van het kantoor van de Hoge Commissaris voor de mensenrechten van de Verenigde Naties eiste een onderzoek, ook met het oog op de moord op de Saudisch journalist Jamal Khashoggi, vijf maanden later.

Opmerkelijk detail: de telefoon van Khashoggi’s verloofde Hatice Cengiz bleek óók met Pegasus besmet.

De lijst van andere incidenten waarbij de software een hoofdrol speelt is lang en triest: een medewerker van mensenrechtenorganisatie Human Rights Watch in Beiroet werd afgeluisterd, er kwam een omvangrijke aanval op onderzoeksjournalisten in El Salvador aan het licht, zes journalisten in Hongarije bleken te zijn gevolgd door de overheid, nadat hun telefoons waren besmet.

Verder is de software ingezet tegen Europese politici en speelt Pegasus een schimmige rol in de Catalaanse politiek, dat zo omvangrijk is dat er van een heus Catalangate gesproken wordt.

In thuisland Israël zijn journalisten niet veilig: eerder dit jaar berichtte dagblad The Calcalist dat de Israëlische politie Pegasus heeft ingezet tegen overheidsfunctionarissen, topfiguren uit het bedrijfsleven, journalisten, activisten en anderen.

Bekijk meer van

Pegasus NSO Group

Tip de redactie

Wil je Villamedia tippen, maar is dat te gevoelig voor een gewone mail? Villamedia is aangesloten bij Publeaks, het platform waarmee je veilig en volledig anoniem materiaal met de redactie kunt delen: publeaks.nl/villamedia

Praat mee

Colofon

Villamedia is een uitgave van Villamedia Uitgeverij BV

Uitgever

Dolf Rogmans

Postadres

Villamedia Uitgeverij BV
Postbus 75997
1070 AZ Amsterdam

Bezoekadres

Johannes Vermeerstraat 22
1071 DR Amsterdam

Factuurgegevens

Villamedia Uitgeverij BV
Johannes Vermeerstraat 22
1071 DR Amsterdam

Contact

redactie@villamedia.nl

Redactie (tips?)

Chris Helt, hoofdredacteur

Marjolein Slats, adjunct-hoofdredacteur

Linda Nab, redacteur

Lars Pasveer, redacteur

Trudy Brandenburg-Van de Ven, redacteur

Rutger de Quay, redacteur

Sales

Sofia van Wijk

Jenny Fritschy

Webontwikkeling

Marc Willemsen

Vacatures & advertenties

redactie@villamedia.nl

Bereik

Villamedia trekt maandelijks gemiddeld 120.000 unieke bezoekers. De bezoekers genereren momenteel zo’n 800.000 pageviews.

Rechten

Villamedia heeft zich ingespannen om alle rechthebbenden van beelden en teksten te achterhalen. Meen je rechten te kunnen doen gelden, dan kun je je bij ons melden.