Bijna niemand is veilig voor spionagesoftware ‘Pegasus’
Een datalek bewijst dat NSO Group uit Israël zijn spionagesoftware ‘Pegasus’ verkoopt aan regimes die het inzetten tegen journalisten, activisten en andere dissidente stemmen.
Om met Pegasus besmet te raken, hoeft een doelwit soms niet eens op een toegestuurde link te klikken. Het kan volstaan om een berichtje te krijgen
Een lijst met 50.000 telefoonnummers van potentiële doelwitten, onder wie 189 journalisten, 85 mensenrechtenactivisten, 65 zakenlui en meer dan 600 politici en overheidsfunctionarissen. Het datalek dat in handen kwam van Amnesty International en het journalistieke collectief Forbidden Stories, waar Knack en Le Soir deel van uitmaken, toont aan dat de Pegasus-spionagesoftware van de Israëlische NSO Group lang niet alleen wordt verkocht aan veiligheidsdiensten die ze inzetten voor legitieme doeleinden, zoals de opsporing van zware criminaliteit en terrorisme. Regimes gebruiken de software ook om dissidenten in de gaten te houden en via dat toezicht te intimideren. 1
Wat doet Pegasus?
De software, waarvan de naam alludeert op een Trojaans paard dat vliegend binnendringt, is ontworpen om de beveiliging van iPhones en Android-smartphones te omzeilen en amper sporen van een aanval achter te laten. ‘Klassieke maatregelen zoals sterke paswoorden en versleuteling bieden amper weerstand tegen Pegasus, dat telefoons kan aanvallen zonder dat de eigenaars iets van waarschuwing krijgen’, schrijft The Washington Post, dat ook betrokken is bij het onderzoek. Zodra een toestel is besmet, kan de aanvaller alles zien wat erop gebeurt, alsof hij het toestel zelf in handen heeft: foto’s, mails, gesprekken, opnames, locaties, enzovoort. De malware kan ook de microfoon en camera inschakelen. 2
Hoe wordt een toestel hiermee besmet?
‘Klik niet op verdachte links, zeker niet als je de afzender niet kent’, weet iedereen met een smartphone intussen. Maar het lastige van Pegasus is dat het doelwit soms niet eens op een toegestuurde link hoeft te klikken om besmet te raken. Het kan volstaan om een berichtje te krijgen, zelfs zonder dat daar een melding van op het scherm komt. Ook smartphones waarvan het besturingssysteem up-to-date is, zijn kwetsbaar. Het Security Lab van Amnesty International onderzocht 37 smartphones van doelwitten om na te gaan hoe de infectie liep en stelde daarbij vast dat iPhones die werken met iOS 14.6, de meest recente versie tijdens het onderzoek, niet ontsnappen aan Pegasus. Het Canadese Citizen Lab, dat verbonden is aan de Universiteit van Toronto en al jaren Pegasus in het vizier neemt, onderwierp de analyse van Amnesty aan een peerreview en bevestigt de bevindingen.
Behalve de besmetting van de toestellen en de spionage van de gebruikers die daarop volgt, heeft spyware zoals Pegasus ook een ‘chilling effect’. De vrees om onder toezicht te staan intimideert journalisten en activisten, waardoor hun werk wordt afgeremd. De Azerbeidzjaanse onderzoeksjournaliste Khadija Ismayoliva wordt al jaren het leven zuur gemaakt door het Azerbeidzjaanse regime wegens haar berichtgeving over corruptie. Toch schrok zij nog van het aantal aanvallen met de spionagesoftware. ‘Wanneer je denkt dat er een camera in het toilet staat, dan stopt je lichaam met functioneren’, verklaarde Ismayoliva aan The Washington Post. ‘Ik vernam dit (de aanvallen, red.) en gedurende acht of negen dagen kon ik gewoon niet meer naar het toilet gaan. Mijn lichaam werkte niet meer.’ 3
Kunnen ondemocratische regimes die software zomaar kopen?
NSO Group loopt al jaren in de kijker omdat het weinig scrupuleus is bij de verkoop van zijn spyware. In 2019 kwam het nog in een schandaal terecht omdat het een lek in Whatsapp gebruikte om mensen te infecteren, waarna de chat-app een update kreeg. Toen al werd NSO in verband gebracht met verkoop aan SaoediArabië, Rwanda en Libië. Het bedrijf zelf ontkent dat het aan om het even wie zou verkopen. ‘We onderzoeken potentiële klanten grondig’, is de reactie. 4
Wordt Pegasus in België gebruikt? Er zijn Belgische toestellen besmet geraakt met de Pegasus-software. Een deel daarvan is geïnfiltreerd door buitenlandse overheden, maar het is zeer aannemelijk dat ook Belgische veiligheidsdiensten Pegasus gebruiken. Twee jaar geleden gaf de federale politie ‘geen commentaar’ op de vraag over een samenwerking met NSO. 5
Hoe wordt gereageerd op dit lek? ‘Indien dit klopt, is dat totaal onaanvaardbaar’, reageerde Europees Commissievoorzitter Ursula von der Leyen op een vraag tijdens een persconferentie met de Tsjechische premier Andrej Babis in Praag. ‘De persvrijheid is één van de kernwaarden van de Europese Unie.’
Europees parlementslid Guy Verhofstadt (Open VLD) reageerde fors. ‘Geen “diepe bezorgdheid” meer. Er groeit een dictatuur binnen de EU’, tweette hij, verwijzend naar Viktor Orbans Hongarije. ‘We hebben een volledig onderzoek door het Europees Parlement nodig.’
Techbedrijf Amazon sloot zijn serverinfrastructuur af voor NSO Group.