Deze week maakte een consortium van zestien internationale en gerenommeerde kranten bekend dat de Israëlische NSO Group spyware heeft ontwikkeld en verkocht aan verschillende overheden, waarmee politici, journalisten, activisten en advocaten in de gaten kunnen worden gehouden. Onder de zestig klanten in veertig landen waaraan de spyware geleverd is, zijn veel autoritaire regimes die er hun kritische burgers mee kunnen bespioneren. In Europa is Hongarije een van de afnemers en daarnaast staan onder andere India, Saudi-Arabië, Mexico en Marokko op de klantenlijst.

De Pegasus-spyware is verspreid via linkjes in berichtenapps als sms, WhatsApp en iMessage. Maar de software is ook geplant via zogenaamde ‘Zero Click-exploits’, kwetsbaarheden op de telefoon waarvoor de gebruiker helemaal niets hoeft aan te klikken. Eenmaal geïnstalleerd geeft de malware de bespieder toegang tot de contactenlijst, e-mail en berichten tot foto’s en video’s aan toe. Bovendien kan de Pegasus-software op afstand de camera en microfoon inschakelen, waardoor de telefoon een spionagemiddel-op-afroep wordt. In repressieve landen waar de mensenrechten en persvrijheid onder druk staan, is dit op zijn minst een intimiderende methode.

‘Terroristen en pedofielen’
Tot nu toe zijn de namen van 180 journalisten bekend die slachtoffer zijn geworden van de spyware. Zij werken bij nationale media in de betrokken landen, maar ook bij grote namen als The New York Times en Reuters. Mensenrechtenorganisatie Amnesty International heeft echter samen met de Franse organisatie Forbidden Stories een lijst aangeleverd met daarop 50.000 telefoonnummers van mensen die op het vizier van de afnemende landen zouden staan. Vandaag werd bekend dat in Frankrijk een justitieel onderzoek is gestart naar spionageactiviteiten van de Marokkaanse overheid, die zelf overigens alle beschuldigingen ontkent.
Amazon Web Services stopte maandag, een dag nadat het nieuws bekend werd, met de hosting van alle NSO Group-activiteiten en -accounts. 

Het bedrijf NSO Group zelf verklaart intussen niets fout te hebben gedaan. Het bedrijf levert naar eigen zeggen software aan gerespecteerde overheden en inlichtingendiensten die deze gebruiken in hun ‘legitieme strijd’ tegen criminelen en terroristen. De software, zegt het bedrijf, wordt bovendien gebruikt om pedofielennetwerken en drugsbendes te ontmantelen en vermiste kinderen op te sporen. Volgens de NSO Group bevat het verhaal van Amnesty International en journalistencollectief Forbidden Stories “valse aannames en zelf gefabriceerde complottheorieën”.

Controleer het zelf!
Het Pegasus-schandaal zal zich de komende tijd ongetwijfeld als een olievlek verspreiden naarmate er meer details bekend worden. Ondertussen heeft Amnesty International een tool ontwikkeld waarmee elke bezitter van een Android- of Apple-smartphone kan controleren of zijn telefoon schoon is. Deze Mobile Verification Toolkit (MVT) is op Github gepubliceerd. Meer informatie over de toolkit vind je hier. Er wordt wel bij gezegd dat enige kennis van commandoregels van pas komt bij deze tool, en dat in een later stadium hopelijk een wat gebruiksvriendelijkere versie beschikbaar zal komen.