Waarom spionagesoftware Pegasus al jaren omstreden is

Software van het Israëlische bedrijf NSO Group zou worden gebruikt om over de hele wereld journalisten, activisten en advocaten te bespioneren, zo blijkt uit onderzoek van internationale mediabedrijven. Zij vonden een lijst met 50.000 telefoonnummers van mensen die mogelijk zijn gehackt. Het programma waarmee dat gebeurt heet Pegasus en is al jaren omstreden.

Op de lijst staan onder anderen 180 journalisten van onder meer CNN, AP, The New York Times en Bloomberg. Daarnaast staan er zakenmensen, mensenrechtenactivisten en honderden politici en overheidsmedewerkers op. De mensen op de lijst komen uit vijftig verschillende landen.

Die nummers waren mogelijke doelwitten voor overheden die Pegasus gebruiken. Het is niet bekend of ze ook allemaal zijn gehackt en met welke bedoeling.

NSO kan zich niet vinden in de uitkomst van het grootschalige onderzoek. Een woordvoerder zegt tegen The Verge dat het onderzoek "vol met verkeerde aannames en niet-onderbouwde theorieën zit die twijfels oproepen over de betrouwbaarheid en belangen van de bronnen". Ook overweegt het bedrijf een rechtszaak wegens smaad, omdat "deze aantijgingen zo schandalig zijn en ver van de werkelijkheid staan".

NSO claimt goede bedoelingen te hebben met de software. Zelf omschrijft het bedrijf Pegasus als "technologie die overheden helpt bij het opsporen en onderzoeken van terrorisme en criminaliteit om duizenden levens te redden".

Naast overheden zouden ook tientallen inlichtingen- en opsporingsdiensten wereldwijd van NSO-software gebruikmaken. NSO zegt alleen verkoper van de software te zijn en niet te weten wat overheden en diensten er daarna mee doen.

Toch is het gebruik van Pegasus omstreden. De malware infecteert telefoons, waarna vrijwel alles is uit te lezen. Zo kan de software berichten kopiëren, door foto's bladeren en gesprekken opnemen. Met alle informatie die het programma verzamelt, kan in potentie worden nagegaan waar de gebruiker is geweest en met wie er contact was.

Het wordt steeds ingewikkelder om iets van een Pegasus-besmetting te merken. In 2016, toen Pegasus voor het eerst werd ontdekt, werden gebruikers geïnfecteerd door op een link te klikken. Daarna werd de technologie geavanceerder. De software maakt tegenwoordig veel gebruik van zogeheten zero day-zwakheden. Dat zijn gaten in besturingssystemen van telefoonmakers, die nog niet door hen zijn ontdekt. Door deze zwaktes te misbruiken, kan malware in telefoons worden geïnjecteerd zonder dat de gebruiker daar weet van heeft.

Dat gebeurde bijvoorbeeld met WhatsApp in 2019. Software van NSO werd toen gebruikt om meer dan veertienhonderd telefoons te besmetten, simpelweg met een WhatsApp-belletje naar het doelwit. Het gesprek hoefde niet eens opgenomen te worden.

Zeer recent wist Pegasus naar verluidt ook zwakheden in Apples iMessage te misbruiken, om op die manier toegang te krijgen tot iPhones. Door binnen te komen bij vooraf geïnstalleerde software op een telefoon, zoals iMessage, zijn er direct enorm veel potentiële doelwitten om af te luisteren.