Hoe criminelen zich veilig waanden op chatdienst Sky (maar dat niet waren)

Politie en justitie kraakten de berichtendienst Sky ECC, waardoor ze maandenlang konden meekijken met communicatie tussen criminelen. Dit moet je weten over Sky, het bedrijf dat beloofde de best beveiligde berichtendienst te leveren.

Het hacken van Sky doet denken aan een actie van de politie van vorig jaar, toen de politie een tijdlang kon meelezen met communicatiedienst EncroChat. Ook deze dienst werd veel door criminelen gebruikt, omdat zij dachten dat ze daarmee anoniem met elkaar konden chatten.

Maar deze kraak leverde volgens de politie veel meer op. Zo kon meegelezen worden met honderden miljoenen berichten, viel de politie daarna honderden panden binnen en werden in Nederland dertig aanhoudingen verricht.

Wat is Sky ECC?
Sky ECC is wereldwijd de grootste leverancier van een versleutelde berichtendienst. Bij dit soort diensten moeten berichten van de ontvanger en verzender op zo'n manier worden afgeschermd en versleuteld dat niemand anders kan meelezen. Sky zou zo'n 70.000 klanten hebben.

In 2008 werd Sky ECC opgericht door Jean-François Eap. Het bedrijf noemt zich "het veiligste berichtenplatform dat je kunt kopen" en was daar zo zeker van, dat het een beloning van 5 miljoen dollar uitloofde voor degene die zijn versleuteling binnen negentig dagen wist te kraken.

Hoe houdt Sky berichten afgeschermd voor anderen?
Sky verkoopt op zijn website telefoons die door het bedrijf zijn versleuteld. Zo'n telefoon, een Blackberry, iPhone of Android-toestel, kost afhankelijk van het model tussen de 730 en 2.040 euro.

De berichtendienst staat in een beveiligd deel van de telefoon, waar die beschermd moet zijn tegen malware of spionagesoftware. Gebruikers kunnen naast chatten ook berichten versturen die zichzelf vernietigen en versleutelde audiobestanden delen.

Zowel de berichten als verbindingen met het netwerk zijn versleuteld en kunnen alleen door de ontvanger en verzender worden geopend. Volgens het bedrijf worden de beveiligde chats niet op zijn servers bewaard. "Als de ander niet bereikbaar is, bijvoorbeeld omdat het toestel uit staat, houden we het bericht 48 uur vast. Daarna wordt het verwijderd", schrijft Sky. "Als berichten niet binnen die tijd worden gelezen, zijn die niet meer te achterhalen."

Hoe kon Sky toch worden gekraakt?
Daarover zijn politie en justitie vaag, omdat het onderzoek rond Sky ECC nog loopt. Een woordvoerder van het Openbaar Ministerie (OM) zegt maanden geleden dankzij "een technisch hulpmiddel" een berg aan gegevens van Sky-gebruikers in handen te hebben gekregen. Op 15 februari van dit jaar lukte het om de berichten in te zien. Vanaf dat moment kon drie weken lang ook live worden meegekeken met versleutelde communicatie.

Het onderzoek naar Sky werd in 2018 geopend, nadat in onderzoeken naar liquidaties in Amsterdam was opgevallen dat er veel gebruik werd gemaakt van encryptietelefoons van aanbieder Sky ECC. De server van de aanbieder is dinsdagochtend in beslag genomen.

In een verklaring ontkent het bedrijf woensdag te zijn gehackt. Ook zegt Sky geen contact te hebben gehad met opsporingsdiensten. Daarnaast is er volgens het bedrijf geen ruimte voor criminelen op zijn plaform. "Sky ECC heeft een zerotolerancebeleid en verbiedt alle criminele activiteiten op al zijn platformen. Accounts die voor criminele activiteiten worden gebruikt, worden onmiddellijk gedeactiveerd."