'Slachtoffers van NSO Group-malware klagen het bedrijf aan om spionage'

Uitgelekte documenten, die in handen zijn van The New York Times, wijzen erop dat er twee rechtszaken zijn aangespannen tegen het Israëlische beveiligingsbedrijf NSO Group. De zaken zouden zijn aangespannen door slachtoffers, die het bedrijf van spionage beschuldigen.

Volgens de krant zijn de aanklachten ingediend in Israël en in Cyprus, respectievelijk door een burger van Qatar en door een groep Mexicaanse journalisten en activisten. Allemaal zouden ze het doelwit zijn geweest van de malware van het bedrijf. De advocaat in de Israëlische zaak zegt tegen The New York Times dat de aanklacht duidelijk moet maken dat de wet de achterstand op de techniek moet inhalen en dat makers van spyware medeplichtig zijn aan de privacy-inbreuken die ermee worden begaan. NSO Group wilde niet op de aanklachten reageren tegenover de krant. Het bedrijf zei in een ander statement dat zijn producten alleen ingezet dienen te worden voor de bestrijding van terrorisme en misdaad.

Dat zou ook de voorwaarde van NSO geweest zijn toen het zijn producten aan Mexico verkocht, maar volgens de krant waren daar ook mensenrechtenadvocaten, journalisten en activisten het doelwit. In de andere zaak zou uit documenten blijken dat het bedrijf actief heeft meegeholpen om teksten van phishingberichten op te stellen met behulp waarvan malware op een apparaat geïnstalleerd kon worden. Ook zou het geholpen hebben de buitgemaakte gegevens te versturen.

In de documenten wordt een voorbeeld aangehaald dat leiders van de Verenigde Arabische Emiraten bewijs van NSO wilden dat het product ook daadwerkelijk functioneert. Ze vroegen daarom om opnames van telefoongesprekken van de emir van Qatar, van een Saudische prins en van een journalist. NSO zou vier dagen later met twee opnames van gesprekken van de journalist over de brug zijn gekomen, die aan The New York Times bevestigde dat hij de gesprekken had gevoerd en dat hij niet wist dat hij in de gaten werd gehouden.

Bij de eerdergenoemde malware zou het om de zogenaamde Pegasus-variant gaan, die in 2016 werd ontdekt dankzij mensenrechtenactivist Ahmed Mansoor. Naast een iOS-versie, die gebruikmaakte van drie zero-days en een toestel na een klik op een link kon jailbreaken, bleek er later ook een Android-versie te bestaan. Die zou zijn ingezet om 35 apparaten in Israël, Georgië, Mexico en Turkije aan te vallen. In juli kwam het nieuws naar buiten dat een voormalig NSO-medewerker Pegasus probeerde te verkopen voor 50 miljoen dollar.

Reacties (27)

Tsja, als je als bedrijf spionage-software maakt, dan kan je verwachten dat je een keer aangeklaagd gaat worden. Zou aardig zijn als de NSO Group flink zou moeten betalen, hoewel de kans in Israel klein is ivm de belangenverstrengeling tussen de politiek en particuliere bedrijven op het gebied van spionage-software en -apparatuur en het daar flink dichtgetimmerd zit ten faveure van de bedrijven.

Of misschien worden ze vrijgesproken omdat ze niks fout hebben gedaan? Misschien ook wel hoor, maar zolang ze binnen redelijkheid hebben geprobeerd te zorgen niet aan 'foute' instanties en regimes te leveren, is het dan illegaal wat ze doen? Glock is toch ook niet verantwoordelijk voor elke misdaad die met hun pistool wordt gepleegd? En een maker van kleine ('spionage') cameras toch ook niet als iemand ze in een vrouwen WC ophangt?

maar zolang ze binnen redelijkheid hebben geprobeerd te zorgen niet aan 'foute' instanties en regimes te leveren, is het dan illegaal wat ze doen?

En dit is het probleem. Deze organisaties marketen actief aan dat soort regimes. Dat is het merendeel van hun business model. Hier heb ik pas in geloof ik een aflevering van cyberwar op vice over gezien. Een Ethiopische journalist die het land moest ontvluchten nadat de overheid zijn hele nieuws bedrijf had bespioneerd en mensen ging oppakken. Met spyware van een geloof ik Italiaans bedrijf.

Bijv:
https://www.wired.com/sto...pyware-is-out-of-control/
https://www.voanews.com/a...aeli-spyware/4154014.html

Wapenmakers die direct aan dit soort regimes verkopen, als er een embargo is op wapenhandel met dat land, wat ook lang niet altijd zo is als dat zou moeten, worden keihard aangepakt. Dat moet dan stiekem via een ander land C, een tussenpartij, dat geen embargo heeft met land A of B. Voor spyware is er nog niet zoiets.

[Reactie gewijzigd door Origin64 op 31 augustus 2018 21:43]

'Fout' is relatief.
De een z'n terrorist is de ander z'n vrijheidsstrijder. Zelfs in een overduidelijke historische context is er vaak nog geen werkelijke consensus over Goed of Fout, sterker nog de meningen daarover verschuiven vaak razendsnel.
Denk aan Che Guevara, Stalin, Napoleon, Tromp, Robert E. Lee, Van Heutsz... de lijst is eindeloos.
Kijk eens naar al die keurige beursgenoteerde bedrijven die stiekem toch verkopen aan landen en personen die op boycotlijsten staan.
Het is wel erg naief om aan te nemen dat spionageapparatuur alleen wordt ingezet ter bescherming van enig algemeen belang, zeker in tijden waarin het behalen van meer bedrijfswinst het moreel hoogste doel is waarvoor al het andere moet wijken.

edit typo

[Reactie gewijzigd door Barcht op 1 september 2018 13:23]

Het verschil met een pistool of een camera is dat deze onpartijdig zijn. Je kunt ze ook voor goede doeleinden gebruiken (zelfbescherming, bescherming van eigendommen). Ik beschouw spionagesoftware onder dezelfde categorie als atoombommen: er is eigenlijk niet 1 legitiem doel voor te bedenken (het is altijd voor spionage, en dat is nooit ok). Wat mij betreft mag deze hele categorie software op dezelfde lijst komen te staan als kinderporno en hard worden aangepakt, inclusief de bedrijven die het maken.

Hoe kom je er op dat een camera je of je eigendom 'beschermt'. Je kunt pas na de feiten kijken hoe ze je vrouw en dochter hebben aangerand.

In de moderne wereld gaat een alarm af op je iPhone en kan je in real-time via je camera vaststellen dat er iemand in je huis is binnengedrongen en je vrouw en dochter redden door tijdig de politie te bellen.

In dat geval kan je het deels beschermend noemen jep. Enkel in zo'n geval.

Probleem gaat zijn dat deze camera beweging gaat melden als je het huis verlaat. Moest er nog iemand thuis zijn hoop ik dat je niet telkens een notificatie krijgt als iemand de cam passeert.

Ik dacht niet aan motion detection maar inbraak sensors op ramen en deuren.

Dus niet de camera dan?

Dit werkt dan ook zonder camera. Je krijgt melding over inbraak, je belt je vrouw die thuis zou zijn. Krijgt geen reactie en belt de politie bij voorbaat.

[Reactie gewijzigd door BlaDeKke op 1 september 2018 11:44]

Ik zou toch eerst eens kijken op de camera of de vriend van je dochter geen bal door het raam heeft gekieperd zoals de laatste keer die sensor afging

Bekijk eens de mogelijkheden van homekit voor de vele scenarios die mogelijk zijn

[Reactie gewijzigd door monojack op 1 september 2018 11:51]

Als het alleen bij het leveren van de software bleef, ja... Maar:

> In de andere zaak zou uit documenten blijken dat het bedrijf actief heeft meegeholpen om teksten van phishingberichten op te stellen met behulp waarvan malware op een apparaat geïnstalleerd kon worden. Ook zou het geholpen hebben de buitgemaakte gegevens te versturen.

Of zie bijvoorbeeld:

> In de documenten wordt een voorbeeld aangehaald dat leiders van de Verenigde Arabische Emiraten bewijs van NSO wilden dat het product ook daadwerkelijk functioneert. Ze vroegen daarom om opnames van telefoongesprekken van de emir van Qatar, van een Saudische prins en van een journalist. NSO zou vier dagen later met twee opnames van gesprekken van de journalist over de brug zijn gekomen, die aan The New York Times bevestigde dat hij de gesprekken had gevoerd en dat hij niet wist dat hij in de gaten werd gehouden.

De spionage op de journalist is door de NSO zelf uitgevoerd, tenzij de NSO ook data van klanten teruggekoppeld krijgt. In welk geval er een nog veel groter probleem is.

[Reactie gewijzigd door MicBenSte op 31 augustus 2018 20:27]

Hoe kan het probleem dat deze organisaties iedereen ter wereld af kunnen luisteren, groter zijn dan gedacht? De wereld kan niet groter worden dan hij al is

[Reactie gewijzigd door Origin64 op 31 augustus 2018 21:45]

Zal wel off-topic zijn, maar ik zou het niet erg vinden als elke wapenfabrikant schuldig werd bevonden.
Bij een keukenmes kan je nog zeggen dat het doel niet het doden was, maar bij een Glock etc....

omdat niet iedereen die een wapen bezit per definitie iemand doodt...

waarom zou een softwarebedrijf aangeklaagt moeten kunnen worden maar een wapenfabrikant niet?

Het gaat er hierom dat de fabrikant Actief
heeft meegeholpen met spionage. Ze hebben bijvoorbeeld opnames laten horen van derden om nieuwe klanten te werven.

Hmmz, dat ze bewijs leveren dat hun software werkt, kun je ze eigenlijk niet kwalijk nemen. En de hulp bij het opstellen van fishing mails kun je opvatten als hulp bij de implementatie. Je criterium "actief" is geen binaire waarde. Het schrijven van de software is ook een activiteit; waarom mag die activiteit wel en de genoemde activiteiten niet?

Waar het om gaat is of de mensheid spyware een acceptabel handhavingsmiddel vindt voor overheden en - zo ja - of dat gereguleerd moete worden. Deze rechtszaken zijn de eerste stappen in een proces dat uiteindelijk bij de VN terecht moet komen

Als ik jouw analogie doortrek betekent het dat een vuurwapen fabrikant mag aantonen hoe effectief zijn vuurwapens zijn door aantallen/voorbeelden/filmpes te tonen van hoe mensen gedood/geëxecuteerd worden?

Want dat is het beste bewijs en dat mag dan niet kwalijk genomen worden? Volgens mij had het bedrijf ook gewoon een referentie kunnen geven in plaats van concrete voorbeelden. Of een trial doen voor nieuwe klanten. Ik zou het in ieder geval niet prettig vinden als data/bedrijfsgeheimen van mijn bedrijf wordt gedeeld met anderen door een bedrijf welke ik in dienst heb genomen.

Dit staat los van het 2e punt wat je maakt over spyware en of dat een acceptabel handhavingsmiddel is. De mensheid heeft zich wat mij betreft al bewezen wat zij acceptabel vindt of niet. Als het puntje bij paaltje komt offeren we iedereen op voor eigen belang. We noemen ons nu geciviliseerd, omdat we nu geen zwaard of hakbijl gebruiken en zogenaamd mensen niet ter dood veroordelen. En hiernaast maken we massa vernietigwapens en wordt dat verkocht aan de hoogste bieder, maar zijn we verontwaardigd als dat bekend wordt. We laten onschuldigen gedood worden en hierna geven we een perconference waarin we het leuk gaan veroordelen. Mwah, wij vinden alles acceptabel zolang het ons maar niet overkomt, maar anderen.
We zullen uiteindelijk verantwoordelijk zijn voor onze eigen downfall

Nou ja, on the positive side: we hebben afgesproken geen atoombommen meer te gebruiken. Clusterbommen trouwens ook niet. En wapenleveranties aan door de VN benoemde foute regimes, zijn ook strafbaar

Btw: je voorbeeld over het doodschieten van mensen is natuurlijk uit z'n verband gerukt. Het doden van mensen wordt universeel (ok: mondiaal) afgekeurd. Probleem is nou juist dat deze universele afkeuring van spyware er niet is

Je hebt een punt dat we de afspraken hebben. Alleen worden ze nog steeds geproduceerd, onderhouden en er worden nieuwe wapens ontwikkeld. Trump had een punt toen hij zei "we have the best guns and weapons" en ze verkopen aan iedereen die geld heeft.

En ook mbt het 2e punt heb je gelijk, we keuren het af en tegelijkertijd is er altijd een partij die het toch doet. De rest gaat weer afkeuren. Kijk naar de oorlog in Syrië. Er zijn chemische wapens gebruikt en ook cluster bommen. Wat zijn al die afspraken waard? En als het even kan draaien we ook weer weg van die afspraken: https://www.google.nl/amp...ition-policy%3fsource=dam
VS bijvoorbeeld staat vanaf eind 2017 weer het gebruik van cluster bommen toe.

Kans is klein. Als ik broodmessen verkoop kan iemand daarmee ook een moord plegen. Al staat er wel dat ze hebben geholpen met opstellen en het zelf ook illigaal gebruikt hebben. Dat is dus dom.
Maar is daar ook direct bewijs voor?

[Reactie gewijzigd door rob12424 op 1 september 2018 09:12]

Ja daar is direct bewijs voor. En het zou hetzelfde zijn als je bij het verkopen van de broodmes een film zou hebben getoond aan de koper dat het mes gebruikt is om een moord te plegen.

[Reactie gewijzigd door Praetextatus op 1 september 2018 23:26]

Ik zou zeggen dat je als fabrikant niet schuldig bent. De fabrikanten van vuurwapens zijn ook niet verantwoordelijk voor de misdaden die er mee gepleegd worden. Als de software ergens wordt aangetroffen moeten onderzoekers wel bij een lijst met klanten kunnen om de herkomst van de aanval te kunnen traceren, in theorie dan. In de praktijk gaat dat bij software natuurlijk never nooit werken.