WhatsApp klaagt Israëlische NSO Group aan wegens vermeende verspreiding spyware

WhatsApp klaagt de Israëlische NSO Group aan omdat dit bedrijf achter de malware zou zitten waarmee de telefoons van 1400 WhatsApp-gebruikers zijn geïnfecteerd. Daarmee was het mogelijk om de bezitters te bespioneren ondanks de end-to-end-encryptie van de chatapp.

WhatsApp meldt in een verklaring dat het een zaak is begonnen bij een Amerikaanse rechtbank waarbij het zijn pijlen richt op de NSO Group en het moederbedrijf Q Cyber Technologies. WhatsApp omschrijft NSO Group als een spywarebedrijf en stelt dat beide bedrijven de Amerikaanse federale 'Computer Fraud and Abuse Act' en Californische wetten hebben overtreden, en de WhatsApp-voorwaarden hebben geschonden. Het bedrijf achter de populaire chatapp wil bereiken dat het aan NSO wordt verboden om nog langer gebruik te maken van WhatsApp.

Volgens WhatsApp had NSO zijn spyware gericht op 1400 van zijn gebruikers, waaronder minstens 100 journalisten of mensenrechtenactivisten. De spyware werd in april en mei ingezet. Om de technische beperkingen van de WhatsApp Signaling Servers te vermijden, heeft NSO 'gespreksbeginberichten' met kwaadaardige code verspreid die zich voordeden als legitieme gesprekken. Daarbij werd de code in de gespreksinstellingen verborgen, zo stelt WhatsApp. Hiermee kon de spyware naar het toestel worden gebracht en leek die afkomstig van de WhatsApp Signaling Servers. Zodra een WhatsApp-oproep tot stand werd gebracht, werd de malware in het geheugen van het toestel geïnjecteerd, ook als de oproep niet werd beantwoord, schrijft WhatsApp. De kwetsbaarheid die deze exploit mogelijk maakte, werd halverwege mei gepatcht. Toen werd de NSO Group al vermeld, maar nu wordt het bedrijf specifiek en publiekelijk genoemd, onder meer in de aanklacht.

Overigens is het nog maar de vraag of de rechtszaak zoden aan de dijk zal zetten. Normaal gesproken gaat het in een zaak over mogelijk overtreden regels uit de Computer Fraud and Abuse Act over hackers die computers van een bedrijf hebben gehackt. In dit geval betreft het een zaak tegen een bedrijf dat de software van een ander bedrijf heeft misbruikt om in de computers van zijn gebruikers in te breken.

De wet draait om ongeoorloofde toegang en dus hacken, waardoor WhatsApp hard zal moeten maken dat NSO illegaal toegang kreeg tot zijn systemen. Tor Ekeland, een advocaat die vaker hackers bijstaat, zegt tegen Wired dat WhatsApp wellicht aannemelijk kan maken dat NSO niet alleen zijn gebruikers, maar ook de eigen servers heeft gehackt, maar volgens hem is WhatsApp hier niet duidelijk over. Bovendien heeft WhatsApp-moederbedrijf Facebook in het verleden soortgelijke zaken gevoerd. De rechter oordeelde toen dat de Computer Fraud and Abuse Act alleen geschonden was doordat Facebook een gewraakt bedrijf had gewaarschuwd niet langer gebruik te maken van Facebook. In de huidige aanklacht van WhatsApp wordt echter geen melding gemaakt van een eerdere WhatsApp-oproep aan het adres van NSO om de diensten niet langer te gebruiken en te stoppen met het hacken van gebruikers.

In een verklaring aan onder meer de BBC zegt NSO dat het de aantijgingen zal aanvechten en het niet eens te zijn met de lezing van WhatsApp. Het bedrijf stelt dat het zijn enige doel is om technologie te leveren aan overheidsdiensten om hen te helpen met de strijd tegen terrorisme en serieuze misdaad.

Reacties (35)

NSO heeft zelf niemand gehacked, wel zijn tech verkocht aan oa China die het gebruiken om Tibetanen te bespioneren.

Hier een mooi verslag in detail (long read) hoe men tewerk gaat :

Between November 2018 and May 2019, senior members of Tibetan groups received malicious links in individually tailored WhatsApp text exchanges with operators posing as NGO workers, journalists, and other fake personas. The links led to code designed to exploit web browser vulnerabilities to install spyware on iOS and Android devices, and in some cases to OAuth phishing pages. This campaign was carried out by what appears to be a single operator that we call POISON CARP.

https://citizenlab.ca/201...-1-click-mobile-exploits/

Dat mag zo zijn, maar ik denk dat ze hiermee de bron willen aanpakken. NSO faciliteert eigenlijk het hacken. Is dan eigenlijk vergelijkbaar met de strijd tussen bijvoorbeeld Brein en torrent-sites. Of je kunt het misschien vergelijken met illegale wapenhandel. Als hacken illegaal is, hoe classificeer je dan een bedrijf die hacken faciliteert.

Ik zie het zo dat als dit mag, je dus ook ransomware mag ontwikkelen en verkopen of verhuren, zonder dat je daar een wet mee overtreedt. Ik denk dat over het algemeen iedereen het er wel mee eens is dat dat in elk geval op zijn minst niet gewenst is.

Interessante case. Hardrijden is illegaal, maar een autofabrikant die dat faciliteert mag auto's leveren die (veel) sneller kunnen dan de maximumsnelheid. Ik gok dat het voor hackertools hetzelfde is, tenzij het expliciet verboden is (zoals bijvoorbeeld het geval is voor wapenbezit).

Het verschil is dat een auto heel veel functies kan vervullen, en dat te hard rijden niet het primaire doel van een auto is. Ja het kan, maar het is niet iets dat de fabrikant als primaire eigenschap in de markt zet.
Net zoals dat je met een hamer iemand kan doodslaan, maar het primaire doel van een hamer is spijkers in hout slaan.

Deze tool van de NSO heeft als enige doel om in te breken in lokale telefoons. het primaire doel is dus juist hacken. Dat onderscheid van primaire functie van iets zal juridisch ook wel meegenomen worden.

Daarnaast heeft te hard kúnnen rijden in een auto ook een positieve functie. In een onveilige situatie de snelheidslimiet doorbreken kan gewoon levens schelen. De discussie daarover bij bijv. wapenbezit is een stuk complexer (en schijnbaar nogal cultureel bepaald).

Ja maar 250 is wel een beetje overdreven vind je ook niet?

Nee ik heb liever een auto die maar 140 - 150 kan, maar daar wel in 3 seconden is.

Het gaat om het doel, niet om de uitvoering. Het doel van een auto is om van A naar B te gaan. Natuurlijk bestaan er sportauto's waarbij de nadruk ligt op het zo snel mogelijk van A naar B gaan - of dat nou op een snelweg (met snelheidslimiet) of race circuit is. Zolang het in de uitvoering mogelijk is om binnen de wet te blijven, kun je van alles met je product doen.

De spyware die hier besproken wordt ligt net even anders. Daar is het doel om mensen te bespioneren en onrechtmatig informatie te verzamelen en dat is wat mij betreft toch fundamenteel anders.

Hoe zo onrechtmatig? Wie bepaald dat? Jij, ik, of de overheid van het land dat het product aanschaft.

Net zo als in Nederland de diensten een sleepnet mogen gebruiken om eens lekker rond te snuffelen in alles wat iedereen doet in de hoop misschien wel iets interessants te vinden, zo als de Amerikaanse diensten het recht hebben om alles te doen wat ze nodig achten om jouw berichten te lezen als zijn vinden dat jij misschien wel een gevaar bent kan een Chinese overheid dit ook zo doen.

Het is niet onrechtmatig als de overheid besloten heeft dat de wetten zo aangepast of opgerekt kunnen/moeten worden dat dit gewoon legaal is. En dus is het zeker niet iets fundamenteel anders het is gewoon legaal in de landen waar het gebruikt is.

Het is vrij duidelijk dat deze spyware in dit geval is ingezet niet met de originele intentie - namelijk terrorisme en serieuze misdaad voorkomen - maar om specifieke mensen zoals journalisten en activisten te monitoren.

Dit staat haaks op de ongeschreven rechtsnormen. Dus er valt wel degelijk wat te zeggen voor onrechtmatigheid. Dan kun je wel zeggen dat in andere landen andere rechtsnormen gelden, maar als een Israëlisch bedrijf Amerikaanse software gebruikt om overheden over de hele wereld potentieel toegang te geven tot whatsapp accounts, is het wat mij betreft fundamenteel wel anders en moet dat dus mee worden genomen in het juridisch proces.

Net zo als in Nederland de diensten een sleepnet mogen gebruiken om eens lekker rond te snuffelen in alles wat iedereen doet in de hoop misschien wel iets interessants te vinden

Je bagatelliseert nu een complex proces tot een non-argument, wat mij betreft. Het sleepnet wordt gebruikt waarvoor deze bedoeld is en is onderhevig aan controle en checks! (Los wat men ervan vindt). De spyware wordt onder een andere noemer gebruikt dan dat deze bedoeld is (volgens NSO hun statement) met onvoorziene gevolgen en het eventueel overschrijden van mensenrechten.

Of het dan ook onwetmatig is, is aan de desbetreffende rechter.

Ja je mag gewoon ransomware ontwikkelen daar is helemaal geen probleem mee en zo lang je de software alleen verkoopt/huurt aan bijvoorbeeld overheden die er op die manier van kunnen leren etc dan is er ook helemaal niets mis mee.
Als je dit verkoopt of verhuurd aan mensen waarvan je je bewust bent dat zij dit voor de verkeerde doeleinden in zullen zetten dan is dat een ander verhaal.

Het is niets anders dan de productie en verkoop van vuurwapens. Je mag ze gewoon maken, en verkopen aan de meeste overheden (zo lang de overheid van het land waar je de dingen maakt maar niet boos is op het land aan wie je ze wil verkopen.
Ook mag je de wapens gewoon verkopen aan een particulier die daar de juiste vergunningen voor heeft en deze wapens gebruikt vervoerd en opslaat op een manier die door de overheid goed is gekeurd (dat is waar de vergunningen voor zijn).

Als je alles dat ook voor verkeerde doeleinden gebruikt kan worden dan dus maar moet verbieden dan zijn scheikunde sets voor de kleine ook verboden, net zo als alles wat elektrisch is, een scherp randje heeft, gebruikt kan worden om te slaan etc etc etc...

NSO heeft simpel weg gedaan wat het bedrijf als taak heeft en dat is het vinden van manieren voor overheden om mensen te bespioneren want overheden vinden het wel zo prettig om te weten wie wat vind denkt en wil. Dat in dit geval het toevallig Facebook is dat een enorme deur liet openstaan voor NSO om daar allerlei spyware en andere rommel door naar binnen te loodsen is niet de fout van NSO dit is de fout van Facebook zelf.
Ik zou dan ook zeggen het eerder Facebook is die hier fout zat dan dat het NSO is, immers NSO deed niets anders dan wat het doel van het bedrijf is. Dat er misschien door sommige klanten van NSO misbruik gemaakt is van de tool die NSO heeft verkocht is niet de schuld van NSO.
Immers je kunt het wel proberen maar bijvoorbeeld een auto fabrikant aanklagen omdat een van hun klanten met de die auto op jouw kerstmarkt is in gereden gaat ook niet veel op leveren. Ik kan me dan ook niet voorstellen dat in dit geval een rechter tot een andere conclusie zal komen dan dat NSO gewoon ter goeder trouw een product heeft geleverd aan een klant en dat die klant uiteindelijk misbruik heeft gemaakt van de mogelijkheden die dit product ze bood.

De vraag is aan wie ze die software nog meer hebben verkocht. Dit lijkt meer op selectief lekken om China zwart te maken. Ook een interressante vraag is wie er gelekt heeft? Hebben de Israelies de Amerikanen een pleziertje gedaan? Of vinden de Amerikanen het leuk om de handel van een ander te bederven?

Verder doet men net alsof China hier een misdaad pleegt. Onzin, natuurlijk houdt China in de gaten wat er in Tibet allemaal gebeurt. Net als Spanje in de gaten houdt wat er in Catalonie allemaal gebeurt. Dat wordt graag de spin gegeven van iets vreselijks maar onze landen doen precies het zelfde. Maar veel schandaliger zou zijn als Google onze informatie zou delen met de NSA. Want wij zijn toch geen opstandige provincie van de VS?

Je wil ook realiseren dat de problemen in Tibet nu juist begonnen zijn toen Westerse machten de Chinese staat hebben laten instorten en vervolgens de chaos gebruikt hebben om Tibet van China proberen los te weken. De Dalai Lama die zo dom was te geloven dat het Chinese bewind zou instorten, ging daarbij samenwerken met de CIA. Daarom heeft China vervolgens hele harde maatregelen genomen om te voorkomen dat Tibet zich nog ooit zou kunnen afsplitsen door de bevolking een minderheid in eigen land te maken.

Ja dat is keiharde machtspolitiek, net zo gewetenloos als de EU die Europese naties nu loopt op te zadelen met grote hoeveelheden migranten om het nationale bewegingen onmogelijk te maken hun land nog ooit uit de klauwen van de EU los te maken. De multikul staat heeft niet genoeg verband zich nog te kunnen verweren. Daar speel je de bevolkingsgroepen gemakkelijk tegen elkaar uit. Daarom worden ook liefst moslims binnen gehaald. Religieuze tweedracht is het gemakkelijkst op te stoken.

Historisch gezien heeft China jusit altijd alle volkeren binnen het rijk culturele autonomie gegund, het tegendeel van westerse naties die juist overal hun cultuur en systemen hebben opgedrongen aan volkeren met grof geweld, zoals bekering met het zwaard tegen de keel. In Tibet hebben ze duizend jaar vergaande autonomie gehad. Toen de Westerlingen het verborgen land van Shangri La ontdekten was dit de voorbode van het einde en begon het gedonder.

Het zelfde probleem hebben westerse machten geschapen met de Oeigoeren. Ze trainen moslim terroristen in Pakistan die vervolgens aanslagen gaan plegen en afscheidingsstrijd beginnen. Niets nieuws overigens, de VS speelt dit soort vuile operaties in meerdere landen, ook in Iran. Wat moet je dan als land? Jezelf laten destabiliseren door het buitenland of keihard optreden om te voorkomen dat je land uiteenvalt en in een door het buitenland geinstigeerde burgeroorlog terecht komt zoals in Oekraïne, Syrië of Lybië. Om dan uiteindelijk de bodem en staatsschatten leeg te laten roven te worden door buitenlandse roofkapitalisten.

Het westen doet deze dingen al duizenden jaren onder de vlag van ideologie. Vroeger was het het geloof, tegenwoordig wordt het religieuze aspect minder benadrukt, en gaat het zogenaamd om democratie brengen. Het doel heiligt de middelen in dit denken. Ja, duizenden, miljoenen onschuldigen zullen sterven, honderduizenden, tientallen miljoenen zullen gewond en getraumatiseerd raken. Maar het is voor een goed doel!

Alleen als het om een groot stuk tuig gaat. Dan willen onze zedenpredikers de opperste barmhartigheid bewijzen. Zo een terrorist bijvoorbeeld die moet liefdevol worden opgevangen. Dat soort onrecht wordt voorgesteld als het hoogste recht. Je moet eens proberen voor te stellen wat voor geesten daar achter zitten, die alles zo vrolijk omdraaien.

Dat goede doel is alleen uiterst subjectief natuurlijk.

Het is niet vergelijkbaar met de strijd tussen Brein en torrentsites. Torrentsites doen iets dat door de rechter verboden is.
NSO levert aan inlichtingenorganisaties die de tools inzetten. Dat inzetten is in de wet of door de overheid, die daarbij gebruik maakt van een discretionaire bevoegdheid die wettelijk geregeld is, toegestaan. Zelfs al is de inzet naar onze maatstaven niet zuiver, als het in het land dat de tools inzet toegestaan is, dan is het legaal.
Dit lijkt meer op het afschuiven van de blaam door WhatsApp. De hack was mogelijk door een lek in hun systeem. Voordat mensenrechten- en journalistenorganisaties WhatsApp daarop kunnen aanspreken schuift WhatsApp nu de schuld op het bordje van NSO.
Ik vind ook dat de tool en het gebruik uiterst bedenkelijk zijn. Maar wanneer het door de politie ingezet zou zijn om een grote drugscrimineel te vangen, zouden we ze een pluim hebben gegeven.

NSO heeft zelf niemand gehacked, wel zijn tech verkocht aan oa China die het gebruiken om Tibetanen te bespioneren.

Devil's Advocate mode enabled: Ze hebben een geheim wapen geleverd aan een vijandelijke staat (China).

Wil je dat argument optimaal gebruiken, dan moet je aangeven dat China de tool gebruikt heeft om Amerikaanse politici te bespioneren. Dat de tool binnenlands gebruikt wordt om opstandige bevolkingsgroepen te bespioneren zal weinig Amerikanen iets kunnen schelen.

De wet draait om ongeoorloofde toegang en dus hacken, waardoor WhatsApp hard zal moeten maken dat NSO illegaal toegang kreeg tot zijn systemen. Tor Ekeland, een advocaat die vaker hackers bijstaat, zegt tegen Wired dat WhatsApp wellicht aannemelijk kan maken dat NSO niet alleen zijn gebruikers, maar ook de eigen servers heeft gehackt, maar volgens hem is WhatsApp hier niet duidelijk over.

Als de servers van whatsapp gehackt zouden zijn lijkt me dat ze dit zouden hebben moeten melden volgens de nieuwe eu privacy wetgeving. Immer gehackt betekend potentieel ook toegang tot persoonlijke data. Als whatsapp dat niet gemeld heeft zijn ze dus ook meteen in overtreding.

Lijkt me dus dat als ze het op hacken van server gooien ze een probleem hebben.

Ik ben geen rechter of wat dan ook, maar kan WhatsApp rechtszaak winnen? Welke schade heeft het bedrijf WhatsApp aangericht? Ze hebben namelijk niet bij WhatsApp ingebroken, ze hebben bij iemands telefoon via WhatsApp ingebroken. Een autofabrikant kan iemand die een ramkraak met een auto van die fabrikant toch ook niet zo makkelijk voor de rechter slepen?

Zouden ze dan het bedrijf kunnen aanklagen vanwege de aantasting van de goede naam van WhatsApp door een lek te misbruiken waardoor WhatsApp onveilig lijkt?

Al met al, ik zou niet precies weten waarvoor WhatsApp NSO group kan aanklagen, maar ik heb ook geen rechten gestudeerd.

In een juryrechtspraak weet je het natuurlijk nooit.
Aan de ene kant een groot Amerikaans bedrijf dat voor de privacy van haar gebruikers op komt, aan de andere kant een schimmig buitenlands bedrijf dat schimmige overheidsdiensten van schimmige landen de tools biedt om onderdrukte bevolkingsgroepen en journalisten te bespioneren. (Dat zal de spin van de advocaten van WhatsApp zijn.)

Puur juridisch zullen de kansen erg klein zijn. Wanneer buitenlandse overheden hun eigen burgers bespioneren en daar een grond in hun eigen wetten voor hebben (hoe mager dan ook), kan WhatsApp daar weinig tegen in brengen, behalve dan zorgen dat hun software niet gehackt kan worden. Wanneer er ook een hack van hun servers zelf voor nodig is, moeten ze de buitenlandse organisaties aanklagen die die hacks uitvoeren, niet de organisatie die de tools daarvoor levert

Het is voornamelijk een rechtszaak voor de bühne: Kijk eens hoe bezorgd wij zijn over jullie privacy. Wij willen wel, maar het zijn andere boze buitenlandse bedrijven en overheden die ons dwars zitten.

Nu gaat Trump moeten kiezen tussen Israhel en Zuckt-er-oplos-berg.

En zoals gebruikelijk kies ik partij voor de tegenstanders van Facebook/Whatsapp/Instagram. Onze privacy is dat waard.

[Reactie gewijzigd door mutley69 op 30 oktober 2019 15:28]

Guy Brenner op linkedIn

Facebook, you never cease to amaze me. Yesterday, both of my personal #Facebook and #Instagram profiles were intentionally disabled by the world’s greatest privacy violator in the history of mankind, AKA Facebook. Why? Because I work for a company called #NSO Group, and according to their statements, have found and used vulnerabilities in their #WhatsApp architecture, to provide security agencies and governments sophisticated tools to prevent the next 9/11.

https://www.linkedin.com/...6595220156459307008-OKok/

Beetje hypocriet of niet ? Dit is gewoon eigenlijk, whatsapp die facebook aanklaagt. Zucht

Eigenlijk totaal niet ...
"waarbij het zijn pijlen richt op de NSO Group en het moederbedrijf Q Cyber Technologies."

Nee?

Ik durft met zekerheid te stellen als bepaalde overheden naar Facebook waren gestapt. Facebook hadden bedreigd met het feit dat er wanneer geen gegevens worden overgedragen van bepaalde personen dat Facebook wordt uitgeschakeld in het desbetreffende land.

Facebook had zeker dan alle gegevens overgedragen.

[Reactie gewijzigd door Crypto_Exfil op 30 oktober 2019 12:28]

De meeste whatsapp "hacks" komen door goedgelovigheid van de gebruikers. Echt hacken door in te breken is zeldzaam.

Bron? Of wordt dit ook weer zo'n onderbuik forum?

https://www.businessinsid...ernational=true&r=US&IR=T


https://www.theguardian.c...nal-data-israel-documents


Isreal en America zijn altijd dikke vriendjes geweest(Anders was er nooit een Isrealische staat geweest).

(BTW, al je dit nog verder onderzoekt kom je erg op Alu-Hoedjes gebied....veel speculatie, maar ik kan me daar dan wel ergens weer de waarheid invinden... alleen geloof ik niet perse in Zionisten of 'stoute joden') meer in stoute mensen.

Maar wat weet ik nou wat onze hoge heren allemaal uitvreten

[Reactie gewijzigd door Bjorn89 op 30 oktober 2019 13:13]

Google eens Unit8200 en de bedrijven die oud werknemers gestart zijn, onderaan staat een lijst.

edit: En grappig genoeg staat NSO er nog tussen ook.

https://en.wikipedia.org/wiki/Unit_8200

Moest dat zo zijn dan zou de hack nooit aan China zijn doorverkocht. Sommigen mensen denken ook niet na voor ze iets zeggen.

Lijkt me gesponsord bij de NSA

Hoe komt u tot deze conclusie? Hebt u data uit onderzoek die dat aantoont?

Onderdeel van een nuttige en onderbouwde discussie.

En onveilig