Pegasus-maker is schuldig aan hack WhatsApp en moet 168 miljoen dollar betalen

NSO Group, de maker van de Pegasus-spyware, is schuldig bevonden aan het hacken van WhatsApp. Een Amerikaanse jury draagt het Israëlische bedrijf daarom op om 168 miljoen dollar aan schadevergoedingen aan Meta te betalen. NSO Group gaat waarschijnlijk in beroep.

De spywaremaker NSO Group werd eind 2024 al aansprakelijk gesteld voor het hacken van de berichtendienst van Meta en wordt in het verlengde daarvan nu opgedragen om een schadevergoeding te betalen. Het bedrag bestaat uit ruim 444.000 dollar aan compensatiegeld en een strafsom van meer dan 167 miljoen dollar.

Meta klaagde het Israëlische spionagesoftwarebedrijf in 2019 aan voor het vermeende verspreiden van spyware via WhatsApp. Uit rechtbankdocumenten blijkt dat Pegasus via een kwetsbaarheid in WhatsApp bij zo'n 1400 gebruikers geïnstalleerd werd. Onder meer journalisten, overheidsmedewerkers en mensenrechtenactivisten werden hiermee bespioneerd. Apple startte enkele jaren later een vergelijkbare rechtszaak tegen het bedrijf, maar stopte dit proces uiteindelijk.

NSO Group zegt tegen The Washington Post dat de spionagesoftware alleen aan 'legitieme soevereine overheden' verkocht wordt voor legitieme doeleinden zoals terrorismebestrijding. De Volkskrant schreef in 2022 dat de AIVD hackingsoftware van NSO Group bijvoorbeeld heeft gebruikt bij het opsporen van een hoofdverdachte in een omvangrijk strafproces.

Meta schrijft in een blogpost dat het 'een lange weg' wordt om de schadevergoeding daadwerkelijk bij NSO Group te innen. Het bedrijf belooft een onbekend deel van de vergoeding te doneren aan 'digitalerechtenorganisaties die mensen beschermen tegen dergelijke aanvallen'.

Reacties (57)

[yevgeny]

Krijgen de 1400 gebruikers die het doelwit waren hun deel of is de 168 miljoen voor meta ?

[ZwolschBalletje]

De straf bestaat uit (exacte terminologie uit het artikel van The Washington Post:

• $444.000 compensatory damages ter compensatie van geleden schade en
• $167 miljoen punitive damages als extra sanctie vanwege (grove) opzet in de overtreding

En in tegenstelling tot wat velen hieronder schrijven, worden die punitive (in ieder geval deels) ook uitgekeerd aan de klager, in dit geval Meta.

Although the purpose of punitive damages is not to compensate the plaintiff, the plaintiff will receive all or some of the punitive damages in award.

Dat verklaart ook waarom Meta in de laatste alinea stelt dat ze een deel van het bedrag zullen schenken aan een goed doel: die $444.000 compensatie is Meta al kwijtgeraakt aan manuren in een poging om het Pegasus-lek te dichten:

Meta told the court that it had paid more than $400,000 in salary to employees as they battled with NSO

[lordsnow]

Ik vermoed dat de $444,000 aan compensatie naar Meta gaat, en de strafsom van $167,000,000 naar de Amerikaanse staat.

Ik ben benieuwd of de getroffenen nu ook een eigen strafzaak kunnen starten na deze uitspraak.

[Reactie gewijzigd door lordsnow op 7 mei 2025 12:17]

[sworpie]

Zoals ik dit lees is 440k voor Meta en is de 168 miljoen voor de staatskas.

[Arcticwolfx]

Hebben de 1400 gebruikers een gezamenlijke procedure aangekaart? Wie niet klaagt, wie niet wint...

[JaDatIsPeter]

of is de 168 miljoen voor meta ?

Tweakers noemt het "strafsom" en geen schadevergoeding, dus ik vermoed de Amerikaanse staatskas.

[Bas-w]

Zoals ik het lees $444.000 voor Meta en $167 miljoen voor de staat.

[batteries4ever]

Wat mij betreft is NSO een terroristische organisatie en zou als zodanig behandeld moeten worden. Hoe kan het dat in een beschaafd land als Israel zoiets openlijk kan bestaan? Ah - nieuwsflash - Israel is geen beschaafd land meer, net zo min als de USA. Deze zaak is dus iets met pot en ketel...

[RebelwaClue]

En intussen heeft zo'n 'beschaafd' land gewoon toegang tot data van burgers in de EU

[Reactie gewijzigd door RebelwaClue op 7 mei 2025 12:46]

[Aldy]

En intussen heeft zo'n 'beschaafd' land gewoon toegang tot data van burgers in de EU

Waar lees je dat? Volgens mij ontwikkelen ze alleen de software en die wordt verkocht aan regeringen. Dat woordje legitieme voor regeringen laat ik maar even weg, want daar geloof ik geen h.l van.

[RebelwaClue]

Als je op de link klikt, bij het woordje toegang, dan lees je dat. Dus niet in dit artikel.

[Aldy]

Ik ben via de link bij Follow the Money terechtgekomen. De rillingen lopen over je rug.

Edit: Zelfs al zou de Europese Commissie die toestemming terugdraaien, dan is de data daar al en onder het mom eens gegeven blijft gegeven zullen ze de data niet vernietigen.

[Reactie gewijzigd door Aldy op 7 mei 2025 15:44]

[batteries4ever]

Waanzinnig! Al is de USA zelf nu niet veel beter meer...

[splrf]

Ik snap het sentiment, tegelijk: is een andere wapenfabrikant (want dat is het eigenlijk) ook gelijk een terroristische organisatie? Het voelt vrij hypocriet van de Amerikaanse staat dat ze Meta als de benadeelde partij zien hier.

[drdelta]

Meta is de eigenaar van WhatsApp, en hun platform is misbruikt door NSO, en dat heeft hen oa reputatieschade en kosten opgeleverd. En, Meta is deze rechtszaak begonnen.

De gehackten staat het natuurlijk ook vrij om NSO aan te klagen, maar helaas hebben zij als vermeend slachtoffer waarschijnlijk een kleinere kans van slagen met zo'n rechtszaak dan bijvoorbeeld Meta.

[Polderviking]

NSO heeft een breed scala aan landen als klant volgens mij dus dat label kan je naar fluiten.

Gevalletje "wij doen niks fout, wij geven andere mensen geld om fout te doen".

[UnMetal]

Hun veelgebruikte "We cry out in pain as we physically strike you" 🤣

[freespeech_nl]

Bijzondere reactie. In het artikel zelf staat notabene dat de AIVD software van deze organisatie heeft gebruikt?

Maar zodra Israël, of de VS, gebashed kan worden is het tegenwoordig gewoon gas op de plank. Echt, ik ben hypocriet links zo spuugzat.

[StCreed]

Je nergens in verdiepen en dan maar klagen over "hypocriet links" staat niet zo goed.

Herinner je je die dissident nog die in stukken werd gehakt in de Saudi-Arabische ambassade in Turkije? Ook gehack met deze software. Tientallen dissidenten zitten in de cel of zijn vermoord dankzij NSO. Het is een uiterst schimmige club die met iedereen zaken doet die geld schuift, hoe grof het regime ook onderdrukt, moord en martelt.

De enige overweging lijkt te zijn, naast geld, of het de buitenlandse politiek van Israël ten goede komt, maar zelfs dat lijkt pas op plek 2 te komen.

[freespeech_nl]

Je snapt denk ik "hypocriet" niet zo goed. Wat ik dus zeg: het is al jaren bekend dat tientallen overheden gebruik maken van de diensten van deze organisatie.

Geen enkel probleem, top zelfs als we er maar terroristen of pedo's mee pakken. Maar nu Israël plots de duivel zelve is hebben we er al problemen mee als WA gehackt wordt.

Het feit dat deze software in dictaturen gebruikt wordt om het volk te onderdrukken was nooit een probleem.

Het feit dat de EU wetgeving voorbereid die backdoors eist voor alle encryptie: krekeltjes.

Maar als we Israël of de VS kunnen bashen doen we mee, zonder ons verder ook maar een greintje ergens in te verdiepen.

Intellectuele luiheid is het. En hypocriet.

[Die_ene_gast]

Ik moest wel lachen om deze reactie.

[Zebby]

Een land is niet beschaafd of onbeschaafd. Mensen zijn dat, in dit geval primair politici. En ja, daar kunnen we wel stellen dat ze onbeschoft zijn.

[Neurosis]

Je verdraait dit hele artikel zo'n beetje naar politiek met je comments, terwijl de rechtzaak veel eerder is begonnen en bovendien zijn zowel Meta als de NSO private bedrijven die niets met overheid of politiek van doen heeft.

[batteries4ever]

Meta is zeker privaat, ook al doen ze enthousiast aan data mining: zou daarvan dan neits overhandigd worden als de FBI/NSA/CIA/... daarom vraagt?
Maar NSO? Denk je dat die in Nederland ook maar hun gang zouden mogen gaan? Ik denk dat een overheid er toch wel even naar kijkt wie er in hun land hoe onderweg is.

Edit: @demonite bedankt, gewijzigd in NSA.

[Reactie gewijzigd door batteries4ever op 7 mei 2025 14:13]

[demonite]

Haal je misschien NSA en NSO door elkaar?

[Neurosis]

In het Nederlands geval kan er altijd wat van gevonden worden, maar wat moreel verwerpelijk is betekent dan nog steeds niet onwettelijk. Als de rechtzaak hier plaats zou vinden, dan is de uitspraak van de rechter onafhankelijk in de zin dat die het toetst op wettelijkheid en niet op basis van politiek beleid. Daar kan een soortgelijke sanctie uitkomen, omdat het niet de Israelische staat is die verantwoordelijk kan zijn - want de overheid bezit daar net als hier geen private bedrijven.

[StCreed]

NSO heeft zoveel banden met het veiligheidsapparaat van de Israëlische overheid dat je je kan afvragen waar NSO stopt en de Mossad begint. Er is nogal wat overlap in het personeel.

[Gelomidor1]

Om nou met het woord genocide te gooien is absurd, omdat je dat op andere plekken leest betekend het nog niet dat dat waar en je dat over moet nemen.

[batteries4ever]

Uit Wikipedia: "Genocide is violence that targets individuals because of their membership of a group and aims at the destruction of a people." Wikipedia: Genocide

Of nog wat uitgebreider Genocide is violence that targets individuals because of their membership of a group and aims at the destruction of a people.[a][1] Raphael Lemkin, who first coined the term, defined genocide as "the destruction of a nation or of an ethnic group" by means such as "the disintegration of [its] political and social institutions, of [its] culture, language, national feelings, religion, and [its] economic existence".[2]

Een zuiverder vorm daarvan dan Gaza sinds de tweede wereldoorlog wordt echt zoeken, zeker in de Westerse wereld, al zijn er voorbeelden te vinden in b.v. Joegoslavië. Het is niet alleen genocide als het joden wordt aangedaan, maar ook als het door joden wordt gedaan. Het gaat niet alleen om de aantallen doden maar ook om de systematische vernietiging van de leefomgeving en de eventuele gedwongen deportatie.

[Reactie gewijzigd door batteries4ever op 7 mei 2025 13:00]

[mezstah]

De makkelijkste genocide die altijd vergeten wordt omdat het niemand wat interesseert is die op de Yazidi bevolking door Islamitische staat. De genocide in Rwanda in 1995 1,5 miljoen doden in een paar dagen. Wat Israel doet is meer ethnic cleansing lichtelijk vergelijkbaar met de ontruiming van Nagorno Karabach wat ook niemand wat interesseerde.

[batteries4ever]

De islamitische staat was natuurlijk nooit een staat maar meer een "terroristische organisatie" (al vervaagt de grens tussen die twee tegenwoordig wat). Nagorno Karabach is een betere vergelijking, ook nergens erkent als staat net als Palestina, al hebben die Armenen nog de rest van Armenie om heen te gaan...

[mezstah]

Dit is natuurlijk hersengymnastiek. Simpel gezegd IS heeft zelf een staat uitgeroepen(zoals zovelen voor hun)en een bevolkingsgroep uitgeroeid(geen protesten daarover gezien, net als met de Koerden die zouden moeten wonen in zelfstandig Koerdistan wat ook 1 van de oudste landen ter wereld is, geen student hoor je hierover). Nu zijn er protesten maar ik moet eerlijk zeggen wat verwacht u, destijds had iedereen schijt, enige verschil nu is dat de moslim gemeenschap hier wel aandacht voor heeft. De Nederlander eet gewoon weer om 5 uur. En om makkelijk te zeggen de Armenen die daar honderden jaren hebben gewoond kunnen wel naar Armenië, de Palestijnen hadden die plek ook kunnen opgeven doen ze niet, waarom? Omdat het hun geboortegrond is. Maar toch hebben miljoenen Palestijnen die stap wel gemaakt naar Jordanië, Lebanon etc.

[batteries4ever]

Je hebt gelijk, maar een (klein) verschil is dat de Armeniers naar Armenie konden, de Palestijnen moeten naar het buitenland. Tuurlijk, als je van huis en haard verdreven wordt is dat sowieso een ramp.

[mezstah]

Eens. Het tegenhouden aan de Egyptische grens helpt hierin ook niet mee.

[Thonz]

Een korte google zoekopdracht laat zien dat:

Estonia entered negotiations to procure Pegasus in 2018, and had made a $30 million down payment for the tool.

Als in 2018 enkel Estland al 30 miljoen heeft betaald voor de tool, lijkt me dit geheel vallen onder "the cost of doing business" en daarom meer een symbolische boete dan één die de NSO groep moet weerhouden dit soort dingen nog eens te doen.

[Reactie gewijzigd door Thonz op 7 mei 2025 12:17]

[Niema]

Het is al heel wat dat het nu in een rechtzaak is uitgemaakt als iets illegaals. Dit kan waarschijnlijk helpen in de toekomst

[Gazuhl]

En dat is slechts een aanbetaling. Waarschijnlijl maar 10 of 20% van wat estonia betaalt.

[Croga]

meer een symbolische boete dan één die de NSO groep moet weerhouden dit soort dingen nog eens te doen.

Yup, dat is *exact* de definitie van punitive damages.......

[Jan VP]

Ofwel zijn niet alle klanten "legitieme soevereine overheden" ofwel misbruiken ook "fatsoenlijke" landen die software - per saldo maakt het geen verschil.

[eazyq]

Meta die nso aanklaagt. Ergens is het sneu. Heel sneu.

[batteries4ever]

Eigenlijk vooral ironisch.

[Anonymoussaurus]

WhatsApp heeft ook de berichten geopenbaard: https://x.com/jsrailton/status/1919880291667292460, aldus spyware-onderzoeker John Scott-Railton van Citizen Lab.

[bleep1912]

Al zouden zij 167 miljoen dollar betalen aan de Amerikanen dan gaat het via een omweg gewoon terug.

[FrostyPeet]

Hypocriet. Toen de Amerikanen de Duitse bondskanselier aftapten/hackten betaalde ze geen boete. Voor zover ik weet werden ze niet eens aangeklaagd. Maar als NSO Whatsapp hackt vliegen de miljoenen om de oren.

Vind NSO een verwerpelijk bedrijf. Dat maling heeft aan mensenrechten en hun hacks aan elke overheid verkoopt die het wil kopen. Met wat kleine lettertjes voor de buhne over "misbruik".

[GameNympho]

Plus hun argument; in oorlog is alles geoorloofd

[litebyte]

'Spyware' dat klaagt over spyware....de ironie

[CAPSLOCK2000]

Interessante zaak vol lastige vragen en aspecten.

Enerzijds is het interessant en terecht dat een bedrijf wordt gestraft voor computervredebreuk, anderzijds is WA zelf niet het slachtoffer. Ook is (mij) niet helemaal duidelijk hoe groot de rol van NSO is. Ze hebben de malware gemaakt en verkocht maar hebben ze ook een actieve rol gespeeld bij het verspreiden of is dat door hun klanten gedaan?

Het voelt dus nogal als meta-gevecht (no pun intended), een conflict tussen twee partijen die zelf niet de dader en niet het slachtoffer zijn. Als een inbreker mijn voordeur openbreekt met een breekijzer dan denk ik niet dat de fabrikant van de voordeur een rechtszaak begint tegen frabrikant van het breekijzer.

Een ander interessant aspect is de vraag in welke mate WA verantwoordelijk is voor het voorkomen van dit soort lekken. Of, van de andere kant bekeken, of het aanklagen van hackers een afdoende beveiligingsstrategie is? Waarom zou ik ooit nog een dure security bug patchen als ik de hackers ook voor de rechter kan slepen? Ook al duurt het vijf jaar? De waarheid ligt natuurlijk ergens in het midden maar ik weet nog niet precies waar.