Pegasus-spywaremaker mag geen gebruikers meer bespioneren via WhatsApp

Het Israëlische spionagebedrijf NSO Group, dat achter de Pegasus-spyware zit, mag niet langer spyware verspreiden via WhatsApp. Een Amerikaanse rechter willigt daarmee het verzoek van Meta in. Tegelijkertijd wordt de eerder opgelegde boete voor NSO Group aanzienlijk verkleind.

Een Amerikaanse rechter heeft NSO Group een permanent verbod opgelegd om via WhatsApp spyware te verspreiden. Het spywarebedrijf moet van de rechter alle code die wordt gebruikt om binnen te dringen in Meta's chatplatform verwijderen. Dat zou nodig zijn 'om toekomstige overtredingen te voorkomen, vooral aangezien de technologie ondetecteerbaar is'. Volgens de rechter bespioneert het bedrijf nog altijd WhatsApp-gebruikers en probeert het bedrijf nog altijd om de beveiligingsmaatregelen van het platform te omzeilen.

Doordat dit nieuwe verbod vermoedelijk grote financiële gevolgen heeft voor NSO Group, is de eerder opgelegde schadevergoeding voor het hacken van WhatsApp herzien. Het bedrijf moest eerst 168 miljoen dollar betalen, maar dat bedrag is verlaagd naar circa 4 miljoen dollar. Het is niet duidelijk hoe er wordt gecontroleerd of NSO Group zich aan het verbod houdt.

Will Cathcart, de ceo van WhatsApp, zegt in een post op X dat deze uitspraak 'NSO verbiedt om WhatsApp en onze gebruikers ooit nog aan te vallen'. "Het schept een belangrijk precedent, namelijk dat er grote gevolgen zijn als je een Amerikaans bedrijf aanvalt."

NSO Group beweerde tijdens de rechtszaak dat een dergelijk verbod 'NSO tot een faillissement zou dwingen', aangezien WhatsApp een van de vaakst gebruikte manieren is waarop het bedrijf apparaten infecteert met spyware. Het bedrijf laat aan Reuters weten blij te zijn met de boeteverlaging. Ook stelt de spywaremaker dat het verbod niet geldt voor zijn klanten, 'die de technologie van NSO zullen blijven gebruiken om de openbare veiligheid te beschermen'.

Meta klaagde het Israëlische spionagesoftwarebedrijf in 2019 aan voor het verspreiden van spyware via WhatsApp. Uit rechtbankdocumenten blijkt dat Pegasus via een kwetsbaarheid in WhatsApp bij zo'n 1400 gebruikers geïnstalleerd werd. Onder meer journalisten, overheidsmedewerkers en mensenrechtenactivisten werden hiermee bespioneerd. NSO Group beweert dat zijn spyware enkel door 'legitieme' overheden wordt gebruikt om terrorisme, kindermisbruik en andere vormen van criminaliteit tegen te gaan. Onder meer de AIVD zou spyware van NSO Group hebben gebruikt.

Reacties (67)

[Ronald1996]

Laten we eerlijk zijn wat NSO group deed was ook voor deze uitspraak al 100% illegaal, dus lijkt mij dat deze uitspraak echt helemaal niks gaat betekenen toch?

[FreezeXJ]

Toch wel, namelijk dat het toch boven water komt als ze het doen, en dat ze dit keer een minimale boete gekregen hebben omdat ze lief meewerken. De volgende keer gaat het ze dus grof geld kosten (die 168 miljoen is een inschatting) dus dat weerhoudt ze wellicht van volgende pogingen.

Vermoedelijk gaan ze nu eerst achter Office365 aan

[lenwar]

En toch lijkt het me dat dit een wassen neus is. De Amerikaanse overheid is om wat voor politieke reden dan ook (mogelijk de fysieke ligging van Israel, nabij een olierijk gebied?), heel erg beschermend tegenover Israel. Mijn vermoeden dat echte serieuze boetes naar dit soort Israëlische organisaties uit zullen blijven.

[JWL92]

nieuws: Pegasus-spywaremaker NSO wordt overgenomen door Amerikaanse investeer...

Zegt genoeg denk ik zo...

[Jerie]

Precies dit dus. Dan neem je ze over en huur je de software. De vraag is bijvoorbeeld niet of de NSA dit gebruikt, maar hoe vaak. Dat zit hem in of men ermee wegkomt. En om die reden heb je een organisatie als Citizen Lab.

[freaq]

Probleem is vooral dat het lek dus niet gedicht wordt.

wat er had moeten gebeeuren imho is dat NSO verplicht wordt meta te vertellen hoe ze dit doen, zodat het lek gedicht kan worden.

de code deleten betekent dat iemand anders (die het niet luidkeels verkondigt) alsnog hetzelfde kan doen.

kortom probleem is niet opgelost.

[Reactie gewijzigd door freaq op 19 oktober 2025 22:11]

[Jerie]

Wat ook ernstig is in deze context is dat Google tegenwoordig elke drie maanden beveiligingsupdates brengt i.p.v. iedere maand. Je moet eigenlijk z.s.m. zoiets brengen. Dan is het maar een kleine update, nobody cares. Wel moet je het goed testen maar daar heb je dan een paar weken voor, max een maand.

[WillySis]

Dat is een investeringsbedrijf. NSO blijft wel zelfstandig werken. Een deel van de winst vloeit nu wel naar de VS en mogelijk is dat een achterliggende rede om de boete te verlagen.

[William_H]

Je gaat voorbij aan het Amerikaanse rechtsysteem van deals. In ruil voor het meewerken worden er daar vaak deals gesloten waardoor straffen verlaagd worden. Dat is hier het geval. Wat jij beweerd is gewoon corruptie van de rechterlijke macht.

[WillySis]

De gesloten deals zitten vaak op (en over) de rand van corruptie.

[William_H]

Het scheelt wel dat alle uitspraken en gerechtelijke deals openbaar zijn, dus dat verlaagd de kans op corruptie, want die teert op geheimhouding.

[WillySis]

De uitspraak is openbaar, maar op de achtergrond kunnen er wel degelijk onderlinge afspraken gemaakt zijn. Er zal onderling geen geld mee gemoeid zijn, maar wel andere beloften en daar kunnen donaties aan politieke partijen of "goede doelen" onderdeel van uitmaken.

Het maken van deals is overal redelijk gewoon, maar dan voordat de rechter uitspraak doet. Alleen in Amerika wordt de rechter soms ook persoonlijk bij deals betrokken.

[kimborntobewild]

Het scheelt wel dat alle uitspraken en gerechtelijke deals openbaar zijn, dus dat verlaagd de kans op corruptie, want die teert op geheimhouding.

Gerechtelijke deals zijn i.i.g. in de USA vaak niet openbaar.

[MainframeX]

Een bedrijf blijft nooit zelfstandig werken na een overname. Ik moet iedere keer weer lachen als ik dat soort uitspraken op de werkvloer hoor na een overname. De bestuurders zeggen altijd dat er niets gaat veranderen en na een half jaar kan je de veranderingen op twee handen niet meer tellen die er niet geweest zouden zijn als het bedrijf niet overgenomen was.

[WillySis]

Een investeringsbedrijf heeft zelden verstand van het werk wat de bedrijven doen. Het gaat hen om geld verdienen. Investeringsbedrijven eisen wel vaak een efficiëntere werkwijze (minder personeel) en stoten wel eens afdelingen af die niet rendabel zijn.

Het NSO wordt niet in een ander bedrijf ingeschoven en er worden ook geen andere activiteiten aan gekoppeld. Het blijft gewoon doen wat het altijd deed en blijft daarmee grotendeels zelfstandig opereren, al zal men nu wel verantwoording aan de investeerders moeten afleggen. In de producten en hoe die tot stand komen zal uiteindelijk niets veranderen.

[mac1987]

In dit geval vermoed ik dat het geen bescherming is voor Israël zelf, maar voor een middel dat zij leveren dat de Amerikaanse overheid maar wat graag zelf inzet.

[JWL92]

Toch wel, namelijk dat het toch boven water komt als ze het doen,

Het is niet duidelijk hoe er wordt gecontroleerd of NSO Group zich aan het verbod houdt.

[FreezeXJ]

Hoeven ze ook nu nog niet te weten, maar de vorige keer heeft NSO er maar anderhalve maand lol van gehad.

De spyware werd in april en mei ingezet. [...]. De kwetsbaarheid die deze exploit mogelijk maakte, werd halverwege mei gepatcht.

uit nieuws: WhatsApp klaagt Israëlische NSO Group aan wegens vermeende verspreiding spyware.

[Reactie gewijzigd door FreezeXJ op 19 oktober 2025 13:16]

[StackMySwitchUp]

Zerodays zijn altijd maar beperkt houdbaar en worden ingezet zodra men de noodzaak ervan inziet. Anderhalve maand is genoeg voor een hele hoop 'werkzaamheden'

zo'n verspreidingsmechanisme is meestal stap 1 van een aantal stappen om permanente toegang tot het toestel of account te krijgen. NSO group gaat rustig verder. Boetes van enkele honderden miljoenen zijn in principe peanuts voor bedrijven wiens klanten totalitaire overheden zijn.

[robvanwijk]

Dat is volstrekt duidelijk: niet. In beide betekenissen: het wordt niet gecontroleerd en ze houden zich er niet aan. Er is toch werkelijk niemand die daar ook maar een seconde aan twijfelt...!?

[rob12424]

Nah, dit gaat gewoon verhaald worden op de klanten: er komen gewoon bij een aanvraag een paar tientjes(Lees nullen) bij.

Of de een ander bedrijf maakt het in licentie. Probleem is met name dat ze betrapt zijn aan de ene kant. Aan de andere kant kan het net zo goed een dumpster zijn geweest. (Lees een regering mocht niet betrokken zijn, dus een bedrijf krijgt de schuld) En die Amerikaanse investeerder. Is lekkere MO van bepaalde geheime diensten in de V.S.

[Niema]

Volgens mij zijn ze legaal bedrijf in Israël als ze zich hadden beperkt tot het helpen van vriendelijke overheden. Maar dat de VS het niet waardeert verbaasd me dan weer minder

[rko4u]

Vriendelijke overheden? Daar zijn er volgens het Israëlische standpunt nog vrij weinig van over dacht ik.

[Niema]

Wikipedia: NSO Group.
Quote:
and that it "[...] has treated NSO as a de facto arm of the state, granting licenses for Pegasus to numerous countries [...] with which the Israeli government hoped to nurture stronger security and diplomatic ties."[

[William_H]

Want bij dit soort bedrijven werken vaak ex-leger en Mossad mensen. Die houden altijd een sterke link met de huidige overheid als in connecties. Dus dit verbaasd niet. Dit is in een bepaalde manier de Chinese manier.

[SkyStreaker]

Exact, dit is gewoon een formaliteit. De spreekwoordelijke "tik op de vingers" en uiteindelijk dus gewoon theater.

[Tom Paris]

Voldoende overheden en politie- en inlichtingendiensten in de VS en Europa die klant zijn van NSO, en veelvuldig Pegasus ingezet hebben. Naast wassen neus is het ook behoorlijk hypocriet.

[PWR.]

Een Amerikaanse rechter oordeelde over een bedrijf in een ander land omdat het Amerikaanse software gehackt heeft.

Het enige wat hier gebeurd is dat een boete wordt opgeheven en dat er geen openlijke verkoop meer plaatsvind via dit bedrijf.

Dit stinkt aan alle kanten.

[WillySis]

Deze uitspraak bevestigt dat de praktijk van NSO illegaal was en de rechter handhaaft nu die wet. Alleen raar dat de boete wordt verlaagd vanwege lagere toekomstige inkomsten. Meestal wordt de hoogte juist berekend aan de hand van de door de overtreding verdiende centen.

[fuzzyIon]

whatsapp heeft geen idee hoe het lek te dichten?

[smiba]

Als je niet weet hoe ze het doen, weet je ook niet hoe je het moet dichten nee.

Ik verwacht dat Whatsapp trouwens maar deel van het verhaal is, daarna moet je nog uit de app sandbox breken. Whatsapp is hier puur een deel van de schakeling in de exploit chain

[fuzzyIon]

Normaal gesproken is de houdbaarheidsduur van een 0day kort.

[poststamp]

Omdat het pas een zeroday is vanaf het moment dat het lek gevonden is. Tot die tijd is het zoeken naar een speld in een hooiberg waar partijen die er belang bij hebben wijselijk hun mond houden.

[GertMenkel]

Pas op het moment dat er iemand met kennis van zaken bij de telefoon kan komen, en zelfs dan is het vaak lastig de infiltratiemethode te vinden. Nadat de malware uit de sandbox is gebroken, kan deze het bericht waarmee het binnenkwam uit de database verwijderen/de exploit overschrijven met onzin. Dan kun je de malware zelf wel uit de telefoon trekken, maar weet je nog steeds niet hoe de malware WhatsApp zover heeft kunnen krijgen om code uit te voeren.

Bij een 0day die tegen willekeurige gebruikers/servers gebruikt wordt, zoals scanners voor Cisco-exploits, wordt de 0day onderzocht vanaf dag 1. Bij een 0day die alleen tegen mensenrechtenactivisten/journalisten/etc. wordt gebruikt is dat anders: de mensen die ervoor zorgen dat de 0day opgelost wordt, kunnen daar vaak pas weken of maanden later wat mee doen.

[Llopigat]

Ja daarom is Pegasus ook zo moeilijk te krijgen en zo duur. Zodra het in handen komt van security onderzoekers dan wordt alles gelijk gedicht natuurlijk.

[KorporaalTimmer]

Ik heb niet bepaald het gevoel dat zij eerst toestemming hadden.. ik verwacht dat ze het nog steeds blijven gebruiken dus.

[kimborntobewild]

Ze zeggen in het artikel al dat ze het zullen blijven gebruiken.

[KorporaalTimmer]

De grap is dat de Amerikaanse overheid hoogstwaarschijnlijk ook klant is…

[Tweaker2020]

“NSO Group beweerde tijdens de rechtszaak dat een dergelijk verbod 'NSO tot een faillissement zou dwingen', aangezien WhatsApp een van de vaakst gebruikte manieren is waarop het bedrijf apparaten infecteert met spyware.”

Euhm… hoe kan dit een legaal verweer zijn, als een praktijk al illegaal is om mee te beginnen?

[[Remmes]]

Een beetje als "de dief beweerde dat het niet leefbaar is als hij geen ouderen meer mag beroven" wat een vreemde redenering. Ook zelfs al heel vreemd dat dit dus blijkbaar als legaal word gezien zolang het maar niet via WhatsApp gaat..?

[Grauw]

Beroep je op "legitimate interest", dan mag je alle regels aan je laars lappen toch?

[Leslie 122]

“Ook stelt de spywaremaker dat het verbod niet geldt voor zijn klanten, 'die de technologie van NSO zullen blijven gebruiken om de openbare veiligheid te beschermen'.”

Meta heeft nog e.a. op te lossen lijkt mij zo.

[Nark0tiX]

Dit omdat de amerikaanse overheid de grootste klant en gebruiker is van pegasus. Beetje hypocriet die rechter, totaal geen benul van techniek ook aan de uitspraak te zien.

[Llopigat]

Sowieso staan de diensten die er het meest gebruik van maken toch boven de wet daar dus die hoeven zich er niks van aan te trekken.

[Robby517]

Als je dit als particulier doet ga je gewoon achter de tralies.

[evers97]

Niet echt; anders zou iedere fabriekant van messen ook de gevangenis in moeten. NGO maakt de tools en verkoopt dit aan overheidsorganisaties zoals de AIVD

[JWL92]

Niet echt* als Chinese of Russishe staatshacker verwdijn je ook gewoon (al dan wel of niet achter de tralies)

[FrankHe]

In die landen worden cyberspionnen inderdaad gewoon uit de weg geruimd. Specifiek in Rusland moet je in zulke gevallen niet te dicht bij een raam staan.

[evers97]

Of een trap

[FrankHe]

Een kop thee die je krijgt aangeboden kun je beter weigeren.

[charlie]

Dit geeft aan hoe "complex" de relaties met deze bedrijven (en in ruimere zin met Israel) zijn. Veel kans dat de CIA of een andere overheidsdienst in het verleden heeft gebruik gemaakt van de diensten van dit bedrijf. Of het zelfs nog steeds doet. Als het bedrifj failiet gaat, kunnen ze ook geen gebruik meer maken van de diensten. Lijkt meer op een stukje theater dan op wat "onafhankelijke" rechtsgang zou moeten zijn...

[FrostyPeet]

Goed, dus de NSO mag het niet via WA, volgens een Amerikaanse rechter.

Als ik het goed lees mag dus elk ander bedrijf wel dezelfde code gebruiken?

Ik ben heel benieuwd of bijvoorbeeld de EU gebruikers van WA nu (nog) steeds bespioneert mogen worden. Immers de uitspraak is alleen afdwingbaar via een Amerikaanse rechter. Stel dat je als onverwachte EU klant van WA er achter komt dat de NSO je aftapt, moet je dan naar een Amerikaanse rechter?

Dat "talliet" gaan van de NSO groep door die hoge boete komt op mij over "van een kale kip kan je niet plukken". Blijf natuurlijk raar dat je als hack bedrijf een lagere boete krijgt omdat anders je stiekeme activiteiten niet meer kan voortzetten.

Waarschijnlijk heeft de NSO groep nog voldoende klantwaarde voor sommige overheden en bedrijven om het niet helemaal kapot te maken.

[Gemeni]

4 miljoen aftikken en weer door.

Willen ze dit echt tegen gaan dan zouden ze moeten eisen dat de code die gebruikt wordt gedeeld wordt met WhatsApp zodat het lek gedicht kan worden.

[CAPSLOCK2000]

Het lezen van het vonnis is een bijzondere ervaring. Ik zie niet vaak dat Meta en WhatsApp worden omschreven als leveranciers van privacy. Bv:

The idea of a business offering technological privacy as a service is a relatively
new one, as evidenced by defendants’ expert’s discussion of the recent proliferation in
end-to-end encryption technology. Plaintiffs appear to have made such encryption, and
the privacy and security that it entails, a significant part of its pitch to users, making it
reasonable to conclude that users would be dissuaded from using Whatsapp if its
encryption were ineffective.

Een interessante wending vind ik dat de rechter oordeelt dat dit vonnis niet nadelig is voor NSO
geen schade kan claimen omdat ze officieel geen klanten in de VS hebben. Gebruikers schijnen namelijk verplicht te zijn om een geheimhoudingsverklaring te tekenen voor ze Pegasus mogen gebruiken. Daardoor is er geen bewijs dat Pegasus ook voordelen heeft, zoals NSO stelt. Uit de media weten we dat die software wel degelijk gebruikt wordt, maar dat vindt de rechter niet genoeg bewijs.

Overigens hebben wij er niks aan want de uitspraak gaat alleen over de VS, in andere landen mag het wel. Hoe de rechter dat technisch voor zich ziet snap ik ook niet helemaal. Verder gaat de uitspraak alleen over WhatsApp en niet over andere onderdelen van Meta zoals Facebook en Instagram en ook niet over andere bedrijven en netwerken. Daar mag NSO dus nog z'n gang gaan, al kunnen ze niet zeggen dat ze niet gewaarschuwd waren als die andere netwerken/sites ook een rechtszaak beginnen.