Spionagesoftwareschandaal of politieke stemmingmakerij?

In heel Europa duiken schandalen op over spionagesoftware op smartphones. Diplomaten en ministers blijken gehackt door vreemde mogendheden, maar ook steeds meer journalisten, activisten en advocaten beweren nu het slachtoffer te zijn van de eigen regering die hen zou bespieden met dezelfde Pegasus-programmatuur.

Speciale commissie

De Finse regering deelde onlangs nog mee dat de smartphones van Finse diplomaten werden gehackt met Pegasus.

Volgens perslekken vanuit de liberale fractie in het Europees Parlement (EP) zou het EP een speciale commissie plannen die het misbruik van de spionagesoftware Pegasus moet onderzoeken. Woensdag brachten de liberalen ook uit dat de leiders van de politieke fracties afspreken om volgende week een formeel onderzoek te lanceren over het spioneren via smartphones. De actie volgt op steeds meer onthullingen over gehackte smartphones in EU-landen.

Bedreiging voor rechtsstaat

Vooral de Israëlische Pegasus-software zou een bedreiging zijn voor de rechtsstaat. Tussen de klanten zitten EU-lidstaten. Zo beslisten gehackte Hongaarse journalisten woensdag al om hun eigen regering voor de rechter te brengen. Dit nadat al maanden een welles-nietes-spelletje bezig is tussen ngo’s zoals Amnesty International die beweren dat de Hongaarse geheime diensten journalisten, activisten en politieke tegenstanders zouden hacken met Pegasus. Hongaarse toppolitici spreken echter van en georkestreerde valse aanval tegen de regering Orbán en dit aan de vooravond van de verkiezingen op 4 april.

Donderdag 10 februari tussen 11 en 13 uur organiseert Orbáns vroegere fractie, namelijk de EPP of Europese Volkspartij (christendemocraten) een openbare hoorzitting over de bedreiging die de Pegasus spyware zou vormen voor de democratie en de rechtsstaat (rule of law in jargon). De hoorzitting is online live te volgen via Youtube.

Spyware?

Wat doet die beruchte spyware nu eigenlijk? Pegasus buit een aantal kwetsbaarheden in de programmatuur van smartphones uit. Zogenaamd ‘zero-day vulnerabilities’. Deze kwetsbaarheden kregen die naam omdat het achterpoortjes zijn in de software en de besturingssystemen van apparaten die nog niet ontdekt zijn (vandaar ‘dag nul’) en die gaten in de beveiliging dus nog niet gestopt zijn door de fabrikanten zoals Apple of Google. Meestal duurt dit tamelijk lang.

Een fabrikant kondigt dit dan aan zoals Apple afgelopen maandag:

‘The now-patched Apple iMessages vulnerability (CVE-2021-30860), popularly known as the FORCEDENTRY exploit, was not only used by the NSO group, but was also separately weaponized by another Israeli firm called QuaDream. QuaDream’s spyware, REIGN, was similar to Pegasus in its capabilities and was also used to infect iPhones around the world.’

Apple gaf toe dat naast Pegasus van het Israëlische bedrijf NSO nog een tweede Israëlisch bedrijf software verkoopt die iets gelijkaardigs doet en dat apparaten van Apple daarmee gehackt werden. QuaDream met REIGN en NSO met Pegasus leveren naar eigen zeggen enkel aan overheden voor politiediensten of veiligheidsdiensten.

Pegasus

Zelf kan je luidens NSO op een iphone of ipad niet zien of Pegasus op het apparaat staat. Amnesty International beweert nochtans dat bepaalde ‘artefacten’ gevonden kunnen worden door haar specialisten. Journalisten van de Duitse kwaliteitskrant Die Suddeutsche Zeitung beweren dat ze technici kennen die op basis van een telefoonnummer kunnen ontdekken of iemands smartphone of tablet is gehackt. Het is te vermoeden dat de Duitse geheime dienst Bundesnachrichtendienst die bron zou zijn. Het is zelfs verre van uitgesloten dat de Duitsers zelf Pegasus gebruiken.

Ondertussen staan op het Internet allerhande tips. Als de batterij sneller plat gaat en het databundel sneller op raakt, bestaat de kans dat u bespied wordt via uw smartphone. De voorgestelde klassieke verdediging is nogal stupide: overschakelen van iPhone naar Android of omgekeerd om de potentiële aanvallers te verwarren waardoor een aanval uitgesteld wordt. Ook frequent heropstarten zou een deel van de malware verwijderen.

Bespieden is politieke liefhebberij

De Europarlementariërs willen laten uitzoeken in hoeverre EU-lidstaten de Pegasus-programmatuur gebruiken om journalisten, advocaten en oppositiefiguren te bespieden. Een Nederlandse liberale politica en haar medewerkers beweren off-the-record dat dit bespieden duidelijk een nieuwe politieke liefhebberij blijkt bij de conservatieve regeringen in Polen en Hongarije (uiteraard zonder liberalen in de meerderheid).

Het onderzoek moet zogezegd duidelijk maken in welke mate EU-regeringen Pegasus ‘misbruiken’. De programmatuur is oorspronkelijk bedoeld om zware criminelen en terroristen te surveilleren, maar als het voor politieke tegenstanders gebruikt wordt dan kan het bekend raken hiervan politiek dynamiet opleveren.

Beschuldigen is natuurlijk gemakkelijk en laat framing toe van bepaalde regeringen die nu reeds onder vuur liggen over Pegasus. In welke mate een commissie van het Europees Parlement veiligheidsdiensten kan bewegen om zulke geheimen te komen uitleggen is nog maar de vraag. Normaal is zelfs het bekennen van de aankoop het verraad van een staatsgeheim.

Twitter

Op Twitter leek het alvast alsof de vorming van de commissie al beklonken was. Nochtans moet een kwart van de parlementsleden instemmen met de vorming om een commissie te kunnen oprichten. Een commissie kan 12 maanden aan de slag en beschikt over het recht om getuigen op te roepen en te ondervragen. Zo’n commissie kan ook een ‘fact-finding mission’ sturen naar de lidstaten. Verschillende Europarlementariërs probeerden al politieke munt te slaan uit de scoop. Het Europees Parlement moet echter nog steeds formeel beslissen en dat is iets voor volgende week op zijn best.

Volgende dinsdag tijdens de plenaire zitting in Straatsburg willen een aantal Europarlementariërs alvast een debat over de Pegasus-schandalen. De Poolse liberale Roza Thun (die in eigen land in de oppositie zit en via het Europees Parlement een heel scherpe oppositie voert) tweette dat elke steen omgedraaid dient om de EU-burgers te beschermen tegen het verwoesten van hun privacy.

Monstercoalitie

De liberale fractie Renew Europe voert al maanden een felle en soms vuile campagne om een monstercoalitie rond de liberaal Donald Tusk in Polen aan de macht te brengen. Ze krijgen daarbij steun van de voormalige Poolse communisten (nu lid van de Europese socialisten) van voor de val van de Sovjetunie en dus van tijdens de na-oorlogse dictatuur.

De teneur bij de liberalen is dat de Poolse en Hongaarse regeringen Pegasus misbruiken. Aanvankelijk ontkenden veiligheidsdiensten in beide landen Pegasus te gebruiken, maar recent gaven ze toe klant te zijn van NSO. Dusver is er nog geen bewijs dat dit gebruik niet volgens de wet verliep. Verschillende activistische ngo’s met Amnesty International op kop beweren over tientallen bewijzen te beschikken na het onderzoek van smartphones van journalisten, activisten en advocaten. Specialisten beweren dan weer dat dit onmogelijk is omdat de spyware niet te vinden zou zijn en enkel onrechtstreeks bepaalde indicaties waar te nemen zijn dat een smartphone werd geïnfecteerd.

De Hongaarse onderzoeksjournalist Szabolcs Panyi beweert slachtoffer te zijn van de bespieding. Panyi zette een project op rond Pegasus. Panyi zei in het Europees Parlement dat meer landen dan Polen en Hongarije Pegasus gebruiken. Panyi die een zeer uitgesproken tegenstander van Viktor Orbán is, beweerde vorig jaar ook dat zijn joodse roots een rol spelen. Een ander ‘slachtoffer’ dat via de Hongaarse burgerrechtenorganisatie HCLU klacht indiende tegen de Hongaarse staat is de Belgische LGBTQ-activist en doctoraatsstudent gender studies Adrien Beauduin.  HCLU wordt gefinancierd door de Open Societies Foundations van de omstreden valutaspeculant George Soros. Soros en Orbán zijn al decennia aartsvijanden. De Hongaarse gegevensbeschermingsautoriteit sloot echter reeds haar onderzoek af en besloot dat de Hongaarse regering de wet niet overtrad.