Pegasus-zaak van El Faro-journalisten in VS afgewezen

Een federale rechter in Californie heeft een rechtszaak afgewezen die was aangespannen door journalisten van het Salvadoraanse nieuwsmedium El Faro, van wie de telefoons waren besmet met de Pegasus-spyware van NSO Group.

De uitspraak volgde op woensdag. Volgens de beschikking van de rechter hebben de eisers niet aangetoond dat de zaak thuishoorde bij een rechtbank in Californie. Het Knight First Amendment Institute, dat de zaak namens de journalisten aanspande, zegt in hoger beroep te willen gaan.

De zaak trok de aandacht omdat het de eerste rechtszaak tegen NSO Group, het bedrijf achter Pegasus, was die bij een Amerikaanse rechtbank werd ingediend.

226 besmettingen in 17 maanden

El Faro is een onafhankelijk nieuwsmedium uit El Salvador. De hoofdeiser is Carlos Dada, de andere eisers zijn collega's van El Faro.

Volgens het Knight Institute is Pegasus tussen juni 2020 en november 2021 minstens 226 keer ingezet tegen Dada en zijn collega's. Het instituut diende de rechtszaak in november 2022 in.

Pegasus is zero-click-spyware: een apparaat kan worden gecompromitteerd zonder dat het doelwit een link of bijlage opent. Volgens het Knight Institute werden de telefoons van de journalisten op afstand en in het geheim binnengedrongen. Ook zou het aantal aanvallen zijn toegenomen in de dagen voordat El Faro grote onderzoeksverhalen zou publiceren.

De eisers vroegen de rechtbank om twee dingen. Ten eerste wilden ze dat NSO werd bevolen de gegevens te verwijderen die het van hun apparaten had verzameld. Ten tweede wilden ze dat het bedrijf werd verplicht de klant te noemen die opdracht gaf tot de surveillance.

De vraag van de bevoegdheid

Het juridische geschil draaide om de vraag of een Amerikaanse rechtbank in Californie wel de juiste plek was om de zaak te behandelen.

Dada en zijn collega's stelden van wel, omdat de aanvallen gebruikmaakten van gecompromitteerde infrastructuur in Californie. De rechter was daar niet van overtuigd.

Het is niet de eerste keer dat de zaak van tafel gaat. In maart 2024 wees een andere rechter de zaak al af. Die noemde de kwestie "volledig buitenlands" en oordeelde dat er geen grond was om haar in Californie te behandelen.

De nieuwe afwijzing is een flinke tegenvaller voor de journalisten. Toch betekent die niet per se het einde van de zaak, die later alsnog nieuw leven kan worden ingeblazen. Het geplande hoger beroep van het Knight Institute is de volgende stap.

NSO reageerde niet direct op een verzoek om commentaar.

Wat nog onbekend is

De uitspraak beantwoordt de kernvragen van de klacht niet. De rechtbank heeft NSO niet bevolen verzamelde gegevens te verwijderen, en de klant achter de surveillance is via deze zaak niet bekend geworden.

Dat waren de twee belangrijkste doelen van de rechtszaak. Zonder een rechtbank die de zaak wil behandelen, hebben de eisers in de VS voorlopig geen weg naar een van beide uitkomsten.

Onze analyse

De uitspraak laat een zwakke plek zien in het gebruik van Amerikaanse rechtbanken om spywareleveranciers ter verantwoording te roepen. De slachtoffers waren Salvadoraanse journalisten, de leverancier is NSO Group, en de band met Californie kwam van de infrastructuur waar de aanvallen doorheen liepen. Inmiddels hebben twee rechters die band te zwak gevonden. Dat wijst erop dat buitenlandse doelwitten van commerciele spyware moeite kunnen hebben om gehoor te krijgen bij Amerikaanse rechtbanken, zelfs als systemen in de VS een rol speelden bij de aanval.

Voor journalisten, activisten en andere gebruikers met een hoog risico laat de zaak zien dat juridische middelen na een besmetting traag en onzeker zijn. Preventie en detectie blijven het belangrijkst. Functies zoals de forensische spywarelogs in Android 17 laten zien dat platformmakers meer aandacht hebben voor deze dreiging.

De markt voor commerciele spyware krimpt ook niet. Een beursnotering van Paragon aan de Nasdaq laat zien dat deze tools nog steeds de interesse van beleggers trekken.

Het is de moeite waard om in de gaten te houden of het hoger beroep van het Knight Institute verandert hoe rechtbanken kijken naar de rol van Amerikaanse infrastructuur bij grensoverschrijdende spyware-aanvallen. Een andere lezing in hoger beroep kan de deur openen voor vergelijkbare claims. Een nieuwe nederlaag zou die route een stuk lastiger maken.