Pegasus in Polen: NSO had toegang tot spywaredata

Poolse aanklagers stellen dat NSO Group de controle hield over belangrijke onderdelen van het Pegasus-spywaresysteem dat de vorige Poolse regering gebruikte. Gegevens die met de tool werden verzameld, gingen volgens hen via servers buiten het land naar het buitenland.

De bevindingen komen uit een analyse van het Poolse Agentschap voor Binnenlandse Veiligheid (ABW), de binnenlandse contraspionagedienst van het land. Het Landelijk Openbaar Ministerie heeft ze openbaar gemaakt. Premier Donald Tusk, die het onderzoek liet instellen, noemde de spywareoperatie onder de vorige regeringspartij maandag "een van de grootste schandalen in de Poolse geschiedenis sinds de val van het communisme." Ook beschuldigde hij de Israëlische spywaremaker ervan samen te werken met Israëlische inlichtingendiensten.

Gebruiker had geen volledige controle

Pegasus werd bediend door het Centraal Anticorruptiebureau (CBA), een Poolse opsporingsdienst die corruptie onderzoekt. Volgens de aanklagers had het CBA "geen volledige controle over het Pegasus-systeem."

Het belangrijkste gat zat in het deel van het systeem dat telefoons daadwerkelijk binnendringt. "De servermodule die verantwoordelijk is voor het infecteren van mobiele apparaten bleef onder exclusieve controle van de fabrikant," aldus het Openbaar Ministerie in een persbericht.

Daarnaast ontbraken het CBA de wachtwoorden van veel accounts met beheerdersrechten. Volgens de aanklagers "verhinderde dit een volledige controle op de juiste werking van afzonderlijke systeemmodules, waaronder die voor de overdracht en opslag van gegevens."

Data via buitenlandse servers

Onderzoekers ontdekten dat gegevens die de spyware verzamelde Polen verlieten via een anonimiseringsnetwerk dat was opgebouwd uit servers in het buitenland. Het Poolse onderzoek herleidde de overdrachten naar buitenlandse IP-adressen.

Op basis daarvan concludeerden de aanklagers dat NSO "technische toegang" had tot informatie die werd verzameld tijdens operationele controles, de term die de Poolse autoriteiten gebruiken voor heimelijke surveillanceoperaties.

Het bedrijf leverde Poolse functionarissen ook updates en technische ondersteuning via een externe verbinding. De surveillance ging daarbij gewoon door. "Tijdens deze werkzaamheden werden de operationele controles niet onderbroken en had de fabrikant volledige toegang tot het systeem, inclusief de mogelijkheid om wijzigingen aan te brengen in de software en de configuratie," stond in het persbericht.

Op één punt waren de aanklagers voorzichtig. Ze kunnen niet zeggen of NSO "daadwerkelijk toegang heeft gekregen tot materiaal uit een specifieke operationele controle." Het onderzoek toont aan dat de toegang technisch mogelijk was, niet dat er in een bepaald geval gebruik van is gemaakt.

NSO Group reageerde niet op een verzoek om commentaar van The Record.

Een schandaal dat al jaren broeit

De nieuwe bevindingen komen bovenop een zaak die al langer loopt. In februari 2024 maakte de regering-Tusk bekend dat onderzoekers hadden bevestigd dat Pegasus was ingezet tegen een "zeer lange" lijst van slachtoffers. Tusk zei dat zijn eigen vrouw en dochter waren bespioneerd, en dat de apparaten van ruim 500 andere mensen het doelwit waren geweest, waarvan een deel ook daadwerkelijk was besmet.

Verschillende voormalige inlichtingen- en veiligheidsfunctionarissen worden inmiddels vervolgd omdat ze het misbruik mogelijk zouden hebben gemaakt. De spyware zou zijn betaald met geld uit een overheidsfonds dat bedoeld was voor slachtoffers van misdrijven.

Tusk zou hebben gezegd dat de voormalige functionarissen "geld betaalden voor een systeem dat de facto alle denkbare gegevens over Poolse burgers, Poolse oppositieleiders en Poolse onafhankelijke aanklagers...doorspeelde aan de Israëlische kant."

"Dit is niet langer [alleen] een schandaal... We hebben het over een misdaad tegen de staat," voegde hij eraan toe.

Onderzoekers zien breder risico voor kopers

John Scott-Railton, onderzoeker bij Citizen Lab, zei tegen Recorded Future News dat de bevindingen laten zien dat landen die spyware gebruiken zich zorgen moeten maken over hun eigen operationele veiligheid.

NSO houdt zijn overheidsklanten al lange tijd voor dat het bedrijf geen toegang heeft tot gegevens die Pegasus verzamelt. Volgens Scott-Railton ondersteunt bewijsmateriaal dat openbaar werd in een rechtszaak die WhatsApp in 2019 tegen het bedrijf aanspande, de beweringen van de Poolse regering.

Overheden die zulke tools inzetten, moeten zich volgens hem afvragen of hun "gevoelige informatie, waaronder informatie over wie ze mogelijk als doelwit hebben, en ook de gegevens van hun burgers, worden blootgesteld aan buitenlandse partijen."

"Dit raakt de kern van niet alleen de meerwaarde van het aanschaffen van buitenlandse spyware, maar ook van de risico's voor de overheid die ermee werkt," aldus Scott-Railton.

Onze kijk

Het debat over Pegasus ging tot nu toe vooral over de mensen die in de gaten werden gehouden: journalisten, oppositiefiguren, activisten en hun families. De Poolse bevindingen verleggen een deel van de aandacht naar de klant. Als de leverancier de exclusieve controle over de infectieservers hield, beheerderstoegang had waar de koper niet bij kon, en tijdens lopende operaties op afstand updates doorvoerde, dan was de overheid niet de enige partij die meekeek met de surveillance.

Dat wijst erop dat commerciële spyware niet alleen een privacyprobleem is, maar ook een probleem in de toeleveringsketen. Een staat die zo'n tool koopt, geeft een buitenlands bedrijf, en mogelijk een buitenlandse staat, misschien ook een inkijkje in zijn doelwitten en werkwijze. Dat is een risico dat securityteams al kennen van andere software van derden met diepgaande toegang op afstand.

De grenzen van het bewijs zijn wel van belang. Aanklagers zeggen dat de toegang bestond, niet dat NSO die voor specifieke zaken heeft gebruikt. Het is de moeite waard om te volgen of het Poolse onderzoek iets concreters oplevert, hoe NSO reageert, en of andere landen die Pegasus hebben gekocht dezelfde vragen gaan stellen over wie er nog meer bij hun gegevens kon.