Dit is de NSO Group, die elke telefoon kan hacken

• Joost Schellevis en Nando Kasteleijn

Dat er bedrijven zijn die spionagesoftware verkopen, ook aan dubieuze regimes, dat wist onderzoeker Sico van der Meer van instituut Clingendael wel. Toch verbaast hem de omvang waarmee de Pegasus-software van het Israëlische bedrijf NSO Group is gebruikt om journalisten, politici en activisten te volgen.

"We wisten dat de software van de NSO Group soms door autoritaire overheden werd ingezet, maar de schaal waarop is echt verrassend", zegt Van der Meer. "En het gemak waarmee de software kan worden ingezet is beangstigend."

Silicon Wadi

In sommige opzichten verschilt de NSO Group niet van andere start-ups in wat ook wel Silicon Wadi wordt genoemd. Dat is het kustgebied in Israël waar veel start-ups zijn neergestreken - 'Wadi' is een ook in Israël regelmatig gebruikt Arabisch woord voor 'vallei'. In veel gevallen gaat het daarbij om beveiligingsbedrijven.

Miljoeneninvesteringen van durfinvesteerders, een glanzend gebouw nabij Tel Aviv, experts die in het leger werden opgeleid tot expert in digitale beveiliging: de NSO Group vinkt de hokjes van een Israëlische cybersecurity-startup af. Maar achter de spiegelende ruiten van het hoofdkantoor gebeuren dingen die het daglicht niet kunnen verdragen, stellen Amnesty International en het journalistencollectief Forbidden Stories, samen met diverse media-organisaties.

Het bedrijf maakt software die werd gebruikt om in te breken op telefoons van zeker 180 journalisten, waaronder verslaggevers van gerenommeerde media als The New York Times, CNN en Reuters, zo werd deze week duidelijk. Ook activisten en politici werden gehackt.

Een woordvoerder van Amnesty International zegt tegen de NOS dat er op dit moment geen aanwijzingen zijn dat ook Nederlanders doelwit waren.

"De NSO Group zegt technologie te verkopen bij de bestrijding van terreur en georganiseerde misdaad", zegt Marietje Schaake. Als oud-D66-Europarlementariër, inmiddels verbonden aan Stanford, houdt ze zich al jaren bezig met de handel in spionagesoftware. "Maar het is duidelijk dat ze het ook gemunt hebben op activisten, journalisten en anderen. Ze doen alsof ze software verkopen en er daarna niks meer tegen kunnen doen. Heel naïef."

De Pegasus-software van de NSO Group is krachtig: je kunt er als overheid mee inbreken op telefoons en vervolgens telefoongesprekken, sms'jes, e-mails en andere activiteiten op een smartphone mee onderscheppen. Dat kan vaak zelfs op nieuwe telefoons, met de nieuwste software, en zonder dat de slachtoffers actie hoeven te ondernemen.

NSO zegt: kwart miljard aan verkopen geweigerd

De software is daarmee de heilige graal voor politie- en opsporingsdiensten, en enorm veel geld waard. Het zijn dan ook geheime diensten, politiediensten en legers die de diensten van NSO afnemen. Het bedrijf heeft zestig klanten verdeeld over veertig landen.

Tegelijkertijd benadrukt het bedrijf niet aan alle landen te leveren: het zou de afgelopen jaren 250 miljoen dollar aan verkopen hebben geweigerd vanwege het risico op mensenrechtenschendingen. Het zou een lijst van 55 landen hanteren waar het weigert zaken mee te doen. Ook moet de Israëlische overheid goedkeuring geven voor een verkoop, omdat de software als wapen wordt gezien.

Toch zouden onder meer Marokko, Bahrein, Saudi-Arabië en Hongarije de spionagesoftware gebruiken: landen waar onder meer de persvrijheid en de rechterlijke macht onder druk staat.

'Internationale discussie welkom'

"Ik hoop dat Israël wordt gedwongen om de ongebreidelde verkoop van dit soort software in te dammen", zegt Van der Meer van Clingendael. "En er zou een internationale discussie moeten komen over dit soort software, om te voorkomen dat iedereen hier zomaar slachtoffer kan worden."

Hoe dan ook is het een dilemma: opsporings- en inlichtingendiensten, ook in Nederland, willen soms ook om volgens hen legitieme redenen meekijken op iemands telefoon. "Dit soort spyware is wellicht handig als veiligheidsdiensten er terroristen en criminelen mee kunnen oplossen", zegt Van der Meer. "Maar in sommige landen is het onderscheid tussen terroristen en politieke tegenstanders minder duidelijk."

Een goede aanleiding om hier internationaal over na te denken, denkt Van der Meer. "Kunnen we hier regels voor bedenken? En kunnen die worden gehandhaafd? Of is er een monster gecreëerd dat niet meer te temmen is?"