Het Pegasus Project: spyware NSO Group gebruikt om activisten, journalisten en politieke leiders wereldwijd te volgen

Het Pegasus Project is een baanbrekende samenwerking van meer dan tachtig journalisten in twintig landen, gecoördineerd door Forbidden Stories, een in Parijs gevestigde non-profitorganisatie. Amnesty International zorgde voor de technische ondersteuning door geavanceerde forensische tests uit te voeren op mobiele telefoons om sporen van de spyware te identificeren.

‘Het Pegasus Project legt bloot hoe de spyware van NSO het favoriete wapen is van repressieve regeringen die journalisten het zwijgen willen opleggen, activisten willen aanvallen en afwijkende meningen willen smoren, waardoor talloze levens in gevaar komen’, zegt Agnès Callamard, secretaris-generaal van Amnesty International.

‘Deze onthullingen doen alle beweringen van NSO teniet dat dergelijke aanvallen zeldzaam zijn en te wijten zijn aan frauduleus gebruik van hun technologie. Hoewel het bedrijf beweert dat zijn spyware alleen wordt gebruikt voor legitiem onderzoek naar criminele en terroristische zaken, is het duidelijk dat zijn technologie systemisch misbruik mogelijk maakt. Ze schetsen een beeld van legitimiteit, terwijl ze winst halen uit wijdverbreide mensenrechtenschendingen.’

‘Hun acties roepen grotere vragen op over het totaal gebrek aan regulering waardoor een soort van Wilde Westen ontstond met grootschalig gebruik van de spyware om activisten en journalisten te schaden. Totdat NSO en ook andere bedrijven die surveillanceapparatuur verkopen kunnen aantonen dat zij in staat zijn de mensenrechten te respecteren, moet er een onmiddellijk moratorium komen op de export, verkoop, overdracht en het gebruik van surveillancetechnologie.’

In een schriftelijke reactie aan Forbidden Stories en haar mediapartners zegt NSO Group dat het ‘valse beweringen ten stelligste ontkent’. Het schrijft dat de rapportage van het consortium was gebaseerd op ‘verkeerde aannames’ en ‘onbevestigde theorieën’ en herhaalde dat het bedrijf op een ‘levensreddende missie’ was. Lees hier een uitgebreidere samenvatting van de reactie van NSO Group.

Het onderzoek

Centraal in dit onderzoek staat de Pegasus-spyware van NSO Group die, wanneer deze heimelijk op de telefoons van slachtoffers wordt geïnstalleerd, een aanvaller volledige toegang geeft tot de berichten, e-mails, media, microfoon, camera, oproepen en contacten van het apparaat.

De komende week zullen mediapartners van het Pegasus Project – waaronder The Guardian, Knack, Le Monde, Süddeutsche Zeitung en The Washington Post – een serie verhalen publiceren waarin details worden onthuld over hoe wereldleiders, politici, mensenrechtenactivisten en journalisten zijn geselecteerd als potentieel doelwit van deze spyware.

Op basis van de gelekte gegevens identificeerde Forbidden Stories en zijn mediapartners potentiële NSO-klanten in elf landen: Azerbeidzjan, Bahrein, Hongarije, India, Kazachstan, Mexico, Marokko, Rwanda, Saudi-Arabië, Togo en de Verenigde Arabische Emiraten (VAE).

NSO Group heeft niet voldoende actie ondernomen om een einde te maken aan het gebruik van haar middelen voor onwettig en gerichte surveillance van activisten en journalisten, ondanks het feit dat NSO wist, of had moeten weten, dat dit plaatsvond.

‘Als eerste stap moet de NSO Group onmiddellijk de systemen van klanten afsluiten als er geloofwaardige aanwijzingen zijn voor misbruik. Het Pegasus Project biedt die in overvloed’, zegt Agnès Callamard.

Familie Khashoggi doelwit

Het onderzoek bracht ook bewijsmateriaal aan het licht dat staaft dat familieleden van de Saudische journalist Jamal Khashoggi het doelwit waren van Pegasus-software, voor en na zijn moord in Istanbul op 2 oktober 2018 door Saudische agenten, ondanks herhaalde ontkenningen van de NSO Group.

Het Security Lab van Amnesty International heeft vastgesteld dat Pegasus-spyware al vier dagen na zijn moord met succes op de telefoon van Khashoggi's verloofde Hatice Cengiz was geïnstalleerd. Hanan Elatr, toen nog zijn echtgenote, was tussen september 2017 en april 2018 ook herhaaldelijk doelwit van de spyware, evenals zijn zoon Abdullah en andere familieleden in Saudi-Arabië en de Verenigde Arabische Emiraten.

In een verklaring reageerde de NSO Group op de beschuldigingen van het Pegasus Project en verklaarde dat zijn ‘technologie op geen enkele manier verband hield met de gruwelijke moord op Jamal Khashoggi’. Het bedrijf zegt dat het ‘deze bewering eerder heeft onderzocht, onmiddellijk na de gruwelijke moord, en dat dit opnieuw niet wordt bevestigd’.

Journalisten onder vuur

Het onderzoek heeft tot nu toe ten minste 180 journalisten in 20 landen geïdentificeerd die tussen 2016 en juni 2021 zijn geselecteerd als mogelijk doelwit van NSO-spyware, waaronder in Azerbeidzjan, Hongarije, India en Marokko, landen waar het hardhandig optreden tegen onafhankelijke media is toegenomen.

De onthullingen tonen de reële schade aan die door onwettige surveillance wordt veroorzaakt:

• In Mexico was de telefoon van journalist Cecilio Pineda enkele weken voor zijn moord in 2017 doelwit. Het Pegasus Project documenteert dat ten minste 25 Mexicaanse journalisten waren geselecteerd als mogelijk doelwit over een periode van 2 jaar. NSO ontkent dat, zelfs als Pineda's telefoon het doelwit was, de gegevens die met zijn telefoon zijn verzameld, hebben bijgedragen aan zijn dood.
• Pegasus is gebruikt in Azerbeidzjan, een land waar nog maar een paar onafhankelijke media zijn. Volgens het onderzoek werden meer dan 40 Azerbeidzjaanse journalisten geselecteerd als potentiële doelwitten. Amnesty’s Security Lab ontdekte dat de telefoon van Sevinc Vaqifqizi, een freelance journalist voor het onafhankelijke mediakanaal Meydan TV, gedurende 2 jaar tot mei 2021 was besmet.
• In India werden tussen 2017-2021 ten minste 40 journalisten van bijna alle grote media in het land geselecteerd als mogelijk doelwit. Uit forensische tests bleek dat de telefoons van Siddharth Varadarajan en MK Venu, mede-oprichters van het onafhankelijke online kanaal The Wire, zeker tot in juni 2021 besmet waren met Pegasus-spyware.
• Het onderzoek identificeerde ook journalisten als mogelijk doelwit die voor grote internationale media werken, waaronder Associated Press, CNN, The New York Times en Reuters. Een van de meest vooraanstaande journalisten was Roula Khalaf, hoofdredacteur van de Financial Times.

‘Het aantal journalisten dat als doelwit is geïdentificeerd, illustreert hoe Pegasus wordt gebruikt als een instrument om kritische media te intimideren. Het gaat om het beheersen van het publieke debat, het ondermijnen van transparantie en het onderdrukken van elke afwijkende mening’, zegt Agnès Callamard. ‘Deze onthullingen moeten een katalysator zijn voor verandering. De surveillance-industrie mag niet langer een vrijbrief zijn voor regeringen die er belang bij hebben om deze technologie te gebruiken om mensenrechtenschendingen te plegen.’

Blootleggen van de Pegasus-infrastructuur

Amnesty International maakt vandaag de volledige technische details bekend van het diepgaande forensische onderzoek van het Security Lab als onderdeel van het Pegasus Project. Het methodologierapport van het Lab documenteert de evolutie van de aanvallen met Pegasus-spyware sinds 2018, met details over de spyware-infrastructuur, waaronder meer dan 700 Pegasus-gerelateerde domeinen.

‘NSO beweert dat zijn spyware niet detecteerbaar is en alleen wordt gebruikt voor legitieme strafrechtelijke onderzoeken. We hebben nu onweerlegbaar bewijs geleverd van deze grove leugen’, zegt Etienne Maynier, technoloog bij Amnesty's Security Lab.

Niets wijst erop dat de klanten van NSO Pegasus niet ook gebruikten voor onderzoek naar terrorisme en misdaad, en het consortium Forbidden Stories vond in de gegevens ook nummers die aan verdachte criminelen toebehoorden.

‘De wijdverbreide schendingen die Pegasus faciliteert, moeten stoppen. We hopen dat het vernietigende bewijs dat de komende week wordt gepubliceerd, regeringen ertoe zal brengen een uit de hand gelopen surveillance-industrie grondig te herzien’, zegt Maynier.

In antwoord op een verzoek om commentaar door mediaorganisaties die betrokken zijn bij het Pegasus Project, zegt de NSO Group dat het de beweringen ‘met klem ontkent’ en verklaart dat er ‘veel onbevestigde theorieën zijn die ernstige twijfel doen rijzen over de betrouwbaarheid van uw bronnen, evenals de basis van het verhaal’. De NSO Group heeft niet bevestigd of ontkend welke regeringen klant zijn van de NSO Group, hoewel het zegt dat het Pegasus Project in dit opzicht ‘onjuiste veronderstellingen’ heeft gemaakt. Ondanks de algemene ontkenning van de claims, zegt de NSO Group dat het ‘alle geloofwaardige claims van misbruik zal blijven onderzoeken en passende maatregelen zal nemen op basis van de resultaten van deze onderzoeken’.