Inde i NSO, Israels milliard-dollar spyware-gigant

Verdens mest berygtede overvågningsfirma siger, at det ønsker at rydde op i sin handling. Fortsæt, vi lytter. Ved

• Patrick Howell O'Neill arkiv side

19. august 2020

Ariel Davis

Maâti Monjib taler langsomt, som en mand, der ved, der bliver lyttet til ham.

Det er dagen for hans 58 års fødselsdag, når vi taler, men der er lidt fest i hans stemme. Overvågningen er helvedes, fortæller Monjib. Det er virkelig svært. Det styrer alt, hvad jeg gør i mit liv.

Denne historie var en del af vores september 2020-udgave

• Se resten af ​​problemet
• Abonner

En historieprofessor ved University of Mohammed V i Rabat, Marokko, Monjib husker levende dagen i 2017, hvor hans liv ændrede sig. Anklaget for at bringe statens sikkerhed i fare af regeringen, han har kritiseret voldsomt og offentligt, sad han uden for en retssal, da hans iPhone pludselig lyste op med en række tekstbeskeder fra numre, han ikke genkendte. De indeholdt links til salige nyheder, andragender og endda Black Friday-shoppingaftaler.

En måned senere dukkede en artikel op, der anklagede ham for forræderi, på et populært nationalt nyhedssite med tætte bånd til Marokkos kongelige herskere. Monjib var vant til angreb, men nu lod det til, at hans chikanere vidste alt om ham: En anden artikel indeholdt oplysninger om en pro-demokrati-begivenhed, han skulle deltage i, men som næsten ingen havde fortalt om. En historie proklamerede endda, at professoren ikke har nogen hemmeligheder for os.

Han var blevet hacket. Beskederne havde alle ført til websteder, som forskere siger, blev oprettet som lokker til at inficere besøgendes enheder med Pegasus, det mest berygtede spyware i verden.

Pegasus er blockbuster-produktet fra NSO Group, et hemmelighedsfuldt israelsk overvågningsfirma på en milliard dollar. Det sælges til retshåndhævende myndigheder og efterretningstjenester rundt om i verden, som bruger virksomhedens værktøjer til at vælge et menneskeligt mål, inficere personens telefon med spyware og derefter overtage enheden. Når Pegasus er på din telefon, er det ikke længere din telefon.

Den marokkanske akademiker og forkæmper for ytringsfrihed Maâti Monjib er blevet overvåget af sin regering i årevis. Overvågningen er helvedes, siger han.

GETTY

NSO sælger Pegasus med de samme våbenhandlere som sælger til at sælge konventionelle våben, og placerer det som en afgørende hjælp i jagten på terrorister og kriminelle. I en tid med allestedsnærværende teknologi og stærk kryptering er sådan lovlig hacking dukket op som et stærkt værktøj til offentlig sikkerhed, når retshåndhævelse har brug for adgang til data. NSO insisterer på, at langt størstedelen af ​​dets kunder er europæiske demokratier, selvom det aldrig er blevet bekræftet, da det ikke frigiver kundelister, og landene selv forbliver tavse.

Monjibs sag er dog en af ​​en lang række af hændelser, hvor Pegasus er blevet brugt som et redskab til undertrykkelse. Det har været forbundet med sager, herunder mordet på den saudiske journalist Jamal Khashoggi, angrebet på videnskabsmænd og kampagnefolk, der presser på for politiske reformer i Mexico, og den spanske regerings overvågning af catalanske separatistiske politikere. Mexico og Spanien har nægtet at bruge Pegasus til at spionere på modstandere, men beskyldningerne om, at de har gjort det, understøttes af betydelige tekniske beviser.

NSOs grundlæggende argument er, at det er skaberen af ​​en teknologi, som regeringer bruger, men at da det ikke angriber nogen selv, kan det ikke holdes ansvarligt.

Nogle af disse beviser er indeholdt i en retssag indgivet i oktober sidste år i Californien af ​​WhatsApp og dets moderselskab, Facebook, med påstand om, at Pegasus manipulerede WhatsApps infrastruktur til at inficere mere end 1.400 mobiltelefoner. Efterforskere på Facebook fandt ifølge retsdokumenter mere end 100 menneskerettighedsforkæmpere, journalister og offentlige personer blandt målene. Hvert opkald, der blev besvaret, opdagede de, sendte ondsindet kode gennem WhatsApps infrastruktur og fik modtagerens telefon til at downloade spyware fra servere ejet af NSO. Dette, hævdede WhatsApp, var en overtrædelse af amerikansk lov.

Relateret historie

Inde i NSO, Israels milliard-dollar spyware-gigant Verdens mest berygtede overvågningsfirma siger, at det ønsker at rydde op i sin handling. Fortsæt, vi lytter.

NSO har længe stået over for sådanne beskyldninger med tavshed. Ved at hævde, at meget af dets forretning er en israelsk statshemmelighed, har den tilbudt dyrebare små offentlige detaljer om sine operationer, kunder eller sikkerhedsforanstaltninger.

Nu foreslår virksomheden dog, at tingene ændrer sig. I 2019 blev NSO, som var ejet af et private equity-firma, solgt tilbage til sine grundlæggere og et andet private equity-firma, Novalpina, for 1 mia. De nye ejere besluttede sig for en ny strategi: kom ud af skyggerne. Virksomheden hyrede elite PR-firmaer, udarbejdede nye menneskerettighedspolitikker og udviklede nye selvstyredokumenter. Det begyndte endda at vise nogle af sine andre produkter frem, såsom et covid-19-sporingssystem kaldet Fleming og Eclipse, som kan hacke droner, der anses for at være en sikkerhedstrussel.

I løbet af flere måneder har jeg talt med NSO-ledelsen for at forstå, hvordan virksomheden arbejder, og hvad den siger, den gør for at forhindre menneskerettighedskrænkelser udført ved hjælp af dets værktøjer. Jeg har talt med dets kritikere, som ser det som en fare for demokratiske værdier; til dem, der opfordrer til mere regulering af hackervirksomheden; og til de israelske regulatorer, der er ansvarlige for at styre det i dag. Virksomhedens ledere talte om NSOs fremtid og dets politikker og procedurer for håndtering af problemer, og det delte dokumenter, der beskriver dets forhold til de agenturer, som det sælger Pegasus og andre værktøjer til. Det, jeg fandt, var en blomstrende våbenhandler – inde i virksomheden anerkender medarbejdere, at Pegasus er et ægte våben – der kæmper med nye niveauer af kontrol, der truer grundlaget for hele dens industri.

En svær opgave

Fra den første dag, Shmuel Sunray sluttede sig til NSO som generalrådgiver, stod han over for den ene internationale hændelse efter den anden. Han blev ansat kun få dage efter WhatsApps retssag blev anlagt, og han fandt andre juridiske problemer, der ventede på sit skrivebord, så snart han ankom. De centrerede sig alle om den samme grundlæggende anklage: NSO Groups hackingværktøjer sælges til og kan misbruges af rige og undertrykkende regimer med ringe eller ingen ansvarlighed.

Sunray havde masser af erfaring med hemmeligholdelse og kontroverser: hans tidligere job var som vicepræsident for en stor våbenproducent. Over flere samtaler var han venlig, da han fortalte mig, at han er blevet instrueret af ejerne til at ændre NSO's kultur og drift, gøre den mere gennemsigtig og forsøge at forhindre menneskerettighedskrænkelser i at ske. Men han var selvfølgelig også frustreret over den hemmelighed, som han mente forhindrede ham i at reagere på kritikere.

Det er en svær opgave, fortalte Sunray mig over telefonen fra virksomhedens hovedkvarter i Herzliya, nord for Tel Aviv. Vi forstår værktøjets kraft; vi forstår virkningen af ​​misbrug af værktøjet. Vi prøver at gøre det rigtige. Vi har reelle udfordringer med at håndtere regering, efterretningstjenester, fortrolighed, operationelle nødvendigheder, operationelle begrænsninger. Det er ikke et klassisk tilfælde af menneskerettighedskrænkelse af en virksomhed, fordi vi ikke driver systemerne – vi er ikke involveret i den faktiske drift af systemerne – men vi forstår, at der er en reel risiko for misbrug fra kunderne. Vi prøver at finde den rigtige balance.

Dette underbygger NSOs grundlæggende argument, som er almindeligt blandt våbenproducenter: Virksomheden er skaberen af ​​en teknologi, som regeringer bruger, men den angriber ikke nogen selv, så den kan ikke holdes ansvarlig.

Alligevel er der ifølge Sunray flere beskyttelseslag på plads for at forsøge at sikre, at de forkerte personer ikke har adgang.

At lave et salg

Som de fleste andre lande har Israel eksportkontrol, der kræver, at våbenproducenter er licenserede og underlagt regeringens tilsyn. Derudover gør NSO sin egen due diligence, siger Sunray: dens personale undersøger et land, ser på dets menneskerettighedsstatus og gransker dets forhold til Israel. De vurderer det specifikke bureaus track record med hensyn til korruption, sikkerhed, økonomi og misbrug – samt tager hensyn til, hvor meget det har brug for værktøjet.

Nogle gange vejes negative mod positive. Marokko har for eksempel en forværret menneskerettighedshistorie, men en lang historie med samarbejde med Israel og Vesten om sikkerhed samt et ægte terrorproblem, så et salg blev angiveligt godkendt. I modsætning hertil har NSO sagt, at Kina, Rusland, Iran, Cuba, Nordkorea, Qatar og Tyrkiet er blandt 21 nationer, som aldrig vil være kunder.

Endelig, før et salg gennemføres, skal NSO's styrings-, risiko- og compliance-komité melde fra. Selskabet siger, at udvalget, der består af ledere og aktionærer, kan afvise salg eller tilføje betingelser, såsom teknologiske begrænsninger, der afgøres fra sag til sag.

Forebyggelse af misbrug

Når først et salg er aftalt, siger virksomheden, forhindrer teknologiske autoværn visse former for misbrug. For eksempel tillader Pegasus ikke, at amerikanske telefonnumre bliver inficeret, siger NSO, og inficerede telefoner kan ikke engang lokaliseres fysisk i USA: Hvis man befinder sig inden for amerikanske grænser, formodes Pegasus-softwaren at selvdestruere.

NSO siger, at israelske telefonnumre blandt andet også er beskyttet, men hvem der ellers får beskyttelse, og hvorfor er stadig uklart.

Når der kommer en anmeldelse om misbrug, samles et ad hoc-hold på op til 10 NSO-ansatte for at undersøge sagen. De interviewer kunden om påstandene, og de anmoder om Pegasus-datalogs. Disse logfiler indeholder ikke det indhold, som spywaren har udvundet, såsom chats eller e-mails - NSO insisterer på, at den aldrig ser specifik intelligens - men inkluderer metadata såsom en liste over alle de telefoner, som spywaren forsøgte at inficere og deres placeringer på det tidspunkt.

Ifølge en nylig kontrakt, jeg har opnået, skal kunderne kun bruge systemet til afsløring, forebyggelse og efterforskning af forbrydelser og terrorisme og sikre, at systemet ikke bliver brugt til menneskerettighedskrænkelser. De skal underrette virksomheden om potentielt misbrug. NSO siger, at det tidligere har opsagt tre kontrakter for overtrædelser, herunder misbrug af Pegasus, men det nægter at sige, hvilke lande eller agenturer der var involveret, eller hvem ofrene var.

Vi er ikke naive

Manglende gennemsigtighed er ikke det eneste problem: sikkerhedsforanstaltningerne har grænser. Mens den israelske regering kan tilbagekalde NSO's licens for overtrædelser af eksportlovgivningen, påtager regulatorerne sig ikke at lede efter misbrug fra potentielle kunder og er ikke involveret i virksomhedens misbrugsundersøgelser.

Mange af de andre procedurer er også kun reaktive. NSO har ikke noget permanent internt misbrugsteam, i modsætning til næsten ethvert andet milliard-dollar tech-firma, og de fleste af dets undersøgelser er kun opfundet, når en ekstern kilde som Amnesty International eller Citizen Lab hævder, at der har været misbrug. NSO-medarbejdere interviewer agenturerne og kunderne under lup, men taler ikke med de påståede ofre, og selvom virksomheden ofte bestrider de tekniske rapporter, der tilbydes som bevis, hævder det også, at både statshemmeligheden og forretningshemmeligheden forhindrer den i at dele flere oplysninger.

Pegasus-logfilerne, der er afgørende for enhver misbrugsundersøgelse, rejser også mange spørgsmål. NSO Groups kunder er hackere, der arbejder for spionbureauer; hvor svært ville det være for dem at pille ved kævlerne? I en erklæring insisterede virksomheden på, at dette ikke er muligt, men afviste at give detaljer.

Hvis loggene ikke bestrides, vil NSO og dets kunder sammen beslutte, om mål er legitime, om der er begået ægte forbrydelser, og om overvågningen blev udført under behørig lovproces, eller om autokratiske regimer spionerede på modstandere.

Sunray, hørbart irriteret, siger, at han føler, som om hemmeligholdelsen tvinger ham til at operere med hænderne bundet bag ryggen.

Det er frustrerende, fortalte han mig. Vi er ikke naive. Der har været misbrug. Der vil være misbrug. Vi sælger til mange regeringer. Selv den amerikanske regering - ingen regering er perfekt. Misbrug kan ske, og det bør tages op.

Ariel Davis

Men Sunray vender også tilbage til virksomhedens standardsvar, argumentet, der understøtter dets forsvar i WhatsApp-sagen: NSO er en producent, men det er ikke operatøren af ​​spywaren. Vi bygget det men de foretog hackingen - og de er suveræne nationer.

Det er ikke nok for mange kritikere. Ingen virksomhed, der tror på, at den kan være deres egne produkters uafhængige vagthund, overbeviser mig nogensinde, siger Marietje Schaake, en hollandsk politiker og tidligere medlem af Europa-Parlamentet. Hele ideen om, at de har deres egne mekanismer, mens de ikke har noget problem med at sælge kommerciel spyware til den, der ønsker at købe det, vel vidende at det bruges mod menneskerettighedsforkæmpere og journalister – jeg synes, det viser det manglende ansvar fra denne virksomheds side. end noget andet.

Så hvorfor det interne pres for mere gennemsigtighed nu? Fordi syndfloden af ​​tekniske rapporter fra menneskerettighedsgrupper, WhatsApp-retssagen og stigende regeringskontrol truer NSO's status quo. Og hvis der skal være en ny debat om, hvordan industrien bliver reguleret, kan det betale sig at have en stærk stemme.

Stigende kontrol

Lovlig hacking og cyberspionage er vokset enormt som virksomhed i løbet af det sidste årti, uden tegn på tilbagetog. NSO Groups tidligere ejere købte virksomheden i 2014 for 130 millioner dollars, mindre end en syvendedel af den værdiansættelse, det blev solgt for sidste år. Resten af ​​industrien ekspanderer også og drager fordel af udbredelsen af ​​kommunikationsteknologi og forværrer den globale ustabilitet. Der er ingen tvivl om, at enhver stat har ret til at købe denne teknologi for at bekæmpe kriminalitet og terrorisme, siger Amnesty Internationals vicedirektør, Danna Ingleton. Stater er retmæssigt og lovligt i stand til at bruge disse værktøjer. Men det skal i højere grad ledsages af et reguleringssystem, der forhindrer misbrug og giver en ansvarlighedsmekanisme, når der er sket misbrug. At skinne et meget skarpere lys på hackingindustrien, hævder hun, vil give mulighed for bedre regulering og mere ansvarlighed.

Tidligere i år var Amnesty International i retten i Israel og argumenterede for, at forsvarsministeriet skulle tilbagekalde NSO's licens på grund af misbrug af Pegasus. Men lige da sagen startede, blev embedsmænd fra Amnesty og 29 andre andragere bedt om at forlade retssalen: en gag-ordre blev afgivet på sagen på ministeriets opfordring. Så i juli afviste en dommer sagen blankt.

Jeg tror ikke principielt og lovmæssigt på, at NSO kan påberåbe sig en fuldstændig mangel på ansvar for den måde, deres værktøjer bliver brugt på, siger FN's særlige rapportør Agnès Callamard. Sådan fungerer det ikke under international lov.

Callamard rådgiver FN om udenretslige henrettelser og har været højtråbende om NSO Group og spywareindustrien, lige siden det kom frem, at Pegasus blev brugt til at spionere på venner og associerede til Khashoggi kort før han blev myrdet. For hende har sagen konsekvenser på liv eller død.

Hvis NSO taber WhatsApp-sagen, siger en advokat, sætter det spørgsmålstegn ved alle de virksomheder, der lever af at finde fejl i software og udnytte dem.

Vi efterlyser ikke noget radikalt nyt, siger Callamard. Vi siger, at det, der er på plads i øjeblikket, viser sig at være utilstrækkeligt, og derfor er regeringer eller regulerende agenturer nødt til hurtigt at gå i et andet gear. Industrien ekspanderer, og den bør udvides på grundlag af de rette rammer til at regulere misbrug. Det er vigtigt for global fred.

Der har været opfordringer til et midlertidigt moratorium for salg, indtil stærkere regulering er vedtaget, men det er ikke klart, hvordan den juridiske ramme ville se ud. I modsætning til konventionelle våben, som er underlagt forskellige internationale love, er cybervåben i øjeblikket ikke reguleret af nogen verdensomspændende våbenkontrolaftale. Og selvom ikke-spredningstraktater er blevet foreslået, er der ringe klarhed om, hvordan de vil måle eksisterende kapaciteter, hvordan overvågning eller håndhævelse ville fungere, eller hvordan reglerne ville følge med den hurtige teknologiske udvikling. I stedet foregår det meste af undersøgelsen i dag på det nationale juridiske niveau.

I USA undersøger både FBI og Kongressen mulige hacks af amerikanske mål, mens en undersøgelse ledet af senator Ron Wydens kontor ønsker at finde ud af, om nogen amerikanere er involveret i at eksportere overvågningsteknologi til autoritære regeringer. Et nyligt udkast til amerikansk efterretningslov vil kræve en regeringsrapport om kommerciel spyware og overvågningsteknologi.

WhatsApp-sagen har i mellemtiden taget sigte tæt på hjertet af NSO's forretning. Silicon Valley-giganten hævder, at NSO ved at målrette indbyggere i Californien – det vil sige WhatsApp og Facebook – har givet retten i San Francisco jurisdiktion, og at dommeren i sagen kan udelukke det israelske selskab fra fremtidige forsøg på at misbruge WhatsApps og Facebooks netværk. Det åbner døren til en frygtelig masse muligheder: Apple, hvis iPhone har været et altafgørende NSO-mål, kunne sagtens udføre et lignende lovligt angreb. Google har også set NSO målrettet mod Android-enheder.

Og økonomiske skader er ikke det eneste sværd, der hænger over hovedet på NSO. Sådanne retssager bringer også truslen om opdagelse i retssalen med sig, som har potentialet til at bringe detaljer om NSO's forretningsaftaler og kunder i offentlighedens øjne.

Meget afhænger af, præcis hvordan domstolen dømmer, og hvor bredt den karakteriserer den krænkelse, NSO påstås at have begået her, siger Alan Rozenshtein, en tidligere advokat for justitsministeriet nu ved University of Minnesota Law School. Hvis NSO taber denne sag, sætter det som minimum spørgsmålstegn ved alle de virksomheder, der laver deres produkter eller lever af at finde fejl i messaging-software og levere tjenester, der udnytter disse fejl. Dette vil skabe tilstrækkelig juridisk usikkerhed til, at jeg kunne forestille mig, at disse potentielle kunder ville tænke sig om to gange, før de indgår kontrakt med dem. Du ved ikke, om virksomheden vil fortsætte med at fungere, om de bliver trukket i retten, om dine hemmeligheder bliver afsløret. NSO afviste at kommentere det påståede WhatsApp-hack, da det stadig er en aktiv sag.

Vi bliver altid udspioneret

I Marokko blev Maâti Monjib udsat for mindst fire flere hackingangreb i løbet af 2019, hver mere avanceret end den før. På et tidspunkt blev hans telefonbrowser usynligt omdirigeret til et mistænkeligt domæne, som forskere har mistanke om blev brugt til at installere malware. I stedet for noget som en tekstbesked, der kan slå alarm og efterlade et synligt spor, var denne et meget mere stille netværksinjektionsangreb, en taktik værdsat, fordi den næsten er umærkelig undtagen for ekspertefterforskere.

Den 13. september 2019 spiste Monjib frokost derhjemme med sin ven Omar Radi, en marokkansk journalist, som er en af ​​regimets skarpeste kritikere. Den samme dag, viste en undersøgelse senere, at Radi blev ramt af den samme slags netværksinjektionsangreb, som havde fanget Monjib. Hackingkampagnen mod Radi varede i det mindste ind i januar 2020, sagde Amnesty Internationals forskere. Han har været udsat for regelmæssig politichikane lige siden.

Mindst syv flere marokkanere modtog advarsler fra WhatsApp om, at Pegasus blev brugt til at spionere på deres telefoner, herunder menneskerettighedsaktivister, journalister og politikere. Er det den slags legitime spionmål – terrorister og kriminelle – som er fastlagt i den kontrakt, som Marokko og alle NSO-kunder underskriver?

I december sendte Monjib og de andre ofre et brev til Marokkos databeskyttelsesmyndighed og bad om en undersøgelse og handling. Der kom ikke noget formelt ud af det, men en af ​​mændene, den pro-demokratiske økonom Fouad Abdelmoumni, siger, at hans venner højt oppe i bureauet fortalte ham, at brevet var håbløst og opfordrede ham til at droppe sagen. Den marokkanske regering har i mellemtiden reageret ved at true med at udvise Amnesty International fra landet.

Det, der sker i Marokko, er emblematisk for, hvad der sker rundt om i verden. Selvom det er tydeligt, at demokratier er store fordele ved lovlig hacking, viser en lang og voksende liste af troværdige, detaljerede, tekniske og offentlige undersøgelser, at Pegasus bliver misbrugt af autoritære regimer med lange registreringer af menneskerettighedskrænkelser.

Marokko er et land under et autoritært regime, der mener, at folk som Monjib og jeg skal ødelægges, siger Abdelmoumni. For at ødelægge os er det vigtigt at have adgang til al information. Vi mener altid, at vi er udspioneret. Al vores information er i hænderne på paladset.

Læs mere

Manden, der byggede et spyware-imperium, siger, at det er på tide at komme ud af skyggerne Shalev Hulio, medstifter og administrerende direktør for NSO, siger, at hans branche er fuld af virksomheder, der forsøger at undgå kontrol. skjule