Manden, der byggede et spyware-imperium, siger, at det er tid til at komme ud af skyggerne

Fru Tech | Kilde: AP Photo/Daniella Cheslow, File

Shalev Hulio vil gerne forklare sig.

Normalt er tavshed og hemmeligholdelse iboende i spionbranchen. I hele ni år talte Hulio aldrig offentligt om sit milliarddyre hackingfirma - selv når hans hackingværktøjer var forbundet med skandale, eller han blev anklaget for at være medskyldig i menneskerettighedskrænkelser rundt om i verden. På det seneste taler han dog op.

Folk forstår ikke, hvordan intelligens fungerer, fortæller Hulio mig over et videoopkald fra Tel Aviv. Det er ikke nemt. Det er ikke hyggeligt. Intelligens er en lort forretning fuld af etiske dilemmaer.

Den virksomhed, han leder, NSO Group, er verdens mest berygtede spyware-virksomhed . Det er i centrum af en blomstrende international industri, hvor højteknologiske virksomheder finder softwaresårbarheder, udvikler udnyttelser og sælger malware til regeringer. Det israelske hovedkontor er blevet sat i forbindelse med højt profilerede hændelser, herunder mord af Jamal Khashoggi og spionere imod politikere i Spanien.

Relateret historie

Inde i NSO, Israels milliard-dollar spyware-gigant Verdens mest berygtede overvågningsfirma siger, at det ønsker at rydde op i sin handling. Fortsæt, vi lytter.

Ti år efter stiftelsen af ​​virksomheden tog han den sjældne beslutning at tale om NSO Group, efterretningsindustrien, og hvordan gennemsigtighed kunne se ud for spywarevirksomheder. Dette, siger han, er det vigtigste, industrien kan gøre nu: Vi er med god grund blevet beskyldt for ikke at være gennemsigtige nok.

Tavshedskultur

Tidligere en eftersøgnings- og redningschef i Israels militær og derefter en iværksætter med fokus på teknologi, der fjernadgang til smartphones, har Hulio sagt, at han grundlagde NSO Group i 2010 efter opfordring fra europæiske efterretningstjenester. Dengang markedsførte NSO sig selv som et state-of-the-art cyberwarfare-firma.

Det trådte ind i det globale søgelys i 2016, da Ahmed Mansoor, en menneskerettighedsaktivist i De Forenede Arabiske Emirater, modtog det, der er blevet kaldt den mest berømte sms nogensinde . Forskere siger, at det var en sofistikeret phishing-lokning sendt af en regering; den indeholdt et link, der, hvis der blev klikket på det, ville have overtaget Mansoors telefon med spyware. Eksperter fra Citizen Lab, en forskningsgruppe ved University of Toronto, analyserede linket og pegede på Pegasus, NSOs flagskibsprodukt. Afsløringen førte til en stor granskning af virksomheden, men NSO forholdt sig tavs. (Mansoor afsoner i øjeblikket en tiår lang fængselsdom for at fornærme monarkiet - en diktators beskrivelse af hans arbejde for at fremme menneskerettighederne.)

Det svar var til dels en funktion af virksomhedens ejerskab på det tidspunkt. I 2014 var NSO blevet købt for omkring 100 millioner dollars af det amerikanske kapitalfond Francisco Partners, som havde en streng no-press-politik, som Hulio siger, førte til en skadelig tavshedskultur.

Ingen interviews - vi kunne ikke tale med journalister undtagen at sige ingen kommentar, ingen kommentar, ingen kommentar, siger han. Det skabte mange dårlige ting for os, for hver gang vi blev anklaget for misbrug, havde vi ingen kommentarer.

Dette, siger han, var en fejl, der skulle undgås i fremtiden af ​​virksomheder som NSO - som sidste år blev solgt for 1 milliard dollars til det europæiske private equity-firma Novalpina og de oprindelige grundlæggere, inklusive Hulio selv.

Industrien burde være mere gennemsigtig, siger Hulio. Hver virksomhed bør være meget mere ansvarlig for, hvem de sælger til, hvem der er kunderne, hvad er slutanvendelsen for hver kunde.

Faktisk viste teksten, der blev sendt til Mansoor, sig at være en velsignelse for efterforskere. Mansoor, som allerede havde været målrettet af overvågning i mange år, var mistænksom og klikkede ikke på det forgiftede link. I stedet delte han det med eksperter. Men i disse dage bruger hackerindustrien i stigende grad mere avancerede teknikker, der holder deres aktiviteter så diskrete som muligt - inklusive såkaldte nul-klik-teknikker, der inficerer mål uden at de foretager sig nogen handling overhovedet. WhatsApp sagsøger NSO Group for at hacke appen for lydløst at inficere telefoner. Mål i Marokko har angiveligt oplevet netværksinjektionshack, der ikke giver alarm, kræver intet samarbejde fra offeret og efterlader få spor.

Hvert [spyware]-firma bør være meget mere ansvarlig for, hvem de sælger til, hvem der er kunderne, hvad der er slutbrugen for hver kunde.

Pitchet fra hackervirksomheder er, at kriminelle og terrorister bliver mørke på grund af kryptering, og stater har brug for en evne til at jage dem ned i deres mørke hul, siger John Scott-Railton, seniorforsker ved Citizen Lab. I stigende grad, i den høje ende, er virksomheder, der sælger disse teknikker, dem, der bliver mørke. Det er ikke bare WhatsApp . Vi har set salg af sårbarheder mod iMessage , [telefonsoftware] SS7 som en levering til nul-klik sårbarheder , og en masse netværksinjektion . På grund af dette er det næsten umuligt for os at få overblik over problemets omfang. Vi kan kun gætte på skalaen. Vi kender kun nogle spillere. Markedet vokser, men vi mangler meget information om misbrug.

Det har aldrig været en nem opgave at forstå det fulde omfang af hacker-til-udlejning-industrien. Nu har efterforskerne længe stolet på teknikkerne og indikatorerne, da spor bliver sjældnere, mere støjsvage og sværere at få øje på. Det snigende nye arsenal gør det ekstraordinært svært at holde hackervirksomheder og efterretningstjenester ansvarlige, når menneskerettighedskrænkelser forekommer.

Måske overraskende er Hulio eftertrykkeligt enig i, at hackingindustrien er ved at blive mørk. Da jeg spørger ham, om branchen tager nok skridt mod gennemsigtighed og ansvarlighed, ryster han på hovedet og peger en finger ad sine konkurrenter:

Faktisk tror jeg, det er omvendt. Industrien er på vej væk fra regulering. Jeg ser virksomheder, der forsøger at skjule aktivitet og skjule, hvad de laver. Det skader industrien.

Undgå gennemsigtighed

Derimod, hævder Hulio, forsøger NSO at vende kursen under sit nye ejerskab. Selvom det står over for den højprofilerede WhatsApp-retssag og snesevis af anklager om misbrug af Pegasus, insisterer Hulio på, at virksomheden er under udvikling. Det faktum, at han overhovedet taler med journalister, er en åbenlys ændring, siger han, og det samme er de nye selvstyrepolitikker og en offentlig forpligtelse til at overholde FN's retningslinjer for menneskerettigheder. Hvor meget snakken oversættes til virkeligheden er stadig et åbent spørgsmål: tre dage efter, at virksomheden annoncerede en ny menneskerettighedspolitik i 2019, forskere fra Amnesty International siger, at Pegasus blev brugt til at hacke den marokkanske journalist Omar Radi.

Men Hulio antyder, at hans rivaler undviger gennemsigtighed og ansvarlighed ved at flytte deres virksomheder eller finde paradiser at operere fra.

De åbner virksomheder i lande, hvor du ikke har reguleringsmekanismer, i Latinamerika, Europa, Asien og Stillehavsområdet – hvor reguleringen er meget svag, så du kan eksportere til lande, som du ikke kan eksportere til fra Israel eller andre steder i Europa, forklarer han. Jeg ser virksomheder forsøge at skjule aktivitet ved at ændre navnet på virksomheden igen og igen. Eller gennem mekanismer som at bygge forskning og udvikling på ét sted, salgscyklus til en anden virksomhed, implementering gennem en tredje virksomhed, så du ikke kan spore, hvem der gør hvad.

»Ligesom der er lande, der fungerer som skattely, er der lande, der fungerer som beskyttelsesrum for eksportregulering. Disse lande har brug for globale reguleringsmekanismer.'

Det kan være rigtigt, men NSO Group går selv under en række andre navne, herunder Q Cyber ​​Technologies i Israel og OSY Technologies i Luxembourg. Den har en nordamerikansk fløj kaldet Westbridge. Medarbejderne er spredt internationalt. Israelske medier har rapporteret om virksomhedens links til shell-virksomheder og byzantinsk handler. I årenes løb har det drevet et forvirrende netværk af andre virksomheder rundt om i verden, og denne virksomhedslabyrint har gjort det næsten umuligt at forstå dets handler og handlinger – en afgørende opgave, når hackingværktøjer kan misbruges af autoritære regeringer med ødelæggende konsekvenser.

Så hvordan ville ansvarlighed se ud? Da NSO Group først dukkede op, havde Wassenaar-arrangementet, en afgørende våbeneksportkontrolaftale mellem 42 lande, ingen cyberdimension. Israel havde ingen lov om cybereksport. Nu er Israels forsvarsministerium styret af landets lov om forsvarseksportkontrol - NSO Group har efter sigende aldrig blevet nægtet en eksportlicens – men på globalt plan forbliver hackerindustrien stort set skjult, uigennemsigtig og uansvarlig på trods af dens voksende magt og kapacitet.

Der er smuthuller, siger Hulio. Ikke alle lande er med i Wassenaar-aftalen. Jeg synes virkelig, det er meget svært at lave noget internationalt. Naturligvis er international en god idé, men ligesom der er lande, der fungerer som skattely, er der lande, der fungerer som beskyttelsesrum for eksportregulering. Disse lande har brug for globale reguleringsmekanismer.

Hvem er i trådkorset?

Snesevis af misbrug fra brugere af NSOs teknologi er blevet påstået, siden Mansoor-hændelsen først pegede på virksomheden. Når sådanne påstande fremsættes, indleder NSO en undersøgelse. Hvis konti er i konflikt, kan NSO kræve logfiler, der afslører mål. Oftere end ikke, siger Hulio, vil kunden sige, at beskyldningerne mod det er sande, at målretningen er reel - men at deres handlinger var lovlige i henhold til lokal lovgivning og den kontrakt, de underskrev. Det lader det være op til NSO og kunden at finde ud af, om målretningen faktisk er legitim.

Relateret historie

Hvordan et autoritært regime vil opsnappe al internettrafik i sit land

Meget af den kritik, der rettes mod NSO Group, kommer, når forskere siger, at Pegasus bliver brugt mod advokater, menneskerettighedsaktivister, journalister og politikere. Men Hulio siger, at konteksten kan retfærdiggøre sådanne handlinger - at disse mennesker kan være legitime overvågningsmål, så længe loven følges. Han peger på begivenheder omkring tilfangetagelsen i 2014 af den mexicanske narkobaron Joaquín El Chapo Guzmán. Selvom det aldrig har bekræftet det offentligt, har NSO Group gjort det privat udråbt sin rolle i driften i årevis.

Chapo stak af fra fængslet, siger Hulio. Folk som Chapo eller [ISIS-leder Omar Bakr] al-Baghdadi bærer ikke smartphones. Da Chapo flygtede, troede de, at han nok i sidste ende ville ringe til sin advokat, så lad os prøve at aflytte advokaten. Advokaten er ikke en dårlig person - og jeg siger ikke, at vi var involveret. Advokaten i sig selv er ikke mistænkt for kriminel aktivitet, men El Chapo, som er kriminel, vil ringe til sin advokat, og den eneste måde at fange ham på er at aflytte hans advokat.

Det er sådan en sag, der er nem at lave. Morderisk narkobaron, ekstrem politiaktion, mugshots på forsiden. Men de fleste påstande om misbrug ligner ikke El Chapo-sagen. Golfnationerne er gentagne gange blevet beskyldt for at bruge Pegasus til at målrette mod politisk opposition, hvilket senere har resulteret i opdigtede anklager for at fornærme kongefamilier eller lignende.

Hulio siger, at NSO ofte bliver anklaget for arbejde, som andre spywarefirmaer er ansvarlige for.

Vi stiller meget svære spørgsmål, når vi sælger et system, men jeg er ikke sikker på, at alle gør det, siger han. Jeg har ingen problemer med at sidde foran et lands forsvarsminister eller politichefen eller efterretningstjenesten og spørge: Hvad nytter det? Hvad er målet? Hvad er missionen? Hvad er undersøgelserne? Hvad er den proces, du bruger? Hvordan analyserer du dataene? Hvem skal godkende hvert mål? Hvad er loven i dit specifikke land – hvordan fungerer det? Spørgsmål, som mange virksomheder virkelig er ligeglade med. De har en aftale - de vil gerne sælge. De vil sælge det, fordi det er gode penge for dem.

Vi er gået fuld cirkel og ankommer tilbage i et tykt virvar af hemmelighedskræmmeri. Pengene flyder, misbrug bliver ved med at ske, og hackingværktøjerne breder sig: ingen bestrider det.

Men hvem er ansvarlig, når brutale autoritære folk får fingrene i banebrydende spyware til brug mod modstandere? En allerede skyggefuld verden bliver mørkere, og svarene bliver sværere at finde.

skjule