Inne i NSO, Israels milliard-dollar spionvaregigant

Verdens mest beryktede overvåkingsselskap sier de ønsker å rydde opp i handlingen. Fortsett, vi lytter. Av

• Patrick Howell O'Neill arkivside

19. august 2020

Ariel Davis

Maâti Monjib snakker sakte, som en mann som vet at han blir lyttet til.

Det er dagen for hans 58-årsdag når vi snakker, men det er lite feiring i stemmen hans. Overvåkingen er helvete, forteller Monjib. Det er virkelig vanskelig. Den styrer alt jeg gjør i livet mitt.

Denne historien var en del av september 2020-utgaven vår

• Se resten av saken
• Abonnere

En historieprofessor ved University of Mohammed V i Rabat, Marokko, Monjib husker levende dagen i 2017 da livet hans endret seg. Anklaget for å sette statens sikkerhet i fare av regjeringen han har kritisert voldsomt og offentlig, satt han utenfor en rettssal da iPhonen hans plutselig lyste opp med en rekke tekstmeldinger fra numre han ikke kjente igjen. De inneholdt lenker til gode nyheter, begjæringer og til og med Black Friday-handelstilbud.

En måned senere dukket det opp en artikkel som anklaget ham for forræderi på en populær nasjonal nyhetsside med nære bånd til Marokkos kongelige herskere. Monjib var vant til angrep, men nå så det ut til at trakassererne hans visste alt om ham: en annen artikkel inkluderte informasjon om et pro-demokrati-arrangement han skulle delta på, men nesten ingen hadde fortalt om. En historie forkynte til og med at professoren ikke har noen hemmeligheter for oss.

Han ble hacket. Meldingene hadde alle ført til nettsteder som forskere sier ble satt opp som lokker for å infisere besøkendes enheter med Pegasus, den mest beryktede spionvaren i verden.

Pegasus er blockbuster-produktet til NSO Group, et hemmelighetsfullt israelsk overvåkingsselskap på milliarder dollar. Den selges til rettshåndhevelse og etterretningsbyråer rundt om i verden, som bruker selskapets verktøy til å velge et menneskelig mål, infisere personens telefon med spionvare og deretter overta enheten. Når Pegasus er på telefonen din, er det ikke lenger telefonen din.

Den marokkanske akademikeren og ytringsfrihetsforkjemperen Maâti Monjib har blitt fulgt av regjeringen i årevis. Overvåkingen er helvetes, sier han.

GETTY

NSO selger Pegasus med samme våpenforhandlere som selger konvensjonelle våpen, og posisjonerer det som et avgjørende hjelpemiddel i jakten på terrorister og kriminelle. I en tid med allestedsnærværende teknologi og sterk kryptering, har slik lovlig hacking dukket opp som et kraftig verktøy for offentlig sikkerhet når rettshåndhevelse trenger tilgang til data. NSO insisterer på at det store flertallet av kundene deres er europeiske demokratier, men siden den ikke frigir kundelister og landene selv forblir tause, har dette aldri blitt bekreftet.

Monjibs sak er imidlertid en av en lang rekke hendelser der Pegasus har blitt brukt som et verktøy for undertrykkelse. Det har vært knyttet til saker inkludert drapet på den saudiske journalisten Jamal Khashoggi, siktet mot forskere og kampanjer som presser på for politisk reform i Mexico, og spanske myndigheters overvåking av katalanske separatistpolitikere. Mexico og Spania har nektet for å bruke Pegasus til å spionere på motstandere, men anklagene om at de har gjort det støttes av betydelige tekniske bevis.

NSOs grunnleggende argument er at den er skaperen av en teknologi som regjeringer bruker, men at siden den ikke angriper noen selv, kan den ikke holdes ansvarlig.

Noe av bevisene er inneholdt i et søksmål anlagt i oktober i California av WhatsApp og dets morselskap, Facebook, som påstår at Pegasus manipulerte WhatsApps infrastruktur for å infisere mer enn 1400 mobiltelefoner. Etterforskere ved Facebook fant mer enn 100 menneskerettighetsforkjempere, journalister og offentlige personer blant målene, ifølge rettsdokumenter. Hver samtale som ble plukket opp, oppdaget de, sendte ondsinnet kode gjennom WhatsApps infrastruktur og fikk mottakerens telefon til å laste ned spyware fra servere som eies av NSO. Dette, hevdet WhatsApp, var et brudd på amerikansk lov.

Relatert historie

Inne i NSO, Israels milliard-dollar spionvaregigant Verdens mest beryktede overvåkingsselskap sier de ønsker å rydde opp i handlingen. Fortsett, vi lytter.

NSO har lenge møtt slike anklager med taushet. Den hevder at mye av virksomheten deres er en israelsk statshemmelighet, og har tilbudt dyrebare små offentlige detaljer om driften, kundene eller sikkerhetstiltakene.

Nå antyder imidlertid selskapet at ting er i endring. I 2019 ble NSO, som var eid av et private equity-selskap, solgt tilbake til grunnleggerne og et annet private equity-selskap, Novalpina, for 1 milliard dollar. De nye eierne bestemte seg for en ny strategi: kom ut av skyggene. Selskapet hyret inn elite PR-firmaer, laget nye menneskerettighetspolitikker og utviklet nye selvstyredokumenter. Den begynte til og med å vise frem noen av sine andre produkter, for eksempel et covid-19-sporingssystem kalt Fleming, og Eclipse, som kan hacke droner som anses som en sikkerhetstrussel.

I løpet av flere måneder har jeg snakket med NSO-ledelsen for å forstå hvordan selskapet fungerer og hva det sier det gjør for å forhindre menneskerettighetsbrudd utført ved hjelp av dets verktøy. Jeg har snakket med kritikerne, som ser det som en fare for demokratiske verdier; til de som oppfordrer til mer regulering av hackervirksomheten; og til de israelske regulatorene som er ansvarlige for å styre den i dag. Selskapets ledere snakket om NSOs fremtid og dets retningslinjer og prosedyrer for å håndtere problemer, og det delte dokumenter som beskriver forholdet til byråene det selger Pegasus og andre verktøy til. Det jeg fant var en blomstrende våpenhandler – inne i selskapet erkjenner ansatte at Pegasus er et ekte våpen – som sliter med nye nivåer av gransking som truer grunnlaget for hele industrien.

En vanskelig oppgave

Fra den første dagen Shmuel Sunray begynte i NSO som generalrådgiver, sto han overfor den ene internasjonale hendelsen etter den andre. Ansatt bare dager etter at WhatsApps søksmål ble anlagt, fant han andre juridiske problemer som ventet på skrivebordet hans så snart han ankom. De var alle sentrert om den samme grunnleggende anklagen: NSO Groups hackingverktøy selges til, og kan misbrukes av, rike og undertrykkende regimer med liten eller ingen ansvarlighet.

Sunray hadde mye erfaring med hemmelighold og kontrovers: hans forrige jobb var som visepresident for en stor våpenprodusent. Over flere samtaler var han vennlig da han fortalte meg at han har blitt instruert av eierne til å endre NSOs kultur og drift, gjøre den mer gjennomsiktig og prøve å forhindre at menneskerettighetsbrudd skjer. Men han var også åpenbart frustrert over hemmeligholdet som han følte hindret ham i å svare på kritikere.

Det er en vanskelig oppgave, fortalte Sunray meg over telefon fra selskapets hovedkvarter i Herzliya, nord for Tel Aviv. Vi forstår kraften i verktøyet; vi forstår virkningen av misbruk av verktøyet. Vi prøver å gjøre det rette. Vi har reelle utfordringer med å håndtere myndigheter, etterretningsbyråer, konfidensialitet, operasjonelle nødvendigheter, operasjonelle begrensninger. Det er ikke et klassisk tilfelle av menneskerettighetsbrudd fra et selskap, fordi vi ikke betjener systemene – vi er ikke involvert i den faktiske driften av systemene – men vi forstår at det er en reell risiko for misbruk fra kundene. Vi prøver å finne den rette balansen.

Dette underbygger NSOs grunnleggende argument, et som er vanlig blant våpenprodusenter: selskapet er skaperen av en teknologi som myndigheter bruker, men det angriper ikke noen selv, så det kan ikke holdes ansvarlig.

Likevel, ifølge Sunray, er det flere lag med beskyttelse på plass for å prøve å sikre at feil personer ikke har tilgang.

Foreta et salg

Som de fleste andre land har Israel eksportkontroller som krever at våpenprodusenter er lisensiert og underlagt myndighetenes tilsyn. I tillegg gjør NSO sin egen due diligence, sier Sunray: dens ansatte undersøker et land, ser på dets menneskerettighetsrekord og gransker forholdet til Israel. De vurderer det spesifikke byråets merittliste når det gjelder korrupsjon, sikkerhet, økonomi og misbruk – samt tar hensyn til hvor mye det trenger verktøyet.

Noen ganger veies negative mot positive. Marokko, for eksempel, har forverrede menneskerettigheter, men en lang historie med å samarbeide med Israel og Vesten om sikkerhet, samt et genuint terrorproblem, så et salg ble angivelig godkjent. NSO har derimot sagt at Kina, Russland, Iran, Cuba, Nord-Korea, Qatar og Tyrkia er blant 21 nasjoner som aldri vil bli kunder.

Til slutt, før et salg foretas, må NSOs styrings-, risiko- og overholdelseskomité signere. Selskapet sier at komiteen, som består av ledere og aksjonærer, kan avslå salg eller legge til betingelser, for eksempel teknologiske begrensninger, som avgjøres fra sak til sak.

Forebygging av overgrep

Når et salg er avtalt, sier selskapet, forhindrer teknologiske rekkverk visse typer misbruk. For eksempel tillater ikke Pegasus at amerikanske telefonnumre blir infisert, sier NSO, og infiserte telefoner kan ikke en gang fysisk lokaliseres i USA: Hvis man befinner seg innenfor amerikanske grenser, er det meningen at Pegasus-programvaren skal ødelegge seg selv.

NSO sier blant annet at israelske telefonnumre er beskyttet, men hvem andre som får beskyttelse og hvorfor er fortsatt uklart.

Når en melding om overgrep kommer inn, samles et ad hoc-team på opptil 10 NSO-ansatte for å etterforske. De intervjuer kunden om påstandene, og de ber om Pegasus-datalogger. Disse loggene inneholder ikke innholdet som spionvaren hentet ut, som chatter eller e-poster – NSO insisterer på at den aldri ser spesifikk etterretning – men inkluderer metadata som en liste over alle telefonene spionvaren prøvde å infisere og deres plasseringer på det tidspunktet.

I henhold til en nylig kontrakt jeg innhentet, må kunder bruke systemet kun for å oppdage, forebygge og etterforske forbrytelser og terrorisme og sikre at systemet ikke vil bli brukt til brudd på menneskerettighetene. De må varsle selskapet om mulig misbruk. NSO sier de har sagt opp tre kontrakter tidligere for overtredelser inkludert misbruk av Pegasus, men de nekter å si hvilke land eller byråer som var involvert eller hvem ofrene var.

Vi er ikke naive

Mangel på åpenhet er ikke det eneste problemet: sikringene har grenser. Mens den israelske regjeringen kan tilbakekalle NSOs lisens for brudd på eksportlovgivningen, tar ikke regulatorene det på seg å se etter misbruk fra potensielle kunder og er ikke involvert i selskapets misbruksundersøkelser.

Mange av de andre prosedyrene er også bare reaktive. NSO har ikke noe permanent internt misbruksteam, i motsetning til nesten alle andre milliard-dollar teknologifirmaer, og de fleste av undersøkelsene deres blir kun satt i gang når en ekstern kilde som Amnesty International eller Citizen Lab hevder at det har vært brudd. NSO-ansatte intervjuer byråene og kundene som er under lupen, men snakker ikke med de påståtte ofrene, og selv om selskapet ofte bestrider de tekniske rapportene som tilbys som bevis, hevder det også at både statshemmeligheter og forretningshemmeligheter hindrer det i å dele mer informasjon.

Pegasus-loggene som er avgjørende for enhver misbruksforespørsel reiser også mange spørsmål. NSO Groups kunder er hackere som jobber for spionbyråer; hvor vanskelig ville det være for dem å tukle med tømmerstokkene? I en uttalelse insisterte selskapet på at dette ikke er mulig, men nektet å gi detaljer.

Hvis loggene ikke er bestridt, vil NSO og kundene sammen avgjøre om mål er legitime, om ekte forbrytelser har blitt begått, og om overvåking ble utført i henhold til rettslige prosesser eller om autokratiske regimer spionerte på motstandere.

Sunray, hørbart irritert, sier at han føler det som om hemmelighold tvinger ham til å operere med hendene bundet bak ryggen.

Det er frustrerende, sa han til meg. Vi er ikke naive. Det har vært misbruk. Det vil være misbruk. Vi selger til mange myndigheter. Selv den amerikanske regjeringen – ingen regjering er perfekt. Misbruk kan skje, og det bør tas tak i.

Ariel Davis

Men Sunray går også tilbake til selskapets standardsvar, argumentet som underbygger forsvaret i WhatsApp-søksmålet: NSO er en produsent, men det er ikke operatøren av spionvaren. Vi bygget det men de gjorde hackingen – og de er suverene nasjoner.

Det er ikke nok for mange kritikere. Ingen selskaper som tror det kan være den uavhengige vakthunden for sine egne produkter, overbeviser meg noen gang, sier Marietje Schaake, en nederlandsk politiker og tidligere medlem av Europaparlamentet. Hele ideen om at de har sine egne mekanismer mens de ikke har noe problem med å selge kommersiell spionvare til den som vil kjøpe den, vel vitende om at den brukes mot menneskerettighetsforkjempere og journalister – jeg tror det viser mangelen på ansvar fra dette selskapets side. enn noe annet.

Så hvorfor det interne presset for mer åpenhet nå? Fordi syndfloden av tekniske rapporter fra menneskerettighetsgrupper, WhatsApp-søksmålet og økende myndighetskontroll truer NSOs status quo. Og hvis det skal bli en ny debatt om hvordan bransjen blir regulert, lønner det seg å ha en mektig stemme.

Økende gransking

Lovlig hacking og cyberspionasje har vokst enormt som en virksomhet det siste tiåret, uten tegn til retrett. NSO Groups tidligere eiere kjøpte selskapet i 2014 for 130 millioner dollar, mindre enn en syvendedel av verdien det ble solgt for i fjor. Resten av industrien ekspanderer også, og drar nytte av spredningen av kommunikasjonsteknologi og økende global ustabilitet. Det er ingen tvil om at enhver stat har rett til å kjøpe denne teknologien for å bekjempe kriminalitet og terrorisme, sier Amnesty Internationals visedirektør, Danna Ingleton. Stater er rettmessig og lovlig i stand til å bruke disse verktøyene. Men det må følges mer med et reguleringssystem som forhindrer overgrep og gir en ansvarlighetsmekanisme når overgrep har skjedd. Å skinne et mye sterkere lys på hackerindustrien, hevder hun, vil gi bedre regulering og mer ansvarlighet.

Tidligere i år var Amnesty International i retten i Israel og argumenterte for at Forsvarsdepartementet skulle tilbakekalle NSOs lisens på grunn av misbruk av Pegasus. Men akkurat da saken startet, ble tjenestemenn fra Amnesty og 29 andre saksbehandlere bedt om å forlate rettssalen: en kneble-ordre ble gitt på saksgangen etter oppfordring fra departementet. Så, i juli, avviste en dommer saken direkte.

Jeg tror ikke prinsipielt og lovmessig at NSO kan kreve fullstendig mangel på ansvar for måten deres verktøy blir brukt på, sier FNs spesialrapportør Agnès Callamard. Det er ikke slik det fungerer under internasjonal lov.

Callamard gir råd til FN om utenrettslige henrettelser og har vært vokal om NSO Group og spionvareindustrien helt siden det kom frem at Pegasus ble brukt til å spionere på venner og medarbeidere til Khashoggi kort tid før han ble myrdet. For henne har saken konsekvenser på liv eller død.

Hvis NSO taper WhatsApp-saken, sier en advokat, setter det spørsmålstegn ved alle de selskapene som lever av å finne feil i programvare og utnytte dem.

Vi etterlyser ikke noe radikalt nytt, sier Callamard. Vi sier at det som er på plass for øyeblikket viser seg å være utilstrekkelig, og derfor må regjeringer eller reguleringsorganer raskt gå inn i et annet gir. Bransjen ekspanderer, og den bør utvides på grunnlag av riktige rammer for å regulere misbruk. Det er viktig for global fred.

Det har vært oppfordringer om et midlertidig moratorium på salg inntil sterkere regulering er vedtatt, men det er ikke klart hvordan det juridiske rammeverket vil se ut. I motsetning til konvensjonelle våpen, som er underlagt ulike internasjonale lover, er cybervåpen foreløpig ikke regulert av noen verdensomspennende våpenkontrollavtale. Og selv om ikke-spredningstraktater har blitt foreslått, er det liten klarhet om hvordan de vil måle eksisterende kapasiteter, hvordan overvåking eller håndheving vil fungere, eller hvordan reglene vil holde tritt med den raske teknologiske utviklingen. I stedet skjer mest gransking i dag på nasjonalt juridisk nivå.

I USA ser både FBI og kongressen på mulige hack av amerikanske mål, mens en etterforskning ledet av senator Ron Wydens kontor ønsker å finne ut om noen amerikanere er involvert i eksport av overvåkingsteknologi til autoritære regjeringer. Et nylig utkast til amerikansk etterretningslov vil kreve en regjeringsrapport om kommersiell spyware og overvåkingsteknologi.

WhatsApp-søksmålet har i mellomtiden tatt mål nær hjertet av NSOs virksomhet. Silicon Valley-giganten hevder at ved å målrette California-innbyggere – det vil si WhatsApp og Facebook – har NSO gitt domstolen i San Francisco jurisdiksjon, og at dommeren i saken kan hindre det israelske selskapet fra fremtidige forsøk på å misbruke WhatsApps og Facebooks nettverk. Det åpner døren til utrolig mange muligheter: Apple, hvis iPhone har vært et overordnet NSO-mål, kan muligens sette i gang et lignende lovlig angrep. Google har også oppdaget NSO rettet mot Android-enheter.

Og økonomiske skader er ikke det eneste sverdet som henger over hodet til NSO. Slike søksmål bringer også med seg trusselen om oppdagelse av rettssalen, som har potensial til å bringe detaljer om NSOs forretningsavtaler og kunder i offentligheten.

Mye avhenger av nøyaktig hvordan domstolen avgjør og hvor bredt den karakteriserer bruddet NSO påstås å ha begått her, sier Alan Rozenshtein, en tidligere advokat for justisdepartementet nå ved University of Minnesota Law School. Som et minimum, hvis NSO taper denne saken, setter den spørsmålstegn ved alle de selskapene som lager sine produkter eller lever av å finne feil i meldingsprogramvare og tilby tjenester som utnytter disse manglene. Dette vil skape nok juridisk usikkerhet til at jeg kan tenke meg at disse klientene ville tenke seg om to ganger før de inngår kontrakt med dem. Du vet ikke om selskapet vil fortsette å operere, om de vil bli dratt for retten, om hemmelighetene dine vil bli avslørt. NSO nektet å kommentere det påståtte WhatsApp-hakket, siden det fortsatt er en aktiv sak.

Vi blir alltid spionert på

I Marokko ble Maâti Monjib utsatt for minst fire flere hackingangrep gjennom 2019, hvert mer avansert enn det tidligere. På et tidspunkt ble nettleseren hans på telefonen usynlig omdirigert til et mistenkelig domene som forskere mistenker ble brukt til å installere skadevare i stillhet. I stedet for noe sånt som en tekstmelding som kan slå alarm og etterlate et synlig spor, var dette et mye roligere nettverksinjeksjonsangrep, en taktikk verdsatt fordi den nesten er umerkelig bortsett fra for ekspertetterforskere.

Den 13. september 2019 spiste Monjib lunsj hjemme med vennen Omar Radi, en marokkansk journalist som er en av regimets skarpeste kritikere. Den samme dagen, fant en etterforskning senere, Radi ble rammet av samme type nettverksinjeksjonsangrep som hadde fanget Monjib. Hackingkampanjen mot Radi varte i hvert fall inn i januar 2020, sa forskere fra Amnesty International. Han har vært utsatt for regelmessig polititrakassering siden den gang.

Minst syv flere marokkanere mottok advarsler fra WhatsApp om at Pegasus ble brukt til å spionere på telefonene deres, inkludert menneskerettighetsaktivister, journalister og politikere. Er dette den typen legitime spionmål – terroristene og kriminelle – som er nedfelt i kontrakten som Marokko og alle NSO-kunder signerer?

I desember sendte Monjib og de andre ofrene et brev til Marokkos databeskyttelsesmyndighet der de ba om etterforskning og handling. Det kom ikke noe formelt ut av det, men en av mennene, den demokratiske økonomen Fouad Abdelmoumni, sier at vennene hans høyt oppe ved byrået fortalte ham at brevet var håpløst og oppfordret ham til å droppe saken. Den marokkanske regjeringen har i mellomtiden svart med å true med å utvise Amnesty International fra landet.

Det som skjer i Marokko er emblematisk for det som skjer rundt om i verden. Selv om det er klart at demokratier er store fordeler av lovlig hacking, viser en lang og voksende liste over troverdige, detaljerte, tekniske og offentlige undersøkelser at Pegasus blir misbrukt av autoritære regimer med lange dokumenter om menneskerettighetsbrudd.

Marokko er et land under et autoritært regime som mener folk som Monjib og meg selv må ødelegges, sier Abdelmoumni. For å ødelegge oss er det viktig å ha tilgang til all informasjon. Vi anser alltid at vi er spionert på. All vår informasjon er i hendene på palasset.

Les mer

Mannen som bygde et spyware-imperium sier at det er på tide å komme ut av skyggene Shalev Hulio, medgründer og administrerende direktør i NSO, sier at bransjen hans er full av selskaper som prøver å unngå gransking. gjemme seg