Mannen som bygde et spyware-imperium sier at det er på tide å komme ut av skyggene

Ms Tech | Kilde: AP Photo/Daniella Cheslow, File

Shalev Hulio vil forklare seg.

Normalt er stillhet og hemmelighold iboende i spionbransjen. I ni hele år snakket Hulio aldri offentlig om hackerselskapet sitt på milliarder dollar – selv når hackingverktøyene hans var knyttet til skandale eller han ble anklaget for å være medskyldig i menneskerettighetsbrudd rundt om i verden. I det siste har han imidlertid uttalt seg.

Folk forstår ikke hvordan intelligens fungerer, forteller Hulio meg over en videosamtale fra Tel Aviv. Det er ikke lett. Det er ikke hyggelig. Etterretning er en drittsekk full av etiske dilemmaer.

Virksomheten han leder, NSO Group, er verdens mest beryktede spionvareselskap . Det er i sentrum av en blomstrende internasjonal industri der høyteknologiske firmaer finner programvaresårbarheter, utvikler utnyttelser og selger skadevare til myndigheter. Det israelske selskapet med hovedkontor har blitt knyttet til høyprofilerte hendelser, inkludert mord av Jamal Khashoggi og spionere mot politikere i Spania.

Relatert historie

Inne i NSO, Israels milliard-dollar spionvaregigant Verdens mest beryktede overvåkingsselskap sier de ønsker å rydde opp i handlingen. Fortsett, vi lytter.

Ti år etter grunnleggelsen av selskapet tok han den sjeldne beslutningen om å snakke om NSO Group, etterretningsindustrien og hvordan åpenhet kunne se ut for spionvareselskaper. Dette, sier han, er det viktigste bransjen kan gjøre nå: Vi har blitt anklaget, med god grunn, for ikke å være transparente nok.

Taushetskultur

Tidligere en søk-og-redningssjef i Israels militær og deretter en gründer fokusert på teknologi som fjerntilgang til smarttelefoner, har Hulio sagt at han grunnla NSO Group i 2010 etter oppfordring fra europeiske etterretningsbyråer. Den gang markedsførte NSO seg selv som et toppmoderne cyberkrigføringsfirma.

Den kom inn i det globale søkelyset i 2016 da Ahmed Mansoor, en menneskerettighetsaktivist i De forente arabiske emirater, mottok det som er blitt kalt tidenes mest kjente tekstmelding . Forskere sier at det var en sofistikert phishing-lokning sendt av en regjering; den inneholdt en lenke som, hvis den ble klikket, ville ha overtatt Mansoors telefon med spyware. Eksperter ved Citizen Lab, en forskningsgruppe ved University of Toronto, analyserte koblingen og pekte på Pegasus, NSOs flaggskipprodukt. Avsløringen førte til stor gransking av selskapet, men NSO forholdt seg taus. (Mansoor soner for tiden en tiår lang fengselsstraff for å ha fornærmet monarkiet – en diktators beskrivelse av hans arbeid for å fremme menneskerettigheter.)

Dette svaret var delvis en funksjon av selskapets eierskap på den tiden. I 2014 var NSO kjøpt for rundt 100 millioner dollar av det amerikanske private equity-selskapet Francisco Partners, som hadde en streng pressefri policy som Hulio sier førte til en skadelig taushetskultur.

Ingen intervjuer – vi kunne ikke snakke med journalister bortsett fra å si ingen kommentar, ingen kommentar, ingen kommentar, sier han. Det skapte mange dårlige ting for oss, for hver gang vi ble anklaget for overgrep hadde vi ingen kommentarer.

Dette, sier han, var en feil som skulle unngås i fremtiden av selskaper som NSO – som i fjor ble solgt for 1 milliard dollar til det europeiske private equity-selskapet Novalpina og de opprinnelige grunnleggerne, inkludert Hulio selv.

Bransjen bør være mer transparent, sier Hulio. Hvert selskap bør være mye mer ansvarlig for hvem de selger til, hvem som er kundene, hva som er sluttbruken for hver kunde.

Faktisk viste teksten som ble sendt til Mansoor seg å være en velsignelse for etterforskere. Mansoor, som allerede hadde vært målrettet av overvåking i mange år, var mistenksom og klikket ikke på den forgiftede lenken. I stedet delte han det med eksperter. Men i disse dager bruker hackerindustrien i økende grad mer avanserte teknikker som holder aktivitetene deres så lite påtrengende som mulig – inkludert såkalte zero-click-teknikker som infiserer mål uten at de tar noen handling i det hele tatt. WhatsApp saksøker NSO Group for å ha hacket appen for å infisere telefoner stille. Mål i Marokko har angivelig opplevd nettverksinjeksjonshack som ikke larmer, krever ingen samarbeid fra offeret og etterlater lite spor.

Hvert [spyware]-selskap bør være mye mer ansvarlig for hvem de selger til, hvem som er kundene, hva som er sluttbruken for hver kunde.

Tonepunktet fra hackerselskaper er at kriminelle og terrorister blir mørke på grunn av kryptering og stater trenger en evne til å jage dem ned i det mørke hullet sitt, sier John Scott-Railton, seniorforsker ved Citizen Lab. I økende grad, i den høye enden, er det selskaper som selger disse teknikkene som går mørkt. Det er ikke bare Hva skjer . Vi har sett salg av sårbarheter mot iMessage , [telefonprogramvare] SS7 som en levering for null-klikk sårbarheter , og mye av nettverksinjeksjon . På grunn av dette er det nesten umulig for oss å få innsikt i omfanget av problemet. Vi kan bare gjette i skala. Vi kjenner bare noen spillere. Markedet vokser, men vi mangler mye informasjon om overgrep.

Det var aldri en lett jobb å forstå hele omfanget av hacker-til-leie-industrien. Nå har teknikkene og indikatorene etterforskerne lenge stolt på, ettersom ledetråder blir sjeldnere, roligere og vanskeligere å få øye på. Det snikende nye arsenalet gjør det ekstraordinært vanskelig å holde hackerselskaper og etterretningsbyråer ansvarlige når menneskerettighetsbrudd skjer.

Kanskje overraskende er Hulio ettertrykkelig enig i at hackingindustrien går i mørke. Når jeg spør ham om bransjen tar nok skritt mot åpenhet og ansvarlighet, rister han på hodet og peker en finger mot konkurrentene:

Egentlig tror jeg det er omvendt. Næringen går bort fra regulering. Jeg ser selskaper som prøver å skjule aktivitet og skjule det de gjør. Det skader bransjen.

Unngå åpenhet

Derimot, hevder Hulio, prøver NSO å snu kursen under sitt nye eierskap. Selv om det står overfor det høyprofilerte WhatsApp-søksmålet og dusinvis av anklager om misbruk av Pegasus, insisterer Hulio på at selskapet er i utvikling. Det faktum at han i det hele tatt snakker med journalister er en åpenbar endring, sier han, og det samme er den nye selvstyrepolitikken og en offentlig forpliktelse til å følge FNs retningslinjer for menneskerettigheter. Hvor mye talen oversetter til virkeligheten er fortsatt et åpent spørsmål: tre dager etter at selskapet annonserte en ny menneskerettighetspolicy i 2019, forskere fra Amnesty International sier Pegasus ble brukt til å hacke den marokkanske journalisten Omar Radi.

Men Hulio antyder at hans rivaler unngår åpenhet og ansvarlighet ved å flytte virksomhetene sine eller finne tilfluktssteder å operere fra.

De åpner selskaper i land der du ikke har reguleringsmekanismer, i Latin-Amerika, Europa, Asia-Stillehavsregionen – der reguleringen er veldig svak, så du kan eksportere til land du ikke kan eksportere til fra Israel eller andre steder i Europa, forklarer han. Jeg ser at selskaper prøver å skjule aktivitet ved å endre navnet på selskapet om og om igjen. Eller gjennom mekanismer som å bygge forskning og utvikling på ett nettsted, salgssyklus til et annet selskap, distribusjon gjennom et tredje selskap, slik at du ikke kan spore hvem som gjør hva.

«Akkurat som det er land som fungerer som skattetilfluktsrom, er det land som fungerer som tilfluktsrom for eksportregulering. Disse landene trenger globale reguleringsmekanismer.'

Det kan være sant, men NSO Group selv går under en rekke andre navn, inkludert Q Cyber ​​Technologies i Israel og OSY Technologies i Luxembourg. Den har en nordamerikansk fløy kalt Westbridge. De ansatte er spredt internasjonalt. Israelske medier har rapportert om selskapets lenker til skallselskaper og bysantinsk avtaler. I løpet av årene har det drevet et forvirrende nettverk av andre selskaper rundt om i verden, og denne bedriftslabyrinten har gjort det nesten umulig å forstå dets forretninger og handlinger – en avgjørende oppgave når hackingverktøy kan misbrukes av autoritære myndigheter med ødeleggende konsekvenser.

Så hvordan ville ansvarlighet se ut? Da NSO Group først dukket opp, hadde Wassenaar-arrangementet, en avgjørende avtale om våpeneksportkontroll mellom 42 land, ingen cyberdimensjon. Israel hadde ingen lov om cybereksport. Nå er Israels forsvarsdepartement styrt av landets lov om forsvarseksportkontroll—NSO Group har angivelig aldri blitt nektet eksportlisens – men på global skala forblir hackerindustrien stort sett skjult, ugjennomsiktig og uansvarlig til tross for dens økende kraft og evner.

Det er smutthull, sier Hulio. Ikke alle land er med i Wassenaar-avtalen. Jeg synes virkelig det er veldig vanskelig å gjøre noe internasjonalt. Åpenbart er internasjonal en god idé, men akkurat som det er land som fungerer som skattetilfluktsrom, er det land som fungerer som tilfluktsrom for eksportregulering. Disse landene trenger globale reguleringsmekanismer.

Hvem er i trådkorset?

Dusinvis av overgrep fra brukere av NSOs teknologi har blitt påstått siden Mansoor-hendelsen først rettet søkelyset mot selskapet. Når slike påstander fremsettes, starter NSO etterforskning. Hvis kontoer er i konflikt, kan NSO kreve logger som avslører mål. Oftere enn ikke, sier Hulio, vil kunden si at påstandene mot den er sanne, målrettingen er reell – men at handlingene deres var lovlige i henhold til lokal lov og kontrakten de signerte. Det lar det være opp til NSO og kunden å hash ut om målrettingen faktisk er legitim.

Relatert historie

Hvordan et autoritært regime vil avskjære all internetttrafikk i landet sitt

Mye av kritikken rettet mot NSO Group kommer når forskere sier at Pegasus brukes mot advokater, menneskerettighetsaktivister, journalister og politikere. Men Hulio sier at konteksten kan rettferdiggjøre slike handlinger - at disse menneskene kan være legitime overvåkingsmål så lenge loven følges. Han peker på hendelser rundt pågripelsen i 2014 av den meksikanske narkokongen Joaquín El Chapo Guzmán. Selv om den aldri har bekreftet det offentlig, har NSO Group det privat fremhevet sin rolle i driften i årevis.

Chapo rømte fra fengselet, sier Hulio. Folk som Chapo eller [ISIS-leder Omar Bakr] al-Baghdadi har ikke smarttelefoner. Da Chapo rømte, trodde de at han sannsynligvis til slutt ville ringe advokaten sin, så la oss prøve å avskjære advokaten. Advokaten er ikke en dårlig person – og jeg sier ikke at vi var involvert. Advokaten alene er ikke mistenkt for kriminell aktivitet, men El Chapo, som er en kriminell, kommer til å ringe advokaten sin, og den eneste måten å fange ham på er å avskjære advokaten hans.

Det er en type sak som er enkel å lage. Morderisk narkobaron, ekstrem politiaksjon, mugshots på forsiden. Men de fleste påstandene om misbruk ligner ikke El Chapo-saken. Gulf-nasjoner har gjentatte ganger blitt anklaget for å bruke Pegasus til å målrette mot politisk opposisjon, noe som senere har resultert i oppdiktede anklager for å fornærme kongefamilier eller lignende.

Hulio forteller at ofte blir NSO anklaget for arbeid som andre spionvareselskaper står for.

Vi stiller veldig tøffe spørsmål når vi selger et system, men jeg er ikke sikker på at alle gjør det, sier han. Jeg har ingen problemer med å sitte foran forsvarsministeren i et land, eller politisjefen eller den hemmelige tjenesten, og spørre: Hva er nytten? Hva er målet? Hva er oppdraget? Hva er undersøkelsene? Hva er prosessen du bruker? Hvordan analyserer du dataene? Hvem trenger å godkjenne hvert mål? Hva er loven i ditt spesifikke land – hvordan fungerer det? Spørsmål mange selskaper egentlig ikke bryr seg om. De har en avtale - de vil selge. De vil selge det fordi det er gode penger for dem.

Vi har gått full sirkel og kommet tilbake i et tykt virvar av hemmelighold. Penger strømmer på, overgrep fortsetter å skje, og hackingverktøyene sprer seg: ingen bestrider det.

Men hvem er ansvarlig når brutale autoritære får tak i banebrytende spionprogrammer for å bruke mot motstandere? En allerede skyggefull verden blir mørkere, og svarene blir vanskeligere å finne.

gjemme seg