Citizen Lab ved universitetet i Toronto har vært sentrale i å avdekke omfanget av spionasjen som myndighetene i ulike stater har gjort med den meget omdiskuterte Pegasus-programvaren fra israelske NSO Group.
Denne uken kom Citizen Lab med en ny avsløring: Minst 65 personer med tilknytning til den spanske regionen Catalonia har fått sine mobiltelefoner infisert eller forsøkt infisert med Pegasus-spionvaren og/eller spionvare fra israelske Candiru.
Uavhengighetsforkjempere
Felles for i alle fall de fleste av ofrene er at de er tilhengere av katalansk uavhengighet. Blant annet har alle de katalanske medlemmene i Europaparlamentet som støtter uavhengighet, enten fått sin mobil infisert eller blitt indirekte berørt ved at kolleger eller familiemedlemmer har fått sin mobil infisert.
Infiseringene skal ha skjedd i perioden 2017 til 2020. Dette skal ha blitt gjort ved hjelp av en kombinasjon av sårbarheter som ikke har krevd noen brukerinteraksjon og forsøk på å få brukere til å klikke på lenker i SMS-er.
SMS om egen flyreise
I et av de konkrete tilfellene som nevnes, ble utviklere og aktivisten Jordi Baylina forsøkt rammet ved hjelp av en SMS fra Swiss International Air Lines. Meldingen viste til en reise Baylina faktisk hadde bestilt og inkluderte en lenke som angivelig pekte til et digitalt ombordstigningskort, men som i stedet ledet mobilen til en skadevareside.
Ifølge Citizen Lab tyder meldingen på at Pegasus-operatøren må ha hatt tilgang til Baylinas PNR-oppføring (Passenger Name Record) eller annen informasjon om bestillingen hans.
Rapporten inneholder en rekke andre eksempler.
Ingen endelig konklusjon
Citizen Lab kommer i alle fall foreløpig ikke med noen endelige konklusjon om hvem som har stått bak hackingen, men mener det er mye som peker i retning av en eller flere enheter hos de spanske myndighetene. Blant annet skal den spanske etterretningstjenesten Centro Nacional de Inteligencia (CNI) ha blitt utpekt som kunde av NSO Group. Også det spanske innenriksdepartementet skal angivelig ha tilsvarende kapasiteter.
Citizen Lab skriver i rapporten at selv om det innen EU har blitt gjort mye arbeid rundt personvern og databeskyttelse, er bildet mindre lyst når det gjelder uavhengig tilsyn om hva etterretningstjenestene driver med.
– Muligheten for at en medlemsstat i EU er ansvarlig for en massiv, innenlands overvåkningsoperasjon med politiske overtoner, bør tjene som en vekker for en kollektiv undersøkelse av behovet med effektivt tilsyn, skriver Citizen Lab.
Saken har fått mye oppmerksomhet på blant annet Twitter under emneknaggen #CatalanGate, men også blant medlemmer av Europaparlamentet:
