Regjeringer verden over må tåle hard kritikk for å ha brukt programvaren til å overvåke telefonene til aktivister, journalister, næringslivsledere og politikere, skriver nyhetsbyrået AFP.
Pegasus ble først oppdaget i 2016. Da brukte spionprogrammet underminerte tekstmeldinger for å snike seg inn på telefonen. Mottakeren måtte klikke på en lenke for at programvaren skulle lastes ned på telefonen.
Etter hvert som folk har blitt mer skeptiske til å klikke på ukjente linker, har også overvåkingsprogrammet utviklet seg. Nyere versjoner av Pegasus utnytter svakheter programvaren som er installert i telefonen.
Nok med et oppringning
I dag er det mulig for overvåkerne å overføre spionprogramvaren ved for eksempel å ringe opp et WhatsApp-nummer. Mottakeren trenger ikke engang å svare på oppringningen for at Pegasus skal installere seg og overvåke personen som ringes opp.
Når programvaren først er installert på telefonen, kan den hente ut data, samtaler, kontakter, og telefonlogger fra offerets telefon. Den kan til og med slå på kamera og mikrofon i det stille for direkte opptak.
Som å gi til en annen hånd
I den senere tid har Pegasus vært i søkelyset for å ha utnyttet svakheter i Apples iMessage-applikasjon. Det vil i så fall gi spionprogrammet tilgang til de rundt 1 milliard brukerne av iPhone uten at brukeren trenger å trykke på en knapp eller svare på en melding.
– Pegasus er kanskje ett av verdens beste fjernstyringsverktøy. Du kan sammenligne det med å legge telefonen i noen andres hender, sier professor i cybersikkerhet, Alan Woodward ved det engelske University of Surrey til AFP.
Overvåket 50.000 nummer
I 2019 saksøkte WhatsApp selskapet bak Pegasus, Israel-baserte NSO Group, for å ha utnyttet ukjente sikkerhetsproblemer til å installere overvåkingsprogrammet på 1.400 telefoner. Blant de sentralt ansatte i NSO har flere bakgrunn som karriereoffiserer fra det israelske militæret.
Nå viser det seg at telefonnumrene fra søksmålet til WhatsApp figurerer på en lekket liste med over 50.000 numre som skal ha blitt utpekt som mulige mål for overvåkingen med programvaren Pegasus. Noen kunne altså fjernstyre telefonene til sentrale WhatsApp-ansatte samtidig som selskapet har saksøkt produsenten av programvaren som brukes til overvåkingen.
Pegasusprosjektet
I flere måneder har 17 redaksjoner med britiske The Guardian og amerikanske Washington Post i spissen samarbeidet med Amnesty International, Forbidden Stories og gravejournalistnettverket OCCRP (Organized Crime and Corruption Project) om The Pegasus Project.
Mer enn 80 journalister har bidratt til prosjektet som nylig offentliggjorde et omfattende materiale som dokumenterer hvordan Pegasus brukes til overvåking av opposisjonelle verden over.
– Bruken av Pegasus utgjør en trussel mot pressefrihet, ytringsfrihet og demokratisk opposisjon, hevder konsortiet The Pegasus Project i sin rapport.
Lekkasjer til Amnesty International og Forbidden Stories omfatter blant annet en liste med 50.000 telefonnumre fra nesten 50 ulike land som kan ha vært utsatt for telefonovervåking siden Pegasus startet opp i 2016.
Vet hvem 1.000 overvåkede er
The Pegasus Project har klart å finne identiteten til eierne av rundt 1.000 av numrene på lista over mulige Pegasus-infiserte telefoner.
– Mange av disse samsvarer med personer som regjeringer vil interessere seg for. Det inkluderer legale sikkerhetstrusler som terrorister, hundrevis av uavhengige journalister og opposisjonelle. Noen av dem ble skrevet inn på lista samtidig med hendelser som valg, arrestasjoner, eller offentliggjøring av kompromitterende persondata, heter det i rapporten.
Pegasus selges verden over som en redskap for å bekjempe kriminalitet og terrorisme. Analysen av hvem som har blitt overvåket, viser et annet bilde. Selv om The Pegasus Project også finner kriminelle og antatte terrorister, er det andre aktører som blir overvåket mer.
Blant dem er minst 188 journalister og minst 53 aktivister. Mange av dem er menneskerettsaktivister, diplomater, politikere og embetsmenn. Minst 14 av numrene tilhører statsledere.
Fransk gransking
Blant dem er Frankrikes president Emmanuel Macron, men Forbidden Stories påpeker at de ikke har kunnet foreta en teknisk analyse av hans telefon.
Fransk påtalemyndighet har fra før startet etterforskning av påstandene om at marokkansk etterretning brukte Pegasus mot franske journalister.
NSO Group har avvist at de noen gang har hatt noen «liste over potensielle, tidligere eller eksisterende mål» og har kalt avsløringen full av feilaktige antakelser. Tirsdag sa NSO til Le Monde at den franske presidenten aldri var mål for selskapets kunder.
Mexico tung Pegasus-bruker
Mexico er en av verdens tyngste brukere av Pegasus. Hele 15.000 av de 50.000 Pegasus-overvåkede telefonene har numre som hører hjemme i Mexico.
– Pegasusprosjektet viser at flere titalls mexicanske journalister og aktivister ble overvåket, blant dem advokater og familiemedlemmer til studenter som forsvant eller ble drept. Listen omfatter også 35 medlemmer av den største fagforeningen for lærere i Mexico. De dukket opp på listen etter å ha startet med hyppige protester, heter det i rapporten.
Bare krim og terror
Det israelske forsvarsdepartementet fastholder at NSO-gruppen bare har tillatelse til å selge Pegasus til kriminalitetsbekjempelse og til kampen mot terror, ifølge The Times of Israel.
Hvis det blir funnet brudd på eksportlisensene, vil «passelige tiltak» bli satt inn, heter det i uttalelsen fra forsvarsdepartementet som lar det stå åpent om de vil gjøre undersøkelser i saken.
Sikkerhetslaboratoriet til Amnesty International sier de har funnet spor etter Pegasus-forsøk på å trenge inn i iPhoner så sent som i juli 2021. Utviklerne av Pegasus har blitt bedre og bedre i å skjule sporene etter inntrengning i telefonene.
Beskyttelse mot hacking
– Dette gjør det vanskeligere å avgjøre hvem som er avlyttet, sier cybersikkerhetsprofessor Alan Woodward.
Teknologigiganter som Apple og Google investerer store penger i å sikre seg mot hackere. De utlover også store belønninger til hackere som klarer å bryte seg inn og avsløre sikkerhetshull.
– Apple smykker seg med et godt sikkerhetsrykte og har gjort virkelig store anstrengelser. Men de klarer ikke å beskytte seg mot en eller to ørsmå feil i en kompleks programvare, sier han.
