Spionagesoftware ‘Predator’: gevreesd door activisten wereldwijd en ‘made in the EU’

Begin 2016 bellen twee Israeli’s aan bij een statig pand aan de Haagse Mauritskade. De eerste heet Avraham Rubinstein (51) en is ondernemer in de online spionagewereld. Zijn metgezel Rotem Farkash (29) is een hacker. Ze kennen elkaar uit het Israëlische leger. Samen willen ze de wereld veroveren met spyware waarmee je telefoons binnendringt én met software die apparaten daar juist tegen beschermt. Ze kiezen Nederland als startpunt voor een zakelijk avontuur dat tot op de dag van vandaag wereldwijd tot spionageschandalen leidt.

De spionagesoftware ‘Predator’ die Farkash, Rubinstein en hun latere zakenpartners zouden ontwikkelen wordt aan tal van regeringen en opsporingsdiensten verkocht. De ‘spyware’ wordt eveneens nog altijd ingezet tegen dissidenten, journalisten en politici, blijkt onder meer uit een nog vertrouwelijke analyse door het Security Lab van Amnesty International.

Een groot aantal gelekte documenten, met NRC gedeeld door Der Spiegel uit Duitsland en Mediapart uit Frankrijk, toont aan hoe makers en verkopers van spyware in Europa voortdurend proberen exportbeperkingen te omzeilen. Het label ‘gemaakt en gereguleerd in de EU’ wordt daarbij gebruikt als kwaliteitskeurmerk. Met Nederland als schakel.

De twee Israëlische ondernemers schuiven in Den Haag aan bij fiscaal jurist Georg Werger, gespecialiseerd in ondernemingsrecht. In een kantoor vol donker houten meubilair bevestigt Werger, ondertussen 63, zijn ontmoeting met de twee. „Als ik een bv opzet voor iemand, wil ik natuurlijk weten met wie ik te maken heb”, zegt hij. Over de inhoud van de gesprekken kan Werger naar eigen zeggen niets delen. Rubinstein en Farkash hebben niet gereageerd op meerdere verzoeken om informatie en commentaar. De twee kwamen bij Werger uit via een vriend uit diens studententijd. Die woont nu in Israël en werkt in de cyberindustrie.

Spionagesoftware kan worden gebruikt om criminelen op te sporen, maar net zo goed om dissidenten en journalisten te bespioneren

Werger kan wel uitleggen waarom buitenlandse ondernemers graag een Nederlandse bv opzetten. Hij schuift zijn aansteker tussen een pakje sigaretten en een asbak op tafel om een structuur met meerdere bedrijven en een ‘tussenholding’ uit te beelden. „Het is gunstig om een ‘investeringsvehikel’ in Nederland te plaatsen”, zegt hij. „Een stabiel land binnen de EU, waar de rechtspraak functioneert en dat met veel landen afspraken heeft over investeringsbescherming.”

Zijn twee Israëlische cliënten willen via de Nederlandse bv laten investeren in softwarebedrijven die zij elders in Europa opzetten. Over plannen voor inbraaksoftware spraken de heren niet, zegt Werger. „Ze vertelden alleen over ‘software’”. Dat leek hem onschuldig genoeg. „Als er iemand bij me komt die zegt, ‘ik wil mijn wapenhandel gaan structureren’, dan zou ik zeggen dat ik daar niet aan meewerk”, lacht hij.

Maar wat zijn ‘wapens’ precies, nu veel conflicten draaien om online spionage, opsporing en beïnvloeding? Spionagesoftware kan worden gebruikt om criminelen op te sporen, maar net zo goed om dissidenten en journalisten te bespioneren. Zo bleken de telefoons van vrienden van de vermoorde Saoedische journalist Jamal Khashoggi geïnfecteerd met Pegasus, een concurrent van Predator, waardoor hun communicatie met hem kon worden afgeluisterd.

Lees ook: ‘Ik kan precies zien wanneer ik ‘gepegasust’ ben’

Miljoeneninvestering

Het bezoek van Rubinstein en Farkash aan Nederland is kort. Ze moeten meer bedrijven opzetten. In Israël en Hongarije krijgt hun Nederlandse bv dochterondernemingen met dezelfde naam, ‘Inpedio’ – Latijn voor ‘ik verhinder’. Inpedio houdt zich bezig met de ontwikkeling van ‘defensieve software’, waarmee particulieren en bedrijven zich kunnen wapenen tegen spionagepogingen.

Maar amper een jaar later gebruiken Rubinstein en Farkash hun Inpedio-e-mailadressen ook bij het oprichten van Cytrox, dat juist spionagesoftware maakt. Het bedrijf wordt gevestigd in Skopje, de hoofdstad van Noord-Macedonië. Inpedio BV en Cytrox, dat ook een kantoor opent in Boedapest, trekken samen al snel een miljoeneninvestering van het Israëlische staatsdefensiebedrijf Israël Aerospace Industries (IAI).

Elias Chachak, die klanten moet binnenhalen voor Inpedio, merkt ook al snel dat Rubinstein en Farkash van Cytrox veel enthousiaster worden. „Ze voelen zich meer thuis in de inlichtingenwereld, hebben daar ook meer contacten”, zegt hij desgevraagd door de telefoon. Daar ligt dan ook hun expertise, opgedaan bij ‘unit 8200’, een inlichtingeneenheid van het Israëlische leger.

Een oud-medewerker van Inpedio, die niet met zijn naam in de krant wil om vrij te kunnen praten, bevestigt dat met name Farkash openlijk liet blijken hoe ‘verveeld’ hij was als het over defensieve producten ging.

Inpedio loopt niet – het komt nooit tot een verkoopbaar product. Al snel moeten medewerkers in Boedapest bijdragen aan de inbraak-software van zusterbedrijf Cytrox. Ze moeten er bijvoorbeeld voor zorgen dat communicatie-apps zoals WhatsApp en Viber na infectie hun gesprekken niet meer versleutelen en op zo’n manier opslaan dat ze makkelijk te verwerken zijn op de servers van Cytrox. „In de praktijk was er geen strikte scheiding tussen Inpedio en Cytrox”, vertelt de oud-medewerker, die geen gewetensbezwaren had. „Ik dacht dat overheden het zouden gebruiken bij de jacht op pedofielen en terroristen”, vertelt hij. De latere onthullingen over het gebruik van spyware tegen dissidenten, politici en journalisten maken dat hij daar anders over gaat denken.

Als succes voor Inpedio definitief uitblijft, krijgen Farkash en Rubinstein onenigheid over de koers. Hacker Farkash wil alleen nog spyware ontwikkelen, waar veel meer geld in om gaat. De software waaraan hij werkt, het latere Predator, heeft potentie, maar er zijn meer investeringen nodig.

Die komen er als de bedrijvengroep Aliada, geregistreerd op de Britse Maagdeneilanden, Cytrox eind 2018 van Farkash en Rubinstein overneemt. Het kantoor in Boedapest wordt ontmanteld en Rubinstein verdwijnt naar de achtergrond. Aliada is een onderneming van meerdere Israëlische oud-inlichtingenmensen, onder wie drijvende kracht Tal Dilian (nu 62), een voormalige legercommandant van ‘unit 81’, de afdeling die apparatuur ontwikkelt voor speciale operaties van de inlichtingendienst van het Israëlische leger.

Dilian heeft sinds zijn vertrek uit het leger in 2002 meerdere spywarebedrijven gehad, onder meer in Bulgarije en Cyprus. Hij benadrukt in promotiemateriaal dat zijn producten uit de EU komen. Sinds 2017 is hij in het bezit van een Maltees paspoort, dat vrij reizen garandeert door de hele Unie.

Besmettingsdrones

Het geld van Aliada geeft Cytrox een nieuwe impuls. Het bedrijf kan nu betalen voor zogenaamde ‘zero day exploits’, gaten in de software van telefoons waardoor de spyware kan binnendringen en die bij fabrikanten als Apple en Google nog niet bekend zijn. Een goede exploit kost tonnen op marktplaatsen voor hackers op het darkweb. De inbraaksoftware, Predator, werkt steeds beter en kan aan klanten worden aangeboden.

Het aantal werknemers in Skopje groeit tot een man of dertig. Er komen vaak Israëli’s over de vloer. Cytrox wordt vanaf 2019 onderdeel van ‘Intellexa’. Dit nieuwe merk wordt in de markt gezet als de grote vanuit Europa opererende concurrent van de Israëlische marktleider NSO, bekend van spionagesoftware ‘Pegasus’.

Intellexa noemt zich in promotiemateriaal een ‘one stop shop’ voor overheden die willen opsporen en afluisteren. De verschillende onderdelen van de alliantie vullen elkaar aan. Dilians bedrijf WiSpear op Cyprus is er voor de hardware, zoals spionagebusjes en drones die kunnen worden gebruikt om op afstand op telefoons in te breken. Dat doen ze door zendmasten te imiteren. Cytrox is er voor de binnendringingssoftware. Het Franse bedrijf Nexa en het zusterbedrijf AMES in Dubai fungeren voornamelijk als verkoopkantoor en spelen een grote rol in het wereldwijd aan de man brengen van de producten.

De verkoopdemonstraties van Intellexa zijn indrukwekkend, vertelt de oud-medewerker. Als Predator eenmaal op een telefoon staat, kan die geheel worden overgenomen. De informatie wordt ‘iedere vijftien of dertig minuten doorgestuurd’, vertelt hij. „Je kon vrijwel alles doen. Commando’s sturen zoals ‘zet de camera aan de voorkant aan en neem een selfie’.”

Er waren meer technische hoogstandjes die potentiële klanten over de streep trokken. De Nexa-verkopers lieten zien hoe klanten een drone de opdracht konden geven een toestel op afstand met Predator te besmetten. De drone, en ook het spionagebusje met een ‘belachelijke hoeveelheid routers’, waren een „droom voor hackers met kwade bedoelingen”, aldus de oud-medewerker.

Uit de gelekte documenten in handen van NRC blijkt hoe de bedrijven binnen Intellexa werken. De data bevatten WhatsApp-berichten, verslagen van afgeluisterde gesprekken, geheimhoudingsverklaringen en overzichten van gesloten contracten uit de periode van 2006 tot en met 2022. Het gaat vooral om documenten van verkoopkantoor Nexa in Parijs. Daartegen loopt dan al jaren justitieel onderzoek vanwege de levering van spionagemiddelen aan Egypte en Libië. Het onderzoek belet de directeuren niet nieuwe contracten met die regimes na te jagen.

Op 31 december 2020 is het feest in de WhatsAppgroep van Intellexa. De directeur van Nexa weet te melden dat de geheime dienst van Egypte Predator wil kopen. „Fantastisch!!!! Gelukkig Nieuwjaar”, appt Intellexa-baas Tal Dilian terug, vergezeld van plaatjes met knallende champagnekurken. In Egypte zitten dan al tienduizenden critici van de regering gevangen en zijn honderden veroordeeld tot de doodstraf.

Later die dag is het opnieuw feest. Onder de projectnaam ‘Rode Khmer’, naar het schrikbewind van de Cambodjaanse beweging die werd opgezet door Vietnamese communisten, probeert Intellexa zaken te doen met Vietnam. „Het contract met Vietnam is getekend, 3,6 miljoen dollar”, appt een andere Nexa-topman . „Wowhhhh!!!!!”, reageert Dilian uitgelaten. Ook in Vietnam worden oppositieleden vastgezet en wordt vrije meningsuiting onderdrukt.

Veel belangstelling hebben autoritaire machthebbers voor Arrows, een nieuwe versie van Predator die kan worden geïnstalleerd op telefoons zonder dat het slachtoffer op een link hoeft te klikken. President Andry Rajoelina van Madagaskar wil daarmee vermeende coupplegers aftappen nog voordat een deal van 14 miljoen euro is afgerond, blijkt uit een telefoongesprek tussen Nexa-managers dat door de Franse justitie is afgeluisterd.

In een aanbod uit 2019 aan generaal Khalifa Haftar van Libië staat precies hoe het werkt. Een busje, de „AlphaSpear”, beschikt over een „krachtig, tactisch gsm-onderscheppingssysteem” dat telefooninfecties kan leveren „met dank aan Intellexa’s hacking tool Arrows”. De AlphaSpear wordt aangeboden voor 9 miljoen euro. Voor 900.000 euro extra worden twee drones meegeleverd. „Verbonden met het busje kunnen ze doelwitten op grotere afstand infecteren”, aldus het aanbod aan de Libiërs.

De documenten geven ook inzicht in de manieren waarop het consortium exportregels probeert te omzeilen. Een terugkerende truc is om spyware via Nexa’s zusterbedrijf AMES in Dubai te exporteren. Een levering aan de geheime dienst van Egypte loopt in 2021 via Maleisië, waaraan wel mag worden verkocht. Als de media lucht krijgen van het contract met Egypte „zijn we dood”, zegt Nexa-baas Stéphane Salies in een afgeluisterd telefoongesprek.

Twee petten

In de spyware-industrie gaat volgens schattingen van experts jaarlijks minimaal 12 miljard dollar om. Jurist Steven Feldstein, gespecialiseerd in ‘digitale repressie’, probeert de industrie in kaart te brengen voor de Amerikaanse denktank Carnegie. Een lastige klus, omdat regeringen „de contracten bewust verborgen houden”, vertelt hij aan de telefoon. Tot nu toe vond Feldstein tenminste 74 regeringen wereldwijd die sinds 2011 contracten hebben afgesloten met commerciële aanbieders van spyware.

Nederland staat ook op zijn lijst. Dat de Nederlandse overheid ‘binnendringingssoftware’ heeft aangeschaft, hebben ministers Hanke Bruin Slots (destijds Binnenlandse Zaken, CDA) en Dilan Yesilgöz (Justitie en Veiligheid, VVD) toegegeven in antwoord op Kamervragen van onder meer Pieter Omtzigt. Over wélke software precies worden officieel geen mededelingen gedaan. In 2022 berichtte de Volkskrant op basis van anonieme bronnen dat Pegasus van NSO is gebruikt om topcrimineel Ridouan Taghi te kunnen arresteren in Dubai.

In de spyware-industrie gaat volgens schattingen van experts jaarlijks minimaal 12 miljard dollar om

Mogelijk heeft Nederland zowel Pegasus als Predator aangeschaft. Uit de gelekte documenten die NRC onderzocht, blijkt dat de Nederlandse politie in juli 2018 een geheimhoudingsverklaring tekende met het Franse deel van Intellexa. Na een beroep op de Wet Open Overheid erkent de politie in het bezit te zijn van een „relevant document”. Maar de politie weigert dat openbaar te maken.

Als criminelen en terroristen door hebben hoé ze worden afgetapt, zullen ze zich daartegen wapenen. Daarom wordt over aanschaf en gebruik uiterst geheimzinnig gedaan. En dat maakt de democratische controle daarop vrijwel onmogelijk, terwijl voortdurend voorbeelden van misbruik worden onthuld. Feldstein van Carnegie noemt de binnendringingssoftware „extreem invasief” en zegt dat die „99 procent” van de tijd onwettig wordt gebruikt.

In het regeerakkoord van 2017 hadden coalitiepartijen VVD, CDA, D66 en ChristenUnie afgesproken dat Nederlandse opsporingsdiensten geen spyware mogen kopen bij aanbieders die ook aan bekende mensenrechtenschenders leveren. Zowel NSO als Intellexa doet dat wel.

Een vergelijkbare beperking staat in de in 2021 nog aangescherpte EU-regels voor de export van spyware vanuit Europa. Export is verboden als de kans groot is dat er mensenrechtenschendingen mee worden begaan. Nationale overheden moeten daarop toezien.

Maar die nationale overheden hebben twee petten op. Het is een probleem dat overheden tegelijk gebruiker zijn van dit soort gereedschappen, als degenen die het moeten reguleren, legt Lena Riecke uit. Zij promoveert aan de Universiteit Leiden op exportregulering van spionagesoftware. „Onder druk van schandalen sluit de ene firma zijn deuren, maar vervolgens stapt een andere in het gat. Want de vraag blijft. En die komt van de staten.”

„De diensten hebben het nodig tegen bijvoorbeeld staatsondermijnende activiteiten. Helemaal verbieden is niet realistisch”, zegt Kamerlid Pieter Omtzigt (NSC). „Maar je moet het gebruik en de verkoop ontzettend strak reguleren en effectief toezicht houden, want dit is echt de overtreffende trap van afluisteren.” Omtzigt heeft de afgelopen jaren gewerkt aan een onderzoek naar spyware voor de parlementaire assemblee van de Raad van Europa. Hij schreef een rapport met een aantal aanbevelingen zoals transparantie over het gebruik van spyware. Op 11 oktober wordt in Straatsburg over de aanbevelingen gesproken en gestemd.

De lijsttrekker van Nieuw Sociaal Contract (NSC) pleit voor een bindende conventie die niet alleen het gebruik van spyware aan banden moet leggen, maar ook het toezicht op de productie en de handel erin moet reguleren. En dus ook de bedrijfsstructuur en de investeringen, zegt hij in reactie op het Nederlandse aandeel in dit verhaal.

Lees ook: Spyware NSO werkt als diplomatiek visitekaartje voor Israël

Sanctielijst

Intussen is Predator wereldwijd nog volop in gebruik. Eind september bleek dat geprobeerd is de telefoon van de Egyptische oppositie-voorman Ahmed Al-Tantawi te besmetten, nadat hij zich in maart kandidaat stelde voor het presidentschap. Het toonaangevende Canadese onderzoeksinstituut Citizen Lab, dat de pogingen daartoe samen met Google ontdekte, vermoedt dat die zijn mislukt, omdat de presidentskandidaat zijn iPhone in ‘lockdown modus’ had. Tientallen mensen die aan zijn campagne werkten zijn de afgelopen weken in Egypte opgepakt en worden nog vastgehouden.

Uit binnenkort te publiceren onderzoek door het Security Lab van Amnesty International, dat NRC heeft kunnen inzien, blijkt dat Predator momenteel hoogstwaarschijnlijk nog wordt gebruikt voor spionage in onder meer Soedan, Madagascar, Kazachstan, Egypte, Indonesië en Angola.

In het weekend van 30 september signaleren onderzoekers van onder meer Citizen Lab dat ruim de helft van de servers die worden gebruikt om de spyware van Cytrox te verspreiden plotseling offline worden gehaald. „Een radicale ‘shutdown’” noemt John Scott-Railton van Citizen Lab het, mogelijk als gevolg van de pogingen van verschillende media in dit onderzoeksproject om contact te zoeken en vragen te stellen aan de ondernemers achter Intellexa.

Lees ook: Pegasus verschaft zichzelf toegang tot alles op je mobiel

Inmiddels zijn Intellexa, Cytrox en Predator namen waarmee inlichtingendiensten liever niet worden geassocieerd. Sinds 17 juli van dit jaar staan Intellexa en het gelieerde Cytrox op de zwarte lijst van de Amerikanen, nadat NSO daar vanwege spyware Pegasus al in 2021 op belandde. Amerikaanse burgers en bedrijven mogen geen zaken meer met ze doen.

Het bedrijf achter Predator, dat ooit werd opgezet door Avi Rubinstein en Rotem Farkash, lijkt daarmee aan het einde van zijn levenscyclus.

De Israëlische krant Haaretz onthulde onlangs dat er nu programmeurs worden geworven voor een nieuw Israëlisch-Amerikaanse spywarebedrijf dat vanuit Spanje gaat werken. De oud-medewerker van Rubinstein en Farkash zegt ook „voortdurend” aanbiedingen te krijgen. Hij gaat er niet meer op in.

Dit is het eerste deel van een drieluik. Reageren? [email protected]