Met behulp van spionagesoftware Pegasus, ontwikkeld door het Israëlische bedrijf NSO Group, houden autoritaire regimes journalisten, activisten en advocaten in de gaten. Maar we moeten ons realiseren dat ook de Nederlandse overheid, door het gebruiken van zero-days – één van de belangrijkste ingrediënten van de Pegasus software – medeverantwoordelijk is...
...Sinds een paar jaar mag de Nederlandse overheid, uiteraard alleen om zware criminelen te hacken, gebruikmaken van hacksoftware. Deze software koopt zij in. Of ze zakendoet met de NSO Group is niet bekend, maar anders zeker wel met haar concurrenten. Hiermee betaalt de Nederlandse overheid bedrijven om actief te zoeken naar zero-days, om deze vervolgens níét te melden aan de makers. ....
Tijdens de behandeling van de wet over hacksoftware (Wet Computercriminaliteit III) is er wel bij dit probleem stilgestaan, maar de gekozen oplossing is onbevredigend. Er is in de wet geregeld dat een zero-day gemeld moet worden aan de maker van de software, en dat dit alleen na rechterlijke goedkeuring kan worden uitgesteld. Op zich een redelijk compromis, maar het werkt alleen voor zero-days die de overheid zelf vindt. Als zij een kant-en-klaar spionagesoftwarepakket koopt, is onbekend welke kwetsbaarheden dat pakket benut.
Het kan dus best zijn dat de Nederlandse overheid haar hackbevoegdheid zelf correct gebruikt, maar door hacksoftware in te kopen, financiert zij bedrijven die hun businessmodel ervan hebben gemaakt om de veiligheid van het gehele internet te verzwakken. Nederland zou daarom dus geen hacksoftware op basis van zero-days meer moeten gebruiken.
In een tijd waarin criminelen juist langs elektronische weg moeten worden opgespoord is dat geen populair standpunt, maar het is wel noodzakelijk. Het Pegasusschandaal is immers precies waarvoor gevreesd werd bij de invoering van de hackbevoegdheid: onschuldige mensen worden gehackt met kwetsbaarheden die bij de overheid reeds bekend waren, maar die voor het gemak van het boevenvangen niet gedicht zijn.
Alles bij de bron; NRC