‘Voor het Pegasus Project namen we veiligheidsmaatregelen die ongezien zijn in de journalistiek’

In dit opiniestuk blikt Knack-journalist Kristof Clerix terug op het geheime onderzoek naar wereldwijde cyberspionage dat zondag publiek is gemaakt: het Pegasus Project.

Toegegeven, ik ben altijd al stiekem jaloers geweest op Glenn Greenwald, de journalist die in 2013 de onthullingen van NSA-klokkenluider Edward Snowden over massasurveillance publiceerde in The Guardian. Hoe cool en spannend moet dat wel niet zijn geweest, dacht ik, maandenlang op ultrageheime informatie werken, onder de radar proberen te blijven, wetende dat je informatie in handen hebt die de wereld met verstomming zal slaan.

Ik heb me vergist.

Zo’n werk is helemaal niet cool en spannend. Het is verschrikkelijk. Je wordt compleet paranoïde, durft je IT-toestellen geen seconde onbewaakt achterlaten, en je bent 24/7 op je hoede. Zo verliepen mijn voorbije maanden bij Knack.

Voor het Pegasus Project namen we veiligheidsmaatregelen die ongezien zijn in de geschiedenis van de journalistiek. In detail kunnen we daarover niet treden, om de veiligheid van het project niet op de helling te zetten. Maar ze gingen véél verder dan de strikte en rigide protocols die we pakweg bij het Internationaal Consortium van Onderzoeksjournalisten (ICIJ) in acht nemen bij onderzoeken zoals de Panama Papers of de FinCen Files.

En dat was ook nodig, zo blijkt, want verschillende journalisten van het collectief van 80 collega’s die meewerkten aan het Pegasus Project waren zélf al doelwit geweest van Pegasus – de spyware ontwikkeld door het Israëlische bedrijf NSO Group, die je smartphone op afstand van A tot Z kan uitlezen.

Als ik met mijn hoofdredacteur over dit project sprak, was dat enkel face to face, tijdens een wandeling rond het redactiegebouw, zonder gsm’s in de buurt. Citaten laten nalezen door geïnterviewden kon enkel door de tekst uit te printen en langs te brengen – e-mail was uit den boze.

Ik schrijf intussen al 17 jaar over spionage en de activiteiten van buitenlandse geheime diensten in België. De verregaande tools waarover 007’s beschikken, waren me dus niet onbekend. Maar het besef dat het anno 2021 mogelijk is om louter op basis van een gsm-nummer iemands hele smartphone in te kijken, zelfs zonder dat die domweg op een foute link met malware heeft geklikt, doet me huiveren. En dat is precies wat Pegasus kan.

De tool is ontwikkeld om terroristen en criminelen te volgen, maar wordt massaal ingezet tegen journalisten en mensenrechtenactivisten. Dat blijkt uit het onderzoek dat Knack deze week naar buiten brengt, samen met journalistenplatform Forbidden Stories en een aantal grote media zoals The Guardian, The Washington Post, Le Monde en Süddeutsche Zeitung.

Het project ging van start met een groot gegevenslek. Maar de cruciale stap in ons onderzoek was een forensische analyse van de geïnfecteerde smartphones door het Security Lab van Amnesty International. Een van onze taken als journalist bestond erin potentiële slachtoffers te overtuigen hun toestel vol gevoelige gegevens uit handen te geven voor dat diagnostische onderzoek.

Uiteraard namen we in het kader van wederhoor ook contact op met de NSO Group, het bedrijf dat de technologie ontwikkelde, én zijn klanten – overheden uit tien landen. Zij betwisten de resultaten van ons onderzoek en ontkennen staalhard. Maar het tegendeel zou natuurlijk verbazen.

Hoe moet het nu verder? Eén zaak is zeker. De manier waarop Pegasus door een aantal landen wordt ingezet, betekent een risico voor de democratie en voor het goed functioneren van een vrije pers en betrokken middenveld. Zoals al te vaak met nieuwe technologieën loopt het regelgevende kader achter. Er moeten betere en meer sluitende internationale afspraken komen over het gebruik van dat soort krachtige en intrusieve spionagemiddelen, en daar moet ook grondiger toezicht op komen.

NSO Group zegt dat Pegasus heeft geholpen om pedofielenkringen, terreurnetwerken en misdaadsyndicaten aan te pakken. Dat zal wel, en dat is zeker legitiem. Maar dezelfde tool kan al te gemakkelijk misbruikt worden, dat toont het Pegasus Project onomwonden aan.

De voorbije maanden heb ik ook mijn eigen smartphone twee keer laten analyseren door Amnesty International Security Lab. Oef: géén sporen van infecties met malware aangetroffen. Maar het blijft een constante bezorgdheid.

En Edward Snowden? Die reageerde meteen al op onze publicaties. Zijn eerste tweet over het Pegasus Project? ‘Dit gegevenslek wordt het verhaal van het jaar.’