#StoryKillers: hoe een Spaans bedrijf uw online verleden uitwist

Gelekte documenten leggen de manipulatietechnieken bloot die het Spaanse bedrijf voor reputatiemanagement Eliminalia gebruikt om informatie van het internet te verwijderen – ook informatie in het publieke belang. Dat blijkt uit een onderzoek door het journalistencollectief Forbidden Stories.

In de zomer van 2018 kreeg de Mexicaanse onderzoeksjournalist Daniel Sánchez plots eigenaardige telefoontjes en sms’jes over een artikel dat hij eerder dat jaar had gepubliceerd over videobewakingsbedrijf Interconecta. Sánchez, die werkt voor het kleine Mexicaanse medium Página 66, had ontdekt dat Interconecta (een dochteronderneming van de technologiereus Grupo Altavista) in verband was gebracht met corruptie en belastingfraude. In de telefoontjes en sms’jes vroegen personen die zich volgens Sánchez voorstelden als advocaten om het bewuste artikel offline te halen.

Zo’n twee jaar na de publicatie van het artikel ontving de Mexicaanse journalist een nog vreemder verzoek per mail. Verstuurd door een vermeende lokale marketingdeskundige die zichzelf Humberto Herrera Rincón Gallardo noemde, claimde de e-mail dat Sánchez’ artikel in strijd was met de Europese privacyregels (GDPR). De e-mail, ondertekend door de ‘afdeling Compliance van de Europese Unie’, verzocht de journalist alle verwijzingen naar Grupo Altavista en diens oprichter te verwijderen.

Sánchez was verbijsterd. Hij nam contact op met een organisatie voor persvrijheid, die hem adviseerde niet op het verzoek in te gaan.

Inbreuk op het auteursrecht

Nog wat later probeerde marketingdeskundige Gallardo een andere strategie. Hij diende een klacht wegens ‘inbreuk op het auteursrecht’ in bij de hostingprovider van Página 66. Volgens Gallardo had de onderzoeksjournalist illegaal inhoud van hem gekopieerd. Als bewijs daarvoor linkte Gallardo naar een site van een derde partij. Daarop stond inderdaad een kopie van Sánchez’ artikel gepubliceerd. Maar dan wel onder een – vervalste – vroegere publicatiedatum.

En deze keer werkte de strategie wél. De hostingprovider droeg Sánchez op zijn artikel van de Página 66-website te verwijderen. Anders zou heel de site van het medium offline gaan.

De onderzoeksjournalist tekende beroep aan bij de provider, maar zonder succes. Uit angst dat hij zijn lezerspubliek en zijn broodwinning zou verliezen, bond Sánchez uiteindelijk in en haalde het artikel offline. (De hostingprovider antwoordde niet op onze vragen om commentaar).

Was de geslaagde campagne om het artikel te verwijderen echt het werk van lokale advocaten en marketingexperts? Forbidden Stories kon achterhalen wat er aan de hand was. Volgens gelekte documenten die het journalistencollectief in handen kreeg, had technologiereus Grupo Altavista een Spaans reputatiemanagementbedrijf ingehuurd – Eliminalia – om tientallen artikels van het internet te laten verdwijnen. Inclusief het artikel geschreven door de Mexicaanse onderzoeksjournalist.

Gallardo – de marketingexpert wiens naam voorkomt op de copyrightklacht – ontkende ooit werknemer te zijn geweest van Eliminalia of ‘van enig aan Eliminalia gerelateerd bedrijf’. In een reactie aan Forbidden Stories stelt hij dat zijn naam ‘in de zaak tegen Página 66 volledig ongepast’ en ‘zonder zijn medeweten of toestemming’ was gebruikt.

Oplichters en folteraars

Sánchez is slechts een van de honderden journalisten, bloggers en redacties wereldwijd van wie tussen 2015 en 2021 artikels door Eliminalia werden verwijderd, gewijzigd of verborgen van het internet – zo blijkt uit onderzoek door Forbidden Stories.

Eliminalia beweert dat het ‘ongewenste en foutieve informatie’ verwijdert voor klanten die een beroep doen op het ‘recht om vergeten te worden’. Maar bijna 50.000 interne bedrijfsdocumenten die zijn uitgelekt naar Forbidden Stories spreken dat tegen. De documenten tonen hoe Eliminalia heeft gewerkt voor oplichters, spywarebedrijven, folteraars, veroordeelde criminelen en corrupte politici om informatie te verbergen die in het publieke belang is.

Eerdere berichtgeving, onder meer door technieuwssite Rest of World, identificeerde al enkele klanten van Eliminalia. Maar het lek dat Forbidden Stories in handen kreeg – en dat vertrouwelijke e-mails, namen van klanten, contracten en andere juridische documenten bevat – geeft een vollediger inzicht in de ondoorzichtige activiteiten van het bedrijf.

Bedrijfsgeheimen

Het voorbije halfjaar analyseerde Forbidden Stories de gelekte Eliminalia-documenten als onderdeel van #StoryKillers, een wereldwijd onderzoek naar desinformatiehuurlingen. Het is geïnspireerd op het werk van de vermoorde Indiase journalist Gauri Lankesh. Honderd journalisten van 30 media – waaronder Knack en Le Soir – namen eraan deel.

Op basis van tientallen interviews met voormalige werknemers, klanten, privacy-experts én slachtoffers onderzocht Forbidden Stories hoe Eliminalia online dienstverleners manipuleert, het auteursrecht gebruikt om online inhoud te verwijderen en in sommige gevallen journalisten bedreigt en misbruikt, met als doel de waarheid te begraven.

Eliminalia reageerde niet op onze verzoeken om commentaar. In een brief aan Forbidden Stories schreef een Frans advocatenkantoor namens Eliminalia dat een antwoordtermijn van een week ‘veel te kort was voor een echt respect voor het proces van hoor en wederhoor’. Het stelde dat de meeste van onze vragen blijk gaven van een ‘partijdige en oneerlijke aanpak’ en ‘betrekking hebben op bedrijfsgeheimen’. Forbidden Stories verlengde daarop de deadline met een week, maar hoorde niets meer van het bedrijf.

Het journalistencollectief heeft ook alle in dit artikel genoemde klanten van Eliminalia benaderd in het kader van wederhoor. Niemand heeft gereageerd.

De waarheid begraven

Forbidden Stories identificeerde klanten van Eliminalia in 50 landen op 5 continenten. Maar in de gelekte documenten – met informatie over zowat 1500 huidige en voormalige klanten – vonden we géén Belgen.

De documenten bevatten details van Eliminalia’s zakelijke transacties met onder anderen een arts die naar verluidt een martelcentrum leidde tijdens de Chileense dictatuur en schuldig werd bevonden aan moord; voormalige medewerkers van de Banca Privada d’Andorra beschuldigd van witwassen namens corrupte Venezolaanse ambtenaren; en een Braziliaanse zakenman die betrokken is bij een wereldwijd prostitutienetwerk.

Andere klanten die we identificeerden, hebben banden met de georganiseerde misdaad. Zoals Malchas Tetruashvili, veroordeeld wegens witwassen namens een lid van de Russische maffia, en José Mestré, een bekende Spaanse zakenman die cocaïnehandelaar werd.

Forbidden Stories onderzocht ook het uitgestrekte zakenimperium van Eliminalia’s oprichter Diego ‘Didac’ Sanchez. Uit Spaanse bedrijfsgegevens blijkt dat Eliminalia in 2020 en 2021 een omzet van ongeveer 2,7 miljoen euro rapporteerde. Voorts ontdekten we dat Diego Sanchez en zijn zakenpartner José María Hill Prados wereldwijd tientallen bedrijven beheren.

Lucratieve markt

Terug naar het Mexicoverhaal. Uit de gelekte documenten blijkt dat de oprichter van Grupo Altavista het Spaanse Eliminalia in april 2019 inhuurde om in overeenstemming met de ‘huidige wetgeving inzake de bescherming van persoonsgegevens’ 13 nieuwsartikels van Mexicaanse media – waaronder dat van onderzoeksjournalist Sánchez – te laten verwijderen. De man betaalde daarvoor meer dan 12.000 euro aan Eliminalia.

Andere klanten tastten nog dieper in de geldbuidel om hun digitale verleden te laten verdwijnen. Romain Girbal, een Franse ondernemer wiens mijnbouwbedrijf AMR Bauxite in 2020 werd beschuldigd van belastingontduiking, betaalde 155.000 euro. Een Israëlisch-Argentijnse bankier die wordt beschuldigd van witwassen namens het regime van de Venezolaanse president Hugo Chávez telde bijna 400.000 euro neer.

Google misleiden

In november 2020 opende Tord Lundström een e-mail van een advocaat die zich voorstelde als ‘Raul Soto’. Lundström is technisch directeur van Qurium, een Zweedse non-profitorganisatie die beveiligingsdiensten levert, waaronder webhostingdiensten voor tientallen onafhankelijke media. In de e-mail aan Lundström beweerde Soto de Europese Commissie te vertegenwoordigen.

Lundström – een techneut met een achtergrond in bedrijfsgegevensbescherming – vond de e-mail ongebruikelijk en trok op onderzoek uit. Hij legde een verband tussen de e-mail en Eliminalia, en bracht vervolgens de digitale infrastructuur van het bedrijf in kaart. Hij ontdekte dat Soto geen echte persoon was, maar een pseudoniem dat werd gebruikt door een Eliminalia-medewerker in Oekraïne.

Lundström zag een patroon ontstaan. Eerst stuurde Eliminalia verzoeken naar individuele journalisten om bepaalde content te verwijderen. Toen die begonnen terug te krabbelen, ging Eliminalia achter hosting providers aan. En wanneer ook dat niet werkte, ging het bedrijf over tot ‘de-indexering’: een marketingstrategie om Google te misleiden opdat de zoekmachine bepaalde zoektermen uit zijn webresultaten weert.

Eliminalia – en andere bedrijven– realiseerden zich dat ook wetgeving over auteursrechten en privacy kon worden gebruikt om inhoud van het internet te verwijderen. Twee wetten bleken makkelijk uit te buiten: de Amerikaanse Digital Millennium Copyright Act (DMCA) en de Europese GDPR-wetgeving (de Algemene Verordening Gegevensbescherming).

25 miljoen klachten

De DMCA, die in 1998 werd aangenomen, hervormde de Amerikaanse federale wet op het auteursrecht. Volgens Adam Holland, projectmanager bij het Berkman Klein Center for Internet & Society van Harvard, was het de bedoeling van de DMCA om – in de begindagen van het internet – auteursrechtelijk beschermde inhoud te weren van torrentsites zoals The Pirate Bay. Bedrijven zoals Disney konden daar gebruik van maken. Ze stuurden gewoon een auteursrechtenklacht naar de website die een inbreuk pleegde en vroegen de inhoud te verwijderen. Wanneer die website dat niet deed, dan kon de rechtmatige eigenaar van het werk de website én de hosting provider aanklagen.

Bedrijven voor reputatiemanagement – zoals Eliminalia – beseften al snel dat ze deze wet konden gebruiken. Hun strategie was eenvoudig: kopieer een artikel, publiceer het op een website van derden – een blog of nepwebsite – en vervals de publicatiedatum. Zo lijkt het dat de gekopieerde tekst vroeger verscheen dan het origineel, en kon je claimen dat er sprake was van een inbreuk op de DMCA. ‘Dat is véél gemakkelijker dan naar de rechter te stappen’, zegt Holland. ‘Het is ook veel gemakkelijker dan een journalist te vinden en hem te overtuigen.’

Onderzoekers die het gevaar op misbruik hadden begrepen, lanceerden in 2002 de zogenoemde Lumendatabase. De databank, die door Adam Holland wordt beheerd, verzamelt al de DMCA-klachten die worden ingediend. Intussen staat de teller op meer dan 25 miljoen. De onderzoekers krijgen dagelijks wel 7000 nieuwe klachten binnen, dankzij overeenkomsten met hosting providers.

Holland zegt dat het aantal klachten rond 2012 ‘snel en gestaag’ toenam. Dat gebeurde om verschillende redenen, waaronder automatiseringtechnologieën die het massaal indienen van DMCA-klachten mogelijk maken. Holland: ‘Ik garandeer je dat toen ze de DMCA-wetgeving schreven, ze niet voor ogen hadden dat er enorme netwerken van Oost-Europese botlegers zouden komen die valse krantenwebsites maken om kritiek neer te halen.’

Valse namen

Forbidden Stories achterhaalde dat DMCA-klachten slechts één instrument zijn uit een groter arsenaal van tactieken. In heel wat van de gelekte documenten staan verzoeken om informatie van het internet te verwijderen op basis van de Europese GDPR-wetgeving. En zoals reeds aangestipt probeerde Eliminalia met ‘de-indexering’ informatie te verbergen wanneer het er niet in slaagde om die info op een andere manier offline te laten halen.

‘We bestrijden actief frauduleuze takedown-pogingen’, reageert Google. ‘Door een combinatie van geautomatiseerde analyse en beoordeling door mensen. Wanneer websites denken dat hun inhoud ten onrechte uit onze resultaten is verwijderd, kunnen ze dat aan ons melden.’

Meestal werden de DMCA-klachten en andere juridische verzoeken verstuurd door valse namen – zoals Raul Soto – en vanuit e-mailadressen die afkomstig lijken te zijn van Europese instellingen (of soortgelijke juridische entiteiten).

Gevraagd om een reactie laat een functionaris van de Europese Commissie weten dat die ‘niet op de hoogte is van andere domeinnamen die zich voordoen als EU-instellingen en verband houden met dit specifieke geval’.

Kinderhandel

In 2016 bracht Didac Sanchez – de oprichter van Eliminalia – zijn autobiografie uit: Secret of Success. Daarin beschrijft hij zijn mantra: ‘Denk groot en je zult groot zijn.’ Sinds hij in 2013 Eliminalia lanceerde, volgde Sanchez zijn eigen advies op. Hij zette een wereldwijd netwerk van bedrijven op.

Forbidden Stories kon samen met zijn mediapartners tientallen bedrijven in 9 landen in kaart brengen die gelinkt zijn aan Sanchez en de familie van zijn zakenpartner Hill Prados. De meeste daarvan staan geregistreerd onder Maidan Holdings, een holding in Miami. Verschillende Maidan-bedrijven – zoals World Intelligence Ltd en World Reputation – boden volgens eerdere berichtgeving en gearchiveerde webpagina’s ook politieke adviesdiensten aan.

Maar niet alle bedrijven van Sanchez en Hill Prados waren actief op het gebied van reputatiemanagement. De vennootschappen Subrogalia Ukraine en PP Interfiv Ltd bijvoorbeeld werden door de Oekraïense overheid onderzocht wegens kinderhandel, zo ontdekte Forbidden Stories. Ondanks de beschuldigingen bleef Eliminalia zich tijdens de pandemie verder uitbreiden en opende het bedrijven in Oekraïne. Toen Rusland in februari 2022 Oekraïne binnenviel, verhuisde het bedrijf zijn hoofdkwartier naar Tbilisi in Georgië.

Een laatste verdwijntruc

Op de deur van het coworkingkantoor in Barcelona, waar Eliminalia ooit gevestigd was, staat nu ‘Idata Protection’. Uit bedrijfsdocumenten die Forbidden Stories kon inkijken, blijkt dat er inmiddels een rebranding is gebeurd – mogelijk als gevolg van onderzoek door journalisten en andere onderzoekers. Maar toen twee journalisten van ons consortium het kantoor onlangs bezochten, zei een medewerker: ‘Het bedrijf heet Idata Protection, maar we zijn van Eliminalia.’ Oprichter Sanchez verbleef volgens de medewerker niet meer in Barcelona.

De rebranding sluit mooi aan bij de geschiedenis van het bedrijf. Volgens een goedgeplaatste bron die Eliminalia kent, is het bedrijf een expert in ‘problemen creëren en ze vervolgens oplossen.’