Mannen som byggde ett spionprogramimperium säger att det är dags att komma ut ur skuggorna

Ms Tech | Källa: AP Photo/Daniella Cheslow, File

Shalev Hulio vill förklara sig.

Normalt är tystnad och sekretess inneboende i spionbranschen. I nio hela år pratade Hulio aldrig offentligt om sitt miljarddollar-hackingföretag – även när hans hackverktyg var kopplade till skandal eller han anklagades för att vara medskyldig till kränkningar av mänskliga rättigheter runt om i världen. Men på sistone har han uttalat sig.

Folk förstår inte hur intelligens fungerar, berättar Hulio för mig över ett videosamtal från Tel Aviv. Det är inte lätt. Det är inte trevligt. Intelligens är en taskig verksamhet full av etiska dilemman.

Verksamheten han leder, NSO Group, är världens mest ökända spionprogramföretag . Det är i centrum för en blomstrande internationell industri där högteknologiska företag hittar sårbarheter i programvara, utvecklar utnyttjande och säljer skadlig programvara till regeringar. Det israeliska företaget med huvudkontor har kopplats till högprofilerade incidenter inklusive mörda av Jamal Khashoggi och spionerar mot politiker i Spanien.

Relaterad berättelse

Inuti NSO, Israels miljarddollar spionprogramjätte Världens mest ökända övervakningsföretag säger att de vill städa upp i sin handling. Fortsätt, vi lyssnar.

Tio år efter att han grundade företaget tog han det sällsynta beslutet att prata om NSO Group, underrättelsebranschen och hur transparens kunde se ut för spionprogramföretag. Detta, säger han, är det viktigaste branschen kan göra nu: Vi har med goda skäl anklagats för att inte vara tillräckligt transparenta.

Tystnadskultur

Tidigare en sök- och räddningschef i Israels militär och sedan en entreprenör fokuserad på teknik som fjärråtkomst till smartphones, har Hulio sagt att han grundade NSO Group 2010 på uppmaning av europeiska underrättelsetjänster. Då marknadsförde sig NSO som ett toppmodernt cyberkrigsföretag.

Det kom in i det globala rampljuset 2016 när Ahmed Mansoor, en människorättsaktivist i Förenade Arabemiraten, fick det som har kallats mest kända textmeddelande genom tiderna . Forskare säger att det var ett sofistikerat nätfiskedrag som skickats av en regering; den innehöll en länk som, om den klickades på, skulle ha tagit över Mansoors telefon med spionprogram. Experter på Citizen Lab, en forskargrupp vid University of Toronto, analyserade länken och pekade på Pegasus, NSO:s flaggskeppsprodukt. Avslöjandet ledde till en hel del granskning av företaget, men NSO förblev tyst. (Mansoor avtjänar för närvarande ett decennium långt fängelsestraff för att ha förolämpat monarkin – en diktators beskrivning av sitt arbete för att främja mänskliga rättigheter.)

Det svaret var delvis en funktion av företagets ägande vid den tiden. 2014 hade NSO köpts för runt 100 miljoner dollar av det amerikanska riskkapitalbolaget Francisco Partners, som hade en strikt no-press policy som Hulio säger ledde till en skadlig tystnadskultur.

Inga intervjuer – vi kunde inte prata med journalister förutom att säga ingen kommentar, ingen kommentar, ingen kommentar, säger han. Det skapade massor av dåliga saker för oss, för varje gång vi anklagades för övergrepp hade vi inga kommentarer.

Detta, säger han, var ett misstag som skulle undvikas i framtiden av företag som NSO – som förra året såldes för 1 miljard dollar till det europeiska private equity-företaget Novalpina och de ursprungliga grundarna, inklusive Hulio själv.

Branschen borde vara mer transparent, säger Hulio. Varje företag borde vara mycket mer ansvariga för vem de säljer till, vilka som är kunder, vad är slutanvändningen för varje kund.

Faktum är att texten som skickades till Mansoor visade sig vara en välsignelse för utredarna. Mansoor, som redan hade varit föremål för övervakning i många år, var misstänksam och klickade inte på den förgiftade länken. Istället delade han det med experter. Men nu för tiden använder hackarindustrin alltmer mer avancerade tekniker som håller deras aktiviteter så diskreta som möjligt – inklusive så kallade nollklickstekniker som infekterar mål utan att de vidtar några åtgärder alls. WhatsApp stämmer NSO Group för att ha hackat appen för att tyst infektera telefoner. Mål i Marocko har enligt uppgift upplevt nätverksinjektionshack som inte larmar, kräver inget samarbete från offret och lämnar få spår.

Varje [spionprogram]-företag borde vara mycket mer ansvariga för vem de säljer till, vilka som är kunder, vad är slutanvändningen för varje kund.

Pitch från hackande företag är att brottslingar och terrorister blir mörka på grund av kryptering och stater behöver en förmåga att jaga dem ner i deras mörka hål, säger John Scott-Railton, seniorforskare vid Citizen Lab. I allt högre grad, i den högre delen, är det företag som säljer dessa tekniker som blir mörka. Det är inte bara WhatsApp . Vi har sett försäljning av sårbarheter mot iMessage , [telefonprogramvara] SS7 som en leverans för nollklickssårbarheter , och en hel del nätverksinjektion . På grund av detta är det nästan omöjligt för oss att få syn på problemets omfattning. Vi kan bara gissa i skala. Vi känner bara några spelare. Marknaden växer, men vi saknar mycket information om övergrepp.

Det var aldrig ett lätt jobb att förstå hela omfattningen av hacker-for-hire-branschen. Nu har de tekniker och indikatorer som utredarna förlitat sig på länge eftersom ledtrådar blir sällsynta, tystare och svårare att upptäcka. Den smygande nya arsenalen gör det utomordentligt svårt att hålla hackningsföretag och underrättelsetjänster ansvariga när kränkningar av mänskliga rättigheter inträffar.

Kanske överraskande håller Hulio med eftertryck om att hackingbranschen håller på att mörkna. När jag frågar honom om branschen tar tillräckligt med steg mot öppenhet och ansvarsskyldighet, skakar han på huvudet och pekar med ett finger mot sina konkurrenter:

Egentligen tror jag att det är tvärtom. Branschen går bort från reglering. Jag ser företag som försöker dölja aktivitet och dölja vad de gör. Det skadar branschen.

Undviker transparens

Däremot, hävdar Hulio, försöker NSO vända kursen under sitt nya ägande. Även om det står inför den högprofilerade WhatsApp-processen och dussintals anklagelser om missbruk av Pegasus, insisterar Hulio på att företaget utvecklas. Det faktum att han överhuvudtaget pratar med journalister är en uppenbar förändring, säger han, och det är också den nya självstyrepolicyn och ett offentligt åtagande att följa FN:s riktlinjer för mänskliga rättigheter. Hur mycket samtalet översätter till verkligheten är fortfarande en öppen fråga: tre dagar efter att företaget tillkännagav en ny policy för mänskliga rättigheter 2019, forskare från Amnesty International säger, Pegasus användes för att hacka den marockanska journalisten Omar Radi.

Men Hulio antyder att hans rivaler undviker transparens och ansvarsskyldighet genom att flytta sina företag eller hitta tillflyktsorter att verka från.

De öppnar företag i länder där du inte har regleringsmekanismer, i Latinamerika, Europa, Asien och Stillahavsområdet – där regleringen är mycket svag, så du kan exportera till länder som du inte kan exportera till från Israel eller andra platser i Europa, förklarar han. Jag ser företag som försöker dölja aktivitet genom att byta namn på företaget om och om igen. Eller genom mekanismer som att bygga forskning och utveckling på en plats, försäljningscykel till ett annat företag, distribution via ett tredje företag, så att du inte kan spåra vem som gör vad.

'Precis som det finns länder som fungerar som skatteskydd, så finns det länder som fungerar som skydd för exportreglering. Dessa länder behöver globala regleringsmekanismer.'

Det kan vara sant, men NSO Group själv går under en rad andra namn, inklusive Q Cyber ​​Technologies i Israel och OSY Technologies i Luxemburg. Den har en nordamerikansk flygel som kallas Westbridge. Dess anställda är utspridda internationellt. Israeliska medier har rapporterat om företagets länkar till skalföretag och bysantinsk erbjudanden. Under åren har det drivit ett förvirrande nätverk av andra företag runt om i världen, och denna företagslabyrint har gjort det nästan omöjligt att förstå dess affärer och handlingar – en avgörande uppgift när hackningsverktyg kan missbrukas av auktoritära regeringar med förödande konsekvenser.

Så hur skulle ansvarighet se ut? När NSO Group först dök upp hade Wassenaar-arrangemanget, ett avgörande avtal om vapenexportkontroll mellan 42 länder, ingen cyberdimension. Israel hade ingen cyberexportlag. Nu styrs Israels försvarsminister av landets lag om försvarsexportkontroll—NSO Group har enligt uppgift aldrig nekats en exportlicens – men på en global skala förblir hackningsindustrin till stor del dold, ogenomskinlig och oansvarig trots sin växande kraft och kapacitet.

Det finns kryphål, säger Hulio. Alla länder är inte med i Wassenaar-avtalet. Jag tycker verkligen att det är väldigt svårt att göra något internationellt. Uppenbarligen är internationellt en bra idé, men precis som det finns länder som fungerar som skatteskydd, finns det länder som fungerar som skydd för exportreglering. Dessa länder behöver globala regleringsmekanismer.

Vem är med i hårkorset?

Dussintals missbruk av användare av NSO:s teknik har påståtts sedan Mansoor-incidenten först riktade strålkastarljuset mot företaget. När sådana anklagelser görs inleder NSO en utredning. Om konton kommer i konflikt kan NSO kräva loggar som avslöjar mål. Oftare än inte, säger Hulio, kommer kunden att säga att anklagelserna mot den är sanna, att inriktningen är verklig – men att deras handlingar var lagliga enligt lokal lag och kontraktet de undertecknade. Det lämnar det upp till NSO och kunden att hasha ut om inriktningen verkligen är legitim.

Relaterad berättelse

Hur en auktoritär regim kommer att fånga upp all internettrafik i sitt land

Mycket av den kritik som riktas mot NSO Group kommer när forskare säger att Pegasus används mot advokater, människorättsaktivister, journalister och politiker. Men Hulio säger att sammanhanget kan motivera sådana handlingar – att dessa människor kan vara legitima övervakningsmål så länge som lagen följs. Han pekar på händelser kring tillfångatagandet 2014 av den mexikanska knarkkungen Joaquín El Chapo Guzmán. Även om det aldrig har bekräftats offentligt, har NSO Group gjort det privat framhöll sin roll i verksamheten i flera år.

Chapo rymde från fängelset, säger Hulio. Människor som Chapo eller [ISIS-ledaren Omar Bakr] al-Baghdadi har inga smartphones. När Chapo flydde trodde de att han förmodligen så småningom skulle ringa sin advokat, så låt oss försöka avlyssna advokaten. Advokaten är ingen dålig person – och jag säger inte att vi var inblandade. Advokaten ensam är inte misstänkt för brottslig verksamhet, men El Chapo, som är en brottsling, kommer att ringa sin advokat, och det enda sättet att fånga honom är att avlyssna hans advokat.

Det är den typen av fall som är lätt att göra. Mordisk knarkbarne, extrem polisaktion, förstasidesmugshots. Men de flesta anklagelserna om missbruk liknar inte El Chapo-fallet. Gulfstaterna har upprepade gånger anklagats för att använda Pegasus för att rikta sig mot politisk opposition, vilket senare resulterade i uppdiktade anklagelser för att kränka kungafamiljer eller liknande.

Hulio säger att NSO ofta anklagas för arbete som andra spionprogramsföretag ansvarar för.

Vi ställer väldigt svåra frågor när vi säljer ett system, men jag är inte säker på att alla gör det, säger han. Jag har inga problem med att sitta framför ett lands försvarsminister, eller chefen för polisen eller underrättelsetjänsten och fråga: Vad tjänar det till? Vad är målet? Vad är uppdraget? Vilka är utredningarna? Vilken är den process du använder? Hur analyserar du data? Vem behöver godkänna varje mål? Vad är lagen i ditt specifika land – hur fungerar det? Frågor som många företag verkligen inte bryr sig om. De har ett avtal – de vill sälja. De kommer att sälja det för att det är bra pengar för dem.

Vi har gått full cirkel och kommit tillbaka i en tjock härva av hemlighet. Pengarna flödar, övergreppen fortsätter att hända och hackverktygen sprider sig: ingen ifrågasätter det.

Men vem är ansvarig när brutala auktoritärer lägger vantarna på spionprogram som kan användas mot motståndare? En redan skuggig värld blir mörkare och svaren blir svårare att få tag på.

Dölj