Het Israëlische bedrijf NSO Group zou opnieuw smartphones hebben aangevallen via WhatsApp. Daarmee negeert het een rechterlijk verbod uit de Verenigde Staten om de chatdienst te misbruiken. De aanval zou recent zijn ingezet tegen geselecteerde doelwitten in meerdere landen. Dit roept vragen op over de AVG en de Europese AI-verordening en de gevolgen voor overheid en politie.
Rechterlijk verbod onder druk
NSO Group ligt sinds 2019 juridisch onder vuur na een zaak van WhatsApp-eigenaar Meta. In die procedure vroeg WhatsApp om een verbod op het misbruik van zijn diensten en infrastructuur. Een Amerikaanse rechter stelde WhatsApp deels in het gelijk en liet de zaak doorgaan, ondanks pogingen van NSO om immuniteit te claimen. Het nu gemelde misbruik wijst erop dat het bedrijf zich niet aan dat verbod houdt.
Het verbod ziet met name op het gebruiken van WhatsApp-systemen om spyware te plaatsen. Juridisch gaat het om onrechtmatige toegang en schending van gebruiksvoorwaarden. Zulke verboden zijn moeilijk te handhaven als de dader buiten de VS opereert. Toch vergroten ze het risico op schadeclaims en extra sancties voor afnemers.
Meta gebruikt de rechtszaak ook om technische en organisatorische maatregelen te versterken. Denk aan strengere servercontroles en snellere patchprocessen. Tegelijk blijft de kern van het probleem bestaan: één onbekende fout in software kan genoeg zijn voor een nieuwe aanval. Dat maakt blijvende handhaving en toezicht cruciaal.
Nieuwe WhatsApp-aanval uitgelegd
De aanval lijkt gericht en geautomatiseerd te zijn, met als doel het installeren van Pegasus-spyware. Pegasus is software die onzichtbaar toegang kan krijgen tot microfoon, camera, berichten en locatie. De aanval verloopt vermoedelijk via een speciaal opgebouwd WhatsApp-bericht of een misbruikte oproep. Vaak hoeft het slachtoffer niets aan te tikken om besmet te raken.
Dit soort aanval gebruikt een kwetsbaarheid, een fout in de code van een app of besturingssysteem. Aanvallers combineren soms meerdere fouten tot een ‘keten’ om beveiligingslagen te omzeilen. Daardoor kan de installatie ook slagen als een deel van het systeem is bijgewerkt. Pas na detectie en analyse kunnen makers een gericht beveiligingsupdate uitbrengen.
WhatsApp gebruikt end-to-end-versleuteling, maar die beschermt niet tegen een besmet apparaat. Als de telefoon zelf is overgenomen, kan de aanvaller berichten vóór of ná versleuteling lezen. Zo wordt de versleuteling feitelijk omzeild zonder die te breken. Dit ondermijnt vertrouwen in veilige communicatie voor journalisten, advocaten en politici.
Zero-click-aanval: spyware die zonder handeling van de gebruiker wordt geïnstalleerd via een kwetsbaarheid in bijvoorbeeld een chat- of belfunctie.
Risico’s voor EU-gebruikers
Europa kent recente spyware-incidenten rond politici, journalisten en activisten. In landen als Polen en Spanje werd eerder misbruik van Pegasus vastgesteld. Zulke zaken laten zien hoe kwetsbaar democratische processen zijn voor heimelijke surveillance. Dat raakt ook Nederlandse bestuurders, ambtenaren en lobbyisten die via WhatsApp werken.
Voor burgers en organisaties geldt dat de AVG hoge eisen stelt aan dataminimalisatie en beveiliging. Onrechtmatig verkregen gegevens mogen niet worden verwerkt, en betrokkenen hebben rechten op inzage en melding bij datalekken. Overheidsinstanties kunnen extra in de knel komen, zeker als gevoelige communicatie wordt geraadpleegd. Dit vergroot juridische en reputatierisico’s.
De Europese AI-verordening raakt deze kwestie indirect. De wet richt zich op risicoklassen voor AI-systemen en transparantie, maar reguleert geen hackingtools als zodanig. Wel zullen overheden die AI in opsporing of toezicht inzetten, moeten voldoen aan strenge waarborgen. In combinatie met de AVG ontstaat zo een hoger toetsingskader voor digitale opsporingsmiddelen.
Reactie van WhatsApp en Meta
WhatsApp zegt kwetsbaarheden snel te dichten en misbruik te blokkeren zodra dat aan het licht komt. Het bedrijf waarschuwt soms gericht gebruikers die vermoedelijk doelwit zijn. Ook investeert Meta in detectiesystemen die afwijkend verkeer en malafide accounts herkennen. Juridisch zet het bedrijf zijn claim tegen NSO Group door in de VS.
Voor eindgebruikers blijven basismaatregelen belangrijk. Installeer updates van iOS of Android en van WhatsApp zodra ze beschikbaar zijn. Beperk het aantal apps met toegang tot microfoon, camera en locatie. En let op systeemwaarschuwingen of onverwachte herstarts, die soms op misbruik duiden.
Toch zijn zulke tips geen sluitend schild tegen een geavanceerde tegenstander. Commerciële spyware is ontworpen om stil en tijdelijk te opereren. Daardoor kan detectie pas laat of helemaal niet plaatsvinden. Dat maakt beleid en toezicht doorslaggevend naast techniek.
Europese regels en toezicht
Het Europees Parlement riep eerder op tot een moratorium op spyware-gebruik totdat lidstaten strikte normen borgen. Voor de inkoop door overheden zijn aanbestedingsregels en mensenrechteneffect-beoordelingen relevant. Ook de EU-dual-use-verordening stelt eisen aan de export van surveillancetechnologie. Dit raakt verkopers én hun tussenpersonen.
Voor Nederlandse diensten gelden aparte wettelijke kaders en toezicht. Toestemming, proportionaliteit en onafhankelijke toetsing zijn sleutelbegrippen. De Autoriteit Persoonsgegevens kan optreden bij onrechtmatige verwerking van data. Bij grensoverschrijdende zaken werken toezichthouders via het Europese netwerk samen.
Belangrijk is dat beleid gelijke tred houdt met technische realiteit. Een verbod zonder handhaving en audit blijft tandeloos. Praktische maatregelen zoals penetratietests, supply-chain-audits en incidentmelding zijn nodig. Zo groeit de kans dat misbruik sneller uitvalt en dat daders aansprakelijk worden gesteld.
Gevolgen voor overheid en bedrijven
Voor Europese overheden betekent dit dat digitale kanalen voor beleid en dienstverlening extra risico lopen. Denk aan overleg met zorginstellingen, gemeentelijke besluitvorming of aanbestedingen via chat. Een succesvolle infectie kan vertrouwelijke documenten en onderhandelingsposities blootleggen. Dat schaadt publieke belangen én burgers.
Bedrijven die WhatsApp zakelijk gebruiken, moeten risico’s herzien. Formele kanalen met logging, MDM-beleid en alternatieve messengers met enterprise-controles kunnen nodig zijn. Leveranciers horen contractueel beveiligings- en meldplichten te accepteren. Dit sluit aan bij de zorgplicht onder de AVG en sectorregels.
Tot slot vraagt dit om transparantie in het ecosysteem. Softwaremakers zouden technische details van misbruik sneller delen met vertrouwde partijen. Onderzoekscollectieven en CERT’s in de EU kunnen dan sneller reageren. Zo ontstaat een circulaire verdediging tegen steeds nieuwe aanvalstechnieken.
