Mexiko: Bundestrojaner gegen Anwälte und Korruptionsbekämpfer
Ein Bericht der New York Times beschuldigt Mexiko, Handy-Spyware rechtswidrig gegen Menschenrechtsanwälte, Journalisten und Korrputions-Aufdecker einzusetzen. Mexiko dementiert.
Mexikanische Dienste sollen eine Art Bundestrojaner eingesetzt haben, um unverdächtige Journalisten, Anti-Korruptions-Aktivisten und Menschenrechtsanwälte auszuspionieren. Diesen schweren Vorwurf erhebt ein ausführlicher Artikel der New York Times (NYT). Das Vorgehen wäre sowohl rechts- als auch lizenzwidrig. Zu den Opfern gehören prominente Aktivisten gegen Korruption, Anwälte, die Massenmord-Opfer vertreten, und Journalisten die über illegale Machenschaften der Behörden berichten. Auch deren Partner und Kinder wurden angegriffen.
Die israelische Firma NOS, Lieferant des mexikanischen Bundestrojaners namens Pegasus, betont, dass ihre Spyware nur für Ermittlungen gegen Terroristen und Drogenbanden lizenziert wurde. Das System funktioniere zudem nur bei jenem Kunden, der die Lizenz erworben habe, nicht aber bei Dritten.
Mexikos Regierung stellt den Vorwurf illegaler Spionage in Abrede. Überwacht werde nur mit richterlicher Genehmigung. Laut einem von der NYT zitierten ehemaligen Geheimdienstler Mexikos spioniert das Land aber laufend, ohne richterliche Genehmigungen einzuholen. Weil die Zielpersonen keiner Straftat verdächtigt werden, könne kein Richter eine Spionageerlaubnis erteilen. Daher würden die Anträge gar nicht erst gestellt.
Einbruch per SMS
Die Angreifer versuchen, die jeweilige Zielperson dazu zu verleiten, von ihrem Mobiltelefon einen Weblink aufzurufen. Dazu senden sie spezifisch zugeschnittene Textmitteilungen, die mit falschen Behauptungen einen Klick auf den mitgeschickten Link provozieren sollen.
Zu den Vorspiegelungen gehören beispielsweise plötzliche Kreditkartenbelastungen, Schlagzeilen, vermisste Kinder, eine Mitteilung eines Konsulats bezüglich eines Visumsantrags, Drohungen, Hinweise auf eine Affäre des Partners, Todesfallmitteilungen, oder Warnungen vor unmittelbar bevorstehenden bewaffneten Überfällen. Die Angreifer versuchen es monatelang immer wieder und scheuen auch nicht davor zurück, auf Kinder und Partner der eigentlichen Zielpersonen loszugehen.
Lieferant: Spyware funktioniert nur beim Kunden
Einmal geklickt, führt der Link zu einer Webpage, die eine Sicherheitslücke im Handybrowser ausnutzt, um das Gerät zu infiltrieren. Sofort können die Angreifer auf alle gespeicherten und übertragenen Daten zugreifen, alle Eingaben mitschneiden und das Mikrophon aktivieren. Das Handy wird zur Wanze. Selbst verschlüsselte Kommunikation hilft dann nicht mehr, weil Eingaben vor der Verschlüsselung und Anzeigen nach der Entschlüsselung, abgegriffen werden.
Laut NYT hat Mexiko seit 2011 80 Millionen US-Dollar an den Spywarelieferanten NSO bezahlt. Der gibt an, nicht beeinflussen zu können, wie seine digitalen Waffen nach Installation beim Kunden verwendet würden. Die Zeitung kann nicht gänzlich ausschließen, dass ein Dritter die selbe Spyware einsetzt, hält das aber für extrem unwahrscheinlich. Denn laut Hersteller kann die Software nur von jenem Kunden verwendet werden, bei dem sie installiert wurde. (ds)
