Boris Johnson sollte die Grundregeln der Cybersicherheit „genau beachten“, sagte ein ehemaliger nationaler Sicherheitsberater, nachdem bekannt wurde, dass die Vereinigten Arabischen Emirate beschuldigt wurden, sich in ein Mobiltelefon in der Downing Street gehackt zu haben.
Peter Ricketts, der den Posten zwischen 2010 und 2012 innehatte, sagte, der Cyberangriff habe gezeigt, dass die „kommerziell hergestellte“ Pegasus-Software der NSO Group es einem „breiten Spektrum von Akteuren“ ermögliche, sich an ausgeklügelter Spionage zu beteiligen.
Jeder mit Zugang zu geheimen Informationen müsse sich des sich schnell ändernden Risikos bewusst sein, fügte der Peer hinzu, einschließlich des Premierministers, der letztes Jahr gezwungen war, seine Handynummer zu ändern, nachdem sich herausstellte, dass sie online verfügbar war.
„Es ist wichtig, dass jeder, der Zugang zu sensiblem Material hat, einschließlich des Premierministers, die Grundregeln der Cybersicherheit genau beachtet, einschließlich seiner Telefonnummern“, sagte Ricketts.
Johnson musste im vergangenen Frühjahr plötzlich sein Handy wechseln, nachdem sich herausstellte, dass seine Nummer 15 Jahre lang online verfügbar war. Es wurde in einer Pressemitteilung der Denkfabrik aus dem Jahr 2006 veröffentlicht und nie gelöscht.
Pegasus ist eine ausgeklügelte Software der israelischen Firma NSO Group, die heimlich die Kontrolle über das Mobiltelefon einer Person übernehmen, Daten davon übernehmen und kopieren und es sogar ohne deren Erlaubnis in ein Fernabhörgerät verwandeln kann. Aber damit es effektiv ist, muss ihm eine Telefonnummer gegeben werden, auf die es abzielen kann.
Die NSO Group sagte, die Anschuldigungen seien „falsch und irreführend“, und das Unternehmen bestritt eine Beteiligung. „Aus technologischen, vertraglichen und rechtlichen Gründen sind die beschriebenen Behauptungen unmöglich und haben keinen Bezug zu den Produkten von NSO“, sagte das Unternehmen.
Am Montag sagte Citizen Lab, eine Gruppe von Technologieforschern mit Sitz an der Toronto University, dass sie Beweise für „mehrere mutmaßliche Fälle von Pegasus-Spyware-Infektionen“ in offiziellen britischen Netzwerken, darunter Downing Street und das Außenministerium, aufgedeckt hätten.
Unter Verwendung digitaler forensischer Techniken, die über mehrere Jahre entwickelt wurden, kamen die Forscher zu dem Schluss, dass der Angriff auf die Downing Street „mit einem Pegasus-Betreiber in Verbindung gebracht wurde, den wir mit den Vereinigten Arabischen Emiraten verbinden“ und am 7. Juli 2020 stattfand.
Es gibt keine eindeutigen Beweise dafür, warum die VAE an diesem Tag Downing Street angreifen wollten. Einen Tag zuvor kündigte die britische Regierung jedoch eine Reihe von Wirtschaftssanktionen gegen 20 saudische Staatsangehörige an, denen vorgeworfen wird, an der Ermordung des Journalisten Jamal Khashoggi beteiligt gewesen zu sein, sowie gegen Personen aus Russland, Myanmar und Nordkorea. Die benachbarten VAE sind ein enger Verbündeter Saudi-Arabiens.
Der Botschafter der VAE in London, Mansoor Abulhoul, bestritt Berichte, dass die VAE Spyware verwendet haben könnten, um sich entweder in die Downing Street oder in das Außenministerium zu hacken.
Er sagte: „Diese Berichte sind völlig unbegründet und wir weisen sie zurück. Großbritannien ist einer der engsten und liebsten Verbündeten der VAE und wir würden ihnen so etwas niemals antun.“
Er fügte hinzu, er sei schockiert, dass die Vorwürfe überhaupt erhoben worden seien, und wies auf die jüngste Verbesserung der Beziehungen zwischen den beiden Ländern hin, einschließlich einer wachsenden Wirtschaftspartnerschaft.
Die Ablehnung spiegelt die Bedeutung wider, die die VAE der Beziehung beimessen, und den potenziellen Schaden, den der Spionagevorwurf verursachen könnte, wenn ihm Glauben geschenkt würde.
Ein Citizen Lab-Forscher sagte dem New Yorker, der zuerst über die Geschichte berichtete, dass er glaubt, dass einige Daten von den Hackern aus der Downing Street gestohlen wurden. Die Forschungsgruppe sagte jedoch, sie könne nicht feststellen, ob Johnsons eigenes Telefon oder das eines anderen namentlich genannten Beamten angegriffen wurde.
Das Auswärtige Amt lehnte es ab, die Geschichte zu diskutieren, und sagte: „Wir kommentieren Sicherheitsfragen nicht routinemäßig.“ Aber Citizen Lab sagte, es habe Großbritannien alarmiert, und Beamte des National Cyber Security Center sollen mehrere Telefone getestet haben, aber nicht feststellen konnten, welches kompromittiert war.
Pegasus wird zu Zwecken der Terrorismusbekämpfung oder der nationalen Sicherheit an Regierungen verkauft, aber es gab wiederholt Anschuldigungen, dass es von mindestens 10 Ländern, darunter den Vereinigten Arabischen Emiraten und Saudi-Arabien, dazu verwendet wurde, Oppositionspolitiker, Menschenrechtsverteidiger und Journalisten auszuspionieren.
Drei Aktivisten der Zivilgesellschaft in Großbritannien sind dabei, eine Zivilklage gegen die NSO Group, die Vereinigten Arabischen Emirate und Saudi-Arabien zu erheben, nachdem eine Untersuchung des Guardian und anderer ergab, dass mehr als 400 Telefonnummern für potenzielle Angriffe ausgewählt wurden.
Letztes Jahr urteilten das Oberste Gericht und das Berufungsgericht auch, dass „Diener oder Agenten“ von Scheich Mohammed bin Rashid al-Maktoum, dem Vizepräsidenten und Premierminister der Vereinigten Arabischen Emirate, an der „Überwachung der sechs Telefone“ beteiligt waren “ in Großbritannien – einschließlich seiner ehemaligen sechsten Frau, Prinzessin Haya, mit der er in einen erbitterten Scheidungsfall verwickelt war, und ihrer Anwältin Fiona Shackleton.
Nachdem die Episode im August 2020 entdeckt wurde, soll die NSO Group ihre Software umgeschrieben haben, um zu verhindern, dass Pegasus britische Nummern ansprechen darf.