Indien: Journalisten mit Pegasus angegriffen
Zwei indische Journalisten wurden mit der Spionagesoftware Pegasus angegriffen. Das konnten Sicherheitsexperten von Amnesty International nachweisen. Wie die Washington Post berichtet, sollen auch Oppositionspolitiker Ziel von Angriffen gewesen sein.
Der Untersuchung des Security Labs von Amnesty International zufolge wurde der Mitbegründer der indischen Nachrichtenseite The Wire, Siddharth Varadarajan, im vergangenen Herbst mit Pegasus ins Visier genommen. Auch auf dem Smartphone von Anand Mangnale konnten die Sicherheitsexperten Spuren eines Angriffs nachweisen. Er ist Redakteur beim Organized Crime and Corruption Reporting Project (OCCRP), einem Zusammenschluss von Medienschaffenden, die vor allem zu organisierter Kriminalität und Korruption recherchieren.
Laut Amnesty wurde das Smartphone von Mangnale Ende August 2023 mit einem sogenannten Zero-Click-Exploit angegriffen. Angreifer können dabei Spähsoftware aus der Ferne installieren, ohne dass die Betroffenen etwas davon mitbekommen oder beispielsweise einen Link anklicken müssen, um die Infektion auszulösen. Ob Mangnales Telefon tatsächlich kompromittiert wurde, konnten die Sicherheitsforscher allerdings nicht feststellen.
Zum Zeitpunkt des Angriffs hatte der Journalist zu Betrugsvorwürfen gegen den indischen Konzern Adani recherchiert, die Anfang vergangenen Jahres aufgekommen waren.
Wie die Washington Post berichtet, hatte Mangnale den Konzern 24 Stunden von dem Pegasus-Angriff um eine Stellungnahme gebeten. Gegenüber der Washington Post bestritt eine Sprecherin von Adani, etwas mit dem Einsatz von Spähsoftware zu tun zu haben – und beschuldigte das OCCRP, eine “Verleumdungskampagne” gegen den Konzern zu führen.
Apple hatte Medienschaffende und Oppositionelle gewarnt
Das OCCRP hatte bereits im November 2023 über den Pegasus-Angriff auf das Smartphone Mangnales berichtet, der nun von den Amnesty-Sicherheitsexperten bestätigt wurde.
Kurz zuvor war bekannt geworden, dass Apple Warnungen an mehr als 20 Oppositionspolitiker und Medienschaffende in Indien versendet hatte, weil der Konzern Hinweise auf staatlich unterstützte Spionageangriffe entdeckt hatte. Apple versendet solche Benachrichtigungen seit November 2021 – mögliche Angreifer werden darin jedoch nicht benannt.
Auch Siddharth Varadarajan von The Wire hatte Berichten zufolge eine solche Warnung erhalten. Die Sicherheitsforscher von Amnesty bestätigten nun, dass der Journalist am 16. Oktober 2023 mit Pegasus angegriffen wurde – es gebe keine Hinweise, dass der Angriff auch erfolgreich war.
Gegenüber der Washington Post sagte Varadarajan, zum Zeitpunkt des Angriffes habe er nicht an brisanten Themen gearbeitet, aber gegen die Verhaftung eines indischen Verlegers protestiert. Dessen Publikation hatte ebenfalls kritische Artikel über Adani sowie Regierungschef Narendra Modi veröffentlicht.
Donncha Ó Cearbhaill, Leiter des Security Labs von Amnesty, kritisierte: “Journalisten allein wegen ihrer Arbeit ins Visier zu nehmen, stellt einen unrechtmäßigen Angriff auf ihre Privatsphäre dar und verletzt ihr Recht auf freie Meinungsäußerung. Alle Staaten, auch Indien, haben die Pflicht, die Menschenrechte zu schützen, indem sie die Menschen vor unrechtmäßiger Überwachung schützen.”
Regierung äußert sich nicht zu Spähsoftware
Laut den Experten gingen die Angriffe auf Anand Mangnale und Siddharth Varadarajan vom selben Pegasus-Nutzer aus – dessen Identität aber unklar bleibt. Pegasus wird von dem israelischen Unternehmen NSO Group angeboten, das die Überwachungssoftware eigenen Angaben zufolge nur an staatliche Kunden verkauft.
Die indische Regierung hat den Einsatz von Pegasus bisher weder bestätigt noch dementiert.
Das OCCRP hatte jedoch im Oktober 2022 berichtet, dass der indische Inlandsgeheimdienst “Intelligence Bureau” im April 2017 eine Hardware-Lieferung von NSO erhalten hatte.
Was ist Pegasus?
Pegasus ist eine Spionagesoftware der israelischen Firma NSO Group. Die Spähsoftware kann ein infiltriertes Gerät komplett übernehmen und beispielsweise die Kamera und das Mikrofon unbemerkt anschalten – oder sämtliche Daten kopieren. Auch Standortdaten lassen sich abrufen und Passwörter auslesen. Das Überwachungsprogramm steht seit Jahren im Zusammenhang mit Menschenrechtsverletzungen in der Kritik.
Sicherheitsforscher konnten zudem bereits in der Vergangenheit Pegasus-Angriffe auf Personen in Indien nachweisen: So hatten die Organisationen Forbidden Stories und Amnesty International sowie mehrere internationale Medien – darunter The Wire und das OCCRP – im Jahr 2021 aufgedeckt, wie weltweit Medienschaffende, Menschenrechtler und Oppositionelle mit Pegasus überwacht wurden. Sie hatten einen Datensatz mit mehr als 50.000 Telefonnummern ausgewertet, die offenbar von Pegasus-Nutzern als potenzielle Ausspähziele ausgewählt worden waren. Darauf befanden sich mehr als 300 indische Telefonnummern.
Auch The-Wire-Mitbegründer Varadarajan zählte damals zu den Spionagezielen. Sicherheitsforscher konnten außerdem nachweisen, dass der für Oppositionsparteien tätige politische Stratege Prashant Kishor mit Pegasus überwacht wurde – unter anderem während eines kommunalen Wahlkampfes im Jahr 2021.
Als Folge hatte der Oberste Gerichtshof Indiens einen Ausschuss eingesetzt, um den Missbrauch von Pegasus zu untersuchen. Der Untersuchungsausschuss beendete seine Arbeit zwar im Jahr 2022 – die Ergebnisse wurden allerdings bisher nicht veröffentlicht. Das Gericht stellte jedoch fest, die Regierung habe nicht kooperiert.
Amnesty International fordert die sofortige Veröffentlichung der Untersuchungsergebnisse. Die Organisation fordert außerdem ein weltweites Verbot von Spähsoftware wie Pegasus.
Weitere Angriffe
Unterdessen sollen weitere der von Apple im Oktober 2023 gewarnten Personen tatsächlich mit Spähsoftware angegriffen worden sein: Wie die Washington Post berichtet, hat die US-amerikanische IT-Sicherheitsfirma iVerify Angriffsspuren auf den Smartphones von Oppositionspolitikern gefunden. Darunter befindet sich die Politikerin Mahua Moitra, die öffentlich Kritik an den Beziehungen von Regierungschef Modi zum Unternehmer Gautam Adani geübt hatte.
Wegen angeblicher Verbindungen zu einem Konkurrenten Adanis wurde Moitra im Dezember aus dem Parlament ausgeschlossen. Sie selbst weist die Vorwürfe als erfunden zurück.
Laut dem Bericht der Washington Post störte sich die indische Regierung an den von Apple versendeten Warnungen – obwohl der Konzern darin Indien nicht beschuldigt hatte. Regierungsbeamte hätten Kontakt zu der Indien-Niederlassung von Apple aufgenommen und eine Rücknahme der Warnungen verlangt. Der indische Handelsminister Piyush Goyal habe die Korrektheit der Warnungen zudem in einem Fernseh-Interview angezweifelt.
Inzwischen haben sich die Wogen laut dem Bericht jedoch geglättet. Regierungsbeamte vermuten demnach nun, dass China hinter den Angriffen steckt, vor denen Apple gewarnt hat. Laut Bericht wurde das Land jedoch noch nie mit Pegasus in Verbindung gebracht.
Die angegriffenen Journalisten stehen laut Washington Post weiter unter Druck: Anand Mangnale und ein weiterer OCCRP-Journalist, der ebenfalls eine Angriffswarnung erhalten hatte, wurden wegen ihrer Berichterstattung über Adani von der Polizei vorgeladen. Laut dem Bericht wehren sie sich aktuell juristisch gegen die Befragung – eine Festnahme hätten sie bereits gerichtlich verhindern können. (js)