Voorstanders van een suikerbelasting in Mexico zijn vorig jaar aangevallen via beveiligingslekken in hun iPhone. Het gaat zeer waarschijnlijk om dezelfde zero day-lekken die ook tegen een activist in de Verenigde Arabische Emiraten werden ingezet en vorig jaar augustus door Apple werden gepatcht.

Net als bij de aanval tegen de mensenrechtenactivist ontvingen ook de Mexicaanse doelwitten allerlei sms-berichten met een link. Als ze de link openden werd er stilletjes spyware op het toestel geïnstalleerd . Er was geen verdere interactie nodig. Via de spyware was het mogelijk om de voorstanders van de suikerbelasting via hun microfoon en camera te bespioneren en gesprekken en communicatie via WhatsApp, Gmail, Viber, Facebook, Telegram, Skype, WeChat en andere apps af te luisteren en te onderscheppen, alsmede hun locatie te bepalen.

In Mexico is er een obesitas-epidemie en om dit te bestrijden willen verschillende organisaties het gebruik van frisdranken terugdringen. In 2014 werd er al in Mexico een suikerbelasting ingevoerd, maar beleidsmakers probeerden die een jaar later weer te halveren. Vanwege groeiende politieke druk tegen de suikerbelasting besloten gezondheidsorganisaties en wetenschappers een mediacampagne op te zetten om de belasting juist te verhogen en hun steun voor de belasting uit te spreken. Ook wilden ze dat de overheid zich zou verantwoorden hoe de opbrengsten van de suikerbelasting werden uitgegeven.

Op 29 juni vorig jaar organiseerden de gezondheidsorganisaties een persconferentie, gevolgd door de campagne. Een week na de persconferentie en gedurende de campagne werden de initiatiefnemers via de spyware aangevallen. Het ging in ieder geval om een wetenschapper aan een onderzoeksinstituut van de Mexicaanse overheid, de directeur van een organisatie die zich voor consumentenrechten en gezondheid inzet en de directeur van een coalitie die zich tegen obesitas inzet. Alle drie zijn voorstanders van de suikerbelasting.

De aanvallers besloten zeer persoonlijke sms-berichten te versturen om slachtoffers op de meegestuurde link te laten klikken. Zo kreeg de wetenschapper een sms-bericht dat zijn dochter bij een ongeluk ernstig gewond was geraakt. Onderzoekers van het Canadese Citizen Lab ontdekten dat de link naar een exploit-infrastructuur van de NSO Group wees, een in Israël gebaseerd bedrijf dat de Pegasus-spyware voor overheden ontwikkelt. Daarmee is het mogelijk om doelwitten te bespioneren. De Mexicaanse overheid heeft eerder toegegeven dat het de spyware van de NSO Group heeft aangeschaft.

Commerciële motieven

"Deze campagne maakte gebruik van persoonlijke berichten die slachtoffers van streek moesten maken, gecombineerd met zeer geraffineerde spyware die exclusief voor overheden is. Hoewel de manier waarop de spyware werd verspreid geraffineerd was, begon de infectie met het misbruiken van menselijke emoties. Een doelwit moet op de link klikken om de infectie te laten plaatsvinden, wat inhoudt dat de eerste bescherming is om alert en bewust van ons eigen gedrag te zijn", zo concluderen de onderzoekers.

Ze maken zich daarnaast ook zorgen over de motieven van de aanvallers. "De aangevallen personen zijn geen criminelen of terroristen, maar vooraanstaande wetenschappers en twee gezondheidsactivisten die een publieke gezondheidsmaatregel steunen", aldus de onderzoekers. "Deze zaak suggereert dat de spionagetools van NSO die exclusief voor overheden zijn, mogelijk door een overheidsinstantie voor commerciele belangen zijn gebruikt, en niet voor de nationale veiligheid of het bestrijden van misdaad."