Nederland heeft commerciële hacksoftware van een externe ontwikkelaar aangeschaft, maar om welk bedrijf het precies gaat willen ministers Bruins Slot van Binnenlandse Zaken en Yesilgöz van Justitie en Veiligheid niet laten weten. Dat blijkt uit antwoorden op Kamervragen van Pieter Omtzigt en SP-Kamerlid Van Dijk over het gebruik van de Pegasus-spyware en andere hacksoftware.

Omtzigt is aangesteld als rapporteur van de Raad van Europa om onderzoek te doen naar het gebruik van Pegasus en soortgelijke spyware door EU-lidstaten (pdf). Pegasus is door NSO Group ontwikkelde spyware waarmee het mogelijk is om slachtoffers via hun microfoon en camera te bespioneren en gesprekken en communicatie via WhatsApp, Gmail, Viber, Facebook, Telegram, Skype, WeChat en andere apps af te luisteren en onderscheppen, alsmede de locatie te bepalen. De spyware wordt al zeker sinds 2016 via zeroday-aanvallen verspreid.

De Kamerleden wilden opheldering van het kabinet of de Nederlandse autoriteiten hacksoftware, zoals Pegasus, hebben aangeschaft, wanneer en voor welke doeleinden de software is ingezet. Het binnendringen in de systemen van verdachten is een bijzondere opsporingsbevoegdheid die voor justitie en politie mogelijk is door de Wet Computercriminaliteit III (Wet CCIII) en voor inlichtingen- en veiligheidsdiensten door de Wet op de inlichtingen- en veiligheidsdiensten (Wiv 2017).

Op 1 maart 2019 is de Wet CCIII in werking getreden. Vanaf dat jaar is commerciële binnendringsoftware aangeschaft bij een externe ontwikkelaar, zo laten de bewindslieden weten. Die willen echter niet vertellen om welke software het gaat. "Het verstrekken van informatie aan derden over welke specifieke software de politie beschikt en gebruikt bij de inzet van deze bijzondere opsporingsbevoegdheid, brengt onaanvaardbare risico’s met zich mee voor de inzetbaarheid van die middelen en daarmee het opsporingsbelang."

Bruins Slot en Yesilgöz voegen toe dat het voor de afscherming van middelen en methodieken niet mogelijk is om openbaar inzicht te geven in welke software de politie gebruikt bij de uitvoering van deze bevoegdheid. Tevens stellen de ministers dat de NCTV nooit gebruik heeft gemaakt van "binnendringsoftware" en dat ook in de toekomst niet zal doen.

Omtzigt en Van Dijk hadden ook gevraagd of hacksoftware ook is ingezet tegen advocaten, protestgroepen zonder terroristisch oogmerk en politieke groepen. De ministers antwoorden dat de verantwoording van de inzet van bijzondere opsporingsbevoegdheden door opsporingsdiensten en het Openbaar Ministerie plaatsvindt bij de behandeling van een strafzaak door de rechter. "Om die reden kan geen inzage worden gegeven tegen welke specifieke verdachten in opsporingsonderzoeken de bevoegdheid is ingezet", aldus de bewindslieden.

Onlangs meldde de Inspectie Justitie en Veiligheid dat het gebruik van commerciële hacksoftware door de politie een risico blijft, aangezien de softwareleverancier toegang tot verkregen gegevens kan krijgen. Ook zijn er daardoor spanningen met het rechtskader.