Ron Wyden vraagt om openbaar onderzoek naar overheidshacks en spyware

Een opvallend gebrek aan transparantie

De vraag van de Democratische senator Ron Wyden aan de Amerikaanse Government Accountability Office (GAO) — de federale controle-instantie die overheidsdiensten doorlicht — komt voort uit wat hij een langdurige verantwoordingskloof noemt. Amerikaanse opsporingsdiensten gebruiken al meer dan 25 jaar hacktools en spyware bij onderzoeken, terwijl er volgens Wyden maar weinig openbare informatie is over de omvang, frequentie en beveiliging van dat gebruik. 712

Dat staat in contrast met meer traditionele vormen van toezicht. Voor telefoontaps en zogenoemde pen-register- en trap-and-trace-bevoegdheden — hulpmiddelen die bijvoorbeeld nummers, verbindingen of belgegevens kunnen vastleggen — bestaan openbare rapportages. Voor hackoperaties worden zulke jaarlijkse statistieken niet op dezelfde manier gepubliceerd. Daardoor blijft onduidelijk hoe vaak de middelen worden ingezet, waarom dat gebeurt en welke neveneffecten de operaties hebben. 167

Wat moet de GAO onderzoeken?

Wyden vraagt om een uitgebreid, niet-geheim rapport over het gebruik van hacktools en spyware door de FBI, de Drug Enforcement Administration (DEA), de afdeling Homeland Security Investigations van immigratiedienst ICE en de Secret Service.

Zijn verzoek richt zich onder meer op drie vragen:

• Misbruik en toezicht: kunnen medewerkers de tools voor onbevoegde of persoonlijke doeleinden gebruiken, en zijn de technische en organisatorische controles sterk genoeg om dat te voorkomen?
• Beveiliging en kwetsbaarheden: hoe worden de middelen aangeschaft, opgeslagen en beschermd tegen diefstal of lekken? Ook wil Wyden weten of de betrokken kwetsbaarheden worden voorgelegd aan het overheidsproces dat beoordeelt of een beveiligingslek aan technologiebedrijven moet worden gemeld, zodat het kan worden opgelost.
• Rechterlijke controle: welke technische details krijgen rechters wanneer een dienst toestemming vraagt om een apparaat te hacken? Wordt daarbij duidelijk uitgelegd dat een operatie ook onbekende of onschuldige doelwitten kan raken? 6712

Wyden zegt dat het ministerie van Justitie en de FBI eerdere verzoeken van het Congres om meer openheid herhaaldelijk onvoldoende hebben ingewilligd. Daarom wil hij een onafhankelijke beoordeling door de GAO, met openbare conclusies en aanbevelingen. 712

Risico’s die verder gaan dan privacy

De senator wijst niet alleen op de bescherming van burgerrechten. Hij ziet ook een veiligheidsrisico wanneer geavanceerde overheidstechnologie uit handen raakt. De door hem aangehaalde zaak rond voormalig L3Harris-topman Peter Williams — die geavanceerde tools zou hebben gestolen en verkocht — illustreert volgens Wyden hoe dergelijke middelen uiteindelijk door buitenlandse actoren en criminelen kunnen worden misbruikt. 10

Daarmee raakt de discussie aan een bredere vraag: hoe kan een overheid kwetsbaarheden in apparaten en software uitbuiten voor opsporing zonder tegelijk de digitale veiligheid van anderen te verzwakken? Hoe meer apparaten een tool kan binnendringen, hoe groter volgens Wyden het risico op onbedoelde toegang tot privégegevens en op misbruik binnen of buiten de overheid.

Hacken door de FBI is niet nieuw

Wyden plaatste zijn verzoek ook in historisch perspectief. In een onderzoek uit 1999 gebruikte de FBI volgens de gedocumenteerde beschrijving malware die toetsaanslagen registreerde om toegang te krijgen tot bewijs op de computer van maffiabaas Nicodemo S. Scarfo. De operatie was gericht op gegevens die met PGP waren versleuteld. 712

Zijn punt is niet dat computerinbraak als opsporingsmiddel nieuw is, maar dat de toezicht- en transparantieregels de technologische ontwikkeling niet hebben bijgehouden. Zolang het publiek geen duidelijk beeld heeft van het gebruik, de opslag, de beveiliging en de rechterlijke toetsing, blijft volgens Wyden onduidelijk of deze ingrijpende bevoegdheden voldoende zijn begrensd.

Kort gezegd vroeg hij de GAO om onderzoek omdat hacktools toegang kunnen geven tot zeer persoonlijke informatie en tegelijk structurele cyberrisico’s kunnen creëren — terwijl de overheid volgens hem nog onvoldoende heeft aangetoond dat gebruik, interne controles, omgang met kwetsbaarheden en rechterlijke informatievoorziening adequaat zijn geregeld.