Help mee de Europese surveillance-industrie in kaart te brengen

Vorige week was het weer raak. Motherboard maakte bekend dat het bedrijf Cellebrite was gehackt. Cellebrite maakt apparatuur en software waarmee informatie, zoals bel- en locatiegeschiedenis, foto’s en zelfs gewiste bestanden, van smartphones kan worden gehaald. Reguliere politie- en inlichtingendiensten behoren tot de klanten van dit Israëlische bedrijf.

Motherboard onthulde ook dat regimes die het niet zo nauw nemen met de mensenrechten, zoals Turkije, de Verenigde Arabische Emiraten en Rusland van de diensten van Cellebrite gebruikmaken. In december publiceerde The Intercept ook al over Cellebrite: zijn product zou gebruikt zijn bij de vervolging van een mensenrechtenactivist in Bahrein - een activist die is gemarteld.

Een schimmige sector wordt langzaam belicht

Cellebrite is het derde surveillancebedrijf in een paar jaar tijd dat zelf wordt gehackt. Het Italiaanse Hacking Team en het Duits-Britse Gamma International waren eerder doelwit. De hacker was er telkens op uit aan te tonen hoe weinig morele problemen deze bedrijven hebben met het verkopen van spionagesoftware aan dictatoriale regimes.

Door de aard van hun werk en van hun klanten is de surveillanceindustrie met geheimzinnigheid omgeven

Deze onthullingen hebben eindelijk eens licht geschenen op een vrij duistere sector. Door de aard van hun werk (spionage, monitoren van het internet, hacken van criminelen en dissidenten) en de aard van hun klanten (inlichtingendiensten, politie) is de surveillance-industrie met geheimzinnigheid omgeven.

Dat neemt niet weg dat activisten de laatste jaren een paar flinke slagen hebben gemaakt in het verzamelen van informatie over deze sector.

Het Britse Privacy International publiceerde vorig jaar de Surveillance Industry Index, waarin het al zijn informatie over dit soort bedrijven in databasevorm beschikbaar stelt.
De Duitse activist Andy Müller-Maguhn hield jarenlang de site Buggedplanet.info bij, waarop dit soort bedrijven staan, met daarbij informatie over eigenaars en links naar bronnen.
En er zijn nog tientallen onderzoeken van Amnesty International, het Canadese Citizen Lab, Reporters Without Borders, vredesbewegingen en nog veel meer waarin het doen en laten van surveillancebedrijven wordt geboekstaafd.

Voor een groot internationaal onderzoek naar de export van surveillanceproducten en -diensten door Europese bedrijven maken wij dankbaar gebruik van deze bronnen.

Wat is dan het probleem?

Hoewel bovenstaande initiatieven waardevolle informatie hebben opgeleverd, zijn de data alweer flink verouderd.

We kwamen er bijvoorbeeld achter dat veel bedrijven die in de database van Privacy International staan, inmiddels op veel meer locaties actief zijn, waaronder Rusland en de Verenigde Arabische Emiraten. Dat is een belangrijke omissie in die database, want naar dat soort informatie zijn we juist op zoek.

Sommige surveillancebedrijven zijn opgekocht door grote ondernemingen, zoals IT- of defensiebedrijven die een nieuwe lucratieve markt hopen aan te boren.

En omdat het begrip surveillance-industrie nogal breed is, zitten er bedrijven tussen die voor ons niet zo interessant zijn, maar missen we ook bedrijven die juist wel van belang zijn. Vooral de laatste jaren zijn er veel cybersecuritybedrijven bij gekomen die hacking- of surveillanceproducten leveren. Kortom: de data hebben een flinke update nodig.

Hoe kun jij helpen?

We hebben een lijst opgesteld met ongeveer 600 surveillancebedrijven die in de Europese Unie actief zijn. Van die bedrijven willen we graag het volgende weten:

Waar staat hun hoofdkantoor?
Waar hebben ze nog meer kantoren?
Welke producten en diensten bieden ze aan?
Zijn ze de laatste jaren in opspraak geweest?
In welke landen zijn hun producten aangetroffen?
Wie zitten achter dit bedrijf?
En nog veel meer.

Deze dataverzameling is nauwelijks te automatiseren. Van ieder bedrijf moet de site worden onderzocht en moeten andere databases worden geraadpleegd. In mijn eentje is dat enorm veel werk - ik schat zo’n honderd uur. Met hulp van jullie is dat zo gepiept.

Daarnaast hopen we dat jullie kritisch naar onze lijst kijken en deze zo nodig aanvullen met bedrijven die wij hebben gemist (ze moeten wel een Europese presentie hebben).

En uiteraard zijn we blij met alle informatie - on, dan wel off the record - die ons bij ons onderzoek kan helpen. Zeker als het gaat om export van surveillanceproducten zijn er weinig publieke bronnen beschikbaar.

Wat gaan we met de data doen?

We kunnen deze data gebruiken om een beeld te krijgen van de activiteiten van de Europese surveillancebedrijven. We kunnen ook zien in welke andere landen ze actief zijn en dat vergelijken met de exportvergunningen die in de EU zijn afgegeven voor dit soort producten. Daarmee kunnen we hopelijk een beeld krijgen of het Europese en nationale beleid ter voorkoming van de verspreiding van dit soort apparatuur en diensten werkt.

Hopelijk kunnen we een beeld krijgen of het Europese beleid ter voorkoming van de verspreiding van dit soort apparatuur en diensten werkt

We voeren dit onderzoek uit met Deense, Italiaanse, Duitse, Russische, Turkse en Belgische journalisten en zullen hier eind februari of begin maart internationaal over publiceren.

De data geven we uiteraard vrij, zodat ook andere organisaties en personen hun voordeel ermee kunnen doen.

Dus, heb je interesse om een paar uur te helpen, meld je dan aan bij mij. Dan krijg je instructies, toegang tot een lijst met bedrijven en een formulier. Dat formulier is in het Engels opgesteld, omdat ook mogelijk mensen buiten Nederland meehelpen.

Meld je aan

Stuur een mail naar mij, dimitri at decorrespondent.nl. Je kunt me ook versleuteld mailen, of via Publeaks benaderen. Als het contact is gelegd, kunnen we ook op andere manieren communiceren. Wil je echt iets supergeheims met mij delen, stuur dan een brief, gewoon per post, geadresseerd aan mij: