Dit bedrijf laat dictators mobiele telefoons afluisteren. Hoe kan dat?

EXFO Finland is een bedrijf in de Noord-Finse stad Oulu dat IMSI catchers maakt. Deze apparaten kunnen verkeer van telefoons in de buurt onderscheppen, de identiteit van de bellers achterhalen en vaak gesprekken afluisteren.

Dit soort apparatuur mag niet zomaar worden verkocht aan landen waar het risico op mensenrechtenschendingen bestaat, zegt de Europese Unie. Toch heeft het Finse ministerie van Buitenlandse Zaken het bedrijf 68 exportvergunningen verstrekt tussen 2014 en 2016. De klanten van EXFO Finland zitten in 22 landen, waaronder de Verenigde Arabische Emiraten, Oman, Koeweit en Colombia.

De Verenigde Arabische Emiraten hebben de laatste jaren talloze dissidenten en activisten vastgezet, oppositiepartijen zijn er verboden. In 2012 werden een cybercrimewet en in 2014 een antiterrorismewet aangenomen die het makkelijker maken mensen te arresteren. Het regime investeert de laatste jaren veel in digitale surveillance.

EXFO Finland is een dochteronderneming van het Canadese EXFO. Dat bedrijf maakt apparatuur voor het testen van communicatienetwerken en verkoopt die vooral aan telecombedrijven. Maar zij heeft ook een afdeling die apparatuur verkoopt aan opsporings- en inlichtingendiensten.

EXFO Finland is in zijn eentje verantwoordelijk voor 21 procent van alle vergunningen in Europa. Bijna alle vergunningen van EXFO Finland hebben betrekking op het product NetHawk F10. Marketingbrochures van het bedrijf laten zien dat dit een IMSI catcher is, een controversieel surveillanceapparaat.

De technologie is mogelijk in verkeerde handen gevallen. Het kan zijn dat mensen worden afgeluisterd

Een IMSI catcher is een kleine doos die zich voordoet als een zendmast voor mobiele telefonie. De doos zendt een zeer krachtig signaal uit en trekt daarmee de aandacht van mobiele telefoons in de buurt. Het dataverkeer - de gesprekken en internet - kunnen vervolgens onderschept worden. Ook kan de simkaart worden uitgelezen en zodoende de identiteit van de beller achterhaald worden. Tevens kunnen de gesprekken worden afgeluisterd en kan de locatie van de telefoons worden bepaald.

De apparaten kunnen grote groepen mensen onder een vergrootglas leggen. Autoritaire regimes gebruiken ze daarom om demonstranten te identificeren of hun communicatie te onderscheppen. Ze worden ook gebruikt om iemands locatie te bepalen, bijvoorbeeld als voorbereiding op een drone-aanval. Het is nauwelijks na te gaan of een IMSI catcher wordt gebruikt, wat de mogelijkheid geeft voor illegaal gebruik.

We vroegen EXFO Finland naar meer informatie over het product, maar het bedrijf wilde niet reageren. Even later kregen we telefoon van het Canadese hoofdkantoor. EXFO’s vicepresident Sales en Marketing Tim Adams ontkende dat het bedrijf surveillanceapparatuur verkoopt. Hij zei dat NetHawk F10 geen IMSI catcher is, maar een onschuldig apparaat voor diagnostiek van netwerken. Er volgde een surrealistisch interview.

Onderschept de F10 dan geen mobiel dataverkeer?

‘Nee, het onderschept niets,’ aldus Adams.

Maar de exportvergunning stelt heel duidelijk dat het hier gaat om een IMSI catcher, of een apparaat dat daar op lijkt. De codes op de vergunning zijn heel specifiek. Ik zie niet wat het anders kan zijn.

‘Echt? Wat is de code? Misschien hebben we die verkeerd ingevuld.’

Toen we Adams vertelden dat we de brochures hadden, waarin de F10 als een IMSI catcher wordt aangeduid, wilde hij het gesprek beëindigen. Hij verzocht dat we zijn commentaar of naam niet zouden gebruiken voor dit verhaal.

‘De technologie is mogelijk in verkeerde handen gevallen. Het kan zijn dat mensen worden afgeluisterd,’ gaf Adams toen toe.

Wie is verantwoordelijk voor wat er met de technologie gebeurt?

‘Het Finse ministerie van Buitenlandse Zaken.’

Dat ministerie heeft slechts één vergunning van EXFO geweigerd - die aan Laos. Het bedrijf probeerde wel meer vergunningen te krijgen, maar als afwijzing waarschijnlijk leek, trok EXFO de aanvraag in. Een afgebroken aanvraag laat geen papieren spoor na. Een andere reden voor intrekken kan zijn dat het bedrijf precedenten wil voorkomen. Ieder EU-land moet in een gezamenlijke database bijhouden welke aanvragen zijn afgewezen. Andere landen moeten die database raadplegen als ze een vergunningaanvraag in behandeling nemen. Adams zegt dat EXFO de aanvragen introk om de tijd van het ministerie niet te verspillen.

Dit onderzoek kwam tot stand in het kader van Security for Sale, een internationaal onderzoeksproject over de Europese veiligheidsindustrie onder leiding van De Correspondent. Voor dit project werkten wij samen met meer dan twintig Europese journalisten. Het consortium kreeg een werkbeurs van Journalismfund.eu.

Lees ook: