Duitse opsporingsdiensten maken gebruik van een techniek waarmee ze in het geheim berichten op WhatsApp, Signal en Telegram kunnen lezen zonder de versleuteling van de apps te kraken, blijkt uit documenten die zijn gepubliceerd door digitale burgerrechtenorganisatie Netzpolitik.
In plaats van de versleuteling te kraken, maakt de politie misbruik van de legitieme functies voor meerdere apparaten van de apps. Door een computer van de politie aan het berichtenaccount van een verdachte te koppelen, kunnen autoriteiten berichten ontvangen alsof ze op de eigen computer van de gebruiker binnenkomen.
De politie kan de verbinding tot stand brengen nadat ze fysieke toegang tot een telefoon heeft gekregen of, in sommige gevallen, door verificatiecodes te onderscheppen via geautoriseerde phishing of sms-surveillance. Duitse autoriteiten zouden de techniek al jaren gebruiken. Volgens functionarissen heeft deze tot “aanzienlijke successen bij onderzoeken” naar ernstige en georganiseerde criminaliteit geleid.
De surveillance bleef niet beperkt tot verdachten. Netzpolitik wijst op een zaak uit 2020 waarin een getrouwd stel vrijwillig hun telefoons aan de politie gaf toen ze als getuigen werden verhoord. Agenten zouden die toegang hebben gebruikt om hun WhatsApp-accounts in het geheim aan een politiecomputer te koppelen. Hierdoor konden ze het stel mogelijk blijven monitoren nadat de telefoons waren teruggegeven.
De werkwijze roept ook vragen op over hoeveel bescherming end-to-end-encryptie biedt als autoriteiten deze kunnen omzeilen in plaats van kraken. De versleuteling zelf blijft intact, maar berichten worden leesbaar zodra de politie zichzelf met succes als een ander geautoriseerd apparaat toevoegt.
De juridische basis voor deze werkwijze ligt nu onder de loep. Het Duitse Federale Hof van Justitie oordeelde in januari dat het op deze manier in het geheim verbinden met Telegram-chats een vorm van surveillance is. Daarmee zet de rechter vraagtekens bij de manier waarop autoriteiten deze werkwijze eerder juridisch rechtvaardigden.
Promptinjectie en het hacken van AI-accounts zijn sterk in opkomst als nieuwe trend binnen cybersecurity. Onlangs berichtten we ook over nieuwe aanvallen waarbij hackers Claude-sessies konden kapen om tokens te stelen of misbruik te maken van de onlangs gelanceerde Auto Mode van Claude.
