Pegasus en andere spyware: hoe stel je een besmetting op een smartphone vast?

In maart 2026 bevestigde het parket van Rome en Napels dat de telefoons van de directeur van een Italiaans nieuwsmedium en van twee activisten sporen vertoonden van een besmetting met Graphite, spyware van het bedrijf Paragon. De besmetting dateerde van december 2024. Meer dan een jaar later "herinnerde" de telefoon zich nog wat er gebeurd was. Op dat geheugen steunt de opsporing.

Spyware zie je niet, maar het laat sporen na

De meest geavanceerde spyware, zoals Pegasus (NSO Group), Predator (Intellexa) of Graphite, is ontworpen om onzichtbaar te blijven. Er verschijnt geen pictogram, het toestel wordt niet altijd trager en de installatie kan gebeuren zonder dat het slachtoffer ergens op klikt. Sommige varianten wissen zichzelf zelfs na gebruik.

Maar een moderne smartphone houdt een echt logboek bij. Hij noteert welke programma's wanneer actief waren, met welke diensten hij verbinding maakte, welke fouten optraden en welke gegevens werden verstuurd. Die logbestanden dienen normaal voor de goede werking van het systeem. Voor de deskundige zijn ze wat bewakingscamera's zijn in een gebouw: de inbreker heeft zijn gereedschap misschien meegenomen, maar zijn passage werd vastgelegd.

Ons werk bestaat er dus niet in "de software te vinden" op de telefoon. Het bestaat erin te reconstrueren wat er gebeurd is, op basis van de sporen die het toestel ongewild heeft bewaard.

Pegasus staat niet alleen

Pegasus is de bekendste, maar slechts één voorbeeld. Verschillende bedrijven ontwikkelden vergelijkbare tools, die de voorbije jaren in publieke onderzoeken werden gedocumenteerd:

• Pegasus, van het Israëlische NSO Group, op grote schaal onthuld door het "Pegasus Project" in 2021;
• Predator, verkocht door het consortium Intellexa, onder meer teruggevonden op telefoons van journalisten en politici in Europa;
• Graphite, van het bedrijf Paragon, de spyware uit de Italiaanse zaak hierboven;
• Hermit, ontwikkeld door het Italiaanse RCS Lab, gericht op iPhone en Android, in 2022 gedocumenteerd door Lookout en Google;
• Reign, van het Israëlische QuaDream, gericht op de iPhone, in 2023 gedocumenteerd door het Citizen Lab en Microsoft. Het bedrijf stopte kort daarna met zijn activiteiten.

De namen veranderen, bedrijven sluiten of krijgen een nieuwe naam, maar het principe blijft hetzelfde. Daarom steunt de opsporing niet op de naam van een programma, maar op de sporen die elke indringer uiteindelijk achterlaat.

Drie manieren om een indringer te herkennen

Vergelijken met bekende vingerafdrukken

Elke gedocumenteerde spionagecampagne laat kenmerken na: ongebruikelijke programmanamen, serveradressen die gebruikt worden om gegevens weg te sluizen, typisch gedrag. Onafhankelijke onderzoekslabo's, zoals het Citizen Lab van de universiteit van Toronto of het Security Lab van Amnesty International, publiceren die "vingerafdrukken" na elk onderzoek. Wij vergelijken de sporen op het toestel met die referenties, zoals een speurder vingerafdrukken vergelijkt met een databank.

Opmerken wat er niet thuishoort

Bekende vingerafdrukken volstaan niet: recente spyware is nog niet gedocumenteerd. Daarom zoeken we ook naar afwijkingen: een systeemprogramma met een bijna correcte naam, een configuratieprofiel dat buiten medeweten van de gebruiker werd geïnstalleerd, een app die zichzelf te ruime rechten gaf, verbindingen met servers die niets te maken hebben met het gebruik van de telefoon. Eén aanwijzing is zelden doorslaggevend; het is de samenhang die telt.

Elk spoor in de tijd plaatsen

Een losstaand spoor bewijst niets. Een gedateerd spoor, gekoppeld aan andere sporen en aan het leven van de gebruiker, wordt een analyse-element. Een bericht om 3 uur 's nachts, gevolgd door een crash van een app en een verbinding met een onbekende server: de chronologie vertelt vaak meer dan elk element afzonderlijk.

De meest voorkomende dreiging is niet de meest besproken

Zogenaamde "huurling"-spyware, verkocht aan staten, viseert een beperkt aantal mensen: journalisten, advocaten, politici, bedrijfsleiders, activisten. De kostprijs is aanzienlijk en het gebruik blijft gericht. Apple, dat gebruikers waarschuwt die het als doelwit beschouwt, verstuurde in augustus 2026 een nieuwe golf meldingen in 110 landen. Sinds 2021 kregen gebruikers in meer dan 150 landen zo'n melding.

In de praktijk komt een andere situatie het vaakst voor: bewakingssoftware die online gekocht werd en geïnstalleerd door een naaste, een ex-partner of een collega die enkele minuten toegang had tot de telefoon. Die tools, vaak "stalkerware" genoemd, zijn minder geavanceerd, maar de gevolgen voor het slachtoffer kunnen zeer zwaar zijn. Ze worden met dezelfde methode opgespoord en laten doorgaans meer sporen na.

Wat de analyse wel en niet kan

Eerlijkheid vraagt om een nuance: de afwezigheid van sporen bewijst niet dat er geen besmetting is. De logbestanden van een telefoon gaan niet eindeloos terug, een fabrieksreset wist het meeste en de meest recente tools kunnen aan de bekende methodes ontsnappen. Een analyse besluit dus in afgewogen termen: sporen die wijzen op een besmetting, geen sporen gevonden op de datum van het onderzoek, of onvoldoende elementen om uitsluitsel te geven.

Wanneer de vaststellingen voor de rechter moeten dienen, telt de methode even zwaar als het resultaat. De acquisitie wordt gedocumenteerd, de gegevens worden vastgelegd en hun integriteit gewaarborgd, en elke conclusie wordt gekoppeld aan de elementen waarop ze steunt. Dat maakt het verschil tussen een indruk en een bewijs.

Wat u moet onthouden

Vermoedt u dat een telefoon wordt bespioneerd, dan tellen de eerste stappen. Reset het toestel niet en verwijder geen apps: zo wist u de sporen die de analyse nodig heeft. Noteer de data en de feiten die u alarmeerden, bewaar een eventuele melding van Apple of Google, en gebruik in afwachting van het onderzoek een ander toestel voor gevoelige gesprekken. Voor wie een verhoogd risico loopt, verkleint de Isolatiemodus van Apple (Lockdown Mode) het aanvalsoppervlak aanzienlijk.

Cyber Praxis voert deze analyses uit op iPhone en Android, van de mobiele beveiligingsdiagnose tot de gerechtelijke expertise.