Beveiligingsonderzoekers Koen Rouwhorst en Jurre van Bergen hebben recent achterhaald dat een Nederlandse rechercheur in het bezit is van actieve FinFisher-licenties ter waarde van 1,4 miljoen. FinFisher is een product van een particulier bedrijf dat veel geld verdient aan de verkoop van spyware. De Nederlandse politie mag alleen ter plekke spyware plaatsen, maar als het aan Minister Opstelten ligt komt daar snel verandering in. Het lijkt er nu op dat de politie hier alvast een voorschot op neemt.

ISpy
Met programma’s als FinSpy is het mogelijk om op afstand vrijwel alle communicatie te onderscheppen, een microfoon of webcam in het geheim te besturen, toetsaanslagen te registreren, verwijderde bestanden te verkrijgen en de locatie van een persoon waar ook ter wereld vast te stellen. Het bezit van spywareprogramma’s als FinFisher  wordt door het Ministerie van Veiligheid en Justitie niet ontkend. Als de politie de beschikking heeft over software met meer mogelijkheden dan is toegestaan, dan moeten die extra functies ontoegankelijk zijn gemaakt.

FinFisher als voorproefje
Het is echter de vraag of de Nederlandse politie zich nog kan beheersen. Zo werden er in het onderzoek naar Blackshades-malware invallen gedaan op basis van informatie die is verkregen van de Blackshades-server. Het Team High Tech Crime heeft deze server op afstand betreden.Ze hebben dus alvast geoefend met een bevoegdheid die ze nog niet hebben. Als het Wetsvoorstel Computercriminaliteit III (WCIII) eenmaal is ingevoerd, is het op afstand bespieden van burgers door de politie gewoon toegestaan. Maar zo lang de WCIII niet is ingevoerd, ontbreekt een wettelijke grondslag voor het plaatsen van spyware op afstand.

Het Ministerie zal concrete opheldering moeten geven over het gebruik van FinFisher en soortgelijke spyware. Daarbij speelt nog iets anders. FinFisher wordt gebruikt door schimmige regimes én door Nederland. Dat is voor een land dat zich sterk maakt voor burgerrechten, zowel in Nederland als in het buitenland, niet te verkopen. En met de komst van WCIII zal de vraag en het aanbod van spyware alleen maar toenemen. Wil Nederland daadwerkelijk aan die markt bijdragen? Ons lijkt van niet.

Update 9-9-2014:
De informele wandelgangen wezen ons erop dat FinSpy en Whisper2 niet hetzelfde zijn, maar twee verschillende soorten malware. We hebben dan ook deze verwijzing verwijderd. Maar we komen op Whispher2 nog zeker terug.