What you need to know about stalkerware | Eva Galperin

Vertaald door: Ruth Compernol Nagekeken door: Rik Delaet

I want you to travel back in time with me,

Laten we eens terugreizen in de tijd,

to the before time, to 2017.

naar lang geleden, namelijk 2017.

I don't know if you can remember it,

Misschien weet je het nog; er liepen nog dinosaurussen rond.

dinosaurs were roaming the earth.

I was a security researcher,

Ik was een beveiligingsonderzoeker

I had spent about five or six years

en had vijf tot zes jaar onderzoek gevoerd

doing research on the ways in which APTs,

naar de manieren waarop APT's,

which is short for advanced persistent threats,

kort voor 'Advanced Persistent Threats'

which stands for nation-state actors,

of cyberaanvallen op het niveau van landen en staten,

spy on journalists and activists

naar de manieren waarop zij journalisten en activisten bespioneren

and lawyers and scientists

maar ook advocaten en wetenschappers

and just generally people who speak truth to power.

en meer algemeen mensen die hun mond opendoen tegen machthebbers.

And I'd been doing this for a while

En ik deed dit werk al een tijdje

when I discovered that one of my fellow researchers,

toen ik ontdekte dat één van mijn collega-onderzoekers

with whom I had been doing this all this time,

met wie ik al die tijd had samengewerkt,

was allegedly a serial rapist.

naar verluidt een serieverkrachter was.

So the first thing that I did

Dus het eerste wat ik deed,

was I read a bunch of articles about this.

was hierover een reeks artikels lezen.

And in January of 2018,

En in januari 2018

I read an article with some of his alleged victims.

las ik een artikel met enkele van zijn vermeende slachtoffers.

And one of the things that really struck me about this article

En één van de dingen die mij sterk opviel in dit artikel

is how scared they were.

was hoe bang ze allemaal waren.

They were really frightened,

Ze waren doodsbang.

they had, you know, tape over the cameras on their phones

Ze hadden de camera's van hun smartphones afgeplakt

and on their laptops,

en die van hun laptops.

and what they were worried about was that he was a hacker

Waar ze het meest bang voor waren, was dat hij een hacker was

and he was going to hack into their stuff

en hun toestellen zou hacken

and he was going to ruin their lives.

en hun leven zou verwoesten.

And this had kept them silent for a really long time.

En daarom hadden ze zo lang gezwegen.

So, I was furious.

Ik was razend.

And I didn't want anyone to ever feel that way again.

Ik wou dat niemand zich ooit nog zo zou moeten voelen.

So I did what I usually do when I'm angry:

Dus ik deed wat ik meestal doe als ik boos ben:

I tweeted.

ik begon te tweeten.

(Laughter)

(Gelach)

And the thing that I tweeted

En wat ik tweette,

was that if you are a woman who has been sexually abused by a hacker

was dat vrouwen die seksueel misbruikt zijn door een hacker

and that hacker has threatened to break into your devices,

die hen vervolgens bedreigt om hun toestellen te hacken,

that you could contact me

mij kunnen contacteren

and I would try to make sure

en dat ik ervoor zal proberen te zorgen

that your device got a full, sort of, forensic look over.

dat hun toestel een volledige 'forensische' screening krijgt.

And then I went to lunch.

En toen ging ik lunchen.

(Laughter)

(Gelach)

Ten thousand retweets later,

Tienduizend retweets later

(Laughter)

(Gelach)

I had accidentally started a project.

had ik per ongeluk een project opgestart.

So every morning, I woke up and my mailbox was full.

Dus elke morgen werd ik wakker en mijn mailbox zat vol.

It was full of the stories of men and women

Vol met verhalen van mannen en vrouwen

telling me the worst thing that had ever happened to them.

die mij vertelden over het ergste wat ze ooit hadden meegemaakt.

I was contacted by women who were being spied on by men,

Ik werd gecontacteerd door vrouwen die bespioneerd werden door mannen,

by men who were being spied on by men,

mannen die bespioneerd werden door mannen,

by women who were being spied on by women,

en vrouwen door andere vrouwen.

but the vast majority of the people contacting me

Maar het merendeel van de mensen die mij contacteerden

were women who had been sexually abused by men

waren vrouwen die seksueel waren misbruikt door een man

who were now spying on them.

die hen nu bespioneerde.

The one particularly interesting case

Eén van de interessantste gevallen

involved a man who came to me,

betrof een man die mij contacteerde

because his boyfriend had outed him as gay

omdat zijn vriendje hem had geout als homo

to his extremely conservative Korean family.

bij zijn extreem conservatieve Koreaanse familie.

So this is not just men-spying-on-women issue.

Het gaat dus niet enkel om mannen die vrouwen bespioneren.

And I'm here to share

Ik ben hier omdat ik met jullie wil delen

what I learned from this experience.

wat ik uit deze ervaring heb geleerd.

What I learned is that data leaks.

Wat ik heb geleerd is dat informatie lekt.

It's like water.

Net als water.

It gets in places you don't want it.

Het gaat naar ongewilde plaatsen.

Human leaks.

Menselijke lekken.

Your friends give away information about you.

Je vrienden delen informatie over jou.

Your family gives away information about you.

Je familie deelt informatie over jou.

You go to a party,

Je gaat naar een feestje,

somebody tags you as having been there.

iemand tagt jou als aanwezige.

And this is one of the ways

En dit is één van de manieren

in which abusers pick up information about you

waarop misbruikers info over jou verzamelen

that you don't otherwise want them to know.

die je eigenlijk niet met hen wil delen.

It is not uncommon for abusers to go to friends and family

Het is niet ongewoon dat misbruikers vrienden en familie contacteren

and ask for information about their victims

om hen informatie te vragen over hun slachtoffers

under the guise of being concerned about their "mental health."

onder het mom van bezorgdheid over hun 'mentale gezondheid'.

A form of leak that I saw

Een bepaalde vorm van lekken die ik zag,

was actually what we call account compromise.

dat waren gecompromitteerde gebruikersaccounts.

So your Gmail account,

Dus je Gmail-account,

your Twitter account,

je Twitter-account

your Instagram account,

je Instagram-account,

your iCloud,

je iCloud,

your Apple ID,

je Apple-ID,

your Netflix, your TikTok --

je Netflix en TikTok --

I had to figure out what a TikTok was.

Ik heb moeten uitzoeken wat TikTok was.

If it had a login,

Als het een login had,

I saw it compromised.

kon het worden gecompromitteerd.

And the reason for that is because your abuser is not always your abuser.

En de reden is dat je misbruiker niet altijd je misbruiker is.

It is really common for people in relationships to share passwords.

Het is heel gewoon om in een relatie wachtwoorden met elkaar te delen.

Furthermore, people who are intimate,

Mensen die een intieme band hebben

who know a lot about each other,

en veel over elkaar weten,

can guess each other's security questions.

kunnen elkaars veiligheidsvragen raden.

Or they can look over each other's shoulders

Of ze kunnen meekijken over je schouder

to see what code they're using in order to lock their phones.

om te zien welke code je gebruikt om je gsm te vergrendelen.

They frequently have physical access to the phone,

Ze hebben vaak fysieke toegang tot je telefoon

or they have physical access to the laptop.

of tot je laptop.

And this gives them a lot of opportunity

En op die manier kunnen ze gemakkelijk dingen doen

to do things to people's accounts,

met de account van iemand anders,

which is very dangerous.

wat heel gevaarlijk is.

The good news is that we have advice

Het goede nieuws is dat we advies hebben

for people to lock down their accounts.

voor mensen om hun accounts te vergrendelen.

This advice already exists, and it comes down to this:

Het advies is niet nieuw en komt hierop neer:

Use strong, unique passwords for all of your accounts.

gebruik sterke, unieke wachtwoorden voor al je accounts.

Use more strong, unique passwords

Gebruik sterkere, unieke wachtwoorden

as the answers to your security questions,

als antwoord op de veiligheidsvragen,

so that somebody who knows the name of your childhood pet

zodat iemand die de naam van je huisdier kent,

can't reset your password.

je wachtwoord niet kan veranderen.

And finally, turn on the highest level of two-factor authentication

En ten slotte: gebruik het hoogste niveau van tweevoudige authenticatie

that you're comfortable using.

waar je je goed bij voelt.

So that even if an abuser manages to steal your password,

Zo zal een misbruiker, zelfs als hij erin slaagt je wachtwoord te stelen,

because they don't have the second factor,

doordat hij de tweede factor niet bezit

they will not be able to log into your account.

niet in staat zijn om in te loggen op je account.

The other thing that you should do

Nog iets dat je zou moeten doen

is you should take a look at the security and privacy tabs

is een kijkje nemen in de veiligheids- en privacytabs

for most of your accounts.

van je meeste accounts.

Most accounts have a security or privacy tab

De meeste accounts hebben namelijk een tab

that tells you what devices are logging in,

waarin je kan zien welke toestellen inloggen

and it tells you where they're logging in from.

en vanwaar ze inloggen.

For example, here I am,

Bijvoorbeeld: hier sta ik,

logging in to Facebook from the La Quinta,

ik log in op Facebook vanuit La Quinta,

where we are having this meeting,

waar deze meeting plaatsvindt,

and if for example,

en als ik bijvoorbeeld

I took a look at my Facebook logins

zou kijken naar mijn Facebook logins

and I saw somebody logging in from Dubai,

en ik zie dat er iemand inlogt vanuit Dubai,

I would find that suspicious,

dan zou ik dat verdacht vinden,

because I have not been to Dubai in some time.

want ik ben al een hele tijd niet meer in Dubai geweest.

But sometimes, it really is a RAT.

Maar soms is het wel degelijk een RAT,

If by RAT you mean remote access tool.

als je daarmee bedoelt een Remote Access Tool.

And remote access tool

Zo'n Remote Access Tool

is essentially what we mean when we say stalkerware.

is wat we bedoelen als het over stalkerware gaat.

So one of the reasons why getting full access to your device

Eén van de redenen waarom een volledige toegang tot je toestel

is really tempting for governments

zo aanlokkelijk is voor overheden,

is the same reason why getting full access to your device

is dezelfde reden waarom een volledige toegang tot je toestel

is tempting for abusive partners and former partners.

aanlokkelijk is voor partners en exen met slechte bedoelingen.

We carry tracking devices around in our pockets all day long.

We lopen de hele dag rond met een trackingtoestel op zak.

We carry devices that contain all of our passwords,

We dragen toestellen die al onze wachtwoorden bevatten,

all of our communications,

al onze berichten,

including our end-to-end encrypted communications.

samen met onze end-to-end versleutelde berichten.

All of our emails, all of our contacts,

Al onze e-mails, al onze contacten,

all of our selfies are all in one place,

en al onze selfies zitten samen op één plaats.

often our financial information is also in this place.

Vaak zit onze financiële informatie ook op die plaats.

And so, full access to a person’s phone

Daarom is een volledige toegang tot iemands telefoon

is the next best thing to full access to a person's mind.

bijna hetzelfde als een volledige toegang tot iemands gedachten.

And what stalkerware does is it gives you this access.

En wat stalkerware doet, is jou die toegang geven.

So, you may ask, how does it work?

Je vraagt je waarschijnlijk af: hoe werkt dit?

The way stalkerware works

Dat gaat zo:

is that it's a commercially available program,

stalkerware is een commercieel toegankelijk programma,

which an abuser purchases,

dat wordt gekocht door een misbruiker,

installs on the device that they want to spy on,

die het installeert op het toestel dat hij wil bespioneren,

usually because they have physical access

vaak omdat hij fysiek toegang heeft,

or they can trick their target into installing it themselves,

of zijn slachtoffer kan overtuigen om het programma zelf te installeren

by saying, you know,

door te zeggen

"This is a very important program you should install on your device."

"Dit is een heel belangrijk programma dat je op je toestel moet installeren."

And then they pay the stalkerware company

En dan betalen ze het stalkerware-bedrijf

for access to a portal,

voor toegang tot een portaal

which gives them all of the information from that device.

dat hen alle informatie van dat toestel geeft.

And you're usually paying something like 40 bucks a month.

Daarvoor betaal je meestal iets van 40 dollar per maand.

So this kind of spying is remarkably cheap.

Dit soort spionage is dus opvallend goedkoop.

Do these companies know

Weten deze bedrijven

that their tools

dat hun programma's

are being used as tools of abuse?

worden gebruikt voor misbruik?

Absolutely.

Absoluut.

If you take a look at the marketing copy for Cocospy,

Als je kijkt naar de marketing van Cocospy,

which is one of these products,

één van deze producten,

it says right there on the website

dan staat er letterlijk op hun site

that Cocospy allows you to spy on your wife with ease,

dat je met Cocospy je vrouw gemakkelijk kan bespioneren.

"You do not have to worry about where she goes,

"Geen zorgen meer over waar ze heengaat,

who she talks to or what websites she visits."

met wie ze praat of welke websites ze bezoekt."

So that's creepy.

Dat is beangstigend.

HelloSpy, which is another such product,

HelloSpy, nog zo'n product,

had a marketing page in which they spent most of their copy

had een marketing-pagina

waarop bijna al hun teksten gingen over overspel

talking about the prevalence of cheating

and how important it is to catch your partner cheating,

en hoe belangrijk het is om je partner te betrappen.

including this fine picture of a man

Daarop stond deze foto van een man

who has clearly just caught his partner cheating

die net zijn partner heeft betrapt op overspel

and has beaten her.

en haar heeft geslagen.

She has a black eye, there is blood on her face.

Ze heeft een blauw oog en bloed op haar gezicht.

And I don't think that there is really a lot of question

Dus ik denk niet dat er veel twijfel kan bestaan

about whose side HelloSpy is on in this particular case.

over wiens kant HelloSpy kiest in dit geval.

And who they're trying to sell their product to.

En aan wie ze hun product proberen te verkopen.

It turns out that if you have stalkerware on your computer or on your phone,

Als je stalkerware op je pc of telefoon hebt staan,

it can be really difficult to know whether or not it's there.

kan het heel moeilijk zijn om dat te weten te komen.

And one of the reasons for that

En één van de redenen is

is because antivirus companies

dat antivirusbedrijven

often don't recognize stalkerware as malicious.

deze stalkerware vaak niet herkennen als kwaadaardig.

They don't recognize it as a Trojan

Ze herkennen het niet als een Trojan

or as any of the other stuff that you would normally find

of eender welke andere programma's

that they would warn you about.

waarvoor men je doorgaans waarschuwt.

These are some results from earlier this year from VirusTotal.

Hier zie je enkele resultaten van eerder dit jaar van VirusTotal.

I think that for one sample that I looked at

In één van de gevallen die ik heb bekeken

I had something like a result of seven out of 60

waren er ongeveer 7 op 60 platformen

of the platforms recognized the stalkerware that I was testing.

die de stalkerware die ik heb uitgetest herkenden.

And here is another one where I managed to get 10,

En bij een ander geval kwam ik aan een resultaat van 10.

10 out of 61.

10 op 61.

So this is still some very bad results.

Dus dit zijn nog steeds hele slechte resultaten.

I have managed to convince a couple of antivirus companies

Ik heb een aantal antivirusbedrijven kunnen overtuigen

to start marking stalkerware as malicious.

om stalkerware als kwaadaardig te beschouwen.

So that all you have to do

Dus al wat je moet doen

if you're worried about having this stuff on your computer

als je vermoedt dat je stalkerware op je pc hebt staan,

is you download the program,

is dat je het programma downloadt,

you run a scan and it tells you

een scan uitvoert en dan vertelt het je:

"Hey, there's some potentially unwanted program on your device."

"Hé, er staat mogelijks een ongewild programma op je toestel."

It gives you the option of removing it,

Vervolgens kan je het verwijderen,

but it does not remove it automatically.

maar het doet dit niet automatisch.

And one of the reasons for that

En één van de redenen

is because of the way that abuse works.

heeft te maken met hoe misbruik werkt.

Frequently, victims of abuse aren't sure

Vaak zijn slachtoffers niet zeker

whether or not they want to tip off their abuser

of ze hun misbruiker wel willen alarmeren

by cutting off their access.

door hem de toegang te ontnemen.

Or they're worried that their abuser is going to escalate to violence

Of ze zijn bang dat hun misbruiker gewelddadig zal worden

or perhaps even greater violence

of nóg meer geweld zal gebruiken

than they've already been engaging in.

dan in het verleden.

Kaspersky was one of the very first companies

Kaspersky was een van de eerste bedrijven

that said that they were going to start taking this seriously.

die zeiden dat ze dit ernstig zouden nemen.

And in November of this year,

En in november dit jaar

they issued a report in which they said

publiceerden ze een rapport waarin stond

that since they started tracking stalkerware among their users

dat sinds ze stalkerware begonnen te tracken onder hun gebruikers,

that they had seen an increase of 35 percent.

ze een toename van 35 procent hadden vastgesteld.

Likewise, Lookout came out with a statement

Ook Lookout deed een verklaring

saying that they were going to take this much more seriously.

waarbij ze zeiden dat ze dit veel ernstiger zouden nemen.

And finally, a company called Malwarebytes also put out such a statement

Het bedrijf Malwarebytes deed een gelijkaardige verklaring

and said that they had found 2,500 programs

en zei dat ze 2500 programma's hadden gevonden

in the time that they had been looking,

sinds hun eerste screening

which could be classified as stalkerware.

die ze als stalkerware konden classificeren.

Finally, in November I helped to launch a coalition

Ten slotte hielp ik in november een coalitie te lanceren

called the Coalition Against Stalkerware,

onder de naam Coalition Against Stalkerware,

made up of academics,

waarvan de leden academici zijn,

people who are doing this sort of thing on the ground --

mensen die op het terrein met deze materie bezig zijn --

the practitioners of helping people to escape from intimate partner violence --

mensen die anderen helpen om te ontsnappen aan partnergeweld --

and antivirus companies.

en antivirusbedrijven.

And our goal is both to educate people about these programs,

Ons doel is om mensen te sensibiliseren over dit soort programma's,

but also to convince the antivirus companies

maar ook om antivirusbedrijven te overtuigen

to change the norm

om de normen te veranderen

in how they act around this very scary software,

rond hoe ze omgaan met deze zeer beangstigende software.

so that soon, if I get up in front of you

Zodat de volgende keer dat we elkaar zien

and I talk to you about this next year,

en ik het opnieuw over dit onderwerp heb,

I could tell you that the problem has been solved,

ik jullie kan vertellen dat het probleem opgelost is.

and all you have to do is download any antivirus

Dat jullie eender welk antivirusprogramma kunnen downloaden

and it is considered normal for it to detect stalkerware.

en dat het normaal is dat het stalkerware detecteert.

That is my hope.

Dat is mijn hoop.

Thank you very much.

Hartelijk dank.

(Applause)

(Applaus)