NSO Groep blootgelegd in digitale spuionage

Een Israëlisch bedrijf, NSO Group, heeft de digitale advertentieketen ontmand en misbruikt tot een doeltreffende distributieketen voor spyware. Geen phishingmail, geen verdachte link. Gewoon een advertentie — net als die van jouw nieuwe wasmachine — die je besmet zodra je ernaar kijkt. Geen klik vereist. Geen fout gemaakt. Je bent gewoon online. En dat is genoeg.
De kern van het verhaal zit niet in de techniek, maar in de economie. Advertentieveilingen, ontworpen om schaal en efficiëntie te bieden aan merken die hun boodschap willen richten op een specifieke demografie, worden nu de sluipweg van keiharde surveillance. NSO Group, bekend van de Pegasus-spyware, heeft zich ingekocht in deze keten. Niet via brute kracht, maar via algoritmen die adverteerders toelaten om miljarden gebruikers in seconden te targeten. Alleen is hun product dit keer geen merk, maar malware.
Stel je voor: een reclamebanier voor een nieuw telefoontje, gesponsord door een onbekend bedrijf, geladen via een legitieme netwerkpartner. Gebruiker ziet het, browser laadt het — en op dat moment wordt exploitcode geactiveerd. Zero-click. Geen interactie. De toegang is binnen. Vanaf dan is je apparaat een luistervink in dienst van wie dan ook die betaalt. Journalisten, activisten, politici. Geen onschuldigen, alleen doelwitten.
De grote ironie? Deze infrastructuur werd gebouwd om transparantie en ROI te meten. Nu is het precies die efficiëntie die het systeem onhoudbaar maakt. Iedereen met een budget kan in theorie meedoen. En iedereen met een doel kan toeslaan. De digitale uitverkoop van privacy is compleet.
Wat volgt is geen technische upgrade, maar een structurele kapitaalafzet. De adtech-industrie, jarenlang gebouwd op het idee van ‘gerichte relevantie’, staat nu bloot als een systemisch risico. En geen enkele CMO die nu nog denkt dat programmatic advertising veilig is via ‘trusted partners’, begrijpt de waardeketen waar hij in investeert. Of hij doet alsof.
De volgende generatie cyberbedreigingen wordt niet gefinancierd door criminelen uit Oost-Europa, maar door bedrijven met kantoor op een businesspark. Met een vesting in de cloud en een contract dat niemand leest. De echte malware zit niet in de code — hij zit in de businessmodel.
De vraag is niet of dit tegen te houden is. De vraag is of de markt het wil. Want zolang er winst is, is er een weg. En die weg loopt nu dwars door jouw browsergeschiedenis.

Met zakelijke groet ,
Maurits Droogleever Fortuyn
Hoofdredacteur Redia.nl | Media Business