End-to-endversleuteling beschermt de overdracht; de apparaten die leesbare berichten verwerken, hebben nog steeds bescherming nodig.
End-to-endversleuteling beschermt berichten tussen apparaten. Ze maakt geen van beide apparaten immuun voor spyware. Pegasus en Graphite van Paragon illustreren dat onderscheid: aanvallers kunnen een telefoon binnendringen en daar beschikbare gegevens verzamelen zonder eerst de versleuteling van het berichtenprotocol te kraken.
Op een gecompromitteerde telefoon hoeft spyware niet per se te wachten tot je het scherm ontgrendelt of een chat opent. Wat een implantaat kan achterhalen, hangt af van zijn bevoegdheden, het besturingssysteem, de app en de beveiligingstoestand van het apparaat. Spyware alleen als schermlezer beschrijven, onderschat de dreiging.
Wat de onderzoeken naar Pegasus en Paragon daadwerkelijk aantonen
In Graphite Caught, gepubliceerd op 12 juni 2025, beschreef Citizen Lab forensische bevindingen over twee journalisten die op 29 april dreigingsmeldingen van Apple hadden ontvangen. De onderzoekers schreven de compromittering van het apparaat van één journalist met een hoge mate van zekerheid toe aan Graphite en stelden een gerelateerde zero-clickaanvalspoging tegen Ciro Pellegrino vast. Het rapport bracht de gevallen in verband met een aanval via iMessage en vermeldde dat Apple in iOS 18.3.1 maatregelen tegen de kwetsbaarheid had genomen. Dit zijn bevindingen over specifieke apparaten en aanvallen, geen bewijs dat elke telefoon of berichtenapp op dezelfde manier kwetsbaar is. Lees het onderzoek van Citizen Lab.
De Pegasus-analyse van Amnesty International van 16 juli 2026 onderzocht forensisch bewijsmateriaal en materiaal van NSO Group dat in gerechtelijke procedures was vrijgegeven. De analyse beschrijft hoe gegevens uit verschillende categorieën, waaronder berichten, oproepen, bestanden en foto's, van gecompromitteerde apparaten worden verzameld. Dat gaat verder dan het vastleggen van de chat die toevallig zichtbaar is. Lees de technische analyse van Amnesty.
De praktische conclusie is beperkter dan ‘de versleuteling heeft gefaald’: een apparaat dat leesbare berichten verwerkt, vormt zelf een belangrijke beveiligingsgrens.
Hoe spyware een versleuteld gesprek kan lezen
Een berichtenapp heeft aan de verzendende en ontvangende kant leesbare inhoud nodig. End-to-endversleuteling houdt die inhoud tussen beide uiteinden versleuteld; de noodzaak om de verwerkende software en hardware te vertrouwen, verdwijnt daarmee niet. Versleuteling tijdens de overdracht en versleuteling van opgeslagen apparaatgegevens lossen verschillende problemen op. De uitleg van EFF over versleuteling licht deze verschillen toe.
Gebruik deze tabel om dreigingen uit elkaar te houden die anders op één hoop belanden:
| Situatie | Wat kan worden blootgelegd | Relevante bescherming |
|---|---|---|
| Iemand bekijkt het netwerkverkeer | Versleuteld verkeer en bepaalde verbindingsgegevens | Correct geïmplementeerde, geauthenticeerde E2EE beschermt de berichtinhoud |
| Iemand krijgt een ontgrendelde telefoon in handen | Chats en andere informatie waartoe het apparaat toegang geeft | Apparaatvergrendeling, toegangscontrole en beheer van accounts en sessies |
| Spyware compromitteert een apparaat | Gegevens die met de bevoegdheden van het implantaat toegankelijk zijn | Beveiliging van besturingssysteem en apps, tijdige patches en specialistische incidentrespons |
| Een app heeft toegang tot meldingen | Meldingsinhoud die het besturingssysteem en de instellingen toelaten | Beperk toegang tot meldingen en berichtvoorbeelden |
| Een ontvanger kopieert een gesprek | De ontvangen inhoud | Vertrouwen in de ontvanger en zorgvuldig delen; versleuteling kan diens kopie niet intrekken |
Alleen een ander versleutelingsalgoritme kiezen, verwijdert geen malware. Tegelijk is een risico op het eindapparaat geen reden om E2EE op te geven: bescherming van het overdrachtstraject blijft waardevol.
Lekken via meldingen vormen een aparte, beperktere grens
Toegang tot Android-meldingen is niet hetzelfde als een exploit van het kaliber Pegasus. Een meldingslistener ontvangt gebeurtenissen van het meldingssysteem, binnen de grenzen van machtigingen en platformbeperkingen. De instellingen voor berichtvoorbeelden in de berichtenapp bepalen mede welke inhoud beschikbaar is. Android documenteert de API voor meldingslisteners.
Vermijd de bewering dat elke meldingslistener altijd elke eenmalige code kan lezen. Android 15 introduceerde het afschermen van gedetecteerde OTP-meldingen voor niet-vertrouwde listener-apps, met vastgelegde uitzonderingen. Zulke maatregelen maken een gecompromitteerde telefoon niet tot een vertrouwd eindapparaat. Bekijk de beveiligingswijzigingen van Android.
Controleer voor je dagelijkse privacy welke apps toegang tot meldingen hebben, trek onnodige toegang in en verberg gevoelige berichtvoorbeelden op het vergrendelscherm. Test het resultaat met een onschuldig bericht in plaats van aan te nemen dat de instelling werkt.
Wat je kunt doen als je je zorgen maakt over spyware
Begin met preventie die past bij je risico
Houd het besturingssysteem en de apps bijgewerkt, gebruik een sterke toegangscode voor je apparaat en beveilig belangrijke accounts met sterke authenticatie. Volgens Apple richt commerciële huurlingenspyware zich op een klein aantal geselecteerde personen, vaak vanwege hun werk of identiteit. Ook gewone accountdiefstal, schadelijke apps en fysieke toegang verdienen aandacht. Apples uitleg over dreigingsmeldingen.
Voor mensen die risico lopen op zeer gerichte aanvallen verkleint Apples Lockdown Mode (isolatiemodus) het aanvalsoppervlak door bepaalde functies te beperken. Dit verandert de werking van apps en websites en biedt geen garantie tegen elke aanval. Weeg de beperkingen af en schakel de modus in op de relevante ondersteunde apparaten als deze bij je risico past. Apples handleiding voor Lockdown Mode.
Behandel een geloofwaardige waarschuwing als een incident
Als je een dreigingsmelding van Apple ontvangt, controleer die dan door rechtstreeks in te loggen op je Apple Account in plaats van links uit een onverwacht bericht te volgen. Apple raadt deskundige hulp aan, waaronder de Digital Security Helpline van Access Now. Een echte melding vraagt je niet om een profiel te installeren of je wachtwoord per e-mail of telefoon door te geven. Hoe de meldingen van Apple werken.
Een telefoon die er schoon uitziet, is geen forensisch onderzoeksresultaat. De Mobile Verification Toolkit (MVT) is bedoeld voor opgeleide onderzoekers, niet voor zelfonderzoek door eindgebruikers. De documentatie waarschuwt dat openbare indicatoren op zichzelf niet kunnen aantonen dat een apparaat niet gecompromitteerd is. Zoek gekwalificeerde hulp in plaats van een scan zonder vondsten als bewijs van veiligheid te beschouwen. Reikwijdte en beperkingen van MVT.
Hoe je spywareclaims van een berichtendienst beoordeelt
Stel drie afzonderlijke vragen: Wat wordt versleuteld? Wie beschikt over de sleutels? Wat gebeurt er als een eindapparaat gecompromitteerd is? Een bruikbare beveiligingsbeschrijving beantwoordt alle drie, in plaats van een ‘spywarebestendige’ chat te beloven.
De gepubliceerde beveiligingsgrenzen en het dreigingsmodel van Livara beschrijven de versleuteling en erkennen dat malware, een ontgrendeld apparaat of een ontvanger onversleutelde inhoud kan blootleggen. Dit zijn beschrijvingen in productdocumentatie, geen onafhankelijke audit of belofte dat Livara besmetting met Pegasus of Graphite voorkomt.
Het Proof Lab kan helpen specifieke cryptografische demonstraties te onderzoeken en een APK te vergelijken met een vertrouwde controlesom. Een overeenkomende hash toont aan dat het bestand overeenkomt met die hashwaarde; hij bewijst niet dat de code vrij is van kwetsbaarheden en detecteert geen spyware elders op de telefoon. Dit is een nuttige controle met een afgebakende reikwijdte, geen vervanging voor beveiliging van het eindapparaat.
Veelgestelde vragen
Hebben deze onderzoeken aangetoond dat E2EE wiskundig is gekraakt?
De hier aangehaalde rapporten tonen geen dergelijke doorbraak aan. Ze beschrijven aanvallen op apparaten en de compromittering daarvan. Trek geen bredere conclusies dan het specifieke bewijsmateriaal van elk onderzoek rechtvaardigt.
Is berichtvoorbeelden verbergen genoeg om spyware tegen te houden?
Nee. Het beperkt één manier waarop meldingsinhoud kan worden blootgelegd. Een implantaat met verdergaande toegang tot het apparaat kan andere manieren hebben om gegevens te verzamelen.
Maakt een appvergrendeling een gecompromitteerde telefoon veilig?
Nee. Een appvergrendeling kan een drempel opwerpen voor iemand die zonder veel moeite toegang probeert te krijgen, maar de bescherming hangt af van de integriteit van het apparaat dat de vergrendeling afdwingt. Ze bewijst niet dat het besturingssysteem betrouwbaar is.
Kortom: Behoud E2EE, maar beoordeel die samen met apparaatbeveiliging, meldingsinstellingen en een realistisch responsplan. Een sterk versleuteld kanaal en een betrouwbaar eindapparaat zijn aanvullende beschermingslagen.
