Spyware die je met een abonnement kunt kopen
Het woord “stalkerware” verwijst naar een familie software die er volkomen gewoon uitziet: commerciële apps, verkocht via abonnement, vaak vermarkt als “ouderlijk toezicht” of “werknemersmonitoring”. Een bankkaart, tien tot veertig euro per maand, en iedereen krijgt een online dashboard dat het leven van een telefoon toont: berichten, continue GPS-locatie, foto's, browsegeschiedenis, gesprekslogboeken. Sommige kunnen zelfs de microfoon activeren.
Er komt geen technisch hoogstandje aan te pas. Geen geheime exploit, geen enkele regel code te schrijven. Het product is ontworpen om te worden geïnstalleerd door iemand zonder enige vaardigheid, in enkele minuten, op een telefoon die hij in handen heeft. Eenmaal geïnstalleerd houdt de app zich gedeisd: geen pictogram, een onschuldige procesnaam, niets op het scherm.
De omvang is moeilijk precies te meten, dit is software die gebouwd is om niet gezien te worden. De cijfers die we hebben zijn ondergrenzen, geen bovengrenzen: één enkele antivirusleverancier detecteert het elk jaar op tienduizenden telefoons wereldwijd, en de Coalition Against Stalkerware, die zo'n veertig organisaties samenbrengt, meldt dat het fenomeen niet afneemt. En dan gaat het alleen om toestellen met een beveiligingsapp: de rest duikt in geen enkele statistiek op.
Wie installeert deze apps? Een partner, een ex, een ouder die een grens overschrijdt, soms een werkgever. Laten we over één ding duidelijk zijn: in de meeste landen is het installeren van bewakingssoftware op de telefoon van een andere volwassene zonder diens toestemming een strafbaar feit, ongeacht de relatie tussen beide personen.
Vijf minuten fysieke toegang richten meer schade aan dan welk virus ook
Als er één idee is dat we je willen meegeven, dan is het dit, want het draait het gebruikelijke beeld van de dreiging om. Een telefoon op afstand hacken, zonder enige interactie van het slachtoffer, is buitengewoon moeilijk: de exploits die dat mogelijk maken worden voor miljoenen verhandeld en dienen voor staatsspionage, niet om een privépersoon te bespieden. De realistische weg is veel korter: je toegangscode kennen, en vijf minuten alleen zijn met je telefoon.
Op Android verloopt de installatie rechtstreeks: “onbekende bronnen” inschakelen, de app installeren, hem krachtige machtigingen toekennen (toegankelijkheid, apparaatbeheer), het pictogram verbergen. Op een iPhone is een spionage-app installeren aanzienlijk lastiger, dus verloopt het toezicht doorgaans via een andere weg: de inloggegevens van het Apple-account. Wie die kent, kan de back-ups, de locatie en de foto's lezen, zonder ook maar iets te installeren.
Het praktische gevolg is eenvoudig, en het kost niets: je ontgrendelcode is het eerste slot op je digitale leven. Een code die “uit vertrouwen” is gedeeld, een geboortedatum, jarenlang dezelfde code, daar begint alles. Hem veranderen, en voor jezelf houden, is een elementaire veiligheidsgewoonte. Net zoals je telefoon niet ontgrendeld laten rondslingeren.
De echte tekenen: en de valse
Laten we eerst de valse tekenen uit de weg ruimen, want ze voeden nutteloze bezorgdheid: een warme batterij, een telefoon die trager wordt, dataverbruik dat schommelt. Deze symptomen hebben duizend onschuldige oorzaken, een slecht geschreven app, een verouderende batterij, een recente update. Moderne bewakingssoftware is er specifiek op ontworpen om zich niet op die manier te verraden.
De tekenen die echt je aandacht verdienen liggen elders. Het eerste is helemaal niet technisch: iemand in je omgeving weet dingen die hij niet zou mogen weten, waar je was, wat je schreef, met wie je sprak. Dat signaal, wanneer het zich herhaalt, is meer waard dan welk batterijsymptoom ook.
Op de telefoon zelf zoek je naar wat structureel is: een app die je niet herkent met buitensporige machtigingen (toegankelijkheid, apparaatbeheerder), de optie “onbekende bronnen” ingeschakeld op Android zonder dat je je herinnert dat te hebben gedaan, een onbekend toestel dat is aangemeld bij je Google- of Apple-account, locatiedeling die je nooit hebt ingesteld. Deze controles bevinden zich in de instellingen, kosten enkele minuten en vergen geen bijzondere vaardigheid.
Wat je wel en wat je niet moet doen
Een begrijpelijke reflex is de app meteen te verwijderen. Dat is soms een vergissing: de meeste van deze software waarschuwt de persoon die hem heeft geïnstalleerd zodra hij stopt met rapporteren. Als die persoon deel uitmaakt van je dagelijks leven en de situatie je zorgen baart, kan een abrupte verwijdering de zaken verergeren. Documenteer in dat geval eerst (screenshots, datums) en zoek steun, de website van de Coalition Against Stalkerware, stopstalkerware.org, somt hulporganisaties land per land op.
Als je besluit te handelen, ga dan in deze volgorde te werk:
- →Verander je ontgrendelcode: geen geboortedatum, geen code die iemand uit je omgeving al kent.
- →Verander vanaf een ander toestel (de telefoon van een vriend, een vertrouwde computer) je e-mailwachtwoord, en vervolgens het wachtwoord van je Google- of Apple-account.
- →Bekijk de toestellen en sessies die bij die accounts zijn aangemeld, en verwijder alles wat je niet herkent.
- →Schakel tweefactorauthenticatie in voor je e-mail en je hoofdaccount.
- →Als laatste redmiddel wist een fabrieksreset vrijwel al deze software: op voorwaarde dat je de telefoon daarna met nieuwe wachtwoorden instelt, niet vanuit een gecompromitteerde back-up.
Wat Trasimène doet
De app-monitoring van Trasimène vergelijkt geïnstalleerde apps continu met lijsten van bekende bewakingssoftware die op de server worden bijgewerkt, en signaleert verraderlijke machtigingscombinaties: een onzichtbare app die toegankelijkheid, automatisch starten en permanente achtergrondactiviteit combineert heeft vrijwel nooit een legitieme reden om te bestaan.
Laten we eerlijk zijn over de grenzen, want dat is precies waar het hier om draait: geen enkele beveiligingsapp ziet alles. Toezicht dat via de inloggegevens van een Apple- of Google-account verloopt raakt de telefoon nooit aan, het duikt op in de accountinstellingen, niet in een scan. Daarom loodst dit artikel je door beide controles, niet alleen die welke wij automatiseren.
Er is geen reden tot paranoia: het toezicht dat dit artikel beschrijft valt niet uit de lucht, het komt van dichtbij, en je voorkomt het met eenvoudige gewoontes, een eigen code, een goed vergrendeld account, af en toe een blik op je machtigingen. Als de technische kant op een dag niet volstaat, omdat de situatie het toestel overstijgt, bestaan er in de meeste landen organisaties om te helpen. De controles zelf kosten tien minuten. Het loont om ze één keer te doen, en om ze af en toe te herhalen.
- Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
- Coalition Against Stalkerware, "About", stopstalkerware.org
- Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
- Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021
Controleer de apps op je telefoon