Yahoo liet NSA meelezen in mails van gebruikers

De NSA vraagt, Yahoo luistert. Volgens Reuters kwam de e-mailprovider vorig jaar tegemoet aan een vraag van de NSA door een programma te schrijven dat alle binnenkomende e-mails van eigenaars van een Yahoo-mailadres kon lezen. Het programma scande miljoenen e-mails op zoek naar info waar de NSA of de FBI achter vroegen. Reuters brengt de informatie op het gezag van vier anonieme bronnen binnen Yahoo.

Grootschalig scannen

Welke informatie de Amerikaanse inlichtingendiensten precies zochten, is niet duidelijk. Het is wel de eerste keer dat er een bewijs is van een dergelijke systematische samenwerking tussen een technologiebedrijf en de diensten. Yahoo kwam immers niet tegemoet aan een enkele vraag voor informatie, maar installeerde in essentie een inlichtingensysteem bovenop zijn mail-infrastructuur waarmee alle binnenkomende e-mails in de gaten werden gehouden. Vermoedelijk zocht de software daar verkeer waarin specifieke kernwoorden of zinnen aan bod kwamen die interessant zouden zijn voor de NSA. Wat Yahoo precies aan de overheidsdiensten heeft doorgespeeld, is onduidelijk. Het is evenmin niet geweten of het hele programma diende om één persoon te klissen, dan wel om een systematische doorlichting te voorzien.

‘Wettelijke actie’

Yahoo zelf zegt in een mededeling een bedrijf te zijn “dat de wet volgt en handelt overeenkomstig de wetten van de VS.” Het suggereert daarbij dat het enkel zijn plicht deed door op een dergelijke verregaande manier tegemoet te komen aan de vragen van de NSA en de FBA. Google claimt dat het nog nooit een gelijkaardige vraag heeft gekregen, en dat het onder geen beding zou tegemoetkomen aan een dergelijke opdracht. Microsoft stelt dat het zich evenmin al ooit schuldig maakte aan dergelijke praktijken. Experten vertellen aan Reuters dat Yahoo het bevelschrift van de overheidsdienst perfect had kunnen aanvechten. Het is dan ook teleurstellend dat het bedrijf, dat veel populairder is in de VS dan bij ons, dat niet heeft gedaan.

Beveiligingslek

Het programma in kwestie was geschreven door Yahoo’s e-mailteam, zonder dat het beveiligingsteam er bij betrokken werd. Toen dat team enkele weken na de implementatie in mei 2015 de tool ontdekte, dacht het in eerste instantie dat het om een programma van hackers ging. De toenmalige beveiligingsbaas bij Yahoo, Alex Stamos, zou ontslag genomen hebben toen hij het voorval ontdekte omdat hij niet betrokken was bij de beslissing, die volgens hem gebruikers kwetsbaar maakte. Stamos voegt daaraan toe dat de scantool door een programmeerfout misbruikt kon worden door hackers om opgeslagen mails te bekijken.

In tegenstelling tot verkeer via bijvoorbeeld WhatsApp kunnen providers van mailadressen wel perfect aan de inhoud van je e-mails moesten ze dat willen. De mails zijn immers niet end-to-end versleuteld. Google maakt daar handig gebruik van door je e-mails automatisch te scannen op relevante inhoud. Zo weet de gigant aan de hand van vliegtickets wanneer je op reis vertrekt, waarna er een handige kaart in Google Now kan verschijnen. Dezelfde info wordt natuurlijk ook ingezet om advertenties te personaliseren.