Die Sicherheitsforschung von Access Now und Lookout zeichnet ein detailliertes Bild einer gut organisierten Cyberoperation. Die Angreifer zielten auf die Apple- und Google-Konten der Journalisten ab und setzten dabei Täuschungstaktiken ein, die professionelle Standards erfüllen. Sie impersonifierten vertrauenswürdige Dienste wie Signal und andere Plattformen, um Phishing-Nachrichten glaubhaft zu gestalten.
Einer der Opfer, Mostafa Al-A’sar, ist ein bekannter Journalist und Menschenrechtsverteidiger, der fast vier Jahre in ägyptischer Haft verbrachte, bevor er flüchten konnte. Das zweite Ziel, Ahmed Eltantawy, war ebenfalls kritischer Berichterstatter über die ägyptische Regierung und wollte 2023 gegen Präsident Abdel Fattah al-Sisi antreten. Nach der Verhaftung von Unterstützern und Verwandten sowie einem Kampagnenverbot zog er seine Kandidatur zurück und wurde später inhaftiert.
Besonders bemerkenswert: Eltantawy war bereits Opfer des Predator-Spyware-Systems von Intellexa — ein Zeichen für die persistente Natur dieser Verfolgung. Die Citizen Lab dokumentierte Angriffe im September 2021 sowie zwischen Mai und September 2023.
Die Forschung offenbart eine gut strukturierte, wiederverwendbare Infrastruktur hinter den Angriffen. Overlapping Domains, gemeinsames Hosting und ähnliche Code-Strukturen deuten auf eine professionelle Operation hin. Die Angreifer hatten das Potenzial, über diese Infrastruktur Android-Spyware einzuschleusen — mit Möglichkeiten zum Zugriff auf Dateien, Kontakte, Nachrichten, Standortdaten und sogar zur Aktivierung von Mikrofonen und Kameras.
Marwa Fatafta von Access Now warnt: “Spear-Phishing-Kampagnen sind oft eine kostengünstigere Alternative zu spezialisierter Spyware oder komplementäre Werkzeuge dazu.” Besonders Journalisten im Nahen Osten und Nordafrika sollten ihre digitalen Praktiken verstärken.
Für die globale Cybersicherheitscommunity unterstreicht dieser Fall ein wachsendes Phänomen: Hack-for-Hire-Dienste werden zum bevorzugten Werkzeug von Regimen, die Dissidenten eliminieren wollen. Die dokumentierte asiatische Verbindung zeigt zudem, wie Cyberangriffe längst zu einem globalisierten Geschäftsmodell geworden sind.