Ein ehemaliges Mitglied des innerstaatlichen Geheimdienstes Marokkos lieferte Einblicke in den weitreichenden Einsatz von Hacking-Software, darunter Pegasus-Spyware. Diese Informationen enthüllten, wie der nordafrikanische Staat Pegasus zur Zielerfassung von Journalisten, Menschenrechtsverteidigern, französischen Politikern sowie spanischen Kabinettsmitgliedern und Polizeibeamten nutzte. Pegasus, das von der israelischen NSO Group hergestellt wurde, ermöglichte dem Betreiber den Zugriff auf sämtliche Daten eines Zielhandys, darunter E-Mails, Textnachrichten und Fotos. Es erlaubte zudem die Aktivierung der Kamera und des Auf recorders, wodurch das Gerät zu einem Abhörgerät wurde.
Obwohl die NSO Group behauptete, Pegasus sei ausschliesslich für Regierungen zur Verfolgung von Kriminellen und Terroristen bestimmt, wurde vermutet, dass die Spyware von mehreren Ländern zur Zielerfassung von Dissidenten, Journalisten, Diplomaten und Politikern eingesetzt wurde. Marokko bestritt lange Zeit den Einsatz von Pegasus zur Verfolgung von Kritikern, behauptete jedoch, dass Berichterstatter, die die NSO Group untersuchten, keine Verbindung zum Unternehmen nachweisen konnten. Ein Hinweis aus den internen Sicherheitsdiensten Marokkos, gemäss einem Whistleblower, der für die Direction Générale de la Surveillance du Territoire (DGST) fast ein Jahrzehnt arbeitete, deutete jedoch darauf hin, dass die internen Sicherheitsdienste Marokkos Pegasus bereits im Jahr 2017 einsetzten und es über vier Jahre hinweg gegen nationale und ausländische Ziele einsetzten.
Die Aussage des Quellen, bekannt unter dem Pseudonym Safir, bildete die Grundlage für eine mehrjährige Untersuchung des marokkanischen Journalisten Hicham Mansouri. Diese führte zu einer gemeinsamen Ermittlung mehrerer Medienorganisationen, unterstützt durch das Sicherheitslabor von Amnesty International. Das Konsortium, koordiniert von Forbidden Stories und bestehend aus vierzehn Medienorganisationen – darunter Le Monde, Haaretz, El Confidencial, Die Zeit und The Guardian – analysierte Material, das Marokkos Überwachungspraktiken detailliert darlegte. Dies umfasste geleakte E-Mails, Zielprotokolle bezüglich Pegasus und anderer Spyware sowie Zeugenaussagen von Opfern und internes Schulungsmaterial.
Beweise aus der Untersuchung zeigten, dass Vertreter der NSO Group hochrangigen marokkanischen Geheimdienstoffiziere und technischen Experten im Jahr 2017 in einer Villa in Rabat eine detaillierte Demonstration neuer Technologien, einschliesslich Pegasus, zeigten. Die Quelle berichtete, dass das Haus als „FSSYS Villa“ bezeichnet wurde, nach FSSYS Maroc, der marokkanischen Niederlassung des in den Vereinigten Arabischen Emiraten ansässigen Überwachungsintermediärs al-Fahad, welcher die Immobilie häufig für solche Demonstrationen nutzte. Es wurde angenommen, dass die Anwesenden das revolutionäre Potenzial von Pegasus sofort erkannten, da seine Ferninfektionsfähigkeit bedeutete, dass sie nicht mehr physisch auf die Mobiltelefone ihrer Ziele zugreifen mussten. Die Vertreter der NSO infizierten eine Reihe von Testtelefonen und aktivierten fern die Kameras, schalteten Mikrofone ein und ließen Daten sowie Nachrichten abrufen.
Der Whistleblower vermutete, dass die kostspielige Spyware ein Geschenk der Vereinigten Arabischen Emirate gewesen sei. Er bemerkte: „Millionen für die Emiraten, das ist nichts. Die Emirate kauften es und verteilten es an freundliche Dienste. Man könnte es wie Netflix sehen: Ein Freund bezahlt das Abonnement, und andere nutzen sein Konto.“ Vor der Einführung von Pegasus durch die DGST stützte sich der Dienst auf eine Mischung aus traditioneller menschlicher Aufklärung, der Zielerfassung von Terminals in Internetcafés und der Überzeugung von Ladenbesitzern, Mobiltelefone mit anderer Spyware vorinfiziert zu verkaufen. Der neue, kostspielige Spyware wurde nur für hochrangige Ziele eingesetzt, nachdem günstigere und weniger raffinierte Optionen erschöpft waren. „Wir beginnen nie mit Pegasus“, erklärten die Quellen. „Es ist die Waffe des Monsters.“
Beweise aus der journalistischen Untersuchung, betitelt „Pegasus-Projekt: Hinter den marokkanischen Spionage-Maschine“, zeigten, dass im September 2017 vier einzigartige marokkanische Mobilfunknummern als Pegasus-Ziele ausgewählt wurden, scheinbar zur Erprobung des aufkommenden Systems in Marokko. Diese Nummern waren mit Mitarbeitern der DGST verknüpft und dienten zur Bestimmung der Fähigkeiten der Spyware. Die geleakte Datenbank, die im Zentrum einer früheren Pegasus-Untersuchung stand, enthüllte, dass die Nummern marokkanischer Journalisten und Menschenrechtsverteidiger in demselben Monat – September 2017 – in das Pegasus-System eingetragen wurden. Schon bald erstreckte sich die Zielerfassung über die Grenzen Marokkos hinaus. Eine spanische Mobilfunknummer von Aminatou Haidar, einer prominenten Menschenrechtsaktivistin aus dem Westsahara, befand sich in der geleakten Datenbank und wurde bereits 2018 von Pegasus angegriffen. Spuren der Spyware fanden sich zudem im November 2021 auf einem zweiten Telefon von Haidar. Darüber hinaus befand sich eine spanische Mobilfunknummer des Journalisten Ignacio Cembrero, dessen Arbeit sich auf den Maghreb konzentrierte, in der Pegasus-Projekt-Datenbank. Insgesamt wiesen die Aufzeichnungen des Pegasus-Projekts über 200 spanische Mobilfunknummern auf, die für die Zielerfassung durch den Nutzer Marokkos ausgewählt wurden. Im Mai 2022 enthüllte die spanische Regierung, dass die Mobiltelefone des Premierministers Pedro Sánchez und des Verteidigungsministers Margarita Robles in Mai und Juni 2021 mit Pegasus-Spyware infiziert waren.
Die Zielerfassung erfolgte zu einer Zeit, in der Madrid und Rabat in einer angespannten diplomatischen Auseinandersetzung über Spaniens Entscheidung standen, dem Leiter der Polisario Front, der den Kampf für die Unabhängigkeit des Westsahara von Marokko führte, eine Covid-19-Behandlung in einem Krankenhaus im Norden Spaniens zu gestatten. Es stellte sich später heraus, dass auch die Telefone des spanischen Innenministers Fernando Grande-Marlaska und des Ministeriums für Landwirtschaft Luis Planas angegriffen wurden. Wiederholte gerichtliche Versuche, die Nutzung von Pegasus zur Zielerfassung des spanischen Kabinetts aufzudecken, scheiterten. Ein Untersuchungsrichter beendete die Untersuchung ursprünglich im Juli 2023, eröffnete sie jedoch wenige Monate später erneut, nachdem die französischen Behörden Informationen über den Einsatz von Pegasus zur Infektion der Mobiltelefone französischer Minister, Abgeordneter, Anwälte und Journalisten geliefert hatten. Er schob die Untersuchung jedoch im Januar dieses Jahres erneut zurück, unter Berufung auf einen chronischen Mangel an Kooperation der israelischen Behörden – einschliesslich der Nichtbeantwortung seiner Bitte um eine Stellungnahme vom Chef der NSO, was gegen „das Prinzip des guten Glaubens“ zwischen den Ländern verstoss.
Dennoch deutet eine jüngste Analyse darauf hin, dass die DGST für die Zielerfassung der hochrangigen spanischen Politiker verantwortlich war. Material aus dem Pegasus-Projekt – einschliesslich Gerichtsdokumente – zeigte, dass einer der Angreifer-Accounts, der dem Pegasus-System Marokkos zugewiesen wurde und zur Zielerfassung von Politikern, Journalisten und Menschenrechtsverteidigern in Frankreich eingesetzt wurde, auch zur Zielerfassung der Telefone von Robles und Grande-Marlaska diente. Dennoch präsentierte Grande-Marlaska letztes Jahr Abdellatif Hammouchi, den Generaldirektor der DGST, die höchste Ehre der Guardia Civil, einer Gendarmerie, die sowohl dem Innen- als auch dem Verteidigungsministerium unterstellt ist. Dieser Schritt kam bei einer Guardia Civil-Gewerkschaft nicht gut an, die erklärte, die Verleihung der Auszeichnung „an einen Mann, der internationale Anschuldigungen wegen Menschenrechtsverletzungen und Spionage erlitten hatte“, sei eine Beleidigung der Würde der Beamten. Noch gravierender waren geleakte Dokumente, Fotos und Zeugenaussagen von spanischen Sicherheitskräften sowie einem ehemaligen marokkanischen Geheimdienstagenten, die zeigten, dass die DGST ihr technisches Wissen nutzte, um Zugang zu den Kommunikationen von Guardia Civil-Beamten zu suchen, die nach Marokko reisten, um ihr Terrorismus-Expertise auszutauschen. Die persönliche Telefonnummer eines hochrangigen Guardia Civil-Beamten erschien fünfmal auf der Liste der Pegasus-Ziele, die vom Endnutzer Marokko ausgewählt wurden. Ein ehemaliger DGST-Beamter sagte dem Konsortium: „Wir spionieren jeden“, und fügte hinzu, dass eine solche gezielte Überwachung „vorsichtshalber“ durchgeführt wurde. Ein hochrangiger Guardia Civil-Beamter beschrieb die Enthüllungen über die Überwachung seiner Truppe als „ein Verrat“. Obwohl Beamte der spanischen Polizeibehörde Policía Nacional strenge Vorsichtsmassnahmen bei Reisen nach Marokko anwendeten – einschliesslich der Nutzung separater Mobilgeräte für sensible Informationen –, hielt die Guardia Civil davon ab, dass solche Vorsichtsmassnahmen bei der Zusammenarbeit mit einem Verbündeten notwendig seien. „Wir haben es nicht getan, weil wir vermuteten, dass wir gespioniert werden würden“, erklärte ein hochrangiger Geheimdienstoffizier.
Weitere Beweise dafür, dass Marokko Pegasus nutzte, traten letztes Jahr auf, nachdem Meta, WhatsApps Muttergesellschaft, NSO Group in den USA wegen der Ausnutzung ihrer Messaging-Plattform zur Zielerfassung von Personen verklagt hatte. Eine ungesehene, redigierte Präsentation, die dem Vorstand der Muttergesellschaft von NSO Group, Q Cyber Technologies, Anfang August 2018 vorgelegt wurde, enthielt eine Liste von Pegasus-Endnutzer-Codenamen. Berichten des israelischen Zeitungs Haaretz zufolge erhielten Länder, die Pegasus nutzten, einen Namen basierend auf dem Anfangsbuchstaben des Landes und dem Namen eines Automobilherstellers. Subaru wurde beispielsweise früher als Saudi-Arabien identifiziert. Morgan wurde nun als Marokko identifiziert, nachdem ehemalige NSO-Mitarbeiter dem Konsortium bestätigt hatten, dass Marokko ein Pegasus-Endnutzer war und unter diesem Codenamen bekannt war. Im November 2021 wurde die NSO Group von den Vereinigten Staaten auf eine schwarze Liste gesetzt, nachdem die Regierung von Joe Biden festgestellt hatte, dass das Unternehmen „gegen die ausländischen Politik- und Sicherheitsinteressen der USA gehandelt hatte“. Drei Wochen später berichtete die israelische Finanzzeitung Calcalist, dass das israelische Verteidigungsministerium Importe israelischer Cybersicherheitstechnologie in eine Reihe von Ländern, einschliesslich Marokko und den Vereinigten Arabischen Emiraten, verbot. Die Untersuchung fand nach Ende 2021 keine Beweise für eine durch Pegasus unterstützte Überwachung in Marokko. Die NSO Group, die marokkanische Regierung, die Behörden der VAE und al-Fahads Muttergesellschaft wurden um Stellungnahmen gebeten, ebenso wie die spanische Regierung und ihre Innen-, auswärtigen und Verteidigungsministerien.