Am 22. April 2018 nahmen die Behörden der VAE am Dubai International Airport Hanan Elatr, die Frau des saudischen Journalisten Jamal Khashoggi, fest. Um 10:14 Uhr lokale Zeit (Dubai) erreichte ein unbekannter Beamter der VAE ihren Android-Handy und navigierte manuell über den Chrome-Browser zu einem Pegasus-Infektionslink. Diese Website, die für das NSO-Konto der VAE-Regierung konfiguriert wurde, startete die stille Installation von Überwachungssoftware. Das Telefon übertraf 27 Statusberichte in 40 Sekunden und beendete den Kompromissprozess in 72 Sekunden.

Gleichzeitig wurden auch andere wichtige Mitarbeiter, darunter Omar Abdulaziz, Khashoggi's Hauptakteam an saudi-saudi-saudi-saudi-amerikanischen Oppositionsprojekten, von Pegasus kompromittiert, wie von Citizen Lab im Sommer 2018 dokumentiert wurde.

Trotz der öffentlichen Verleugnung des NSO-Gruppen-Chefs Shalev Hulio und der Behauptungen der Unternehmensanwälte bezüglich der technischen Unwahrscheinlichkeit einer manuellen Installation, hat die forensische Analyse von Bill Marczak die manuelle Eingabe der Pegasus-URL und der anschließenden Systemberichte des UAE-Betreibers endgültig festgestellt.Das breitere Pegasus-Projekt, das nach einem Leck von 50.000 potenziellen Zielen an Forbidden Stories und Amnesty International initiiert wurde, weit verbreitete staatliche Missbrauchsverhältnisse bestätigt, die Klienten wie Saudi-Arabien, die VAE und Ungarn impliziert haben, über 180 Journalisten und mehrere Staatsoberhäupter, darunter den französischen Präsidenten Emmanuel Macron, zu zielen.Diese dokumentierten Widersprüche zwischen Unternehmenserklärungen und forensischen Beweisen bestehen weiterhin.

RECOMMENDATION: Die laufenden Rechts- und Regulierungsmaßnahmen, einschließlich WhatsApp's erfolgreicher Klage, die am 6. Mai 2025 mit einer Schadensersatzersatzzahlung von 168 Millionen US-Dollar gipfelte, und die Platzierung der NSO Group auf der Entitätsliste des US-amerikanischen Handelsministeriums, unterstreichen die kritische Notwendigkeit einer nachhaltigen Rechenschaftspflicht innerhalb der kommerziellen Spyware-Industrie. Während diese Maßnahmen spezifische Verstöße behandeln und bestimmte Operationen einschränken, deutet die Verbreitung ähnlicher Tools durch andere Anbieter wie Intellexa, Candiru und QuaDream auf eine systemische Schwachstelle hin, die einen breiteren internationalen Regulierungsrahmen und Durchsetzung erfordert, um künftige Verletzungen der Menschenrechte und journalistischer Integrität zu verhindern.