Estamos assistindo

Um novo vazamento de dados mostrou que ativistas, políticos e jornalistas ao redor do mundo foram alvos de espionagem por parte de governos autoritários. Uma lista de mais de cinquenta mil números telefônicos foi obtida por duas organizações jornalísticas, a Forbidden Stories e a Anistia Internacional, mostrando que tais indivíduos foram selecionados como ‘pessoas de interesse’ por clientes governamentais do Grupo NSO, empresa de tecnologia e vigilância israelense. A espionagem foi feita através do software Pegasus, um spyware capaz de invadir aparelhos telefônicos, permitindo que todos os arquivos do celular sejam extraídos e que o operador da ferramenta grave chamadas ou ative microfones e câmeras secretamente.

A Anistia Internacional e a Forbidden Stories, uma organização francesa de mídia sem fins lucrativos, inicialmente tiveram acesso à lista vazada e compartilharam o acesso com parceiros de imprensa, criando o projeto Pegasus, um consórcio de reportagem sobre o caso.

O que é o Pegasus?

Pegasus é um spyware de última linha – o mais poderoso já desenvolvido por uma empresa privada em toda história. Após se infiltrar em seu telefone, sem que você note, ele pode rapidamente transformá-lo em um dispositivo de vigilância – copiando mensagens enviadas ou recebidas, colhendo suas fotos e gravando suas ligações. Ele pode filmá-lo secretamente através das câmeras do seu dispositivo ou ativar o microfone para gravar suas conversas. Além disso, também pode identificar onde você está, onde esteve e quem conheceu.

A primeira versão do software, identificada por pesquisadores em 2016, infectava dispositivos por meio do que é chamado de spear-phising, mensagens de texto ou e-mails que enganam o alvo para que clique em um link malicioso.

Desde então, as capacidades de ataque do grupo NSO tornaram-se mais avançadas. As infecções por Pegasus podem ser obtidas por meio dos chamados ataques de “clique zero”, que sequer requerem interação do proprietário do telefone para terem sucesso. Frequentemente, eles exploram vulnerabilidades de “dia zero” – falhas ou bugs em um sistema operacional que o fabricante do telefone celular ainda não conhece e, portanto, não conseguiu consertar.

Em 2019, o WhatsApp revelou que o software da NSO foi usado para enviar malware para mais de mil telefones, explorando uma vulnerabilidade de “dia zero”. Fazendo uma chamada através do WhatsApp para um dispositivo alvo, o software poderia ser instalado no telefone, mesmo que o alvo nunca atendesse a chamada. Recentemente, a empresa israelense também começou a explorar vulnerabilidades no software iMessage da Apple, muito utilizado por norte-americanos, dando-lhe acesso backdoor a centenas de milhões de dispositivos. A Apple declara que está continuamente atualizando seu sistema para evitar tais ataques.

O que está nos vazamentos?

O vazamento contém uma lista de mais de cinquenta mil números telefônicos de alvos dos clientes da empresa nos últimos cinco anos. Entre alguns clientes da empresa, estão países autoritários e de extrema-direita. A presença de um número de telefone nos dados não confirma se um dispositivo foi infectado com Pegasus ou sujeito a uma tentativa de invasão. Entretanto, o consórcio acredita que os dados são indicativos dos alvos potenciais dos clientes da empresa israelense, identificados com antecedência para possíveis tentativas de vigilância.

Também há um número pequeno de telefones fixos e números dos Estados Unidos, que a empresa afirma serem “tecnicamente impossíveis” de acessar com suas ferramentas – muito provavelmente tal afirmação é feita por conta dos diversos acordos de cooperação econômica e militar entre os Estados Unidos e Israel. Isso, para o consórcio, indica que alguns alvos foram selecionados especificamente por clientes da empresa, embora não pudessem ser infectados com o software.

Exames forenses conduzidos pelo Laboratório de Segurança da Anistia Internacional em uma pequena amostra de números telefônicos da lista encontraram correlações entre a hora e a data de um número nos dados e o início da atividade de Pegasus – em alguns casos, apenas alguns segundos.

A Anistia Internacional examinou 67 smartphones em que havia suspeitas de ataques. Desses, 23 foram infectados com sucesso e 14 mostraram sinais de tentativa de penetração. Para os 30 restantes, os testes foram inconclusivos. Quinze dos telefones eram dispositivos Android, nenhum dos quais apresentava evidências de infecção bem-sucedida. No entanto, ao contrário dos iPhones, os telefones que usam o sistema Android não registram os tipos de informações necessárias para o trabalho de detetive da Anistia. Três telefones desse tipo mostraram sinais de direcionamento, como mensagens SMS vinculadas ao malware Pegasus.

Eles também compartilharam “cópias de backup” de quatro iPhones com o Citizen Lab, grupo de pesquisa da Universidade de Toronto que se especializou em estudar Pegasus, que confirmou sinais de infecção por Pegasus. O Citizen Lab também conduziu uma revisão por pares dos métodos forenses da Anistia e considerou-os sólidos.

Quem são os clientes e os alvos?

Mais de cento e oitenta jornalistas são citados nos dados, entre eles repórteres, editores e executivos de grandes organizações de imprensa ao redor do mundo. A espionagem desses profissionais veio, em sua maioria, a pedido de clientes governamentais – sobretudo de Estados autoritários.

Um desses clientes é a Hungria, que possui um extenso histórico de afrontas à liberdade de imprensa após a vitória de Viktor Orbán, radical da extrema-direita europeia. De acordo com a análise forense de vários dispositivos móveis feita pelo projeto Pegasus, os registros incluem o número de pelo menos dez advogados, um político da oposição e cinco jornalistas que seriam alvos da empresa israelense. Telefones de dois jornalistas parceiros do consórcio investigativo foram infectados com sucesso por meio do spyware, incluindo Szabolcs Panyi, repórter conhecido com uma ampla gama de fontes nos círculos diplomáticos e de segurança nacional na Hungria. A análise forense de seu dispositivo pelo Laboratório de Segurança da Anistia Internacional declarou conclusivamente que fora repetidamente comprometido por Pegasus em 2019 durante um período de sete meses – muitas vezes, a infecção de seus dispositivos vinha logo após pedidos de comentários ou entrevistas feitos por Panyi a funcionários do governo húngaro.

Registros também mostram que o repórter mexicano Cecilio Pineda Birto constava na lista como pessoa de interesse para um cliente de mesma nacionalidade poucas semanas antes de seu assassinato. Seu telefone nunca foi encontrado pelas autoridades, tampouco familiares, logo, não foi possível realizar uma análise forense para comprovar que havia sido infectado.

O grupo NSO afirma que, mesmo que o telefone do repórter fosse um alvo, isso não significa que os dados coletados contribuiriam de alguma forma para seu assassinato – enfatizando que os governos poderiam ter descoberto sua localização por outros meios. 

Entretanto, Pineda não é o único jornalista assassinado que, de alguma forma, possui uma relação, direta ou indireta, com o software. Uma investigação conjunta do Guardian e outra mídia, baseada em dados vazados e análise forense de telefones, descobriu novas evidências de que o spyware da empresa foi usado para tentar monitorar pessoas próximas ao jornalista Jamal Khashoggi antes e após seu assassinato.

Em um caso, uma pessoa do círculo íntimo de Khashoggi foi hackeada quatro dias após seu assassinato, de acordo com a análise forense de seu dispositivo. A investigação aponta para uma aparente tentativa da Arábia Saudita e de seu aliado próximo, os Emirados Árabes Unidos, de aproveitar a tecnologia de espionagem do NSO após a morte de Khashoggi para monitorar seus associados e a investigação de assassinato na Turquia, chegando a selecionar o telefone do promotor-chefe de Istambul para vigilância potencial .

Khashoggi foi executado e esquartejado no consulado saudita na capital da Turquia, Istambul, em outubro de 2018. Embora a investigação do consórcio aponte, principalmente, para o alvejamento de aliados próximos a Khashoggi nos meses após o assassinato, também identificou evidências que sugerem que um cliente do NSO mirou o telefone de sua esposa, Hanan Elatr, meses antes de sua morte, entre novembro de 2017 e abril de 2018.

Um exame forense do telefone de Elatr descobriu que ela recebeu quatro mensagens de texto que continham links maliciosos conectados a Pegasus. A análise, de acordo com o consórcio investigativo, indicou que o direcionamento veio dos Emirados Árabes Unidos, um aliado saudita. No entanto, o exame não confirmou se o dispositivo havia sido infectado com sucesso. “Jamal me avisou antes que isso poderia acontecer”, disse Elatr, em entrevista para o jornal britânico The Guardian. “Isso me faz acreditar que eles estão cientes de tudo o que aconteceu a Jamal através de mim.” Ela acrescentou temer que as conversas dele com outros dissidentes pudessem ter sido monitoradas por meio de seu telefone. 

Agências de inteligência dos Estados Unidos – importante aliado comercial da Arábia Saudita – concluíram que o príncipe herdeiro do país, Mohammed bin Salman, foi o responsável por ordenar o assassinato de Khashoggi, um ex-membro do governo cujas críticas ao regime do reino nas páginas do Washington Post foram vistas como uma ameaça ao Herdeiro saudita.

Pegasus está no Brasil?

Não há uma data confirmada de quando o software foi inicialmente ofertado para autoridades brasileiras, mas ele foi anunciado em público pela primeira vez em 6 de agosto de 2018. Isso ocorreu durante um encontro do Sistema Nacional de Prevenção e Repressão a Entorpecentes (Siren), um congresso organizado anualmente para a categoria policial. Pode parecer confuso diante a tudo que falamos anteriormente – o Pegasus é, normalmente, usado por agências de inteligência, não forças policiais. Na realidade, há uma publicidade por trás do software que tenta criar uma ilusão: a de que o spyware serve para combater o terrorismo, e só. 

Durante o encontro, Alexandre Custódio Neto, delegado federal, subiu ao palco para anunciar que o software havia sido ofertado para o Brasil por $2,7 milhões de dólares – o equivalente a mais de 10 milhões de reais, hoje em dia. O preço incluía sete “licenças” – a possibilidade de acessar sete aparelhos simultaneamente. Após isso, o delegado explicou que tanto a Polícia Federal, quanto a Procuradoria-Geral da República (PGR) que estavam juntas na negociação com o grupo NSO, estudavam com os israelenses uma maneira de auditar o software – já que sem esse processo, o conteúdo captado pelo spyware não poderia ser usado como prova judicial. E isso era um obstáculo na negociação.

Essa informação foi reportada inicialmente pela ÉPOCA, através de um policial não identificado. “O Ministério Público Federal (MPF) pediu para tornar o software auditável, para ficar parecido com o Sombra e o Guardião”, disse o policial, em referência aos sistemas de interceptação costumeiramente usados no Brasil. “A PGR em Brasília fez a recomendação à NSO (NSO Group) para que desenvolvesse um sistema que pudesse ser auditado. Só serviria se fosse para usar como prova quando necessário. Eles (NSO Group) então desenvolveram um sistema de auditagem”. Procuradas pela ÉPOCA e pelo Jornal O Globo, a PF e a PGR negaram ter participado de negociações com a NSO Group. “Não adquirimos”, disse Custódio a ÉPOCA, sobre o Pegasus. “Fizemos apenas um teste de conceito”.

Curiosamente, um dos responsáveis pela venda, Luciano Alves de Oliveira, no Brasil foi impedido de conceder entrevistas pelo grupo NSO, no qual é funcionário. “Garanto a você que não no Brasil, não na Colômbia, não nos Estados Unidos, não em Israel, não em qualquer lugar do mundo. Nós não confirmamos nenhum tipo de cliente. Nós não vamos… A gente preza pela privacidade”, afirmou em entrevista Marcelo Comité, funcionário da empresa israelense e um dos responsáveis pela venda do software ao Brasil.

Desde então, não há nenhum tipo de confirmação se o software está ou não no Brasil. No entanto, há especulações de que ele foi utilizado em processos políticos ou judiciais ao longo dos anos.

E agora?

Em meio à enorme lista de números telefônicos, cerca de menos de duzentos alvos foram expostos publicamente até o momento. Isso certamente indica que, cedo ou tarde, mais dados serão revelados.
A violação de privacidade por parte de Estados autoritários e empresas privadas não é nenhuma novidade. Ao longo de anos, décadas, existem denunciantes que arriscam suas vidas e futuros para expor ações criminosas tomadas por governos e gestões, como o uso do software Pegasus.

É importante ressaltar que, em meio a uma nova era distópica, é extremamente necessário que jornalistas e profissionais da comunicação disponham de ferramentas para se proteger virtualmente – como criptografia, configuração em duas etapas, entre outras. Não há qualquer forma de impedir que governos autoritários tentem cercear a liberdade de imprensa – afinal, antes, tentavam fazer isso através da violência coercitiva, hoje, através da espionagem. O mais recomendável é ter conhecimento do que você pode fazer, em esfera pessoal, para minimizar os erros e lutar ativamente para novas regulamentações diante de tais softwares.