Segurança do WhatsApp foi comprometida por brecha em sistema de ligação — Foto: REUTERS/Thomas White
A brecha nas chamadas de áudio do WhatsApp, confirmada pela companhia nesta terça-feira (14), trouxe à tona também o NSO Group, uma empresa de cibersegurança israelense pouco conhecida, mas que é cercada de polêmicas.
O grupo é responsável pelo software espião Pegasus, capaz de coletar quase todas as informações de um celular — ligações, câmera, contatos e mensagens, entre outros. Esse programa teria sido usado por hackers na falha no WhatsApp. A NSO nega envolvimento no caso.
Pesquisadores afirmam que o ataque tem “todas as características de uma empresa privada que supostamente trabalha com os governos” para entregar um spyware que assume as funções dos sistemas operacionais de telefonia móvel.
Em nota ao G1, um porta-voz do NSO Group disse que a companhia vende o Pegasus, mas não opera o sistema. A venda se dá, segundo o porta-voz, depois de uma "rigorosa análise" dos compradores, exclusivamente para governos e para agentes de segurança de Estados que investigam e combatem criminosos e terroristas.
“Agentes da lei e de inteligência determinam como usar a tecnologia, para suporte a missões de segurança pública. Nós investigamos qualquer alegação crível de mau uso e, se necessário, tomamos ação, incluindo a derrubada do sistema”, disse o porta-voz.
O software é capaz de monitorar a troca de mensagens do smartphone atingido e até permitir ao invasor acessar o GPS do aparelho, mostrando onde o dono do celular esteve. Gravar imagens e áudios usando câmera e microfone do aparelho também estão na lista do que o Pegasus consegue fazer.
Por ser tão poderoso e específico, estima-se que o Pegasus seja negociado por milhões de dólares. De acordo com a agência Reuters, em 2015, o NSO tinha vendas anuais de mais de US$ 75 milhões.
O programa espião da empresa apareceu pela primeira vez em 2016, quando o Pegasus foi usado para invadir e espionar um ativista de direitos humanos nos Emirados Árabes Unidos.
“O NSO é uma empresa muita quieta e multimilionária conhecida justamente por esse tipo de serviço”, afirma Alexandre Bonatti, diretor de engenharia de sistemas da empresa de segurança digital Fortinet no Brasil. “A posição deles é que comercializam um software, não que fazem espionagem. Os produtos são só vendidos para governos. Mas isso é bastante controverso, há casos de governos que já usaram o Pegasus para perseguição, como Arábia Saudita e México”.
Polêmicas no México e Arábia Saudita
De 2016 pra cá, a tecnologia foi mencionada como a ferramenta utilizada em uma série de ataques polêmicos, como para espionar pessoas próximas do jornalista do “Washington Post” Jamal Khashoggi, morto em um consulado saudita na Turquia em outubro de 2018.
O ativista canadense Omar Abdulaziz, que teve contato com o jornalista saudita, foi vítima do Pegasus e moveu uma ação contra a empresa israelense por acreditar que a espionagem foi realizada ilegalmente por autoridades sauditas.
No México, são conhecidos 24 casos do uso do software e as vítimas dos ataques incluem ativistas anticorrupção, advogados, políticos e até o filho de uma jornalista. Muitos deles recebiam mensagens SMS com um link suspeito que, se fosse clicado, seria o suficiente para instalar o Pegasus no smartphone.
O centro de pesquisas Citizen Lab, vinculado à Universidade de Toronto, já divulgou relatórios que apontam que o Pegasus pode ter sido utilizado até no Brasil.
Mapa montado pelo Citizen Lab com países que registraram atividade do Pegasus no ano passado. — Foto: Citizen Lab/Creative Commons
“A grande maioria das legislações de dados permitem esse tipo de espionagem, desde que isso seja usado para garantir a segurança nacional. O NSO é conhecido justamente por explorar esse ponto”, disse Bonatti.
Grupos de direitos humanos, como a Anistia Internacional, denunciam os ataques feitos pelo NSO Group, e querem que o governo de Israel tome providências para impedir a empresa de exportar o software Pegasus.
“O Ministério da Defesa de Israel ignorou as evidências ligando o NSO Group a ataques em defensores de direitos humanos”, disse a vice-diretora de tecnologia da Anistia Internacional, Danna Ingleton, em carta nesta terça-feira. “ Enquanto produtos como o Pegasus forem comercializados sem controle próprio e supervisão, os direitos e a segurança de ativistas, jornalistas e dissidentes ao redor do mundo estarão sob risco”.
Segundo Bonatti, da Fortinet, não é ilegal que a empresa comercialize esse software, dentro das regras do governo de Israel. “A ilegalidade está quando um governo utiliza desse meio para um fim diferente que não seja a segurança nacional”, afirma o especialista.
Ataques no WhatsApp
A falha do WhatsApp foi primeiro reportada pelo jornal britânico “Financial Times” e posteriormente confirmada pela empresa, em nota oficial, que afirmou que o problema já havia sido corrigido.
Além de um advogado e um ativista britânicos, ouvidos pelo "Financial Times", não se sabe quantas pessoas foram infectadas. As notícias da brecha varreram o mundo e preocuparam os 1,5 bilhão de usuários do WhatsApp — muitos deles no Brasil.
A empresa assegurou que, logo após tomar conhecimento dos ataques, alertou organizações de direitos humanos (que estavam entre as vítimas da espionagem), empresas de segurança cibernética e o Departamento de Justiça dos EUA.
O que se sabe é que a falha explorava um problema que existia no sistema de ligação do WhatsApp: o atacante ligava para o telefone que seria invadido antes mesmo de o usuário atender ao telefone. Depois de feita a invasão, até mesmo o histórico de ligações poderia ser apagado.
A diferença desse ataque para outros que envolvem o Pegasus é que ele não requer uma interação do alvo. Em outros casos, era necessário que o usuário clicasse em um link enviado por mensagem: agora apenas receber a ligação seria o suficiente para ser atingido.