Oferecido por
Diferentes grupos privados de hackers e vigilância semelhantes a mercenários usaram o Facebook e o Instagram para atingir 50.000 pessoas em mais de 100 países, de acordo com uma investigação publicada recentemente pela Meta, empresa matriz do Facebook.
A existência de empresas privadas que usam ferramentas digitais sofisticadas para extrair segredos do trabalho e da vida privada das pessoas, às vezes como parte de esforços legítimos de aplicação da lei, mas também muitas vezes de maneiras questionáveis, é conhecida há algum tempo. Mas o debate público sobre vigilância sob demanda se concentrou apenas em um punhado de empresas e em suas respectivas capacidades, embora a crescente indústria de vigilância cibernética inclua centenas de empresas em todo o mundo. A pesquisa de Meta (que seus autores descreveram em detalhes em uma coletiva de imprensa em dezembro de 2021) fala de vigilância maciça do setor privado em uma escala nunca vista antes.
“Os mercenários cibernéticos costumam alegar que seus serviços e seu software de vigilância têm como objetivo focar no rastreamento de criminosos e terroristas”, disse Nathaniel Gleicher, chefe de política de segurança do Facebook. “Mas nossa investigação e outras semelhantes realizadas por pesquisadores independentes, por especialistas da indústria e do governo mostraram que a atividade é, na realidade, indiscriminada”.
Ele continuou: “Alertaremos aproximadamente 50.000 pessoas que acreditamos serem o alvo dessas empresas, em nossas plataformas e em outras. Eles incluem jornalistas, defensores dos direitos humanos, ativistas, dissidentes, clérigos, figuras da oposição política e suas famílias”.
Gleicher e sua equipe nomearam sete empresas de vigilância de todo o mundo que, segundo sua investigação, estavam realizando vigilância ilícita. As empresas possuem um vasto e diversificado conjunto de clientes, incluindo o governo dos Estados Unidos.
A Cobwebs Technologies, uma empresa israelense com escritórios e clientes nos Estados Unidos, acabou com 200 contas encerradas por coletar informações sobre alvos e que estavam envolvidas com engenharia social para revelar informações privadas. A empresa trabalha para a aplicação da lei, de acordo com os investigadores, e também é usada para atingir ativistas, políticos da oposição e funcionários do governo no México e em Hong Kong. A porta-voz do Cobwebs, Meital Levi Tal, disse a MIT Technology Review americana que a empresa não tinha conhecimento das descobertas da Meta e que “opera apenas de acordo com a lei e adere a padrões rígidos em relação à proteção da privacidade”.
A empresa israelense Cognyte perdeu 100 contas supostamente envolvidas no monitoramento de alvos, incluindo jornalistas e políticos em todo o mundo.
A Black Cube é uma empresa israelense associada a uma lista imensa de escândalos, incluindo seu histórico de espionagem de jornalistas. Investigadores do Facebook dizem que encontraram a empresa reunindo inteligência sobre uma vasta gama de alvos que vão desde ativistas palestinos a pessoas nas indústrias médica e energética e acadêmicos, especialmente dentro da Rússia. A Black Cube supostamente criou perfis falsos, como estudantes, defensores dos direitos humanos e produtores de filmes. Os pesquisadores observaram que a empresa normalmente fazia amizade com uma pessoa e depois fazia ligações para obter o endereço de e-mail do alvo, com o provável objetivo de realizar várias táticas, como ataques de phishing. Quando contatada para comentar, a empresa negou ter realizado qualquer operação de hacking e insistiu que todas as “atividades dos agentes estão em total conformidade com as leis locais”.
Outra organização israelense, a Bluehawk CI, já é conhecida por se passar por jornalistas e enganar seus alvos para a instalação de malware. O Facebook especificou que removeu 100 contas vinculadas a Bluehawk CI que concluíram serem amplamente utilizadas contra alvos, incluindo oponentes políticos do governo dos Emirados Árabes Unidos e empresários em todo o Oriente Médio.
A empresa indiana BellTroX atua há pelo menos sete anos na indústria de vigilância. O Facebook removeu 400 contas associadas à empresa que, segundo os investigadores, foram usadas para se passar por políticos e jornalistas e para realizar ataques de phishing contra vítimas, incluindo médicos, advogados, ativistas e membros do clero em Angola, Argentina, Arábia Saudita e Islândia.
A empresa Cytrox da Macedônia do Norte está envolvida principalmente em hacking, disseram os investigadores. A empresa tinha como alvo jornalistas e políticos em todo o mundo. A Cytrox faz parte de uma aliança de empresas de vigilância e inteligência conhecida como Intellexa. Executivos de outra empresa da Intellexa, a Nexa Technologies, foram indiciados no início de 2021 por seu suposto papel na espionagem e tortura de dissidentes na Líbia e no Egito.
Por fim, uma organização não identificada na China foi ligada a uma vasta operação de vigilância que incluiu o uso de engenharia social contra alvos e o desenvolvimento de malware para espionar grupos minoritários em Xinjiang, China, bem como em Mianmar e Hong Kong.
A Meta, empresa-mãe do Facebook, que em 2019 processou a empresa de hackers israelense NSO Group, enviou intimações para cada uma dessas empresas, assim como compartilhou alertas para as cerca de 50.000 vítimas que identificou. Os alertas informam às vítimas que “um agente sofisticado pode estar de olho em sua conta do Facebook” e, em seguida, recomendam etapas para proteger melhor sua conta, incluindo a realização de uma verificação de privacidade.
O objetivo final do trabalho, disseram os investigadores, é provocar uma discussão mais ampla sobre a indústria de vigilância sob demanda. Eles recomendam fortalecer a transparência e os procedimento KYC (sigla para Know Your Customer) aprofundando a colaboração da indústria para combater as empresas de vigilância e aumentando a responsabilidade por meio de novas leis, especialmente aquelas focadas em controle de exportação.
Os investigadores acrescentaram que nem todo o trabalho das empresas parece violar as leis e padrões éticos conhecidos. Algumas dessas empresas são conhecidas por usar o Facebook e o Instagram para realizar trabalhos legítimos de inteligência e aplicação da lei. Mas ambas as plataformas estabeleceram canais para as forças de segurança solicitarem legalmente os dados de uma forma que respeite o devido processo e transparência.
“O direcionamento que vemos dessas empresas não é assim”, disse Gleicher. “São ataques indiscriminados à sociedade. Essas empresas têm o objetivo de esconder quem são seus clientes. Se um governo estrangeiro quer dificultar as coisas para os defensores públicos, eles contratarão uma empresa como esta para criar uma cortina de fumaça entre suas ações e os danos que causam”.
Além das intimações e da remoção generalizada de contas, Gleicher não descartou ações judiciais futuras contra nenhuma das empresas infratoras. Ainda assim, os investigadores disseram que descobrir atividades de vigilância por aluguel provavelmente será um desafio constante.
“Quando vemos as redes envolvidas neste tipo de atividade, adotamos uma tática de aproximação de rede”, disse David Agranovich, diretor de interrupção de ameaças do Facebook. “Excluímos todas as suas atividades na plataforma ao mesmo tempo. E sabendo que são redes adversárias, trabalharemos para mantê-las fora de nossa plataforma”.
MIT Technology Review
