Conheça PEGASUS, o Spyware Israelense privado usado para hackear celulares de jornalistas, ativistas e de todos que são contra o Sionismo em todo o Mundo

Spyware de nível militar licenciado por uma empresa israelense para governos para rastrear terroristas e criminosos foi usado em tentativas e sucesso hacks de 37 smartphones pertencentes a jornalistas, ativistas de direitos humanos, executivos de negócios e duas mulheres próximas ao jornalista saudita assassinado Jamal Khashoggi, de acordo com uma investigação do The Washington Post e 16 parceiros de mídia.

Os telefones apareceram em uma lista de mais de 50.000 números que estão concentrados em países conhecidos por se envolverem na vigilância de seus cidadãos e também conhecidos por serem clientes da empresa israelense, nso group, um líder mundial na crescente e amplamente não regulamentada indústria de spyware privado, a investigação descobriu.

A lista não identifica quem colocou os números nele, ou por quê, e não se sabe quantos dos telefones foram alvo ou vigiados. Mas a análise forense dos 37 smartphones mostra que muitos exibem uma correlação apertada entre os carimbos de tempo associados a um número na lista e o início da vigilância, em alguns casos tão breve quanto alguns segundos.

A Forbidden Stories, uma organização sem fins lucrativos de jornalismo com sede em Paris, e a Anistia Internacional, um grupo de direitos humanos, tiveram acesso à lista e compartilharam com as organizações de notícias, que fizeram mais pesquisas e análises. O Laboratório de Segurança da Anistia fez as análises forenses nos smartphones.

Os números da lista não são atribuídos, mas os repórteres conseguiram identificar mais de 1.000 pessoas que abrangem mais de 50 países através de pesquisas e entrevistas em quatro continentes: vários membros da família real árabe, pelo menos 65 executivos de negócios, 85 ativistas de direitos humanos, 189 jornalistas e mais de 600 políticos e funcionários do governo — incluindo ministros do gabinete, diplomatas e oficiais militares e de segurança. O número de vários chefes de Estado e primeiros-ministros também apareceu na lista.

Entre os jornalistas cujos números aparecem na lista, que data de 2016, estão repórteres trabalhando no exterior para várias organizações de notícias líderes, incluindo um pequeno número da CNN, da Associated Press, da Voz da América, do New York Times, do Wall Street Journal, da Bloomberg News, do Le Monde na França, do Financial Times em Londres e da Al Jazeera no Catar.

O direcionamento dos 37 smartphones parece entrar em conflito com o propósito declarado do licenciamento da NSO do spyware Pegasus, que a empresa diz ser destinado apenas para uso em terroristas e grandes criminosos. As evidências extraídas desses smartphones, reveladas aqui pela primeira vez, questionam promessas da empresa israelense de policiar seus clientes por abusos de direitos humanos.

O consórcio de mídia, intitulado Projeto Pegasus, analisou a lista por meio de entrevistas e análises forenses dos telefones, e comparando detalhes com informações previamente relatadas sobre o NSO. O Laboratório de Segurança da Anistia examinou 67 smartphones onde os ataques eram suspeitos. Destes, 23 foram infectados com sucesso e 14 apresentaram sinais de tentativa de penetração.

Para os 30 restantes, os testes foram inconclusivos, em vários casos porque os telefones haviam sido substituídos. Quinze dos telefones eram dispositivos Android, nenhum dos quais mostrou evidências de infecção bem sucedida. No entanto, ao contrário dos iPhones, os Androids não registram os tipos de informações necessárias para o trabalho de detetive da Anistia. Três telefones Android mostraram sinais de segmentação, como mensagens SMS ligadas à Pegasus.

A Anistia compartilhou cópias de backup de dados em quatro iPhones com o Citizen Lab, que confirmaram que eles mostraram sinais de infecção pela Pegasus. O Citizen Lab, um grupo de pesquisa da Universidade de Toronto especializado em estudar a Pegasus, também realizou uma revisão por pares dos métodos forenses da Anistia e descobriu que eles eram sólidos.

Em longas respostas antes da publicação, a NSO chamou as conclusões da investigação de exageradas e infundadas. Também disse que não opera o spyware licenciado para seus clientes e "não tem nenhuma visão" de suas atividades específicas de inteligência.

Após a publicação, o executivo-chefe da NSO, Shalev Hulio, expressou preocupação em uma entrevista por telefone ao The Post sobre alguns dos detalhes que ele havia lido nas histórias do Projeto Pegasus no domingo, enquanto continuava a contestar que a lista de mais de 50.000 números de telefone tinha algo a ver com NSO ou Pegasus.

"A empresa se preocupa com jornalistas, ativistas e sociedade civil em geral", disse Hulio. "Entendemos que, em algumas circunstâncias, nossos clientes podem usar indevidamente o sistema e, em alguns casos como relatamos no Relatório de Transparência e Responsabilidade [da NSO], desligamos sistemas para clientes que usaram indevidamente o sistema."

Ele disse que nos últimos 12 meses a NSO havia rescindido dois contratos por alegações de abusos de direitos humanos, mas ele se recusou a nomear os países envolvidos.

"Todas as alegações sobre o uso indevido do sistema estão em relação a mim", disse ele. "Isso viola a confiança que damos aos clientes. Estamos investigando todas as alegações."

A NSO descreve seus clientes como 60 agências de inteligência, militares e policiais em 40 países, embora não confirme as identidades de nenhum deles, citando obrigações de confidencialidade do cliente. O consórcio encontrou muitos dos números de telefone em pelo menos 10 grupos de países, que foram submetidos a análises mais profundas: Azerbaijão, Bahrein, Hungria, Índia, Cazaquistão, México, Marrocos, Ruanda, Arábia Saudita e Emirados Árabes Unidos. O Citizen Lab também encontrou evidências de que todos os 10 foram clientes da NSO, de acordo com Bill Marczak, pesquisador sênior.

A Publics proibiu a investigação do consórcio de mídia, e a Anistia forneceu análise e suporte técnico, mas não teve nenhuma contribuição editorial. A Anistia criticou abertamente o negócio de spyware da NSO e apoiou um processo mal sucedido contra a empresa em um tribunal israelense que busca ter sua licença de exportação revogada. Após o início da investigação, vários repórteres do consórcio descobriram que eles ou seus familiares tinham sido atacados com sucesso com spyware da Pegasus.

Mais de 50.000 números de smartphones aparecem em uma lista de telefones concentrados em países conhecidos por se envolverem em vigilância em seus cidadãos e também conhecidos por serem clientes do NSO Group, uma empresa israelense que é líder mundial em cibersupervigilância. Os números abrangem mais de 50 países ao redor do mundo.

O maior número foi no México, onde mais de 15.000 números, incluindo aqueles pertencentes a políticos, representantes sindicais, jornalistas e outros críticos do governo, estavam na lista.

Uma grande parcela do número estava no Oriente Médio, incluindo no Catar, nos Emirados Árabes Unidos, no Bahrein e no Iêmen. Os Emirados Árabes Unidos, a Arábia Saudita e o Bahrein estão entre os clientes da NSO.

Na Índia, o número de telefones pertencentes a centenas de jornalistas, ativistas, políticos da oposição, funcionários do governo e executivos de negócios estavam na lista, assim como números em vários outros países da região, incluindo Azerbaijão, Cazaquistão e Paquistão.

Mais de 1.000 números franceses estavam na lista. Na Hungria, números associados a pelo menos dois magnatas da mídia estavam entre centenas na lista, e os telefones de dois jornalistas que trabalhavam foram alvos e infectados, mostrou a análise forense.

Além das invasões pessoais possibilitadas pela vigilância de smartphones, o uso generalizado de spyware surgiu como uma ameaça líder às democracias em todo o mundo, dizem os críticos. Jornalistas sob vigilância não podem reunir notícias confidenciais sem colocar em risco a si mesmos e suas fontes. Políticos da oposição não podem traçar suas estratégias de campanha sem aqueles no poder antecipando seus movimentos. Os trabalhadores de direitos humanos não podem trabalhar com pessoas vulneráveis - algumas das quais são vítimas de seus próprios governos - sem expô-los a abusos renovados.

Por exemplo, a perícia da Anistia encontrou evidências de que a Pegasus foi alvo das duas mulheres mais próximas do colunista saudita Khashoggi, que escreveu para a seção Opiniões do Post. O telefone de sua noiva, Hatice Cengiz, foi infectado com sucesso durante os dias após seu assassinato na Turquia em 2 de outubro de 2018, de acordo com uma análise forense do Laboratório de Segurança da Anistia. Também estavam na lista o número de dois oficiais turcos envolvidos na investigação de seu desmembramento por uma equipe de ataque saudita. Khashoggi também tinha uma esposa, Hanan Elatr, cujo telefone foi alvo de alguém usando Pegasus nos meses antes de sua morte. A Anistia não conseguiu determinar se o hack foi bem sucedido.

"Este é um software desagradável - como eloquentemente desagradável", disse Timothy Summers, ex-engenheiro de segurança cibernética de uma agência de inteligência dos EUA e agora diretor de TI da Arizona State University. Com ele "pode-se espionar quase toda a população mundial. ... Não há nada de errado em construir tecnologias que permitam coletar dados; é necessário às vezes. Mas a humanidade não está em um lugar onde podemos ter tanto poder acessível a qualquer um."

Em resposta a perguntas detalhadas do consórcio antes da publicação, a NSO disse em comunicado que não operava o spyware licenciado aos clientes e não tinha acesso regular aos dados coletados. A empresa também disse que suas tecnologias ajudaram a prevenir ataques e bombardeios e quebraram anéis que traficavam drogas, sexo e crianças. "Simplificando, o NSO Group está em uma missão que salva vidas, e a empresa executará fielmente esta missão sem impedimentos, apesar de toda e qualquer tentativa contínua de desacredita-la por motivos falsos", disse a NSO. "Suas fontes forneceram informações que não têm base factual, como evidenciado pela falta de documentação de suporte para muitas das reivindicações."

A empresa negou que sua tecnologia tenha sido usada contra Khashoggi, ou seus parentes ou associados.

"Como a NSO declarou anteriormente, nossa tecnologia não estava associada de forma alguma com o assassinato hediondo de Jamal Khashoggi. Isso inclui ouvir, monitorar, rastrear ou coletar informações. Investigamos anteriormente essa alegação, imediatamente após o assassinato hediondo, que novamente, está sendo feito sem validação."

Thomas Clare, um advogado de difamação contratado pela NSO, disse que o consórcio tinha "aparentemente interpretado mal e descaracterizado dados cruciais de origem nos quais se baseava" e que seus relatórios continham suposições e erros factuais falhos.

"O NSO Group tem boas razões para acreditar que essa lista de 'milhares de números de telefone' não é uma lista de números visados por governos que usam a Pegasus, mas, em vez disso, pode fazer parte de uma lista maior de números que podem ter sido usados pelos clientes do NSO Group para outros fins", escreveu Clare.

Em resposta às perguntas de acompanhamento, a NSO chamou o número de 50.000 de "exagerado" e disse que era muito grande para representar números direcionados por seus clientes. Com base nas perguntas que estava sendo feitas, disse a NSO, ela tinha razões para acreditar que o consórcio estava baseando suas descobertas "na interpretação enganosa de dados vazados de informações básicas acessíveis e abertas, como os serviços HLR Lookup, que não têm qualquer influência na lista dos clientes alvos da Pegasus ou de qualquer outro produto NSO ... ainda não vemos nenhuma correlação dessas listas com qualquer coisa relacionada ao uso de tecnologias do Grupo NSO."

O termo HLR, ou Home Location Register, refere-se a um banco de dados essencial para operar redes de telefonia celular. Esses registros mantêm registros nas redes de usuários de celulares e suas localizações gerais, juntamente com outras informações de identificação que são usadas rotineiramente no encaminhamento de chamadas e textos. Os serviços de busca HLR operam no sistema SS7 que as operadoras de telefonia celular usam para se comunicarem entre si. Os serviços podem ser usados como um passo para espionar alvos.

O especialista em segurança de telecomunicações Karsten Nohl, cientista-chefe dos Laboratórios de Pesquisa de Segurança em Berlim, disse que não tem conhecimento direto dos sistemas da NSO, mas que as pesquisas de HLR e outras consultas SS7 são amplamente e baratas usadas pela indústria de vigilância — muitas vezes por apenas dezenas de milhares de dólares por ano.

"Não é difícil conseguir esse acesso. Dado os recursos do NSO, seria loucura assumir que eles não têm acesso ao SS7 de pelo menos uma dúzia de países", disse Nohl. "De uma dúzia de países, você pode espionar o resto do mundo."

A Pegasus foi projetada há uma década por ex-ciberespiões israelenses com habilidades aprimoradas pelo governo. O Ministério da Defesa israelense deve aprovar qualquer licença para um governo que queira comprá-la, de acordo com declarações anteriores da NSO.

"Por uma questão de política, o Estado de Israel aprova a exportação de produtos cibernéticos exclusivamente para entidades governamentais, para uso legal e apenas com o propósito de prevenir e investigar crimes e contraterrorismo, sob certificados de uso final/usuário final fornecidos pelo governo adquirente", disse um porta-voz do estabelecimento de defesa israelense no domingo. "Nos casos em que os itens exportados são usados em violação de licenças de exportação ou certificados de uso final, medidas apropriadas são tomadas."

Os números de cerca de uma dúzia de americanos trabalhando no exterior foram descobertos na lista, em todos, exceto em um caso, enquanto usavam telefones registrados em redes celulares estrangeiras. O consórcio não pôde realizar análises forenses na maioria desses telefones. A NSO diz há anos que seu produto não pode ser usado para vigiar telefones americanos. O consórcio não encontrou evidências de penetração de spyware bem sucedida em telefones com o código de país dos EUA.

"Também mantemos nossas declarações anteriores de que nossos produtos, vendidos a governos estrangeiros controlados, não podem ser usados para realizar cibersurveilância nos Estados Unidos, e nenhum cliente jamais recebeu tecnologia que lhes permitiria acessar telefones com números dos EUA", disse a empresa em seu comunicado. "É tecnologicamente impossível e reafirma o fato de que as alegações de suas fontes não têm mérito."

COMO O SPYWARE PEGASUS FUNCIONA?

Alvo: Alguém envia o que é conhecido como um link de armadilha para um smartphone que convence a vítima a tocar e ativar — ou se ativa sem qualquer entrada, como nos hacks mais sofisticados de "zero-click".

Infectar: O spyware captura e copia as funções mais básicas do telefone, mostram materiais de marketing NSO, gravação das câmeras e microfone e coleta de dados de localização, registros de chamadas e contatos.

Faixa: O implante relata secretamente essa informação a um agente que pode usá-la para mapear detalhes sensíveis da vida da vítima.

A Apple e outros fabricantes de smartphones estão há anos em um jogo de gato e rato com nso e outros fabricantes de spyware.

"A Apple condena inequivocamente ataques cibernéticos contra jornalistas, ativistas de direitos humanos e outros que buscam fazer do mundo um lugar melhor", disse Ivan Krstić, chefe de Engenharia e Arquitetura de Segurança da Apple. "Por mais de uma década, a Apple liderou a indústria em inovação em segurança e, como resultado, os pesquisadores de segurança concordam que o iPhone é o dispositivo móvel de consumo mais seguro e seguro do mercado. Ataques como os descritos são altamente sofisticados, custam milhões de dólares para se desenvolver, muitas vezes têm uma vida útil curta e são usados para atingir indivíduos específicos. Embora isso signifique que eles não são uma ameaça para a esmagadora maioria de nossos usuários, continuamos trabalhando incansavelmente para defender todos os nossos clientes, e estamos constantemente adicionando novas proteções para seus dispositivos e dados."

Algumas técnicas de intrusão da Pegasus detalhadas em um relatório de 2016 foram alteradas em questão de horas após serem tornadas públicas, ressaltando a capacidade da NSO de se adaptar às contramedidas.

A Pegasus foi projetada para evitar defesas em iPhones e dispositivos Android e deixar poucos vestígios de seu ataque. Medidas de privacidade familiares, como senhas fortes e criptografia, oferecem pouca ajuda contra a Pegasus, que pode atacar telefones sem qualquer aviso aos usuários. Ele pode ler qualquer coisa em um dispositivo que um usuário pode, ao mesmo tempo em que rouba fotos, gravações, registros de localização, comunicações, senhas, registros de chamadas e postagens em redes sociais. O Spyware também pode ativar câmeras e microfones para vigilância em tempo real.

"Não há nada do ponto de vista da criptografia para proteger contra isso", disse Claudio Guarnieri, conhecido como "Nex", pesquisador italiano de 33 anos do Anistia Security Lab que desenvolveu e realizou a perícia digital em 37 smartphones que mostraram evidências de ataques da Pegasus.

Essa sensação de desamparo faz guarnieri, que muitas vezes se veste de preto, se sentir tão inútil quanto um médico do século XIV confrontando a Peste Negra sem qualquer medicação útil. "Principalmente, estou aqui apenas para manter a contagem de mortes", disse ele.

O ataque pode começar de formas diferentes. Ele pode vir de um link malicioso em uma mensagem de texto SMS ou um iMessage. Em alguns casos, o usuário deve clicar no link para iniciar a infecção. Nos últimos anos, as empresas de spyware desenvolveram o que eles chamam de ataques de "zero-click", que fornecem spyware simplesmente enviando uma mensagem para o telefone de um usuário que não produz nenhuma notificação. Os usuários nem precisam tocar em seus telefones para que as infecções comecem.

Muitos países têm leis relativas a escutas telefônicas tradicionais e interceptação de comunicações, mas poucos têm salvaguardas eficazes contra invasões mais profundas possibilitadas pela invasão de smartphones. "Isso é mais desonesto em certo sentido porque realmente não se trata mais de interceptar comunicações e ouvir conversas. ... Isso abrange todos eles e vai muito além disso", disse Guarnieri. "Isso levantou muitas questões não só dos direitos humanos, mas até mesmo das leis constitucionais nacionais sobre isso mesmo legal?"

Clare, advogada do NSO, atacou os exames forenses como "uma compilação de suposições especulativas e infundadas" baseada em suposições baseadas em relatórios anteriores. Ele também disse: "A NSO não tem conhecimento das atividades específicas de inteligência de seus clientes."

As descobertas do Projeto Pegasus são semelhantes às descobertas anteriores da Anistia, Citizen Lab e organizações de notícias em todo o mundo, mas a nova reportagem oferece uma visão detalhada das consequências pessoais e escala de vigilância e seus abusos.

O consórcio analisou a lista e encontrou clusters de números com códigos de países semelhantes e foco geográfico que se alinham com relatórios anteriores e pesquisas adicionais sobre clientes do NSO no exterior. Por exemplo, o México foi previamente identificado em relatórios e documentos publicados como um cliente NSO, e as entradas na lista são agrupadas por código de país mexicano, código de área e geografia. Em vários casos, os clusters também continham números de outros países.

Em resposta a perguntas de repórteres, porta-vozes dos países com clusters negaram que a Pegasus foi usada ou negou que seu país tivesse abusado de seus poderes de vigilância.

O gabinete do primeiro-ministro húngaro Viktor Orban disse que qualquer vigilância realizada por essa nação é feita de acordo com a lei.

"Na Hungria, os órgãos estatais autorizados a usar instrumentos secretos são regularmente monitorados por instituições governamentais e não governamentais", disse o escritório. "Você fez as mesmas perguntas dos governos dos Estados Unidos da América, do Reino Unido, da Alemanha ou da França?"

As autoridades marroquinas responderam: "Deve-se lembrar que as alegações infundadas publicadas anteriormente pela Anistia Internacional e transmitidas pela Forbidden Stories já foram objeto de uma resposta oficial das autoridades marroquinas, que rejeitaram categoricamente essas alegações."

Vincent Biruta, ministro das Relações Exteriores de Ruanda, também negou o uso da Pegasus.

"O Ruanda não usa esse sistema de software, como confirmado anteriormente em novembro de 2019, e não possui essa capacidade técnica de forma alguma", disse Biruta. "Essas falsas acusações fazem parte de uma campanha em curso para causar tensões entre Ruanda e outros países, e para semear desinformação sobre Ruanda interna e internacionalmente."

Alguns expressaram indignação até com a sugestão de espionar jornalistas.

Um repórter do jornal francês Le Monde trabalhando no Projeto Pegasus recentemente fez tal pergunta ao ministro da Justiça húngaro Judit Varga durante uma entrevista sobre os requisitos legais para escuta:

"Se alguém lhe pedisse para gravar um jornalista ou um oponente, você não aceitaria isso?"

"Que pergunta!" Varga respondeu. "Isso é uma provocação em si mesmo!" Um dia depois, seu escritório solicitou que essa pergunta e sua resposta a ela "fossem apagadas" da entrevista.

No passado, a NSO culpou seus países clientes por quaisquer supostos abusos. A NSO lançou seu primeiro "Relatório de Transparência e Responsabilidade" no mês passado, argumentando que seus serviços são essenciais para as agências de aplicação da lei e inteligência que tentam acompanhar o século 21.

"Organizações terroristas, cartéis de drogas, traficantes de pessoas, anéis pedófilos e outros sindicatos criminosos hoje exploram recursos de criptografia fora da prateleira oferecidos por aplicativos de mensagens móveis e comunicações.

"Essas tecnologias fornecem aos criminosos e suas redes um porto seguro, permitindo que eles 'se ausitem' e evitem a detecção, comunicando-se através de sistemas de mensagens móveis impenetráveis. A aplicação da lei e as agências estatais antiterrorismo em todo o mundo têm lutado para acompanhar."

A NSO também disse que realiza revisões rigorosas dos registros de direitos humanos de potenciais clientes antes de contrair com eles e investiga denúncias de abusos, embora não tenha citado nenhum caso específico. Afirmou que descontinuou contratos com cinco clientes por violações documentadas e que a due diligence da empresa custou US$ 100 milhões em receita perdida. Uma pessoa familiarizada com as operações da NSO que falou sob a condição de anonimato para discutir assuntos internos da empresa observou que, apenas no ano passado, a NSO havia rescindido contratos com a Arábia Saudita e Dubai nos Emirados Árabes Unidos por questões de direitos humanos.

"A Pegasus é muito útil para combater o crime organizado", disse Guillermo Valdes Castellanos, chefe da agência de inteligência doméstica do México CISEN de 2006 a 2011. "Mas a total falta de controles e equilíbrios [em agências mexicanas] significa que ele facilmente acaba em mãos privadas e é usado para ganhos políticos e pessoais."

O México foi o primeiro cliente estrangeiro da NSO em 2011, menos de um ano depois que a empresa foi fundada no Vale do Silício de Israel, no norte de Tel Aviv.

Em 2016 e 2017, mais de 15.000 mexicanos apareceram na lista examinada pelo consórcio de mídia, entre eles pelo menos 25 repórteres que trabalham para os principais meios de comunicação do país, de acordo com os registros e entrevistas.

Uma delas foi Carmen Aristegui, uma das mais proeminentes jornalistas investigativas do país e colaboradora regular da CNN. Aristegui, que é rotineiramente ameaçado por expor a corrupção de políticos e cartéis mexicanos, foi anteriormente revelado como um alvo da Pegasus em vários relatórios da mídia. Na época, ela disse em uma entrevista recente, que seu produtor também foi alvo. Os novos registros e forenses mostram que links da Pegasus foram detectados no telefone de sua assistente pessoal.

"A Pegasus é algo que vem ao seu escritório, à sua casa, à sua cama, a cada canto de sua existência", disse Aristegui. "É uma ferramenta que destrói os códigos essenciais da civilização."

Ao contrário de Aristegui, o repórter autônomo Cecilio Pineda era desconhecido fora de seu estado de Guerrero, no sul da violência. Seu número aparece duas vezes na lista de 50.000. Um mês após a segunda listagem, ele foi baleado enquanto estava deitado em uma rede em um lava-jato enquanto esperava por seu carro. Não está claro qual papel, se houver, a capacidade da Pegasus de geolocalizar seus alvos em tempo real contribuiu para seu assassinato. O México está entre os países mais mortíferos para os jornalistas; 11 foram mortos em 2017, de acordo com o Repórteres Sem Fronteiras.

"Mesmo que as Histórias Proibidas estivessem corretas de que um cliente do Grupo NSO no México tinha como alvo o número de telefone do jornalista em fevereiro de 2017, isso não significa que o cliente do NSO Group ou os dados coletados pelo software NSO Group estavam de alguma forma ligados ao assassinato do jornalista no mês seguinte", escreveu Clare, advogada do NSO, em sua carta ao Forbidden Stories. "Correlação não é igual a causalidade, e os atiradores que assassinaram o jornalista poderiam ter aprendido de sua localização em um lava-jato público através de qualquer número de meios não relacionados ao NSO Group, suas tecnologias ou seus clientes."

O Ministério da Segurança Pública do México reconheceu no ano passado que a agência de inteligência doméstica, a CISEN, e a procuradoria-geral adquiriram a Pegasus em 2014 e interromperam seu uso em 2017, quando a licença expirou. A mídia mexicana também informou que o Ministério da Defesa usou o spyware.

NSA E EDWARD SNOWDEN

A próspera indústria internacional de spyware de hoje remonta a décadas atrás, mas ganhou um impulso após a divulgação sem precedentes em 2013 de documentos altamente confidenciais da Agência de Segurança Nacional pelo empreiteiro Edward Snowden. Eles revelaram que a NSA poderia obter as comunicações eletrônicas de quase qualquer um porque tinha acesso secreto aos cabos transnacionais que transportavam tráfego de Internet em todo o mundo e dados de empresas de Internet como o Google e empresas gigantes de telecomunicações, como a AT&T.

Até mesmo os aliados dos EUA na Europa ficaram chocados com a escala abrangente da espionagem digital americana, e muitas agências de inteligência nacional se propus a melhorar suas próprias habilidades de vigilância. Empresas com fins lucrativos com aposentados de agências de inteligência viram um mercado lucrativo em espera livre das regulamentações governamentais e supervisão imposta a outras indústrias.

A dramática expansão da criptografia de ponta a ponta pelo Google, Microsoft, Facebook, Apple e outras grandes empresas de tecnologia também levou as autoridades policiais e de inteligência a reclamar que perderam o acesso às comunicações de alvos criminosos legítimos. Isso, por sua vez, provocou mais investimentos em tecnologias, como a Pegasus, que funcionava mirando dispositivos individuais.

"Quando você constrói um edifício, você quer ter certeza de que o prédio se mantém, então seguimos certos protocolos", disse Ido Sivan-Sevilla, especialista em governança cibernética da Universidade de Maryland. Ao promover a venda de ferramentas de vigilância privadas não regulamentadas, "incentivamos a construção de edifícios que possam ser arrombados. Estamos construindo um monstro. Precisamos de um tratado de normas internacionais que diga que certas coisas não estão bem."

Sem normas e regras internacionais, existem acordos secretos entre empresas como a NSO e os países que atendem.

O uso irrestrito de um spyware militar como a Pegasus pode ajudar os governos a suprimir o ativismo cívico em um momento em que o autoritarismo está em ascensão em todo o mundo. Também dá a países sem a sofisticação técnica de nações líderes como os Estados Unidos, Israel e China a capacidade de conduzir uma ciberespionagem digital muito mais profunda do que nunca.

O Azerbaijão, um aliado de longa data de Israel, foi identificado como um cliente da NSO pelo Citizen Lab e outros. O país é uma cleptocracia familiar sem eleições livres, sem sistema judicial imparcial e sem mídia independente. O antigo território soviético é governado desde que a União Soviética entrou em colapso há 30 anos pela família Aliyev, cujo roubo da riqueza do país e esquemas de lavagem de dinheiro no exterior resultaram em embargos estrangeiros, sanções internacionais e acusações criminais.

Apesar das dificuldades, cerca de três dúzias de repórteres do Azerbaijão continuam documentando a corrupção da família. Alguns estão escondidos dentro do país, mas a maioria foi forçada ao exílio onde não são tão fáceis de capturar. Alguns trabalham para a Radio Free Europe/Radio Liberty, com sede em Praga, financiada pelos EUA, que foi expulsa do país em 2015 por sua reportagem. Os outros trabalham para uma organização sem fins lucrativos chamada Organized Crime and Corruption Reporting Project, que tem sede em Sarajevo, capital bósnia, e é um dos parceiros do Projeto Pegasus.

A principal repórter investigativa da região é Khadija Ismayilova, a quem o regime trabalhou por uma década para silenciar: Plantou uma câmera secreta na parede de seu apartamento, tirou vídeos dela fazendo sexo com o namorado e depois os postou na Internet em 2012; ela foi presa em 2014, julgada e condenada por evasão fiscal e outras acusações, e mantida em celas de prisão com criminosos endurecidos. Após a indignação global e a intervenção de alto perfil do advogado de direitos humanos Amal Clooney, ela foi libertada em 2016 e colocada sob uma proibição de viagem.

"É importante que as pessoas vejam exemplos de jornalistas que não param porque foram ameaçados", disse Ismayilova em uma entrevista recente. "É como uma guerra. Você deixa sua trincheira, então o agressor entra... Você tem que manter sua posição, caso contrário ela será tomada e então você terá menos espaço, menos espaço, o espaço estará encolhendo e então você vai achar difícil respirar."

No mês passado, sua saúde falhou, ela foi autorizada a deixar o país. Colegas combinaram de testar seu smartphone imediatamente. A perícia do Laboratório de Segurança determinou que a Pegasus atacou e penetrou seu dispositivo várias vezes de março de 2019 até maio deste ano.

Ela havia assumido algum tipo de vigilância, disse Ismayilova, mas ainda estava surpresa com o número de ataques. "Quando você pensa que talvez haja uma câmera no banheiro, seu corpo para de funcionar", disse ela. "Passei por isso, e por oito ou nove dias não pude usar o banheiro, em lugar nenhum, nem mesmo em locais públicos. Meu corpo parou de funcionar."

Ela parou de se comunicar com as pessoas porque quem quer que ela falasse acabou assediada pelos serviços de segurança. "Você não confia em ninguém, e então você tenta não ter planos de longo prazo com sua própria vida porque você não quer que nenhuma pessoa tenha problemas por sua causa."

A confirmação da penetração da Pegasus a a galoi. "Meus familiares também são vitimados. As fontes são vitimadas. Pessoas com quem trabalhei, pessoas que me contaram seus segredos particulares são vitimadas", disse ela. "É desprezível. ... Eu não sei quem mais foi exposto por minha causa, quem mais está em perigo por minha causa."

O medo da vigilância generalizada impede a já difícil mecânica do ativismo cívico.

"Às vezes, esse medo é o ponto", disse John Scott-Railton, pesquisador sênior do Citizen Lab, que pesquisou extensivamente a Pegasus. "As dificuldades psicológicas e a autocensura que causa são ferramentas fundamentais dos ditadores e autoritários modernos."

Quando Siddharth Varadarajan, co-fundador do Wire, uma tomada online independente na Índia, soube que a análise do Security Lab mostrou que seu telefone havia sido alvo e penetrado pela Pegasus, sua mente imediatamente correu através de suas fontes sensíveis. Ele pensou em um ministro no governo do primeiro-ministro Narendra Modi que havia demonstrado uma preocupação incomum com a vigilância quando se conheceram.

O ministro primeiro mudou a reunião de um local para outro no último momento, depois desligou o telefone e disse a Varadarajan para fazer o mesmo.

Então "os dois telefones foram colocados em uma sala e a música foi colocada naquela sala ... e eu pensei: 'Cara, esse cara é realmente paranoico. Mas talvez ele estivesse sendo sensato'", disse Varadarajan em uma entrevista recente.

Quando a perícia mostrou que seu telefone tinha sido penetrado, ele sabia o sentimento ele mesmo. "Você se sente violado, não há dúvida sobre isso", disse ele. "Esta é uma intrusão incrível, e os jornalistas não deveriam ter que lidar com isso. Ninguém deveria ter que lidar com isso.