Lighthouse Reports expôs a First Wap usando dados de rastreamento vazados e uma operação de comprador fictício

A First Wap, empresa de rastreamento de telefones sediada em Jacarta e comandada por executivos europeus, vende software de vigilância há duas décadas. Sua ferramenta Altamides explora o SS7, um protocolo de telecomunicações com décadas de existência, para localizar qualquer número de telefone no mundo em segundos — sem deixar rastro no aparelho — e também pode interceptar mensagens e invadir aplicativos criptografados. Os clientes chegavam até ela por meio de intermediários obscuros, e a versão oficial do setor de vigilância era a de que tais ferramentas iam apenas para governos que combatem crimes graves, sendo o uso indevido uma exceção rara.

A Lighthouse Reports não tinha uma forma fácil de testar essa alegação. O Altamides não deixa vestígio forense no telefone da vítima, as vítimas raramente sabem que foram rastreadas, e o fornecedor poderia simplesmente negar o abuso. Os manuais padrão de denúncia de spyware, como a perícia em dispositivos, não se aplicavam a uma empresa que atua no nível da rede e que passou vinte anos longe dos holofotes.

Na primavera de 2024, um repórter da Lighthouse encontrou um arquivo vazado na deep web: 1,5 milhão de linhas de operações de rastreamento, mais de 14 mil números de telefone, alvos em mais de 160 países. Mais de dez repórteres processaram os números com ferramentas de OSINT, aceitando uma identificação apenas quando vários pontos de dados independentes coincidiam, e nomearam mais de 1.500 alvos com alto grau de confiança. O agrupamento de alvos conectados no tempo e no espaço revelou abusos coordenados: opositores ruandeses rastreados com minutos de diferença, autoridades eleitorais nigerianas seguidas antes de uma votação em 2011, um jornalista que cobria corrupção no Vaticano monitorado a cada hora.

Os repórteres então criaram identidades falsas — uma "consultoria de pesquisa" sul-africana nas Ilhas Virgens Britânicas — e se encontraram com o diretor de vendas da First Wap no ISS World, em Praga, em junho de 2025, propondo justamente o que a empresa publicamente descartava: monitorar opositores no exterior, invadir o WhatsApp, vigiar manifestantes ambientais para um magnata da mineração sancionado. Diante de câmeras escondidas, o vendedor disse que o negócio seria fechado via Jacarta, com uma empresa de fachada para mascarar o rastro documental: "podemos dar um jeito". Publicadas em outubro de 2025 por mais de 70 jornalistas de 14 veículos, as descobertas permitiram que cada parceiro localizasse o arquivo.

Disfarçados de compradores em uma feira de tecnologia de espionagem, fizeram com que o próprio vendedor da empresa admitisse, diante das câmeras, a evasão de sanções

O arquivo era um sistema de registro: 1,5 milhão de linhas de operações provenientes dos próprios sistemas do fornecedor, de modo que as conclusões não se apoiavam na palavra de nenhum informante.

Exigir vários pontos de dados independentes por identificação transformou 14 mil números anônimos em mais de 1.500 alvos nomeados, e o agrupamento no tempo e no espaço revelou abusos coordenados.

A compra disfarçada entrou no próprio setor de vendas do fornecedor, onde seus funcionários explicaram espontaneamente como contornariam as sanções — contradizendo diretamente a alegação pública da empresa de que verifica cada cliente.

A copublicação em 14 veículos transformou um único arquivo em dezenas de matérias locais, cada uma com uma redação local para seguir as pistas em seu próprio país.

Quando as alegações de um fornecedor resistem à verificação externa, torne-se um comprador fictício, filme as admissões de seus funcionários e construa a história com base nos próprios registros do acusado.

A investigação foi publicada em 14 de outubro de 2025, em copublicação de 14 veículos, incluindo Der Spiegel, Le Monde e NRK. A First Wap negou qualquer atividade ilegal ou violação de direitos humanos, classificou as declarações em Praga como "mal-entendidos" sobre viabilidade técnica e repetiu que suas ferramentas servem às forças de segurança. A Telecom Liechtenstein afirmou ter suspendido sua relação comercial com a First Wap. Os parceiros continuaram a reportar desdobramentos locais — executivos da Red Bull na Áustria, um ex-executivo da Telenor na Noruega — enquanto o arquivo permanece como o registro público mais completo das operações de uma empresa de rastreamento de telefones que atua no nível da rede.