O Grupo NSO vendeu a governos um spyware de clique zero que invadia celulares criptografados

No final da década de 2010, os aplicativos de mensagens de consumo criptografavam mensagens de ponta a ponta, e policiais e agências de inteligência reclamavam que criminosos e terroristas podiam "desaparecer no escuro". O Grupo NSO, uma empresa israelense fundada em 2010, criou o Pegasus: um spyware projetado por ex-espiões cibernéticos com habilidades aprimoradas no setor governamental para assumir o controle de iPhones e celulares Android silenciosamente. O México se tornou seu primeiro cliente no exterior em 2011, menos de um ano após a fundação da empresa.

O Pegasus funciona atacando o dispositivo, e não a linha de transmissão. Os ataques podem chegar como um link malicioso em um SMS ou iMessage; versões recentes de "clique zero" entregam o spyware enviando uma mensagem que não produz notificação, de modo que o alvo nem precisa tocar no celular. O software então lê tudo o que o usuário pode ler — mensagens, fotos, gravações, senhas, registros de chamadas, localização — e pode ligar câmeras e microfones para vigilância em tempo real. Senhas fortes e criptografia oferecem pouca ajuda, e técnicas divulgadas em um relatório de 2016 foram alteradas em questão de horas.

O NSO licenciava o Pegasus apenas para governos: cerca de 60 agências de inteligência, militares e de aplicação da lei em 40 países, com exportações aprovadas pelo Ministério da Defesa de Israel. A empresa afirmava que verificava o histórico de direitos humanos dos clientes e não operava o software ela mesma, uma estrutura que mantinha distância entre o fornecedor e o que quer que os clientes fizessem com a ferramenta. O NSO apresentava o produto como a resposta ao terrorismo e ao crime organizado que se escondiam por trás da criptografia.

Em julho de 2021, o Projeto Pegasus — The Washington Post, Forbidden Stories e 16 parceiros de mídia — reportou sobre uma lista com mais de 50.000 números de telefone. A análise forense do Laboratório de Segurança da Anistia Internacional encontrou invasões tentadas ou bem-sucedidas em 37 celulares pertencentes a jornalistas, ativistas de direitos humanos, executivos e duas mulheres próximas ao jornalista saudita assassinado Jamal Khashoggi; os repórteres identificaram mais de 1.000 pessoas na lista em 50 países. O NSO classificou as conclusões como infundadas, mas reconheceu ter encerrado dois contratos de clientes por alegações de abuso no ano anterior.

Atacar o próprio celular, e não a linha de transmissão: a intrusão silenciosa de clique zero não precisa de clique, senha ou descriptografia

A criptografia protege a linha de transmissão, não o dispositivo; ao comprometer o próprio celular, o Pegasus contornava as proteções de consumo mais fortes sem precisar de senha, clique ou chave de descriptografia.

A entrega de clique zero eliminou a exigência de erro humano, de modo que até alvos cautelosos e tecnicamente sofisticados, como jornalistas e ativistas, podiam ser infectados sem fazer absolutamente nada.

Transformar em produto a engenharia de exploits de nível mundial e licenciá-la para dezenas de governos permitiu ao NSO amortizar o dispendioso P&D, convertendo a invasão de celulares em nível estatal em um serviço comprável.

Os clientes operavam o software eles mesmos, de modo que o NSO podia negar envolvimento, contestar as evidências forenses e continuar vendendo enquanto os abusos se acumulavam.

Quando a criptografia fecha o canal de escuta telefônica, adversários capazes migram para o endpoint: proteja o próprio dispositivo, porque proteger os dados em trânsito não é suficiente.

O Projeto Pegasus se tornou o registro definitivo do abuso de spyware comercial. O NSO classificou as conclusões como exageradas e infundadas, mas reconheceu ter encerrado dois contratos de clientes no ano anterior (cinco no total), afirmando que a verificação lhe custou US$ 100 milhões. A metodologia forense da Anistia foi revisada por pares pelo Citizen Lab e considerada sólida; vários jornalistas do consórcio descobriram que eles ou familiares haviam sido infectados. A Apple, cujos iPhones eram o principal alvo, disse que estava constantemente adicionando proteções, e o jogo de gato e rato entre fabricantes de spyware e fornecedores de celulares continuou.