Tecnologia de rastreamento da Circles é alvo de críticas

Acessibilidade

Westend61/Getty Images

Segundo Citizen Lab, 25 países já utilizam a ferramenta da Circles para localizar telefones celulares no mundo inteiro

Uma tecnologia de vigilância que pode identificar a localização de um telefone em qualquer lugar do mundo em apenas alguns segundos com apenas um número de telefone foi detectada em 25 países, alguns com históricos ruins de direitos humanos, segundo uma pesquisa divulgada na última semana.

A tecnologia foi fornecida pelos círculos empresariais israelenses, afirmou o Citizen Lab, uma organização da Universidade de Toronto que há muito acompanha as atividades de empresas de vigilância. A Circles é uma empresa irmã do NSO Group, um desenvolvedor de spyware para iPhone e Android que está sendo processado pelo Facebook por ataques a contas de WhatsApp de 1.400 usuários e foi criticado por vender para países que passaram a espionar ativistas, jornalistas e outros cidadãos.

De acordo com o Citizen Lab, a ferramenta de rastreamento da Circles foi detectada tanto em países ocidentais democráticos quanto em nações com histórico ruim de direitos humanos. A lista completa, de acordo com o Citizen Lab (e não confirmada nem negada pela Circles) inclui: Austrália, Bélgica, Botswana, Chile, Dinamarca, Equador, El Salvador, Estônia, Guiné Equatorial, Guatemala, Honduras, Indonésia, Israel, Quênia, Malásia, México, Marrocos, Nigéria, Peru, Sérvia, Tailândia, Emirados Árabes Unidos, Vietnã, Zâmbia e Zimbábue.

A técnica usada pela tecnologia de espionagem da Circles é conhecida como exploração do Sistema de Sinalização 7 (SS7), uma ferramenta poderosa, porém difícil de ser detectada em arsenais de espionagem do governo. Tem o nome da parte da rede de telecomunicações que lida com a funcionalidade e faturamento internacional. Quando, por exemplo, você viaja para outro país, a rede SS7 é usada para transferir seu telefone para um provedor de telecomunicações parceiro e ajustar o faturamento de acordo. Mas, se um fornecedor de vigilância tiver acesso às redes SS7, seja por meio de hacking ou aquisição, ele pode enviar comandos para a “rede doméstica” de um assinante, indicando falsamente que o assinante está em roaming. Isso, por sua vez, revelará sua localização, mesmo que seja apenas as coordenadas da torre de celular mais próxima do telefone. Também pode ser possível interceptar chamadas e textos por meio da exploração do SS7, embora a tecnologia da Circles seja apenas para detecção de localização, segundo duas fontes do setor. (De acordo com documentos, a empresa tem uma tecnologia chamada PixCell para “receber ou interceptar comunicações sem fio, telefone, computador e Internet de alvos”.)

Se um número tão significativo de países comprou acesso à ferramenta, isso indicaria que todos podem localizar um telefone e seu proprietário em alta velocidade. O pesquisador do Citizen Lab Bill Marczak observou que um dos principais argumentos de venda da ferramenta da Circles era que ela não precisava da cooperação de uma empresa de telecomunicações. Se usada por países com leis e controles de direitos humanos frouxos, pode ajudar agências de vigilância governamentais repressivas a rastrear alvos além das fronteiras, sem a necessidade de um mandado, alertou Marczak.

Muitos dos países listados como prováveis clientes da Circles têm um histórico de uso de ferramentas de vigilância contra dissidentes e ativistas, afirmou o Citizen Lab. A Forbes revelou anteriormente vendas da Circles para o México, enquanto outros noticiaram negócios com os Estados Unidos, onde foi alegado que as ferramentas da empresa foram usadas para realizar a vigilância do emir do Qatar e do primeiro-ministro do Líbano. Os Emirados Árabes Unidos, por exemplo, supostamente acharam o ativista agora preso Ahmed Mansoor usando malware de pelo menos três empresas diferentes (incluindo o NSO Group), antes de prendê-lo, em 2017. O México, entretanto, “abusou em série do spyware Pegasus do NSO Group” colocando 25 repórteres, defensores dos direitos humanos e famílias de indivíduos mortos ou desaparecidos por cartéis como alvos, de acordo com pesquisas anteriores do Citizen Lab. O grupo sempre afirmou que trabalha para órgãos governamentais legítimos em investigações dos piores tipos de crimes e tem um comitê de ética que analisa contratos, embora não possa comentar sobre a identidade de seus clientes.

“Dada a afiliação da Circles com o NSO Group, e repetidos abusos de spyware por clientes NSO, é decepcionante ver governos ocidentais patrocinando a empresa”, acrescentou Marczak.

Um porta-voz do NSO Group deu à Forbes uma resposta conjunta da as empresas, declarando: “O NSO e a Circles são empresas separadas dentro da mesma família corporativa, ambas liderando seus setores em um compromisso com negócios éticos e aderindo a leis e regulamentos estritos em todos os mercados em que operam. Como afirmamos anteriormente, a Circles está envolvida em tecnologia de busca e resgate e geolocalização tática.

“Não podemos comentar um relatório que não vimos. Dado o histórico do Citizen Lab, imaginamos que isso será mais uma vez baseado em suposições imprecisas e sem um domínio total dos fatos. Como sempre, somos solicitados a comentar um relatório não publicado de uma organização com uma agenda pré-determinada.”

O porta-voz não quis comentar sobre os países listados pelo Citizen Lab como clientes.

O Citizen Lab disse que rastreou os clientes da Circles procurando uma “impressão digital” exclusiva em servidores em todo o mundo que os ajudou a identificar onde a ferramenta espiã foi implantada. Essa impressão digital foi construída em vários pontos de dados, mais significativamente, um domínio da web que estava vinculado aos negócios da Circles, de acordo com o relatório técnico completo.

A Circles era uma agência independente fornecedora de inteligência até 2014, quando foi adquirida pela empresa de private equity Francisco Partners por US$ 130 milhões e se fundiu em uma empresa de vigilância maior. Essa organização guarda-chuva também inclui o NSO Group.

Mas a Circles não é a única fornecedora de vigilância SS7 no mercado. A Intellexa, com sede em Chipre, criada pelo ex-cofundador da Circles, Tal Dilian, usa a exploração SS7 como uma de suas muitas ferramentas para rastrear alvos. As empresas israelenses Verint, Rayzone e 1rstWAP oferecem serviços semelhantes, de acordo com um executivo do setor. A Ability Inc., outra empresa israelense, tentou tornar a tecnologia global, mas saiu da Nasdaq, pois não conseguiu clientes.

E TAMBÉM: Itaú Unibanco, Microsoft e Instituto Crescer vão treinar 20 mil pessoas para a economia digital

Os dias desses provedores deveriam, em teoria, estar contados, se eles se limitarem a fazer apenas ataques SS7. As falhas que permitem ataques SS7 há muito tempo podem ser corrigidas. Eles só são possíveis porque o SS7, em sua forma original, não exige nenhuma autenticação para garantir a legitimidade e a segurança das mensagens que trafegam pela rede. Exigiria algum esforço por parte das redes globais de telecomunicações para corrigir as falhas, mas algumas medidas foram tomadas para acertar as vulnerabilidades. O Reino Unido, por exemplo, recentemente propôs uma legislação de segurança de telecom que concederia a um regulador a autoridade para garantir que as redes do país estejam seguras contra ataques SS7.

Enquanto essas lacunas permanecerem abertas nas redes globais, os espiões do governo podem continuar a rastrear qualquer pessoa, em qualquer lugar, apenas com seu número de telefone.