Uma investigação do Citizen Lab, no último mês, identificou, pela primeira vez, o uso de uma técnica de espionagem digital que utiliza a infraestrutura de publicidade programática para distribuir programas espiões sem que a vítima precise clicar em links ou interagir com anúncios, batizada de AdFection.
O método foi utilizado, segundo o Citizen Lab, para invadir computadores da emissora Al Jazeera. A exploração dessa estrutura de publicidade se insere em um mercado de tecnologias de vigilância que gera preocupação pelo uso contra ativistas , jornalistas e alvos de interesse político.
Fique por dentro das notícias que importam para você!
Quando um usuário acessa uma página, ocorre um leilão automatizado, conhecido como Real-Time Bidding (RTB), que define qual publicidade será exibida. Segundo as informações levantadas, empresas envolvidas na operação conseguiam inserir códigos JavaScript nos espaços publicitários, utilizando a estrutura de plataformas legítimas para alcançar os dispositivos dos usuários.
Depois da exibição, o código coleta informações técnicas do aparelho, como endereço IP e sistema operacional, para definir se o equipamento invadido é um alvo em potencial.
A partir dessa confirmação, a cadeia de ataque utiliza falhas de segurança para contornar mecanismos de proteção, como a sandbox do navegador, e instalar o spyware.
Entre as empresas relacionadas à estrutura está a Discover-Tech, responsável pela plataforma Controlium, utilizada para operacionalizar campanhas de publicidade. A investigação também identificou conexões entre a Discover-Tech e empresas de espionagem digital, como a israelense Candiru, agora chamada Integrity Labs, conhecida pelo desenvolvimento do spyware Devil's Tongue, ou Arwen.
Pesquisadores analisaram cerca de 4 bilhões de registros de lances publicitários. A estrutura teria alcançado mais de 120 mil sites e 75 mil aplicativos para Android e iOS, incluindo páginas de grande acesso, como The New York Times, BBC e Yahoo, além de aplicativos como Truecaller, Snap VPN e jogos para dispositivos móveis.
O ecossistema identificado inclui, ainda, vínculos com a Intellexa, grupo associado ao desenvolvimento e à comercialização do spyware Predator, além de empresas como Bindecy e Intelos, relacionadas a pesquisas de vulnerabilidades, exploração de falhas em navegadores e coleta de dados para vigilância. Os levantamentos também mencionam Eric Banoun, veterano do setor de operações cibernéticas em Israel, que teria integrado o conselho de administração da Discover-Tech.
Vigilância
Um dos casos concretos identificados pelo Citizen Lab envolve um jornalista da emissora Al Jazeera. Durante a análise do dispositivo, pesquisadores recuperaram um arquivo com extensão .dll, utilizado no sistema Windows, que indicaria a presença de uma versão atualizada da cadeia de ataque associada à Candiru.
Segundo o relatório, pelo menos 45 dispositivos da Al Jazeera foram alvos da operação. A emissora informou que identificou atividades suspeitas nos dispositivos de jornalistas e procurou o Citizen Lab para investigar o caso.
Antes da investigação, apesar das denúncias, não havia comprovação de que esses sistemas eram utilizados para infectar dispositivos de civis. A descoberta, no entanto, indica que essas ferramentas podem ir além do monitoramento de autoridades governamentais e pessoas classificadas como "terroristas", alcançando também jornalistas e ativistas.
Para a advogada Ludmila Filizola, especialista em Direito Digital e Novas Tecnologias e diretora jurídica e de operações do escritório M.Puppe & Associados, a principal questão jurídica da AdFection está no uso de uma arquitetura válida para monitorar e infectar dispositivos sem o conhecimento dos usuários.
"Do ponto de vista jurídico, a questão muda de patamar quando há acesso não autorizado ao dispositivo, coleta clandestina de informações ou instalação de software com finalidade de vigilância. A partir daí, já podemos estar diante de crimes como invasão de dispositivo e, dependendo do caso, interceptação ilegal de comunicações", explica.
O fato de o ataque ocorrer sem interação da vítima apenas agrava essa avaliação, e mostra como a invasão pode ser silenciosa.
Filizola também aponta limites legais para a comercialização e o uso de ferramentas de espionagem digital, mesmo se usado para governos e órgãos de inteligência. "Uma contratação pública ou uma justificativa genérica de segurança nacional não autoriza qualquer forma de monitoramento", afirma a advogada.
Saiba Mais
Economia
Economia
Pedro José Borges
Repórter da editoria de PolíticaRepórter na editoria de Política, Economia e Brasil do Correio Braziliense.