Recentemente, hackers exploraram três vulnerabilidades não divulgadas do sistema iOS da Apple, atingindo iPhones com um sofisticado spyware desenvolvido por uma startup europeia. O Google, por meio de seu Grupo de Análise de Ameaças, revelou em um relatório várias campanhas que utilizaram ferramentas criadas por vendedores de spyware e exploits. Uma dessas campanhas destacou-se pela exploração de três vulnerabilidades “zero-day” no iPhone, falhas desconhecidas pela Apple no momento da invasão.
As ferramentas de hacking em questão foram desenvolvidas pela Variston, uma startup de segurança cibernética sediada em Barcelona, que já havia sido detectada pelo Google em outras duas ocasiões. A descoberta dessas vulnerabilidades ocorreu em março de 2023, quando os ataques foram direcionados a iPhones na Indonésia. Os hackers enviavam SMS contendo um link malicioso que, ao ser clicado, infectava o dispositivo com spyware e redirecionava a vítima para uma página de notícias local.
Ainda não está claro para quem a Variston vendeu esse spyware. No entanto, o Google apontou que a empresa colabora com várias organizações para desenvolver e distribuir esse tipo de software, incluindo a Protected AE, uma companhia de segurança cibernética e forense com sede nos Emirados Árabes Unidos. A Protected AE oferece um pacote completo de spyware que pode ser vendido a corretores locais ou diretamente a clientes governamentais.
O relatório do Google revela que fabricantes de spyware europeus estão expandindo seu alcance global. Foram identificados cerca de 40 fabricantes de spyware, que comercializam explorações e software de vigilância para governos ao redor do mundo. Entre as empresas citadas no relatório estão as italianas Cy4Gate, RCS Lab e Negg.
O Google enfatiza seu compromisso em combater campanhas conduzidas com essas ferramentas. Embora o número de usuários afetados por spyware seja relativamente pequeno, os impactos são vastos, representando uma ameaça à liberdade de expressão e à liberdade de imprensa. Até o momento, nem a Apple nem o cliente governamental da Variston foram identificados publicamente.
Esta situação destaca a sofisticação e alcance dos ataques cibernéticos, bem como a importância da vigilância contínua e da colaboração entre empresas de tecnologia e segurança para mitigar essas ameaças.
Recentemente, veio à tona uma questão alarmante sobre a privacidade digital: Apple e Google podem estar compartilhando com autoridades governamentais os dados referentes a notificações que os usuários recebem em seus dispositivos móveis. Essas notificações, muitas vezes, contêm informações sensíveis, como detalhes pessoais e financeiros, o que agrava a preocupação com a proteção de dados.
O Senado americano, ainda em 2022, uma apuração sobre alegações de que governos estariam solicitando registros de notificações de iPhones e Androids, sem revelar quais países estavam envolvidos. Durante a investigação, foi constatado Apple e Google para obter mais detalhes. No entanto, as informações estavam restritas devido a uma proibição imposta pelo governo dos Estados Unidos.
Em 6 de dezembro, requereu ao Departamento de Justiça dos Estados Unidos que autorizasse as empresas a informarem os usuários sobre essas transferências de dados. Surpreendentemente, no dia seguinte, a Reuters publicou uma matéria confirmando a possibilidade de compartilhamento dessas informações pelas empresas.
Em resposta ao escrutínio público e à necessidade de transparência, a Apple comprometeu-se a detalhar essas solicitações em seus relatórios de transparência. Similarmente, o Google expressou seu compromisso em manter os usuários informados sobre as solicitações governamentais por meio de seu próprio relatório de transparência, que, no segundo semestre de 2022, indicou que houve mais de 12 mil solicitações de informações de usuários por parte de órgãos governamentais brasileiros, embora não especificasse quantas envolviam notificações de aplicativos.
Mas, como essas notificações se tornam acessíveis aos governos? Aplicativos de iPhone utilizam o Push Notification Service, da Apple, e os de Android recorrem ao Firebase Cloud Messaging, do Google. Esses serviços, que funcionam como um ‘serviço postal’ para notificações, garantem a entrega eficiente das mesmas. Contudo, isso também coloca Apple e Google na posição de intermediários, potencialmente sujeitos a obrigações legais de entregar essas informações ao governo.
Diante dessas revelações, é imperativo refletir sobre a extensão da vigilância governamental e as implicações para a privacidade dos cidadãos. Enquanto a transparência por parte das empresas é um passo positivo, ainda há um longo caminho a percorrer para garantir a proteção efetiva da privacidade e da segurança dos dados pessoais dos usuários. É fundamental que continuemos a questionar e a investigar essas práticas para assegurar que os direitos individuais sejam respeitados e protegidos em nossa sociedade digital.
A revelação de que Apple e Google podem estar compartilhando dados de notificações de usuários com governos lança luz sobre uma complexa interseção entre as práticas corporativas de vigilância e as leis de proteção de dados. A conexão entre esses atos e as legislações de proteção de dados é multifacetada e envolve várias considerações legais e éticas.
Princípio da Transparência e Consentimento: Leis como o GDPR na Europa e a LGPD no Brasil enfatizam o consentimento informado e a transparência sobre como os dados pessoais são coletados, processados e compartilhados. A ação de compartilhar dados de notificações com governos, muitas vezes sem o conhecimento explícito dos usuários, pode violar esses princípios fundamentais, levantando preocupações sobre a adequação das políticas de privacidade das empresas e a eficácia do consentimento dado pelos usuários.
Direito à Privacidade: A privacidade é um direito fundamental em muitas jurisdições. A interceptação e o compartilhamento de informações pessoais e sensíveis, como dados financeiros e pessoais, podem constituir uma violação desse direito, especialmente se feitos sem o devido processo legal ou transparência adequada.
Solicitações Governamentais e Nacionalidade das Leis: Empresas globais como Apple e Google estão sujeitas às leis dos países em que operam. Isso pode incluir a obrigação de cumprir solicitações legítimas de dados por parte de governos. No entanto, as leis de proteção de dados, como o GDPR, impõem restrições estritas sobre transferências de dados para países fora da UE, especialmente se esses países não oferecem um nível adequado de proteção de dados.
Exceções de Segurança Nacional: Muitas leis de proteção de dados incluem exceções para questões de segurança nacional e ordem pública. No entanto, essas exceções devem ser aplicadas de maneira proporcional e necessária, com salvaguardas adequadas. A falta de transparência e supervisão em como essas exceções são aplicadas pode levar a abusos e violações dos direitos dos cidadãos.
Obrigações das Empresas: As empresas têm a obrigação de proteger os dados de seus usuários. Isso inclui garantir que qualquer compartilhamento de dados com governos seja feito em conformidade com as leis aplicáveis, incluindo garantir que existam solicitações legítimas e procedimentos judiciais adequados. Além disso, as empresas devem ser transparentes com os usuários sobre essas práticas.
Direito de Saber: Os usuários têm o direito de saber como seus dados estão sendo usados e compartilhados. Isso está em linha com o princípio de transparência das leis de proteção de dados. A falta de clareza e a revelação tardia das práticas de compartilhamento de dados podem minar a confiança dos usuários e violar essas leis.
A conexão entre as ações de compartilhamento de dados de notificações por Apple e Google e as leis de proteção de dados é complexa e destaca a tensão entre a privacidade dos usuários, as obrigações corporativas e as demandas governamentais. A proteção efetiva dos dados pessoais em um mundo digital exige um equilíbrio cuidadoso entre esses interesses, uma governança robusta e uma vigilância constante para assegurar que tanto as empresas quanto os governos estejam agindo em conformidade com as leis e respeitando os direitos fundamentais dos indivíduos.
Em um evento significativo no mundo da tecnologia e privacidade, duas das maiores empresas de tecnologia, conhecidas por seus sistemas operacionais para smartphones, confirmaram recentemente que as notificações enviadas para celulares podem ser acessíveis por governos. Esta revelação surgiu em resposta a um inquérito nos Estados Unidos, colocando em foco o delicado equilíbrio entre segurança nacional e privacidade individual.
O ponto crítico desta questão reside nas notificações de aplicativos, as quais podem incluir informações pessoais e financeiras sensíveis. A possibilidade de governos acessarem esses dados tem sido motivo de preocupação e investigação desde 2022. A confirmação deste acesso foi trazida ao público por uma reportagem da agência de notícias Reuters.
A investigação sobre o tema indicou que governos podem ter acesso a conteúdos não criptografados que vão desde instruções no código do aplicativo até o texto exibido nas notificações. Além disso, metadados associados às notificações, como qual aplicativo as enviou, o horário de envio, o modelo do telefone e a conta do usuário nos respectivos sistemas operacionais, também podem ser acessados.
As empresas em questão já haviam admitido anteriormente que poderiam fornecer a governos dados sobre dispositivos e serviços específicos, como armazenamento em nuvem e sistemas de pagamento. Esta nova revelação expande o escopo do que pode ser compartilhado.
A situação desdobrou-se da seguinte maneira:
Alegações surgiram de que governos estavam solicitando registros de notificações enviadas em smartphones, embora os países específicos não tenham sido divulgados.
Foi relatado que uma equipe de investigação entrou em contato com as empresas de tecnologia, mas o acesso a detalhes foi restringido pelo governo dos EUA.
Em resposta, um pedido foi feito para que o Departamento de Justiça autorizasse as empresas a informar os usuários sobre o compartilhamento desses registros.
Seguindo a publicação da reportagem pela Reuters, as empresas reconheceram que o compartilhamento de informações com governos é possível.
Uma das empresas declarou que atualizaria seus relatórios de transparência para refletir essas solicitações devido ao conhecimento público do repasse de informações.
A outra empresa enfatizou seu compromisso em manter os usuários informados sobre tais solicitações governamentais.
A agência de notícias citou uma fonte anônima afirmando que o governo dos EUA estava entre os que solicitaram dados sobre notificações de celulares, mas não mencionou outros países envolvidos. O Departamento de Justiça, conforme relatado, recusou-se a comentar sobre a vigilância das notificações ou sobre a suposta proibição que impedia as empresas de tecnologia de divulgarem esses pedidos.
No que diz respeito à operação das notificações, para um aplicativo enviar uma notificação aos seus usuários, ele utiliza um serviço de mensagens fornecido pelas empresas de tecnologia. Isso garante uma entrega eficiente e oportuna das notificações, mas também coloca essas empresas como intermediárias no processo de transmissão, possibilitando o acesso governamental a essas informações.
