Documento judicial revela países onde vítimas do spyware Pegasus no WhatsApp foram alvo de ataques

O temido spyware Pegasus, criado pelo grupo israelense NSO Group, foi usado para espionar 1.223 usuários do WhatsApp em 51 países durante uma campanha de hacking em 2019, conforme revelado por um novo documento judicial.

O documento foi divulgado na sexta-feira como parte do processo movido pelo WhatsApp — de propriedade da Meta — contra o NSO Group. A empresa é acusada de explorar uma vulnerabilidade no aplicativo para espionar centenas de pessoas, incluindo mais de 100 jornalistas, defensores de direitos humanos e membros da sociedade civil.

Na época, o WhatsApp estimou que cerca de 1.400 usuários haviam sido alvo dos ataques. Agora, um anexo incluído no processo detalha os países onde estavam localizadas 1.223 vítimas específicas que foram atingidas pelo Pegasus.

Essa lista oferece uma rara visão sobre onde estão localizados os alvos e quais governos clientes do NSO podem estar mais ativos. Os países com o maior número de vítimas são: México (456), Índia (100), Bahrein (82), Marrocos (69), Paquistão (58), Indonésia (54) e Israel (51), segundo o documento intitulado “Contagem de Vítimas por País” entregue pelo WhatsApp à Justiça.

Também há vítimas em países ocidentais, como Espanha (21), Holanda (11), Hungria (8), França (7), Reino Unido (2) e Estados Unidos (1). A lista foi primeiramente noticiada pelo site israelense CTech.

“Várias reportagens ao longo dos anos documentaram o uso do Pegasus para espionar vítimas em todo o mundo,” afirmou Runa Sandvik, especialista em cibersegurança que investiga há anos vítimas de spyware usado por governos. “O que geralmente falta nessas reportagens é a dimensão real dos ataques — o número de pessoas que não foram notificadas, que não analisaram seus dispositivos ou que optaram por não tornar público o que sofreram. Só o fato de existirem 456 casos no México, onde há um histórico de perseguição à sociedade civil, já diz muito sobre a gravidade do problema,” completou.

Outro dado que evidencia a escala dessa ameaça é o tempo da campanha: os ataques ocorreram em apenas dois meses — entre abril e maio de 2019 —, conforme consta na denúncia original do WhatsApp.

Ou seja, em um intervalo de apenas 60 dias, os clientes governamentais da NSO conseguiram atingir mais de mil usuários do WhatsApp.

É importante destacar que a presença de vítimas em determinados países não significa, necessariamente, que o governo local foi o responsável pelo ataque. É possível que governos tenham usado o Pegasus para espionar alvos fora de suas próprias fronteiras. Por exemplo, a Síria aparece na lista de vítimas, mesmo sendo um país sancionado e para o qual a NSO legalmente não pode exportar sua tecnologia.

A quantidade de vítimas também ajuda a revelar quais podem ser os maiores clientes do NSO. Empresas como a NSO, assim como suas predecessoras Hacking Team e FinFisher, costumam precificar suas ferramentas de espionagem com base na quantidade de alvos que podem ser infectados simultaneamente.

Segundo reportagem do New York Times, o México teria investido mais de US$ 60 milhões em spyware da NSO, o que explicaria o elevado número de vítimas mexicanas.

No ano passado, o WhatsApp obteve uma vitória histórica na Justiça, com a decisão de que o NSO Group violou as leis de hacking dos EUA ao atacar seus usuários. A próxima etapa do processo será a audiência que definirá o valor da indenização que o grupo israelense deverá pagar.

Além da lista de vítimas, o processo trouxe outras revelações, como o fato de a NSO ter encerrado contratos com 10 governos após denúncias de abuso, e que a ferramenta de espionagem criada para o WhatsApp custava até US$ 6,8 milhões por licença anual — gerando pelo menos US$ 31 milhões em receita só em 2019.

O porta-voz do WhatsApp, Zade Alsawah, não quis comentar. O NSO Group também não respondeu ao pedido de posicionamento.

Via - TC