WhatsApp perde disputa judicial contra fabricante do spyware Pegasus por falta de provas

A Justiça federal dos Estados Unidos rejeitou um pedido do WhatsApp para responsabilizar a NSO Group, empresa israelense responsável pelo spyware Pegasus, por supostamente descumprir uma ordem judicial que proibia o uso da infraestrutura do aplicativo em operações de espionagem.

A decisão, publicada em 16 de outubro de 2026 pela juíza Phyllis Hamilton, do Tribunal Federal do Norte da Califórnia, concluiu que o WhatsApp não apresentou provas suficientemente claras e convincentes para demonstrar que a NSO Group havia violado as restrições impostas anteriormente.

O processo remonta a ataques realizados em 2019, quando o spyware Pegasus foi utilizado contra aproximadamente 1.400 usuários do WhatsApp. O malware é conhecido por sua capacidade de comprometer dispositivos por meio de técnicas zero-click, que dispensam qualquer interação da vítima.

Em 2025, a Justiça determinou que a NSO Group interrompesse o uso não autorizado da infraestrutura do WhatsApp e impôs uma penalidade de US$ 4,4 milhões. A decisão reconheceu que a fabricante havia utilizado indevidamente os sistemas da plataforma para atingir usuários e, em determinados casos, instalar ferramentas de espionagem em seus dispositivos.

Apesar da vitória judicial anterior, o WhatsApp voltou ao tribunal em junho de 2026, alegando que a empresa continuava realizando atividades de vigilância por meio de campanhas de spear phishing, técnica que utiliza mensagens direcionadas para induzir vítimas a acessar links maliciosos.

WhatsApp identificou 23 contas suspeitas de ligação com a NSO Group

A principal evidência apresentada pelo WhatsApp foi uma declaração de Andrew Blaich, engenheiro de segurança integrante da equipe de inteligência de ameaças da Meta.

Segundo Blaich, a investigação identificou 23 novas contas no WhatsApp com características técnicas e comportamentais anteriormente associadas a testes realizados pela NSO Group. Entre os indícios estavam padrões de registro, informações sobre dispositivos e conexões com infraestrutura conhecida da fabricante do Pegasus.

A Meta também atribuiu à NSO Group o envio de URLs maliciosas por meio do aplicativo em fevereiro e abril de 2026. A análise considerou características dos links, comportamentos de redirecionamento, modelos de mensagens e perfis dos alvos.

Entretanto, a juíza considerou que as informações apresentadas não eram suficientes para comprovar o envolvimento da empresa nas atividades denunciadas.

O WhatsApp justificou a ausência de detalhes técnicos pelo receio de revelar seus métodos internos de investigação. Segundo a plataforma, divulgar essas informações poderia comprometer sua capacidade de identificar e combater futuras operações de espionagem.

Na decisão, Hamilton afirmou que a empresa assumiu um risco calculado ao limitar o nível de detalhamento das provas. A magistrada também considerou que a ordem judicial anterior não proibia claramente todas as formas de utilização de contas já existentes no WhatsApp.

Justia Dockets & Filings

Decisão provoca críticas de defensores da privacidade

Organizações de defesa dos direitos digitais criticaram a decisão, argumentando que exigir a divulgação de métodos confidenciais de detecção pode beneficiar fabricantes de spyware e outros responsáveis por ataques cibernéticos.

Natalia Krapiva, consultora jurídica sênior da Access Now, afirmou ao Recorded Future News que a exposição dessas técnicas poderia oferecer informações valiosas à NSO Group, a serviços de inteligência estrangeiros, desenvolvedores de exploits e criminosos interessados em compreender como ferramentas sofisticadas de espionagem são identificadas.

Segundo Krapiva, obrigar empresas a revelar esses mecanismos para responsabilizar fabricantes de spyware poderia contribuir para a impunidade do setor.

A preocupação tem precedentes. Em setembro de 2024, a Apple desistiu de uma ação judicial contra a NSO Group, justificando que a continuidade do processo poderia expor informações essenciais sobre seus mecanismos de segurança.

A rejeição do pedido não anula a condenação anterior nem a ordem judicial contra a NSO Group. A decisão estabelece apenas que as evidências apresentadas pelo WhatsApp não foram suficientes para comprovar uma nova violação das restrições impostas.

Até a publicação da reportagem original, WhatsApp e NSO Group não haviam respondido aos pedidos de comentários.