O que é preciso saber sobre "software" de espionagem

"O total acesso ao telefone duma pessoa é a melhor coisa para ter total acesso à mente dessa pessoa," diz a especialista em cibersegurança Eva Galperin. Numa palestra imprescindível, ela descreve o aparecimento perigoso do "stalkerware" — um "software" concebido para espiar as pessoas, conseguindo o acesso aos seus dispositivos sem eles saberem — e pede às empresas de antivirus que reconheçam esses programas como mal-intencionados a fim de desencorajar abusos e proteger as vítimas.

Quero que recuem no tempo comigo,

para o passado, para 2017.

Não sei se vocês se lembram,

os dinossauros vagueavam pela terra.

Eu era uma investigadora de segurança,

Passara cinco ou seis anos

a fazer pesquisa sobre as
maneiras pelas quais as APT

— a sigla para "ameaças
persistentes avançadas"

que defendem atores dos estados-nações,

espiam jornalistas e ativistas,

advogados e cientistas

e pessoas normais
que falam a verdade ao poder.

Eu fazia isso há uns tempos

quando descobri que um
dos meus colegas investigadores,

com quem eu estava a fazer isso
durante todo esse tempo,

era supostamente um violador em série.

Então, a primeira coisa que fiz

foi ler um monte de artigos sobre isso.

E em janeiro de 2018,

li um artigo com algumas
das suas supostas vítimas.

Uma das coisas
que me chocou nesse artigo

é como elas estavam assustadas.

Estavam realmente assustadas,

tinham fitas a tapar a câmara
dos telemóveis

e dos computadores.

Estavam com medo
de que ele fosse um "hacker"

e que fosse piratear tudo

e arruinasse a vida delas.

E isso mantivera-as em silêncio
durante muito tempo.

Então, eu fiquei furiosa.

Eu não queria que ninguém
voltasse a sentir-se daquela forma.

Assim, fiz o que geralmente faço
quando estou furiosa:

Publiquei no Twitter.

(Risos)

E o que eu publiquei

foi que, se uma mulher fosse
abusada sexualmente por um "hacker"

e esse "hacker" ameaçasse
invadir os dispositivos dela,

essa mulher podia
entrar em contacto comigo

e eu iria tentar garantir

que o seu aparelho tivesse
um tipo completo de "vigilância forense".

Depois fui almoçar.

(Risos)

Dez mil respostas ao meu "tweet" depois...

(Risos)

acidentalmente comecei um projeto.

Todas as manhãs, eu acordava
e a minha caixa de "e-mail" estava cheia.

Estava cheia de histórias
de homens e de mulheres

a contar-me a pior coisa
que já lhes tinha acontecido.

Fui contactada por mulheres
que tinham sido espiadas por homens,

por homens que tinham sido
espiados por homens,

por mulheres que tinham sido
espiadas por mulheres.

Mas a grande maioria
das pessoas que me contactavam

eram mulheres que já tinham sido
abusadas sexualmente por homens

que agora as estavam a espiar.

Um caso interessante em particular

envolveu um homem que veio ter comigo,

porque o namorado dele
o denunciara como "gay"

à sua família coreana
extremamente conservadora.

Isto já não é um problema
de homens a espiar mulheres.

E eu estou aqui para partilhar

o que eu aprendi com esta experiência.

O que eu aprendi
é que os dados escapam-se,

tal como a água.

Vão para lugares que não queremos que vão.

As pessoas dão à língua.

Os nossos amigos
dão informações sobre nós.

A nossa família dá informações
sobre nós.

Vamos a uma festa,

e alguém repara que estivemos lá.

Esta é uma das formas

que os abusadores usam
para obter informações sobre nós,

que não queremos que eles saibam.

Não é invulgar os agressores
contactarem os amigos e a família

e pedirem informações
sobre as suas vítimas,

com a desculpa de estarem preocupados
com a nossa "saúde mental".

Uma forma de fuga de informações que eu vi

foi aquilo a que chamamos
uma conta comprometida.

A nossa conta do Gmail,

a nossa conta do Twitter,

a nossa conta do Instagram,

a nossa iCloud,

o nosso ID da Apple,

o nosso Netflix, TikTok

— eu tive de descobrir o que era o TikTok.

E se eu tinha um login

eu via isso comprometido,

porque o abusador
nem sempre é o abusador.

É muito comum que as pessoas numa relação
partilhem as "passwords".

Além disso, as pessoas que são íntimas,

sabem muitas coisas uma da outra,

e podem adivinhar a pergunta
de segurança da outra.

Podem espreitar
por cima do nosso ombro

para ver qual o código que estamos a usar
para bloquearem o telemóvel.

Frequentemente têm acesso
físico ao telemóvel,

ou têm acesso físico
ao computador portátil.

Isso dá-lhes muitas oportunidades

de fazer coisas na conta dos outros,

o que é muito perigoso.

Felizmente, aconselham-nos

a trancar as nossas contas.

Este conselho já existe,
e resume-se a isto:

Usem "passwords" únicas e fortes
em todas as vossas contas.

Usem "passwords" únicas e fortes

como resposta às vossas
perguntas sobre segurança,

para que alguém que saiba
o nome do vosso cachorro de infância

não possa adivinhar a vossa "password".

E finalmente, liguem o nível mais alto
de autenticação de dois fatores

que vos seja mais prático.

Assim, mesmo que um abusador
consiga roubar a vossa "password",

como ele não tem o segundo fator,

não vai conseguir entrar na vossa conta.

A outra coisa que devem fazer

é olhar para os parâmetros
de segurança e privacidade

da maioria das vossas contas.

A maioria das contas tem
esse parâmetro de privacidade ou segurança

que mostra quais os aparelhos
em que vocês entraram,

e mostra qual a origem dessas entradas.

Por exemplo, eu estou aqui,

a entrar no Facebook de La Quinta,

onde estamos a ter este encontro.

Se, por exemplo,

eu olhar para as minhas
entradas no Facebook

e vir que alguém entrou
a partir do Dubai,

consideraria isso suspeito,

porque eu há muito tempo
que não vou a Dubai.

Mas às vezes isso é uma RAT

— se por RAT quisermos dizer
"ferramenta de acesso remoto".

Uma ferramenta de acesso remoto

é essencialmente o que queremos dizer
quando dizemos "stalkerware".

Tal como é tentador para os governos

conseguir total acesso
aos nossos dispositivos

também os companheiros
e ex-companheiros abusadores

são tentados a obter total acesso
aos nossos dispositivos

Andamos com dispositivos de deteção
no bolso durante todo o dia.

Andamos com dispositivos
que contém todas as nossas "passwords",

todas as nossas comunicações,

incluindo as nossas comunicações
criptografadas de ponta a ponta.

Todos os nossos "e-mails",
todos os nossos contactos,

todas as nossas fotografias
estão num só local.

Frequentemente as informações das nossas
finanças também estão no mesmo local.

Então, o total acesso
ao telemóvel de uma pessoa

é a melhor coisa para ter
total acesso à mente dessa pessoa.

O que o "stalkerware" faz
é dar-nos esse acesso.

Então, podem perguntar:
"Como é que isso funciona?"

O "stalkerware" funciona

através de um programa
comercialmente disponível,

que um abusador compra,

instala no aparelho que quer espiar,

geralmente porque lhe teve acesso físico

ou pôde enganar o seu alvo
levando-o a instalá-lo ele mesmo,

dizendo:

"Este é um programa muito importante.
Devias instalá-lo no teu telemóvel."

Depois, paga à empresa de "stalkerware"

para ter acesso a um portal,

que lhe dá todas as informações
daquele telemóvel.

E habitualmente, paga
uns 40 dólares por mês.

Este tipo de espionagem
é extremamente barato.

Será que essas empresas sabem

que as suas ferramentas

são usadas como ferramentas de abuso?

Obviamente.

Se derem uma olhadela
à página de "marketing" para a Cocospy

que é um desses produtos,

diz claramente no "site":

"... o Cocospy permite-lhe
espiar a sua mulher com facilidade,

"Não tem de se preocupar onde ela vai,

"com quem ela fala
ou em que 'website' ela entra."

Isto é muito assustador.

O HelloSpy, que é outro produto destes,

tinha uma página de "marketing"
em que a maior parte do texto

falava do predomínio de traições

e como era importante
apanhar a companheira a trair-nos,

incluindo a foto de um homem

que claramente acabara de descobrir
a traição da companheira

e lhe dera uma sova.

Ela tem um olho negro,
tem sangue no rosto.

Acho que não são precisas
muitas perguntas

para perceber de que lado está o HelloSpy
neste caso em particular.

E a quem eles estão a tentar
vender o seu produto.

Acontece que se temos "stalkerware"
no nosso computador ou no nosso telemóvel,

pode ser muito difícil
saber se ele está lá ou não.

Uma das razões para isso

é que as empresas de antivírus

frequentemente não reconhecem
um "stalkerware" como mal-intencionado.

Não o reconhecem como um cavalo de Troia

nem como qualquer outra coisa
que normalmente acharíamos

que eles deviam avisar-nos.

Estes são alguns resultados
do início deste ano do VirusTotal.

Penso que, numa amostra que observei

tive um resultado de 7 em 60

das plataformas que reconheceram
o "stalkerware" que eu estava a testar.

Neste outro, consegui obter 10

— 10 em 61!

Isto continua a ser
um resultado muito mau.

Consegui convencer
algumas empresas de antivírus

a começar a marcar os "stalkerware"
como mal-intencionados.

Assim o que vocês têm de fazer

se estão preocupados por terem
esta coisa no vosso computador

é descarregar o programa,

executar uma verificação que diga:

"Há algum programa potencialmente
indesejado no seu dispositivo?"

Isso dá-nos a opção de removê-lo,

mas não o remove automaticamente.

Uma das razões para isso

é a forma como o abuso funciona.

Frequentemente, as vítimas de abuso

não têm a certeza se querem
ou não alertar o abusador

de lhe ter tirado o acesso.

Ou estão com medo
que o abusador aumente a violência,

possivelmente para uma violência maior

do que já teve.

A Kaspersky foi uma
das primeiras empresas

que disse que ia começar
a levar isto a sério.

Em novembro deste ano,

fizeram uma denúncia em que disseram

que, desde que começaram a rastrear
"stalkerware" entre os seus utilizadores,

tinham assistido
a um crescimento de 35%.

Da mesma forma, a Lookout
fez uma declaração

dizendo que iam levar isso mais a sério.

Finalmente, uma empresa chamada
Malwarebytes também se pronunciou

e disse que tinham encontrado
2500 programas

durante o tempo em que tinham
estado a observar,

que podiam ser classificados
como "stalkerware".

Finalmente, em novembro,
eu ajudei a lançar uma aliança

chamada Coalition Against Stalkerware,

formada por académicos,

por pessoas que estavam a fazer
esse tipo de coisas no terreno

— clínicos que ajudam pessoas
a escapar à violência de um parceiro —

e empresas de antivírus.

O nosso objetivo é educar as pessoas
sobre esses programas,

mas também convencer
as empresas de antivírus

a mudar a norma de ação

quanto a esse "software" assustador,

para que, em breve,
se eu aparecer à vossa frente

e falar sobre isto no ano que vem,

eu puder dizer que este problema
já está resolvido,

e tudo o que todos temos de fazer
é descarregar qualquer antivírus

que considere normal
detetar "stalkerware".

Esta é a minha esperança.

Muito obrigada.

(Aplausos)