Quero que recuem no tempo comigo,
para o passado, para 2017.
Não sei se vocês se lembram,
os dinossauros vagueavam pela terra.
Eu era uma investigadora de segurança,
Passara cinco ou seis anos
a fazer pesquisa sobre as maneiras pelas quais as APT
— a sigla para "ameaças persistentes avançadas"
que defendem atores dos estados-nações,
espiam jornalistas e ativistas,
advogados e cientistas
e pessoas normais que falam a verdade ao poder.
Eu fazia isso há uns tempos
quando descobri que um dos meus colegas investigadores,
com quem eu estava a fazer isso durante todo esse tempo,
era supostamente um violador em série.
Então, a primeira coisa que fiz
foi ler um monte de artigos sobre isso.
E em janeiro de 2018,
li um artigo com algumas das suas supostas vítimas.
Uma das coisas que me chocou nesse artigo
é como elas estavam assustadas.
Estavam realmente assustadas,
tinham fitas a tapar a câmara dos telemóveis
e dos computadores.
Estavam com medo de que ele fosse um "hacker"
e que fosse piratear tudo
e arruinasse a vida delas.
E isso mantivera-as em silêncio durante muito tempo.
Então, eu fiquei furiosa.
Eu não queria que ninguém voltasse a sentir-se daquela forma.
Assim, fiz o que geralmente faço quando estou furiosa:
Publiquei no Twitter.
(Risos)
E o que eu publiquei
foi que, se uma mulher fosse abusada sexualmente por um "hacker"
e esse "hacker" ameaçasse invadir os dispositivos dela,
essa mulher podia entrar em contacto comigo
e eu iria tentar garantir
que o seu aparelho tivesse um tipo completo de "vigilância forense".
Depois fui almoçar.
(Risos)
Dez mil respostas ao meu "tweet" depois...
(Risos)
acidentalmente comecei um projeto.
Todas as manhãs, eu acordava e a minha caixa de "e-mail" estava cheia.
Estava cheia de histórias de homens e de mulheres
a contar-me a pior coisa que já lhes tinha acontecido.
Fui contactada por mulheres que tinham sido espiadas por homens,
por homens que tinham sido espiados por homens,
por mulheres que tinham sido espiadas por mulheres.
Mas a grande maioria das pessoas que me contactavam
eram mulheres que já tinham sido abusadas sexualmente por homens
que agora as estavam a espiar.
Um caso interessante em particular
envolveu um homem que veio ter comigo,
porque o namorado dele o denunciara como "gay"
à sua família coreana extremamente conservadora.
Isto já não é um problema de homens a espiar mulheres.
E eu estou aqui para partilhar
o que eu aprendi com esta experiência.
O que eu aprendi é que os dados escapam-se,
tal como a água.
Vão para lugares que não queremos que vão.
As pessoas dão à língua.
Os nossos amigos dão informações sobre nós.
A nossa família dá informações sobre nós.
Vamos a uma festa,
e alguém repara que estivemos lá.
Esta é uma das formas
que os abusadores usam para obter informações sobre nós,
que não queremos que eles saibam.
Não é invulgar os agressores contactarem os amigos e a família
e pedirem informações sobre as suas vítimas,
com a desculpa de estarem preocupados com a nossa "saúde mental".
Uma forma de fuga de informações que eu vi
foi aquilo a que chamamos uma conta comprometida.
A nossa conta do Gmail,
a nossa conta do Twitter,
a nossa conta do Instagram,
a nossa iCloud,
o nosso ID da Apple,
o nosso Netflix, TikTok
— eu tive de descobrir o que era o TikTok.
E se eu tinha um login
eu via isso comprometido,
porque o abusador nem sempre é o abusador.
É muito comum que as pessoas numa relação partilhem as "passwords".
Além disso, as pessoas que são íntimas,
sabem muitas coisas uma da outra,
e podem adivinhar a pergunta de segurança da outra.
Podem espreitar por cima do nosso ombro
para ver qual o código que estamos a usar para bloquearem o telemóvel.
Frequentemente têm acesso físico ao telemóvel,
ou têm acesso físico ao computador portátil.
Isso dá-lhes muitas oportunidades
de fazer coisas na conta dos outros,
o que é muito perigoso.
Felizmente, aconselham-nos
a trancar as nossas contas.
Este conselho já existe, e resume-se a isto:
Usem "passwords" únicas e fortes em todas as vossas contas.
Usem "passwords" únicas e fortes
como resposta às vossas perguntas sobre segurança,
para que alguém que saiba o nome do vosso cachorro de infância
não possa adivinhar a vossa "password".
E finalmente, liguem o nível mais alto de autenticação de dois fatores
que vos seja mais prático.
Assim, mesmo que um abusador consiga roubar a vossa "password",
como ele não tem o segundo fator,
não vai conseguir entrar na vossa conta.
A outra coisa que devem fazer
é olhar para os parâmetros de segurança e privacidade
da maioria das vossas contas.
A maioria das contas tem esse parâmetro de privacidade ou segurança
que mostra quais os aparelhos em que vocês entraram,
e mostra qual a origem dessas entradas.
Por exemplo, eu estou aqui,
a entrar no Facebook de La Quinta,
onde estamos a ter este encontro.
Se, por exemplo,
eu olhar para as minhas entradas no Facebook
e vir que alguém entrou a partir do Dubai,
consideraria isso suspeito,
porque eu há muito tempo que não vou a Dubai.
Mas às vezes isso é uma RAT
— se por RAT quisermos dizer "ferramenta de acesso remoto".
Uma ferramenta de acesso remoto
é essencialmente o que queremos dizer quando dizemos "stalkerware".
Tal como é tentador para os governos
conseguir total acesso aos nossos dispositivos
também os companheiros e ex-companheiros abusadores
são tentados a obter total acesso aos nossos dispositivos
Andamos com dispositivos de deteção no bolso durante todo o dia.
Andamos com dispositivos que contém todas as nossas "passwords",
todas as nossas comunicações,
incluindo as nossas comunicações criptografadas de ponta a ponta.
Todos os nossos "e-mails", todos os nossos contactos,
todas as nossas fotografias estão num só local.
Frequentemente as informações das nossas finanças também estão no mesmo local.
Então, o total acesso ao telemóvel de uma pessoa
é a melhor coisa para ter total acesso à mente dessa pessoa.
O que o "stalkerware" faz é dar-nos esse acesso.
Então, podem perguntar: "Como é que isso funciona?"
O "stalkerware" funciona
através de um programa comercialmente disponível,
que um abusador compra,
instala no aparelho que quer espiar,
geralmente porque lhe teve acesso físico
ou pôde enganar o seu alvo levando-o a instalá-lo ele mesmo,
dizendo:
"Este é um programa muito importante. Devias instalá-lo no teu telemóvel."
Depois, paga à empresa de "stalkerware"
para ter acesso a um portal,
que lhe dá todas as informações daquele telemóvel.
E habitualmente, paga uns 40 dólares por mês.
Este tipo de espionagem é extremamente barato.
Será que essas empresas sabem
que as suas ferramentas
são usadas como ferramentas de abuso?
Obviamente.
Se derem uma olhadela à página de "marketing" para a Cocospy
que é um desses produtos,
diz claramente no "site":
"... o Cocospy permite-lhe espiar a sua mulher com facilidade,
"Não tem de se preocupar onde ela vai,
"com quem ela fala ou em que 'website' ela entra."
Isto é muito assustador.
O HelloSpy, que é outro produto destes,
tinha uma página de "marketing" em que a maior parte do texto
falava do predomínio de traições
e como era importante apanhar a companheira a trair-nos,
incluindo a foto de um homem
que claramente acabara de descobrir a traição da companheira
e lhe dera uma sova.
Ela tem um olho negro, tem sangue no rosto.
Acho que não são precisas muitas perguntas
para perceber de que lado está o HelloSpy neste caso em particular.
E a quem eles estão a tentar vender o seu produto.
Acontece que se temos "stalkerware" no nosso computador ou no nosso telemóvel,
pode ser muito difícil saber se ele está lá ou não.
Uma das razões para isso
é que as empresas de antivírus
frequentemente não reconhecem um "stalkerware" como mal-intencionado.
Não o reconhecem como um cavalo de Troia
nem como qualquer outra coisa que normalmente acharíamos
que eles deviam avisar-nos.
Estes são alguns resultados do início deste ano do VirusTotal.
Penso que, numa amostra que observei
tive um resultado de 7 em 60
das plataformas que reconheceram o "stalkerware" que eu estava a testar.
Neste outro, consegui obter 10
— 10 em 61!
Isto continua a ser um resultado muito mau.
Consegui convencer algumas empresas de antivírus
a começar a marcar os "stalkerware" como mal-intencionados.
Assim o que vocês têm de fazer
se estão preocupados por terem esta coisa no vosso computador
é descarregar o programa,
executar uma verificação que diga:
"Há algum programa potencialmente indesejado no seu dispositivo?"
Isso dá-nos a opção de removê-lo,
mas não o remove automaticamente.
Uma das razões para isso
é a forma como o abuso funciona.
Frequentemente, as vítimas de abuso
não têm a certeza se querem ou não alertar o abusador
de lhe ter tirado o acesso.
Ou estão com medo que o abusador aumente a violência,
possivelmente para uma violência maior
do que já teve.
A Kaspersky foi uma das primeiras empresas
que disse que ia começar a levar isto a sério.
Em novembro deste ano,
fizeram uma denúncia em que disseram
que, desde que começaram a rastrear "stalkerware" entre os seus utilizadores,
tinham assistido a um crescimento de 35%.
Da mesma forma, a Lookout fez uma declaração
dizendo que iam levar isso mais a sério.
Finalmente, uma empresa chamada Malwarebytes também se pronunciou
e disse que tinham encontrado 2500 programas
durante o tempo em que tinham estado a observar,
que podiam ser classificados como "stalkerware".
Finalmente, em novembro, eu ajudei a lançar uma aliança
chamada Coalition Against Stalkerware,
formada por académicos,
por pessoas que estavam a fazer esse tipo de coisas no terreno
— clínicos que ajudam pessoas a escapar à violência de um parceiro —
e empresas de antivírus.
O nosso objetivo é educar as pessoas sobre esses programas,
mas também convencer as empresas de antivírus
a mudar a norma de ação
quanto a esse "software" assustador,
para que, em breve, se eu aparecer à vossa frente
e falar sobre isto no ano que vem,
eu puder dizer que este problema já está resolvido,
e tudo o que todos temos de fazer é descarregar qualquer antivírus
que considere normal detetar "stalkerware".
Esta é a minha esperança.
Muito obrigada.
(Aplausos)