A conhecida empresa italiana de espionagem eletrónica Hacking Team sofreu um ataque informático e mais de 400 gigabytes de informação foram tornados públicos, reporta o CSO, um site que acompanha notícias de atualidade relacionadas com segurança e gestão de risco.

A Hacking Team é uma empresa europeia com sede em Milão (Itália) e clientes espalhados por todo o mundo. Os seus serviços de intrusão e espionagem online e “legal” são bastante requisitados pelos governos de vários países e até por forças da lei, algo que já levou a organização Repórteres Sem Fronteiras a incluir a Hacking Team no índice de Inimigos da Internet.

O ataque informático à empresa italiana divulgou, em larga escala, documentos internos, código-fonte e e-mails trocados entre responsáveis da empresa e clientes. Também a conta da Hacking Team no Twitter foi invadida, tendo sido partilhado através dela um tweet com uma ligação que conduzia ao download da informação roubada.

Entre os documentos divulgados surgem ordens de pagamento de serviços por parte da Coreia do Sul, Cazaquistão, Arábia Saudita, Omã, Líbano, Mongólia, Egipto, Etiópia, Marrocos, Nigéria, Sudão, Chile, Colômbia, Equador, Azerbaijão, Malásia, Singapura, Honduras, Suíça, Tailândia, Uzbequistão, Vietname, Austrália, Chipre, República Checa, Barém, Panamá, Hungria, Emirados Árabes Unidos e até da Rússia, embora a empresa sempre tenha negado fornecer serviços a governos opressivos. Alemanha, Itália, Luxemburgo, Polónia, Chipre e Espanha também estão na lista.

Um dos documentos roubados e já divulgados no Twitter mostra também a listagem de contratos da Hacking Team com muitos destes países. Enquanto a maioria dos contratos estão assinalados com as etiquetas “ativo” ou “expirado”, os investigadores que já tiveram acesso à informação dão destaque para a etiqueta “não apoiado oficialmente”, associada a países como a Rússia e o Sudão, além da fatura de 480.000 euros pagos à Hacking Team por este último, um país que, segundo a Human Rights Watch, tem reprimido violentamente quem se insurge em protestos contra o poder.

Há também registo de uma troca de emails entre Biniam Tewolde e uma responsável da Hacking Team, Daniele Milan. Segundo o CSO, Tewolde esteve ligado a vários domínios relacionados com a Fundação Meles Zenawi — primeiro-ministro da Etiópia até à sua morte em 2012. Nas mensagens, Tewolde agradece à Hacking Team pela ajuda na captura de um alvo de “extrema importância”, cuja identidade se desconhece. Mas os negócios com a Etiópia não se ficam por aqui. Entre os documentos divulgados surge uma fatura de 1.000.000 de Birr’s etíopes (ETB), cerca de 43.000 euros, pagos por este país pelo serviço de acesso remoto da empresa de espionagem, bem como por outros serviços profissionais e equipamentos de comunicação.

O jornal The Intercept dá conta de que o FBI, o Exército norte-americano e a Drug Enforcement Administration (DEA) também estão entre os clientes da empresa italiana. Em causa estará a compra de software que permite obter o controlo remoto do computador do alvo e até gravar chamadas, roubar e-mails, monitorizar as teclas premidas no teclado e ativar webcams. A lista indica ainda que o contrato com o Departamento de Defesa dos Estados Unidos da América já não está ativo, mas que há uma renovação contratual com a DEA em progresso.

Outra curiosidade reside nas passwords usadas pelo Engenheiro de Segurança da Hacking Team, Christian Pozzi, particularmente exposto neste caso. Segundo o CSO, as senhas usadas por Pozzi — e divulgadas em conjunto com os dados roubados à empresa — eram de fraca segurança e má qualidade — como “HTPassw0rd” e “Passw0rd!” — tal como muitas das passwords de clientes, também publicadas.

Os dados divulgados levantam novas preocupações em torno da espionagem eletrónica e da vigilância em massa, bem como da venda e do uso de tecnologia europeia por países liderados por governos opressores. E como se trata de uma enorme quantidade de dados, espera-se que vá surgindo novas notícias relacionadas com o assunto à medida que os analistas e investigadores vão tomando conhecimento dos documentos publicados.

Reação do TOR Project: eles “não gostam muito de nós” e querem “quebrar o Tor”

Esta terça-feira, a administração do TOR Project — uma das maiores redes de anonimato, segurança e privacidade online — publicou um comunicado no Twitter acerca desta polémica:

“A Hacking Team não gosta muito de nós, mas já sabíamos disso. Eles tinham um plano para tentar quebrar o nosso software — nós também sabíamos disso antes.

Mas, até ao momento, não descobrimos nenhum exploit contra o Tor. Não estamos surpreendidos que a Hacking Team estivesse a tentar quebrar o Tor — o Tor impede a espionagem, e a Hacking Team era especialmente contratada pela polícia secreta do mundo.

Nós interessamo-nos pela segurança dos utilizadores e pelos direitos humanos. Vamos manter-vos atualizados acerca de novos desenvolvimentos relacionados com esta situação.” — The Tor Project

Além de ser uma rede de voluntários, o Tor é também uma ferramenta que permite navegar na internet de forma anónima e uma das principais portas de acesso à deep web — o lado oculto da internet. As suas ferramentas são amplamente usadas por indivíduos e grupos que necessitam de anonimato online, tais como particulares, jornalistas, investigadores, ativistas e organizações não-governamentais, mas também há registo do uso dos hidden services (“serviços ocultos”) do Tor por criminosos, traficantes de droga e outros grupos do género. As ferramentas do Tor também podem servir para contornar o bloqueio imposto pelos provedores de serviços e governos a certos conteúdos e sites.

Por todas estas razões, não é de estranhar o interesse da Hacking Team em quebrar a segurança da rede Tor. Em outubro de 2013, um conjunto de slides confidenciais da Agência de Segurança Nacional norte-americana (NSA) — roubados e divulgados por Edward Snowden — revelavam que também a NSA estaria a explorar eventuais vulnerabilidades do Tor, tal como noticiou o jornal britânico The Guardian. Os slides foram, entretanto, publicados na íntegra pela Electronic Frontier Foundation:

(Editado por Diogo Queiroz de Andrade)