Quando Andy Yen percebeu que a internet precisava de uma “mudança” para garantir uma maior privacidade aos utilizadores criou “um email encriptado que qualquer um pode utilizar”. Foi o primeiro serviço que a ProtonMail, empresa fundada em 2014, disponibilizou. Agora, a ambição é cada vez maior: construir um “ecossistema” e um refúgio seguro para quem navega na web.

De ProtonMail, a empresa passou a chamar-se apenas Proton. Em maio deste ano, o nome ficou mais pequeno ao mesmo tempo que a oferta de serviços se alargou. Neste momento, o “ecossistema” é composto por quatro plataformas: uma drive, um serviço VPN, um calendário e um email. Será o suficiente para rivalizar com gigantes tecnológicas como a Google? Andy Yen pensa que sim e está comprometido em liderar o universo da privacidade online.

A forma como a Google define privacidade é: ‘ninguém pode explorar os teus dados, exceto nós’. A nossa definição é mais limpa, simples e autêntica: ninguém pode explorar os teus dados, ponto”, alertou o CEO da Proton em entrevista à Wired.

Assim, Andy Yen acredita que a “privacidade é inerente ao ser humano” e é a chave para que as pessoas consigam fazer uma navegação online mais segura: “Temos cortinas nas janelas, temos fechaduras nas portas. Mas tendemos a desconectar o mundo digital do mundo físico. Se pegares na analogia da Google, tens alguém a seguir-te todos os dias, a gravar tudo o que fazes e todos os lugares que visitas. Na vida real, nunca toleraríamos isso”, realçou, ao falar mais uma vez sobre a Google.

Ao Observador, um especialista em cibersegurança da Cyberprotech explicou que a principal diferença entre a Proton e as gigantes tecnológicas é que a primeira “não tem acesso aos ficheiros dos utilizadores”. Isso faz com que seja, “neste momento, em termos de privacidade, dos melhores serviços do mercado” e mais resistente aos ataques informáticos.

O ataque mais comum é o man in the middle. Ou seja, entre esta nossa ligação [por vídeochamada] poderia estar uma terceira pessoa a tentar entrar. Não saberíamos que estaria aqui, mas conseguiria ver a nossa comunicação. Com a Proton não seria assim porque só eu e tu é que temos uma chave que eu te mandei e tu aceitaste. A terceira pessoa não consegue aceder a essa chave e não consegue perceber o que está a acontecer aqui”, explicou.

Apesar de a Proton poder ser mais difícil para os hackers, o especialista frisou que, no entanto, “qualquer aplicação pode ser hackeada“. “Não se pode dizer que algo é 100% fiável. Costuma dizer-se que um hacker só precisa de ter sorte uma vez. Mas, se a Proton for hackeada não conseguirão ter acesso aos nossos dados porque os servidores não guardam essas informações, mas conseguem, ainda assim, intrometer-se nas comunicações”, acrescentou.

Do início até ao “ecossistema” que é composto por quatro serviços

Quando começou a operar, em 2014, a Proton priorizou o email antes de qualquer outro tipo de serviço. A escolha tem, segundo o Tech Radar, duas justificações: o email é a tecnologia de comunicação digital original, anterior até mesmo à própria web, e é a espinha dorsal da identidade da internet.

A procura por uma maior privacidade online e a missão de ser uma das empresas de tecnologia que diz ajudar as pessoas — como dissidentes políticos ou até jornalistas — a comunicarem sem vigilância dos governos dos diversos países teve origem na Suíça. “É um lugar estranho para uma empresa de tecnologia, mas temos as nossas razões”, contou o Andy Yen à revista Time. Os motivos da escolha de Genebra foram os benefícios oferecidos pela existência de leis de privacidade mais rígidas em termos de proteção de dados e a proximidade ao Laboratório Europeu de Física de Partículas (CERN), onde muitos dos funcionários da Proton são contratados.

A sede estava escolhida e a missão principal também. Porém, Andy Yen cedo percebeu que a empresa que fundou com dois colegas precisava de angariar dinheiro para conseguir financiar o desenvolvimento dos serviços, para aumentar a capacidade de operação e introduzir uma assinatura paga. Assim, iniciou uma campanha de crowdfunding na plataforma Indiegogo. Pretendia angariar 97.131 euros e acabou por conseguir arrecadar quase seis vezes mais — 534.588 euros.

Com o financiamento e o passar dos anos, a Proton consolidou-se como uma empresa especializada em garantir a privacidade dos utilizadores online. Com a guerra na Ucrânia, o serviço de VPN tornou-se numa das ferramentas mais populares para que os russos conseguissem aceder a sites de notícias e a redes sociais bloqueadas no país — isto até o próprio serviço VPN ter sido bloqueado pelas autoridades russas. Ao Ocidente também já não é possível utilizar a ProtonVPN para viajar digitalmente para Moscovo.

Os russos precisam de VPN, mas Moscovo bloqueia-as. Ocidente também não consegue “viajar” para a Rússia

Com exceção da viagem virtual para a Rússia — que já não é possível realizar com a Proton em nenhum país — em Portugal todos os serviços de privacidade encriptados de ponta a ponta que a empresa disponibiliza estão acessíveis. O ecossistema que Andy Yen idealizou é composto pela VPN que “mantém a atividade na internet privada e desbloqueia todo o conteúdo”, pelo calendário que “encripta os eventos de vida”, pelo email que mantém as “comunicações privadas” e pela drive que “armazena e faz backup dos documentos”.

É a primeira vez que alguém pega numa série de serviços de privacidade e os combina para formar um ecossistema consolidado”, frisou o CEO, que, segundo a Time, acredita que a empresa oferece uma alternativa “viável” a outras tecnológicas como a Google.

Uma conta chega para aceder a tudo

Antes do mês de maio, o utilizador precisava de ter uma conta para cada um dos diferentes serviços. Agora, no ecossistema Proton com um só login é possível ter acesso às quatro plataformas. Mas antes disso, as pessoas têm de optar pelo plano de subscrição que querem utilizar. Existem dois planos pagos e um único gratuito, que é o mais básico.

Proton grátis: até 1GB [Gigabyte] de armazenamento total, um endereço de email com três pastas e etiquetas, até 150 mensagens por dia e uma ligação VPN.

Proton plus (4,99€/mês): 15 GB de armazenamento total, dez endereços de email com pastas e etiquetas ilimitados, mensagens ilimitadas, suporte para um domínio de email personalizado, uma ligação VPN e apoio prioritário.

Proton ilimitado (11,99€/mês): 500 GB de armazenamento total, 15 endereços de email com pastas e etiquetas ilimitadas, mensagens ilimitadas, suporte para três domínios de email personalizados, dez ligações VPN, apoio prioritário e todos os recursos pagos do calendário e da drive.

Depois de escolher entre um dos três planos de subscrição, o utilizador consegue criar uma conta única para ter acesso aos serviços. Neste processo, quase não são necessárias informações pessoais. É apenas pedida a criação de um email Proton com uma palavra-passe forte. Se a pessoa optar por não colocar o seu nome verdadeiro quando criar o endereço, o anonimato está praticamente garantido.

Quando a conta estiver criada, os utilizadores conseguem começar a usar os serviços a que têm direito mediante o plano que escolheram. As plataformas estão disponíveis na web (exceto a VPN), para descarregar para iOs (o email e a VPN) e para Android (o email, a VPN e o calendário). A drive só é possível aceder ao utilizar um navegador online, uma vez que ainda se encontra em versão beta — estando uma aplicação para telemóvel programada para o final deste ano, segundo o Engadget.

Detalhes do email, do calendário, da VPN e da drive

O serviço de email oferecido pela Proton tem ferramentas semelhantes às que os outros, como o Gmail, disponibilizam. Na página inicial é dado acesso à caixa de entrada, onde é possível ver as mensagens recebidas e enviar emails. Quando o utilizador carrega no ícone “nova mensagem” para enviar um email para outra pessoa, ainda antes de qualquer coisa ser escrita, aparece logo uma nota: “sent with a ProtonMail secure email” (“enviado com a ProtonMail, um email seguro”, em tradução livre).

Para além dos emails tradicionais, as pessoas que utilizem a Proton conseguem enviar mensagens encriptadas protegidas por uma palavra-passe que o destinatário deverá saber para conseguir ler o email. Para isso, devem escrever o email e antes de o enviar carregar no cadeado presente no canto inferior esquerdo do ecrã. Estas comunicações privadas expiram ao fim de, no máximo, 28 dias — sendo que o utilizador pode escolher que a mesma fique indisponível ao fim de apenas 24 horas. Para ter a certeza de que quem vai receber a mensagem consegue adivinhar ou relembrar-se da password é possível deixar uma “dica”.

O Observador testou o enviou de emails protegidos por palavra-passe e verificou que ao destinatário é enviada uma mensagem a explicar que recebeu uma comunicação com password e deve carregar num botão para ter acesso à mesma. Quando a palavra-passe correta é colocada é aberto automaticamente um novo separador com a mensagem. A pessoa tem a possibilidade de responder “em segurança” através dessa mesma janela e mesmo que não tenha um email Proton consegue usar o serviço desta empresa para falar com quem enviou a comunicação inicial.

Os utilizadores do email da Proton têm ainda acesso, no menu de opções presente no lado esquerdo da página, às mensagens enviadas, excluídas e ao spam — tal como acontece com o Gmail. É ainda possível criar pastas ou etiquetas personalizadas para organizar as mensagens.

A encriptação ponta a ponta oferecida não é a principal diferença entre a ProtonMail e qualquer outro email. O que distingue este serviço é o facto de não ter acesso aos dados dos utilizadores. No caso da Proton, os dados estarão encriptados durante todo o processo de comunicação. Assim, só o utilizador e a pessoa para a qual está a enviar mensagens têm acesso às informações trocadas. No caso da Google é diferente porque a empresa tem acesso aos dados dos utilizadores.

A Proton não regista os nossos dados. Toda a gente sabe que a Google em termos de marketing utiliza os dados para vender a empresas terceiras. E a Proton não faz isso. A Proton tem a regra de não guardar esses registos. Por isso, nesse sentido, tu sabes que a tua informação está segura e que não vais ter uma empresa de publicidade a ligar-te porque obteve os teus dados da Proton”, explicou ao Observador uma fonte da Cyberprotech.

Uma das principais desvantagens do email da Proton é, segundo o Tech Radar, que a encriptação ponta a ponta não permite que o utilizador consiga pesquisar por emails anteriores. No Gmail é possível pesquisar por mensagens mais antigas, por assunto, pasta, destinatário ou data, mas na Proton os emails não são indexados e o recurso da pesquisa é muito mais limitado. De acordo com o mesmo site, um recurso exclusivo que o Gmail oferece face à concorrência é a capacidade que dá ao utilizador de iniciar uma conversa por vídeo diretamente da caixa de entrada.

Quando o utilizador quiser deixar o email e passar para outro dos serviços oferecidos pela Proton precisa apenas de carregar no símbolo com nove pontinhos que se encontra no canto superior esquerdo do ecrã. É exatamente da mesma forma que acontece com o Gmail, onde se carrega num símbolo parecido para aceder à Drive, Docs, Sheets ou ao calendário.

Para deixar o email e ‘viajar’ para outro serviço basta um clique. Aberto num novo separador e sem fechar a página anterior, o calendário (também encriptado de ponta a ponta) foi o destino escolhido. Parecido com o da Google, o calendário da Proton permite que o utilizador coloque um evento, o dia, o horário, os participantes, a localização e uma descrição do mesmo. O utilizador consegue editar, duplicar ou apagar o evento depois de o criar e pode escolher se quer ser notificado, quando quer ser, como e quantas vezes quer receber os avisos de que aquela data ou hora específica se aproxima.

Porém, com o plano grátis da Proton cada utilizador só tem um único “calendário pessoal”, o que significa que todos os eventos vão sempre ficar com a mesma cor. No caso do Google Calendar é possível ter vários calendários, o que permite organizar os compromissos, as tarefas e os lembretes com cores diferentes.

Um calendário é essencialmente um registo da tua vida: todos os que conheces, em todos os lugares em que estiveste, tudo o que fazes. É extremamente sensível. Não pensas intuitivamente em proteger isso, mas, na verdade, é essencial”, disse Andy Yen, à Wired, justificando a necessidade de existir um calendário encriptado de ponta a ponta.

Saindo do calendário para navegar noutros serviços, a VPN (Virtual Private Network) foi a segunda ferramenta que a Proton lançou e permite ‘mascarar’ a localização de onde se está a aceder à internet. Este é o serviço mais popular dentro dos que a empresa oferece porque, ao contrário de outras VPN, oferece um plano gratuito. “Normalmente, outras VPN pedem-te que pagues uma mensalidade. A Proton oferece-te três ou quatro países grátis que são suficientes para escolheres a ligação que queres fazer em segurança”, revelou uma fonte da Cyberprotech.

O Observador comprovou o que foi dito pelo especialista de cibersegurança e percebeu que através do plano gratuito a Proton deixa os utilizadores viajarem digitalmente para os Estados Unidos, para o Japão e para os Países Baixos. As restantes localizações como África do Sul ou Argentina só estão disponíveis para os assinantes dos planos pagos.

Há vários serviços de VPN. Um serviço pago tem outro tipo de características, mas eu diria que a da Proton numa lista de 60 VPN está na terceira posição”, declarou o especialista da Cyberprotech ao Observador.

A mesma fonte realçou a segurança oferecida pela VPN da Proton, já que “utiliza dois servidores a proteger a barreira contra terceiros. Enquanto a maior parte dos VPN só usa um servidor”.

Depois do email, do calendário e da VPN segue-se a análise da drive, que é o serviço que mais difere da concorrência. Na drive da Google é possível colocar vários ficheiros — desde vídeo a áudios para armazenar, mas também documentos Word ou Excel que são abertos, respetivamente, pelo Docs e pelo Sheets. No caso da Proton, a drive serve somente para guardar ficheiros, que precisam de ser descarregados para serem abertos, uma vez que a empresa não dispõe de nenhum recurso que permita aos utilizadores terem logo acesso aos documentos.

A drive desenvolvida pela Proton ainda é uma versão beta e por isso a empresa começa por pedir uma autorização para que o utilizador consinta em utilizar a ferramenta. O acesso beta é possível retirar a qualquer momento, através das definições. Porém, assim que é desativado a drive deixa de funcionar, percebeu o Observador.

Depois de alargar as plataformas que disponibiliza ao longo dos anos, a Proton pretende agora preparar a drive para um lançamento completo. Com recursos semelhantes à Google quer no email, quer no calendário, mas com uma encriptação que lhe permite estar mais avançada em termos de privacidade de dados, a Proton estuda já as novidades que se podem seguir para continuar a rivalizar com gigantes tecnológicas. O Tech Radar revelou que existem várias opções para o futuro, como um navegador web, um motor de busca ou até um gestor de palavras-passe. Andy Yen garantiu que a Proton ainda agora está a começar o seu caminho e que o dinheiro da empresa está na aposta nos serviços encriptados.

Nem a Proton consegue descodificar as mensagens enviadas?

A Proton tem garantido ao longo dos anos que oferece serviços encriptados de ponta a ponta. Isto significa que só os destinatários escolhidos pelos utilizadores conseguem descodificar as mensagens que lhes são enviadas. Assim, a empresa diz permitir que os utilizadores consigam ter o controlo total dos seus dados pessoais e revela valorizar a privacidade dos mesmos. A equipa que trabalha para a Proton e as autoridades estatais não conseguem ler as mensagens, nem os emails. Mas será mesmo assim?

A empresa defendeu sempre que os emails encriptados “não podem ser compartilhados com terceiros”, mas os utilizadores começaram a duvidar disso no ano passado. A Proton foi, em 2021, obrigada a fornecer informações de IP de uma conta de email que estava vinculada a um ativista climático francês, noticiou à época a BBC. Os dados foram pedidos devido a uma investigação a um grupo de ativistas que ocupou apartamentos e espaços comerciais em Paris.

Os membros do grupo permaneciam anónimos até que um deles utilizou o email jmm18@protonmail.com em publicações online. Sediada na Suíça, a empresa não está sujeita a pedidos de França ou da União Europeia, mas tem que obedecer aos tribunais suíços — onde a polícia francesa conseguiu apresentar, com a ajuda da Europol, um pedido para monitorização da conta.

Quando os tribunais suíços obrigaram a Proton a monitorizar a conta, a empresa começou a registar informações de IP que posteriormente entregou à polícia francesa, que conseguiu identificar e deter o ativista. Mesmo assim, os conteúdos do email — como mensagens — não foram revelados porque nem a própria Proton conseguia ter acesso devido à encriptação.

Após a detenção do ativista, a Proton emitiu um comunicado em que esclareceu que recebeu “uma ordem juridicamente vinculativa das autoridades suíças” que foi obrigada a cumprir, não havendo “possibilidade de recorrer” do pedido. A empresa adiantou ainda que não conhece a identidade dos utilizadores, pelo que não sabia quem era o indivíduo visado pelas autoridades. “Só sabemos que o pedido de dados do governo suíço veio através de canais tipicamente reservados para crimes graves. Não havia possibilidade legal de resistir ou lutar contra este pedido específico”, lê-se na nota.

No Twitter, o CEO reforçou a posição da empresa e criticou a solicitação de dados, garantindo que “é deplorável que instrumentos legais para crimes graves estejam a ser” assim utilizados, mas que “por lei” a Proton deve “cooperar com as investigações criminais suíças”. Apesar das justificações, os utilizadores ficaram alarmados com a detenção do ativista uma vez que esperavam que estivessem mais protegidos em relação à sua identificação, avançou o The Verge.

Some thoughts on the French "climate activist" incident. It's deplorable that legal tools for serious crimes are being used in this way. But by law, @ProtonMail must comply with Swiss criminal investigations. This is obviously not done by default, but only if legally forced.

— Andy Yen (@andyyen) September 5, 2021

Em declarações ao Observador, um especialista da Cyberprotech explicou que, tal como a Proton defendeu, mesmo que “fossem obrigados por lei a entregar alguma informação, não conseguiriam porque não a têm”, já que o endereço de IP só dá acesso “à máquina de onde saiu uma determinada comunicação e não divulga muito mais”. “Eu sei que o IP do teu computador está nessa localização, mas podes não ser tu quem está a utilizá-lo. Saber o teu endereço de IP não significa logo que se saiba que és tu”, acrescentou.

Andy Yen, o homem por detrás da ideia

Pensava que seria físico para toda a vida. Administrar uma empresa de tecnologia não era um sonho, mas tornou-se na sua realidade. Andy Yen cresceu em Taiwan e douturou-se em física de partículas em Harvard, antes de rumar à Suíça para trabalhar no Laboratório Europeu de Física de Partículas (CERN). Foi nesse mesmo local que, em 1989, Tim Berners-Lee esboçou um protótipo para a World Wide Web e é também ali que, agora, a Proton contrata muitos dos seus funcionários. A Proton tinha cerca de 100 funcionários espalhados pelo mundo no início da pandemia e atualmente tem mais de 400, número que prevê duplicar nos próximos anos.

Da vida de Andy Yen pouco mais se sabe. O empresário poderá gostar de manter os seus dados pessoais privados. Mesmo assim, numa entrevista à revista Time, admitiu que ver Pequim exercer controlo sobre Hong Kong mostrou-lhe que a privacidade pode desaparecer diante de regimes autoritários.

A razão pela qual criei a Proton e a razão pela qual estou profundamente comprometido com a nossa missão é porque há uma ligação direta entre o que fazemos e o que eu vejo como garantia de que a democracia e a liberdade possam sobreviver no século XXI”, acrescentou na mesma entrevista.

O caminho para se tornar CEO de uma tecnológica começa em 2013. O percurso que iria seguir tornou-se claro quando, nesse verão, Edward Snowden denunciou a vigilância massiva nos EUA, que vigiavam de forma rotineira a atividade online de milhões de pessoas. Foi aqui que Andy Yen percebeu que a internet precisava de uma mudança, uma “forma diferente para a tecnologia e a internet evoluírem”.

Quando começou oficialmente a operar, os servidores da Proton bloquearam devido à elevada procura que foi registada. Andy Yen foi apanhado de surpresa e percebeu que tinha de recorrer ao crowdfunding para angariar dinheiro para ampliar os seus recursos e responder à procura. Conseguiu angariar 534.588 euros, financiamento que permitiu, segundo disse à Time, evitar entregar o controlo da empresa a investidores externos.

Daqui até à construção de um “ecossistema” passaram oito anos. A missão continua a mesma: garantir a privacidade online. “Todos os teus dados pertencem-te, são privados por defeito e não podem ser explorados de nenhuma forma, agora ou no futuro. Isto é algo que eu acho que eu acho que as gigantes tecnológicas não oferecem aos consumidores”, disse à Bloomberg garantindo que os utilizadores da web procuram cada vez mais segurança e privacidade.

A ideia de Andy Yen é continuar a fazer a empresa crescer, mas a expansão que tem em mente poderá não ser fácil porque existem dúvidas, escreve o Tech Radar, de que o modelo de negócio baseado nas subscrições seja lucrativo o suficiente para a suportar — principalmente porque o CEO pretende continuar a oferecer versões gratuitas dos serviços.

Apesar das incertezas apontadas, Andy Yen garantiu à Wired que o “modelo de negócio é simples”: “Os utilizadores premium pagam-nos para mantermos os seus dados privados e a nossa única motivação é mantê-los privados. Às vezes, os modelos mais fáceis e simples são os mais duradouros”.