Espionagem contra o Parlamento Europeu

Artigo original ↗ Discussão no Hacker News ↗

Um membro da comissão do Parlamento Europeu que investiga spyware terá sido alvo do Pegasus, do NSO Group, levantando preocupações sobre espionagem ao nível do Estado contra instituições da UE e sobre fraca segurança operacional, como misturar dados pessoais e de trabalho num único telefone. Os comentadores debatem quais governos podem ser responsáveis, referindo abusos anteriores com Pegasus por Estados-membros da UE e a realidade mais ampla de que aliados espionam rotineiramente uns aos outros. O incidente também leva a escrutinar as notificações de ameaça atrasadas da Apple, a eficácia do Lockdown Mode do iOS e a dependência europeia de plataformas tecnológicas dos EUA num cenário de vigilância digital generalizada.

Dependência Tecnológica da UE e Regulação

  • Vários comentários argumentam que as instituições e os cidadãos da UE dependem excessivamente de plataformas tecnológicas dos EUA, o que permite vigilância em massa por meio de canais americanos.
  • Alguns veem as regras da UE (GDPR, burocracia pesada, cultura SOC2/ISO) como prejudiciais às startups europeias e como algo que consolida os incumbentes dos EUA.
  • Outros contrapõem que existem muitas empresas europeias, então a regulação não é um bloqueio total; o verdadeiro gargalo é distribuição e efeitos de rede, não construir produtos.

Notificações de Ameaça da Apple e Infeção por Pegasus

  • A Citizen Lab encontrou infeções por Pegasus no iPhone do deputado europeu; a Apple tinha enviado vários alertas de “spyware mercenário” meses depois.
  • Há debate sobre se o deputado ignorou, perdeu ou nunca viu as notificações:
    • Uma visão: elas são altamente visíveis (iMessage, email, banner web), então é difícil “não se lembrar”.
    • Outra visão: as notificações do iOS são fáceis de descartar e não há UI para ver o histórico; muitas pessoas raramente verificam o email do Apple ID.
    • Outros sugerem que o Pegasus pode suprimir ou apagar esses alertas depois que o dispositivo está totalmente comprometido.
  • Alguns classificam os alertas em lote e atrasados da Apple como “teatro de segurança”, já que eles não bloqueiam o ataque.

Normas de Espionagem e Five Eyes

  • Há amplo consenso de que “todos espionam todos”, incluindo aliados; alguns destacam que atores privados enfrentam risco maior quando são apanhados.
  • Há disputa sobre se os EUA realmente se abstêm de espionar a liderança do Five Eyes e aliados próximos:
    • Um lado cita diretivas pós-Snowden e acordos de cooperação.
    • O outro lado duvida que isso seja seguido na prática e observa que “segurança nacional” pode justificar quase tudo.

Estados-Membros da UE a Usarem Spyware

  • Foram citados exemplos de vigilância política interna na Grécia, Polónia, Espanha e Itália usando Pegasus ou ferramentas semelhantes.
  • Alguns comentadores enfatizam que isto é muitas vezes abuso político interno, não apenas espionagem estrangeira.
  • Há ceticismo de que cortar vendas a governos abusivos seja mais do que controlo de danos de relações públicas.

Políticas de Dispositivos e Dados Pessoais

  • Preocupação de que o mesmo telefone tenha sido usado tanto para trabalho governamental confidencial como para conversas médicas pessoais.
  • Questiona-se se o Parlamento Europeu impõe separação entre dispositivos de trabalho e pessoais; o consenso é que política e realidade muitas vezes divergem.
  • Alguns argumentam que responsáveis importantes que ignoram estas noções básicas não são adequados para funções sensíveis.

Mitigações, Deteção e Arquitetura

  • Menção a ferramentas forenses de código aberto para analisar telefones em busca de indicadores de Pegasus.
  • Acredita-se que o Lockdown Mode no iOS provavelmente ajuda, mas com elevado custo de usabilidade, transformando efetivamente o smartphone num “dumbphone”.
  • Alguns argumentam que o design moderno dos sistemas operativos de smartphones (kernels grandes, APIs legadas, linguagens inseguras, serviços ubíquos) torna este tipo de spyware inevitável; aconselham tratar os telefones como inerentemente comprometidos.
  • Discussão sobre mitigação extrema: usar telemóveis muito simples para trabalho oficial, embora isso entre em conflito com a dependência real de apps móveis e 2FA.