A fabricante de spyware Paragon Solutions há muito se apresenta como uma empresa responsável em um setor que, segundo a própria companhia, está repleto de agentes mal-intencionados. A empresa afirma que nunca venderá seu spyware móvel a regimes autoritários ou a governos com histórico ruim em direitos humanos. Também diz que encerrará o relacionamento com qualquer cliente que use seus produtos contra jornalistas, dissidentes ou outros alvos que não sejam legítimos.
Mas, semanas depois de ser adquirida, em dezembro de 2024, pela firma americana de investimentos AE Industrial Partners, a Paragon foi associada a uma denúncia de uso indevido de seu produto. Na época, a empresa ainda era controlada por proprietários israelenses. Após a aquisição, foi incorporada à REDLattice, empresa americana de cibersegurança ofensiva controlada pela AE que anunciou nesta semana planos de abrir capital.
O WhatsApp afirmou que o spyware Graphite, da Paragon, foi usado para infectar celulares de mais de 60 pessoas em mais de 20 países, entre elas jornalistas e ativistas. A maioria dos alvos não foi identificada, mas o Citizen Lab, da Universidade de Toronto, apontou dois jornalistas e dois ativistas na Itália.
As autoridades italianas negaram o uso indevido. A Paragon e seus novos proprietários americanos inicialmente não comentaram as acusações, apesar da política de tolerância zero da empresa em relação a abusos cometidos por clientes. Segundo relatos, a Paragon avaliava possíveis medidas judiciais contra o WhatsApp, depois que a plataforma enviou uma notificação extrajudicial exigindo que a empresa interrompesse determinada conduta.
Em menos de uma semana, porém, a Paragon cancelou os dois contratos que mantinha com os serviços de inteligência interna e externa da Itália.
De fora, parecia que a Paragon havia conduzido uma investigação e confirmado as acusações antes de romper os contratos. Mas Andrew Boyd, diretor-executivo da Paragon e da REDLattice, afirmou à WIRED que a empresa simplesmente “demitiu” a Itália. Segundo ele, “do ponto de vista do risco, não valia a pena manter o relacionamento” após as acusações.
Em outras palavras, a Paragon não investigou o caso nem demonstrou interesse em apurar se as acusações eram verdadeiras. Investigadores do governo italiano concluíram que os celulares dos ativistas haviam sido invadidos, mas consideraram a ação legal por ter ocorrido no contexto de investigações criminais. Eles confirmaram a invasão do celular de um jornalista, mas não encontraram provas de que os serviços italianos fossem responsáveis.
A Paragon também não procurou o WhatsApp nem o Citizen Lab para obter detalhes sobre o suposto abuso e avaliar se deveria cancelar contratos em outros países mencionados pela plataforma. Mais preocupante, segundo críticos, foi outra revelação de Boyd: a empresa não tem meios técnicos para saber se seus clientes usam os programas indevidamente, pois não consegue ver quem eles escolhem como alvo nem quais dados extraem dos aparelhos. A Paragon só pode descobrir o abuso se o cliente o admitir ou se terceiros o revelarem. Boyd disse que o WhatsApp e o Citizen Lab prestaram um grande serviço à empresa ao expor as acusações no ano passado.
A Paragon também não dispõe de um mecanismo de desativação para interromper o acesso dos clientes em caso de uso indevido. A empresa pode apenas suspender o suporte ininterrupto e as atualizações do sistema. Boyd não especificou a natureza dessas atualizações, mas afirmou que elas são frequentes e essenciais para o funcionamento do spyware. Sem elas, o sistema se torna ineficaz em cerca de 12 horas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...