THE WASHINGTON POST - Um dia depois de a Apple alertar jornalistas independentes indianos e políticos de partidos de oposição em outubro de que hackers do governo podem ter tentado invadir seus iPhones, autoridades sob o primeiro-ministro Narendra Modi agiram prontamente contra a Apple.
Oficiais do partido governista Bharatiya Janata Party (BJP) questionaram publicamente se os algoritmos da companhia que detectam ameaças aos dispositivos estavam com falhas e anunciaram uma investigação sobre a segurança dos aparelhos
Autoridades da administração Modi ligaram para os representantes da Apple na Índia exigindo que a empresa ajudasse a suavizar o impacto político dos avisos. Eles também convocaram um especialista em segurança da Apple de fora do país para uma reunião em Nova Delhi, onde representantes do governo pressionaram o oficial da Apple a encontrar explicações alternativas para os avisos aos usuários, disseram as fontes. Eles falaram sob a condição de anonimato para discutir assuntos delicados.
O oficial da Apple que visitou o país manteve os avisos da empresa. No entanto, a intensidade do esforço do governo indiano para desacreditar e pressionar a Apple perturbou os executivos na sede da empresa, em Cupertino, Califórnia, e ilustrou como até mesmo as empresas de tecnologia mais poderosas do Vale do Silício podem enfrentar pressões da liderança cada vez mais assertiva do país mais populoso do mundo - e um dos mercados de tecnologia mais críticos da próxima década.
O episódio recente também exemplificou os perigos enfrentados pelos críticos do governo na Índia e as medidas às quais a administração Modi recorrerá para desviar suspeitas de que tenha se envolvido em hacking contra seus inimigos percebidos, de acordo com grupos de direitos digitais, trabalhadores da indústria e jornalistas indianos.
Muitas das mais de 20 pessoas que receberam os avisos da Apple no final de outubro foram publicamente críticas ao Modi ou ao seu aliado de longa data, Gautam Adani, magnata indiano de energia e infraestrutura. Eles incluíam um político aguerrido do estado de Bengala Ocidental, um líder comunista do sul da Índia e um porta-voz de Nova Delhi do maior partido de oposição do país.
Entre os jornalistas que receberam notificações, dois se destacaram: Anand Mangnale e Ravi Nair, do Organized Crime and Corruption Reporting Project (OCCRP), uma aliança sem fins lucrativos de dezenas de salas de redação independentes e investigativas ao redor do mundo. Em 23 de agosto, o OCCRP enviou um e-mail a Adani solicitando comentários para uma história que seria publicada uma semana depois, alegando que seu irmão fazia parte de um grupo que secretamente negociava centenas de milhões de dólares em ações públicas do conglomerado Adani Group, possivelmente em violação à legislação de valores mobiliários da Índia.
Uma análise forense do telefone de Mangnale, conduzida pela Anistia Internacional e compartilhada com o The Washington Post, descobriu que, dentro de 24 horas dessa investigação, um invasor infiltrou o dispositivo e instalou o Pegasus, o notório spyware desenvolvido pela empresa israelense NSO Group e que, segundo a NSO, é vendido apenas para governos.
Uma porta-voz negou que o magnata estivesse envolvido em qualquer esforço de hacking e acusou o OCCRP de conduzir uma “campanha difamatória” contra o Adani Group. Ela também criticou o Post por perguntar se o Adani Group estava envolvido ou tinha conhecimento das tentativas de hacking contra o OCCRP. “Ao negar categoricamente e rejeitar essa insinuação, achamos perturbador e inadequado que você tentasse envolver nosso nome nessa construção espúria”, disse Varsha Chainani, chefe de comunicações corporativas do Adani Group, em resposta por e-mail a perguntas por escrito. “O Adani Group opera com os mais altos padrões de integridade e ética.”
Gopal Krishna Agarwal, porta-voz nacional do BJP, disse que qualquer evidência de hacking deve ser apresentada ao governo indiano para investigação. Hiren Joshi, o principal oficial de comunicações no escritório do primeiro-ministro, não respondeu aos pedidos de comentários.
A Apple se recusou a comentar em resposta a perguntas por escrito. O governo Modi nunca confirmou nem negou o uso de spyware, e se recusou a cooperar com um comitê nomeado pela Suprema Corte da Índia para investigar se o governo o utilizou. Mas, dois anos atrás, o consórcio de jornalismo Forbidden Stories, que incluía o Post, descobriu que telefones de jornalistas indianos e figuras políticas estavam infectados com o Pegasus, que concede aos atacantes acesso às mensagens criptografadas, câmera e microfone do dispositivo.
Nas últimas semanas, o Post, em colaboração com a Anistia, encontrou novos casos de infecções entre jornalistas indianos. Trabalho adicional do Post e da empresa de segurança de Nova York, iVerify, descobriu que políticos de oposição foram alvo, aumentando a evidência de que o governo indiano usa ferramentas de vigilância poderosas. Além disso, a Anistia mostrou ao Post evidências encontradas em junho, sugerindo que um cliente do Pegasus estava se preparando para hackear pessoas na Índia. A Anistia pediu que as evidências não fossem detalhadas para evitar ensinar aos usuários do Pegasus como encobrir seus rastros.
“Essas descobertas mostram que o abuso de spyware continua sem controle na Índia”, disse Donncha Ó Cearbhaill, chefe do Laboratório de Segurança da Anistia Internacional. “Jornalistas, ativistas e políticos de oposição na Índia não podem se proteger contra serem alvos de spyware altamente invasivo nem esperar responsabilidade significativa.”
O porta-voz da NSO, Liron Bruck, disse que a empresa não sabe quem é alvo de seus clientes, mas investiga reclamações que são acompanhadas de detalhes do hack suspeito. “Embora a NSO não possa comentar sobre clientes específicos, enfatizamos novamente que todos são agências de aplicação da lei e serviços de inteligência verificados que licenciam nossas tecnologias com o único objetivo de combater o terrorismo e crimes graves”, disse Bruck. “As políticas e contratos da empresa fornecem mecanismos para evitar o direcionamento de jornalistas, advogados e defensores dos direitos humanos ou dissidentes políticos que não estão envolvidos em terrorismo ou crimes graves.”
David Kaye, ex-relator especial das Nações Unidas para a liberdade de expressão, que testemunhou perante um comitê da Suprema Corte da Índia que investiga o suposto uso do Pegasus pelo governo, disse que as recentes reportagens do Post e de seus parceiros “transferem ainda mais o ônus para o governo indiano de refutar as alegações de que utiliza esses tipos de ferramentas”. “Especialmente após essas informações, o governo absolutamente tem que ser honesto e transparente”, disse Kaye. “Mas a acumulação de evidências sugere que isso não está divorciado do amplo ataque do governo Modi à liberdade de expressão e ao direito de protestar.”
Ameaça persistente
Um após o outro, no final de outubro, alguns dos jornalistas e políticos mais conhecidos da Índia postaram no X, anteriormente conhecido como Twitter, que a Apple os havia alertado de que hackers patrocinados pelo estado poderiam ter como alvo seus dispositivos. Embora a Apple, como de costume, não tenha acusado o governo indiano ou descrito os ataques, os próprios identificados como vítimas disseram que havia um padrão: muitos questionaram a relação próxima de Modi com Adani, que emprestou aeronaves ao líder indiano para sua campanha eleitoral de 2014, viajou ao exterior com ele durante visitas oficiais e opera um vasto portfólio de portos marítimos, aeroportos, ferrovias e usinas de energia.
Leia mais
Em 31 de agosto, o OCCRP publicou uma investigação conjunta com veículos de imprensa britânicos Financial Times e The Guardian, relatando que associados de longa data de Adani haviam direcionado fundos por meio de empresas de fachada offshore para ações publicamente negociadas da Adani. Adani negou as alegações da reportagem, mas o relatório provocou pedidos de uma investigação parlamentar sobre a manipulação suspeita de ações e renovou críticas de que o governo de Modi havia falhado em regular os negócios de Adani por lealdade ao empresário.
Horas depois que o OCCRP buscou comentários de Adani uma semana antes da publicação da história, hackers desconhecidos usaram uma exploração chamada Blastpass para contornar duas falhas de segurança no telefone de Mangnale e instalar o Pegasus, de acordo com a análise da Anistia, que afirmou não ter encontrado sinais de uma tentativa de intrusão no telefone de Nair, o que não é incomum após ataques sofisticados.
“Sabemos que o Pegasus só é licenciado para governos, e sabemos que o ataque aconteceu horas depois de enviarmos o e-mail”, disse Mangnale. “Não estou apontando o dedo para ninguém, mas isso é uma coincidência incrível.” Outros alertados pela Apple incluem Mahua Moitra, membro do Parlamento que condenou veementemente o relacionamento de Modi com Adani. Moitra foi expulsa do Parlamento neste mês por um comitê dominado pelo BJP que investiga alegações de que ela aceitou presentes de um rival comercial de Adani em troca de fazer perguntas sobre os interesses comerciais do bilionário.
Em entrevista, Moitra chamou as acusações de fabricadas e disse que o governo deveria examinar as transações de Adani em vez de suas comunicações. “Adani é o governo e o governo é Adani”, disse Moitra. “É a nossa maior desgraça sermos governados por um bando de bisbilhoteiros.”
A iVerify examinou o backup do telefone de Moitra e confirmou que ela recebeu um aviso da Apple. A empresa também viu relatórios urgentes de falhas que, juntamente com outros registros digitais, sugeriam que o dispositivo havia sido hackeado. A empresa também encontrou uma notificação de ameaça e atividade suspeita no telefone de Praveen Chakravarty, chefe do departamento de análise de dados do partido de oposição Congresso Nacional Indiano.
Isso está longe de ser a primeira vez que o governo indiano é acusado de espionar críticos. Em 2018, pesquisadores do Citizen Lab da Universidade de Toronto encontraram evidências de que servidores usados para plantar o spyware NSO estavam incorporados em redes de telecomunicações indianas. Dois anos depois, o Citizen Lab e a Anistia descobriram que nove defensores dos direitos humanos na Índia haviam sido hackeados com e-mails que instalaram spyware comercial em seus computadores Windows.
Em 2019, o WhatsApp da Meta também processou a NSO, alegando que a empresa explorou vulnerabilidades em seu software de chat para hackear aproximadamente 1,4 mil pessoas, e disse à imprensa que as vítimas incluíam jornalistas e dissidentes na Índia. A NSO negou irregularidades no caso, que está pendente. No ano passado, jornalistas do OCCRP descobriram registros alfandegários mostrando que o Bureau de Inteligência da Índia, a agência de segurança interna, recebeu remessas de hardware que correspondiam às especificações do Pegasus dos escritórios da NSO fora de Tel Aviv.
Siddharth Varadarajan, co-fundador do veículo de mídia digital indiano The Wire, recebeu um dos avisos da Apple em 30 de outubro. A Anistia descobriu que os mesmos hackers que invadiram o telefone de Mangnale tentaram fazer o mesmo com Varadarajan. Em ambos os casos, alguém usando o ID da Apple natalymarinova@proton.me usou a vulnerabilidade Blastpass. O Post não recebeu resposta a um e-mail enviado para esse endereço. A tentativa de infiltrar o telefone de Varadarajan e instalar o Pegasus, que ocorreu em 16 de outubro, falhou, segundo a Anistia. Isso ocorreu porque o Blastpass havia sido revelado em setembro pelo Citizen Lab, a Apple corrigiu as duas falhas que ele usou e Varadarajan manteve o software de seu iPhone atualizado.
Varadarajan disse que não estava trabalhando em nenhuma história sensível quando o ataque ocorreu. Mas ele disse que liderava protestos contra a prisão de um editor de esquerda acusado de espalhar propaganda do Partido Comunista Chinês. O site do editor, Newsclick, frequentemente publicava artigos críticos a Modi e Adani.
Contraofensiva do governo
Assim que jornalistas e políticos de oposição compartilharam seus alertas vindos da Apple, os oficiais do BJP correram para conter as repercussões. Funcionários graduados da administração Modi ligaram para o diretor administrativo da Apple na Índia, Virat Bhatia, após a notícia se espalhar, conforme relataram duas pessoas com conhecimento do assunto. Uma delas disse que os oficiais indianos pediram à Apple que retirasse os alertas e dissesse que havia cometido um erro. Após uma discussão acalorada, o escritório da Apple na Índia afirmou que o máximo que poderia fazer era emitir um comunicado público que enfatizasse certas ressalvas já listadas na página de suporte técnico da Apple sobre os alertas.
A Apple India logo enviou e-mails observando que poderia ter cometido erros e que “a detecção de tais ataques depende de sinais de inteligência de ameaças que muitas vezes são imperfeitos e incompletos”. “A sociedade civil ficou perplexa e preocupada com o comunicado da Apple”, disse um defensor dos direitos digitais dos EUA, que falou sob condição de anonimato para falar abertamente sobre o que ele considerava como erros da empresa.
Bhatia disse a outros que a empresa estava sob intensa pressão do governo, mas outros executivos da Apple enfatizaram a necessidade de manter a posição, disseram duas pessoas familiarizadas com os eventos. Bhatia se recusou a comentar. Ainda assim, os executivos de comunicações corporativas da Apple India começaram a pedir privadamente a jornalistas indianos de tecnologia que enfatizassem em suas reportagens que os alertas da Apple poderiam ser falsos e que alertas semelhantes haviam sido emitidos para usuários em 150 países, não apenas na Índia, disseram três jornalistas indianos, que falaram sob a condição de anonimato para proteger seu relacionamento com a Apple.
Um memorando do BJP distribuído a apoiadores do partido e a veículos de mídia amigáveis teve pontos de discussão semelhantes. O memorando, visto pelo The Post, observou que usuários da Apple em 150 países, incluindo “vários líderes políticos em Uganda”, receberam avisos semelhantes de hacking e que os sistemas operacionais da Apple continham vulnerabilidades de segurança. Na noite em que o memorando foi divulgado, autoridades do governo anonimamente disseram a veículos de comunicação indianos que suspeitavam que uma “falha algorítmica” nos sistemas internos da Apple havia gerado os avisos de hacking, e Piyush Goyal, ministro do comércio da Índia, disse em uma entrevista televisiva que os avisos poderiam ter sido “uma brincadeira”.
Nas redes sociais, influenciadores pró-governo confundiram ainda mais as águas. Sanjeev Sanyal, um dos conselheiros econômicos de Modi, apontou no X que, nos alertas de hacking da Apple, a empresa aconselhou os usuários-alvo a consultar a Access Now, um grupo de direitos digitais que Sanyal observou ter recebido financiamento de George Soros, o financista e filantropo liberal.
Soros é frequentemente retratado pela direita indiana como um bicho-papão que conspira internacionalmente contra a Índia. “Veja o enredo sinistro aqui?” Amit Malviya, chefe da equipe de mídia social do BJP, perguntou aos seus 765 mil seguidores no X, insinuando que a Apple, Access Now, Soros e políticos de oposição estavam trabalhando juntos para acusar falsamente o governo de hacking.
Em 31 de outubro, Rajeev Chandrasekhar, o vice-ministro de eletrônicos e tecnologia da informação, anunciou que uma investigação do governo havia sido iniciada “nessas notificações de ameaça e . . . nas alegações da Apple de estar segura”. Após receber uma enxurrada de perguntas do governo, um especialista em segurança da Apple de fora da Índia voou para o país em novembro e se encontrou com autoridades nos escritórios do ministério da tecnologia em Nova Deli, onde as autoridades novamente exigiram explicações alternativas para os avisos, segundo três pessoas familiarizadas com os eventos.
Mas a Apple defendeu seu trabalho para os funcionários. “Quando a Apple envia uma notificação, está gritando ‘fogo’. É melhor ter bastante confiança de que há um incêndio”, disse uma pessoa que trabalhou com a empresa. Ele e outros falaram sob condição de anonimato para discutir negociações sensíveis com as autoridades.
Em resposta a perguntas do Post sobre se o governo exerceu pressão sobre a Apple, o Ministério da Eletrônica e Tecnologia da Informação afirmou em um comunicado: “Instituímos uma investigação técnica no assunto relatado. Até agora, a Apple cooperou totalmente no processo de investigação”. Nikhil Pahwa, fundador do site de notícias de política de tecnologia indiana MediaNama, disse que o governo Modi empregou uma tática familiar. “Você não pode ter o governo indiano se investigando”, disse Pahwa. “O que vemos frequentemente com o governo indiano é o que eu chamaria de ‘pipa voadora’: lançar uma mensagem para desarmar uma situação ou para desviar uma situação.”
Um dilema para a Apple
Este ano, o Post descobriu que tanto o Facebook quanto o X descobriram propaganda militar indiana secreta e apelos à violência em suas plataformas, mas os executivos hesitaram em removê-los. Em ambos os casos, executivos nos escritórios das empresas na Índia alertaram colegas nas sedes nos EUA sobre os riscos de confrontar o governo e colocar em perigo seus negócios. No entanto, a confrontação entre a Apple e a administração Modi foi mais delicada para ambos os lados e terminou em um impasse, segundo analistas da indústria e pessoas que trabalham com a Apple.
A Apple, por sua vez, tem olhado para a Índia como impulsionadora de receitas, à medida que as vendas se estagnam em outros mercados. A Índia está a caminho de representar 10 por cento das vendas da Apple em 2025, em comparação com os atuais 4 por cento, segundo o analista da Wedbush Securities, Daniel Ives. “A Índia será o coração e os pulmões da estratégia da Apple fora da China”, disse Ives.
Enquanto isso, a administração Modi não quer alienar um fabricante de dispositivos de alto perfil que tem cortejado como parte de sua campanha “Make In India” para criar empregos em fábricas. Isso pode ter ajudado a atenuar a retaliação do governo em relação aos avisos de hacking, disseram pessoas que trabalham com a Apple. Embora os executivos da Apple na Índia inicialmente tenham fornecido aos funcionários do governo Modi argumentos para duvidar dos avisos, a Apple cedeu menos terreno do que seus pares do Vale do Silício, observando que a Apple não emitiu nenhum novo comunicado após a cúpula de novembro com as autoridades indianas.
“A Apple está trilhando uma linha muito delicada”, disse Steven Feldstein, pesquisador do Carnegie Endowment for International Peace em Washington, que estuda a indústria de spyware. “Ela precisa defender os direitos digitais e sua marca central de proteção à privacidade, mas também não quer colocar em risco sua presença em um mercado extremamente importante.”
Funcionários comuns da Apple dizem que a empresa não pode se dar ao luxo de comprometer seu compromisso de tornar seus dispositivos o mais seguros possível em uma era em que o crime e a vigilância estão aumentando. No ano passado, a Apple introduziu o Modo de Bloqueio, uma opção que reduz drasticamente o número de vias eletrônicas que podem ser usadas para implantar o Pegasus ou spyware semelhante. Nenhuma infecção foi descoberta em telefones executando o Modo de Bloqueio. Vários sinais internos influenciam a determinação da Apple de que um país está por trás de uma tentativa específica de hacking, e as chances de falsos alarmes são pequenas, dizem ex-funcionários e pessoas que trabalham com a empresa.
A Apple expandiu suas equipes de segurança e pesquisa de ameaças nos últimos anos, contratando tecnólogos com experiência em direitos humanos, bem como veteranos de agências de inteligência, e conduz investigações como uma pequena agência de inteligência. Se detecta algo incomum, procura a mesma atividade em outros lugares e segue as pistas para encontrar mais técnicas de hacking e vítimas. Com muitas tentativas de hacking, algo fora do comum ocorre.
Pode se destacar tão claramente quanto alguém entrando em um restaurante e pedindo três sobremesas, depois uma entrada e depois seis aperitivos, disse um ex-funcionário da Apple. A Apple processou a NSO por supostamente hackear sua infraestrutura e começou a alertar sobre ataques patrocinados pelo Estado em novembro de 2021, após o consórcio Forbidden Stories expor abusos em todo o mundo. O Departamento de Comércio impediu a NSO de fazer negócios com empresas americanas no mesmo mês.
Os alertas desempenharam um papel importante na exposição da atividade de hacking, especialmente quando aqueles notificados têm seus telefones examinados posteriormente. As descobertas revelaram métodos de hacking que podem então ser bloqueados, tornando mais caro para quem vende as ferramentas de hacking mais poderosas, dizem especialistas do setor.
“Os alertas da Apple mudaram fundamentalmente o jogo para encontrar abusos de spyware”, disse John Scott-Railton, pesquisador do Citizen Lab. “Seus alertas alteram o equilíbrio de poder.” A atenção aumentada elevou a questão à Casa Branca, que neste ano se comprometeu com governos aliados a não comprar das empresas cujas ferramentas estavam sendo usadas por regimes autoritários. A Índia não está entre os governos que aderiram ao compromisso.
Este ano, houve outros sinais de que o governo indiano está hackeando alvos que percebe como ameaças. Nas últimas semanas, a iVerify examinou o telefone do separatista sikh Gurpatwant Singh Pannun, baseado em Nova York, que os promotores dos EUA dizem que foi alvo de assassinato por um oficial indiano. Os engenheiros da iVerify encontraram falhas graves em seus aplicativos de mensagens criptografadas que poderiam ter sido desencadeadas por tentativas de hacking, disse o CEO Danny Rogers.
Referindo-se à atividade de um aplicativo de mensagens criptografadas durante dois dias em julho, Rogers disse: “Oito crashes do Signal seguidos gritam que alguém está tentando hackeá-lo”. Rogers disse que esses crashes não eram prova de uma tentativa de hacking, mas eram preocupantes porque havia outras evidências de que Pannun havia sido alvo. Em maio, Pannun estava conversando pelo Telegram com uma conta pertencente a Hardeep Singh Nijjar, um separatista sikh baseado no Canadá, disse Pannun ao The Post. Quando a conversa parecia estranha e Pannun ligou para Nijjar, ele disse que não usava o Telegram há um tempo.
Algumas semanas depois, em 18 de junho, Nijjar foi baleado por homens mascarados em um estacionamento - um assassinato que o primeiro-ministro canadense Justin Trudeau anunciou em setembro estar “credenciado” ao governo indiano. Pannun disse ao The Post que seus próprios telefones foram hackeados duas vezes antes. O Departamento de Estado dos EUA se recusou a abordar diretamente o suposto uso de spyware pela Índia. Um porta-voz disse que o governo “continua muito preocupado com a proliferação e o uso indevido de spyware comercial, que está sendo usado em todo o mundo para erodir os valores democráticos e permitir abusos dos direitos humanos.”
Jornalistas ainda sob ataque
Oficialmente, a investigação indiana sobre a Apple continua, mas pessoas informadas sobre o assunto disseram que a pressão sobre a empresa diminuiu. O próximo passo é um relatório do escritório de cibersegurança da Índia, mas não há prazo. A mídia indiana informou que autoridades indianas agora acreditam que os avisos da Apple sobre hacking patrocinado pelo Estado eram genuínos, mas que o culpado pode ter sido Pequim.
Embora a China seja a grande rival regional da Índia e uma prodigiosa hacker, ela nunca foi publicamente vinculada a qualquer uso do Pegasus. O Ministério da Defesa de Israel deve aprovar todas as vendas do spyware. Embora as tensões entre a Apple e Nova Delhi tenham diminuído, os jornalistas que enfrentaram tentativas de hacking continuam a sentir pressão.
Em novembro e dezembro, um terceiro jornalista indiano que trabalhou com o OCCRP recebeu e-mails de phishing de um hacker que se passava por um denunciante buscando vazar documentos corporativos. Os e-mails continham malware, de acordo com a equipe de segurança do OCCRP, que não conseguiu identificar o remetente.
Após a publicação de sua investigação sobre a Adani em agosto, Mangnale e Nair foram convocados pelo departamento de combate ao crime da polícia da cidade de Ahmedabad, no estado natal de Adani e Modi, Gujarat, para responder a uma reclamação de um investidor local que os acusou de divulgar uma história “grosseiramente falsa e maliciosa” sobre Adani.
A polícia de Ahmedabad também convocou dois repórteres britânicos do Financial Times, que colaboraram com o OCCRP na investigação, como parte de uma investigação preliminar. Um porta-voz do Financial Times se recusou a comentar. O OCCRP disse que apelou com sucesso à Suprema Corte da Índia para proteger Mangnale e Nair de uma possível prisão, mas os jornalistas ainda estão lutando nos tribunais para evitar o interrogatório policial. Em sua primeira audiência em 1º de dezembro, os jornalistas do OCCRP descobriram que um advogado especialmente poderoso estava argumentando o caso em nome da polícia local. Esse advogado era Tushar Mehta, o procurador-geral da Índia./WP