Uma indústria pouco conhecida do grande público está entrando novamente no radar do governo americano:
o hacking por encomenda.
Três parlamentares dos Estados Unidos — dois democratas e um republicano — enviaram uma carta ao secretário de Comércio, Howard Lutnick, pedindo que Washington imponha fortes restrições a três empresas indianas acusadas de participar de operações de espionagem digital comercial.
As empresas mencionadas são:
BellTroX;
CyberRoot;
Sunkissed Organic Farms Pvt. Ltd., anteriormente conhecida como Appin Technology Pvt. Ltd.
O pedido foi assinado pelos senadores democratas Ron Wyden, do Oregon, e Sheldon Whitehouse, de Rhode Island, além do deputado republicano Pat Harrigan, da Carolina do Norte.
O movimento chama atenção pelo caráter:
bipartidário e bicameral.
Mas existe uma correção fundamental em relação à manchete que circula nas redes sociais:
as empresas ainda não foram banidas pelos Estados Unidos.
Os parlamentares estão pedindo que o governo tome essa medida.
O pedido é para inclusão na Entity List
Os congressistas querem que as três empresas e entidades relacionadas sejam adicionadas à:
Entity List
do Bureau of Industry and Security, órgão ligado ao Departamento de Comércio dos Estados Unidos.
Essa lista é uma das ferramentas mais importantes do governo americano para restringir o acesso de organizações estrangeiras a:
tecnologia;
software;
hardware;
serviços;
infraestrutura americana.
Entrar nessa lista pode tornar extremamente difícil para uma empresa estrangeira continuar utilizando produtos e tecnologias originários dos Estados Unidos.
Não é exatamente uma proibição de existir
A expressão “banimento” precisa ser entendida corretamente.
A inclusão na Entity List não significa que Washington:
fecha fisicamente a empresa;
prende automaticamente seus funcionários;
ou encerra suas atividades em outros países.
O mecanismo funciona principalmente através de:
controles de exportação.
Empresas americanas passam a enfrentar severas restrições para fornecer determinados produtos, tecnologias ou serviços às organizações listadas sem autorização do governo.
Na prática, isso pode ser extremamente prejudicial para uma empresa de tecnologia.
Imagine uma empresa de hacking sem tecnologia americana
Ela poderia enfrentar dificuldades para acessar:
software;
serviços em nuvem;
ferramentas de cibersegurança;
hardware;
infraestrutura tecnológica.
Esse é justamente o objetivo.
Em vez de simplesmente tentar prender operadores que estão fora dos Estados Unidos, Washington pode:
atacar a cadeia tecnológica necessária para que continuem operando.
Mas o que é uma empresa de “hack-for-hire”?
O termo significa literalmente:
hacker para contratar.
É diferente de uma empresa tradicional de cibersegurança.
Uma empresa legítima de pentest é contratada pelo proprietário de um sistema para:
testar sua própria segurança.
Existe:
autorização.
No modelo criminoso de hack-for-hire, o cliente pode contratar operadores para invadir:
o e-mail de outra pessoa;
uma empresa concorrente;
um advogado;
um executivo;
um adversário político.
Ou seja:
o alvo não autorizou o ataque.
É quase uma terceirização da espionagem digital
Imagine uma disputa empresarial.
Uma empresa quer descobrir:
o que o concorrente está planejando.
Em vez de desenvolver uma equipe interna de espionagem, contrata:
um terceiro.
Esse terceiro tenta invadir:
e-mails;
contas;
dispositivos;
sistemas.
Depois entrega:
as informações ao cliente.
É espionagem transformada em:
serviço comercial.
As acusações americanas são graves
Na carta, os parlamentares afirmam que grupos de mercenários cibernéticos sediados na Índia vêm realizando há mais de:
15 anos
operações direcionadas contra:
cidadãos americanos;
empresas;
advogados;
organizações.
Segundo os congressistas, essas operações teriam sido utilizadas inclusive para:
interferir ou obter vantagens em disputas judiciais.
Mais de mil advogados teriam sido alvo
A carta menciona ataques contra:
empresas de private equity;
companhias farmacêuticas;
escritórios de advocacia.
Segundo os parlamentares:
mais de mil advogados de grandes escritórios americanos
teriam sido alvos das campanhas atribuídas a esse ecossistema.
Isso é especialmente preocupante porque escritórios jurídicos guardam informações extremamente sensíveis.
Um escritório de advocacia pode ser um alvo melhor que o próprio cliente
Imagine uma empresa enfrentando:
processo bilionário.
Atacar diretamente a companhia pode ser difícil.
Mas seu escritório de advocacia possui:
estratégia processual;
documentos confidenciais;
negociações;
e-mails;
evidências;
avaliações de risco.
Se alguém consegue acessar essas informações:
ganha uma enorme vantagem.
É por isso que escritórios de advocacia são alvos extremamente valiosos para espionagem digital.
Hacking pode alterar o equilíbrio de uma disputa judicial
Suponha que uma parte descubra secretamente:
qual será a estratégia adversária;
quais documentos serão apresentados;
quanto o outro lado aceita em um acordo;
quais testemunhas serão chamadas.
Essas informações podem modificar completamente:
uma negociação.
É justamente essa conexão entre hacking e litígios que aparece com força na carta dos parlamentares.
BellTroX já havia aparecido em uma investigação importante
Em 2020, pesquisadores do Citizen Lab revelaram uma grande operação de espionagem digital chamada:
Dark Basin.
A investigação relacionou parte da infraestrutura utilizada nas campanhas à:
BellTroX InfoTech Services.
Os alvos incluíam organizações e indivíduos envolvidos em:
campanhas ambientais;
ativismo;
disputas empresariais;
questões relacionadas à neutralidade da rede.
O trabalho ajudou a expor internacionalmente o mercado de:
mercenários digitais.
O modelo não depende necessariamente de malware extremamente sofisticado
Quando pensamos em espionagem digital, imaginamos:
zero-days;
spyware avançado;
explorações secretas.
Mas operações comerciais podem utilizar técnicas muito mais simples.
Por exemplo:
phishing.
O atacante envia uma mensagem convincente.
A vítima recebe algo que parece:
Google;
Microsoft;
serviço corporativo.
Ela clica.
Digita a senha.
O atacante captura:
as credenciais.
Simples não significa ineficiente
Uma campanha altamente direcionada pode pesquisar previamente:
nome;
cargo;
empresa;
colegas;
processos;
clientes.
Depois cria uma mensagem especificamente para aquela pessoa.
Isso é:
spear phishing.
Um advogado trabalhando em determinada aquisição pode receber um documento aparentemente relacionado:
à própria operação.
Quanto mais contexto o atacante possui:
maior a chance de sucesso.
A Appin aparece no centro de uma história ainda maior
A antiga Appin Technology tornou-se um dos nomes mais conhecidos em investigações sobre a indústria indiana de hackers por encomenda.
Reportagens e pesquisas anteriores associaram a empresa a uma extensa rede de operações de espionagem comercial.
A companhia deixou de operar com aquele nome.
A carta dos parlamentares relaciona sua continuidade corporativa à:
Sunkissed Organic Farms Pvt. Ltd.
Sim, o nome é realmente “Sunkissed Organic Farms”
A denominação parece completamente desconectada de:
tecnologia;
cibersegurança;
hacking.
Mas é justamente a empresa citada pelos parlamentares como sucessora da antiga Appin Technology.
A história corporativa envolvendo Appin e empresas relacionadas tornou-se bastante complexa ao longo dos anos.
Existe também uma batalha sobre as próprias reportagens
Essa é uma das partes mais incomuns da história.
Os parlamentares não acusam as organizações apenas de:
hacking.
Também afirmam que pessoas e empresas associadas ao ecossistema teriam utilizado:
ações judiciais e tribunais estrangeiros para tentar remover investigações jornalísticas.
Ou seja, a disputa passou do mundo digital para:
os tribunais.
Reuters chegou a retirar temporariamente uma investigação
Uma investigação publicada pela Reuters sobre a indústria de hack-for-hire na Índia tornou-se alvo de uma ordem judicial naquele país.
A reportagem chegou a ser retirada enquanto a agência recorria.
Posteriormente:
a ordem foi suspensa e o conteúdo voltou a ser publicado.
A Reuters afirmou que mantinha sua reportagem.
Outros veículos também enfrentaram pressão
Organizações americanas de direitos digitais documentaram tentativas de pressionar veículos e pesquisadores que publicaram informações relacionadas à Appin e empresas associadas.
A Electronic Frontier Foundation, por exemplo, já defendeu organizações de mídia diante de ameaças jurídicas relacionadas ao assunto.
É por isso que a carta dos parlamentares fala não apenas de:
cibersegurança,
mas também de:
liberdade de imprensa.
Os parlamentares falam em uma “campanha agressiva de censura”
Na avaliação deles, utilizar tribunais estrangeiros para remover investigações sobre ameaças cibernéticas aos Estados Unidos pode impedir que cidadãos americanos tenham conhecimento de:
riscos que os afetam diretamente.
Por isso, a questão ganhou uma dimensão constitucional e política.
Não se trata apenas de:
quem invadiu qual e-mail.
Também envolve:
quem pode publicar informações sobre essas operações.
Existe ainda uma acusação envolvendo o Catar
Os parlamentares afirmam que empresas de hack-for-hire teriam operado a pedido do:
governo do Catar.
Entre os alvos estariam pessoas ligadas às disputas envolvendo a candidatura do país para sediar a:
Copa do Mundo de 2022.
Investigações anteriores já relacionaram operações atribuídas ao ecossistema Appin a ataques contra figuras envolvidas nesse contexto.
A alegação, porém, deve continuar sendo apresentada como:
acusação e resultado de investigações — não como fato judicialmente estabelecido para todas as empresas e operações mencionadas.
Isso mostra por que “hack-for-hire” preocupa governos
Um país possui:
agências de inteligência.
Mas essas agências deixam:
rastros diplomáticos.
Se forem descobertas espionando outro país:
pode surgir uma crise.
Mercenários digitais oferecem:
distância.
O contratante pode tentar negar:
“não fomos nós.”
Esse conceito é conhecido como:
plausible deniability — negação plausível.
O mesmo problema existe com spyware comercial
Nos últimos anos, governos perceberam que empresas privadas podem fornecer capacidades que antes pertenciam quase exclusivamente a:
agências de inteligência.
Um cliente com dinheiro suficiente pode comprar ferramentas capazes de:
invadir smartphones;
monitorar comunicações;
localizar pessoas;
extrair dados.
Isso criou a indústria de:
cyber mercenaries.
Os Estados Unidos já usaram a Entity List contra esse mercado
Washington possui precedentes importantes.
Em 2021, o Departamento de Comércio colocou empresas como:
NSO Group
e:
Candiru
na Entity List.
A justificativa envolvia o desenvolvimento e fornecimento de spyware utilizado por governos estrangeiros para atingir:
jornalistas;
ativistas;
funcionários públicos;
dissidentes.
Posteriormente, outras empresas relacionadas ao mercado de spyware comercial também sofreram restrições.
O pedido atual amplia essa lógica
NSO ficou famosa por:
Pegasus.
Um spyware extremamente sofisticado.
Mas as empresas citadas agora estão associadas principalmente a outro modelo:
hacking como serviço.
Isso é importante.
Washington pode estar caminhando para tratar diferentes tipos de mercenários digitais dentro da mesma lógica:
se uma empresa vende capacidade ofensiva utilizada contra americanos:
pode perder acesso à tecnologia americana.
O modelo comercial é o problema, não apenas a ferramenta
Uma empresa pode vender:
spyware.
Outra pode executar:
phishing.
Outra pode contratar:
hackers.
Outra pode fornecer:
infraestrutura.
Tecnicamente são atividades diferentes.
Mas o resultado pode ser semelhante:
acesso clandestino a informações privadas de terceiros em benefício de um cliente pagante.
Esse mercado existe porque informação vale muito dinheiro
Imagine descobrir antes de todos:
uma aquisição;
uma decisão judicial;
uma negociação;
uma patente;
uma estratégia comercial;
uma investigação.
Essa informação pode valer:
milhões ou bilhões de dólares.
Onde existe informação valiosa:
existe incentivo para roubá-la.
O mercado de hackers mercenários profissionalizou esse incentivo
Em vez de procurar alguém em fórum clandestino:
empresas podem aparecer com:
escritórios;
contratos;
consultores;
intermediários.
A fronteira entre:
empresa legítima;
investigação privada;
inteligência corporativa;
crime digital
pode ficar deliberadamente:
confusa.
Quem contrata também pode enfrentar responsabilidade
Outro ponto importante é que não apenas o hacker pode cometer crime.
Se uma empresa ou pessoa conscientemente contrata terceiros para:
invadir e-mail;
roubar documentos;
acessar sistemas sem autorização,
o cliente também pode enfrentar:
responsabilidade criminal e civil.
“Eu não fiz o hacking, apenas paguei alguém” não elimina automaticamente:
responsabilidade.
O caso também interessa ao Brasil
O mercado de hacking sob encomenda não é um problema exclusivamente americano.
Empresas brasileiras possuem:
executivos;
advogados;
políticos;
jornalistas;
investidores
com informações extremamente valiosas.
Uma operação pode ser contratada:
em um país;
executada em outro;
contra vítima em um terceiro;
utilizando infraestrutura em vários outros.
Essa característica torna a investigação:
internacional por natureza.
Escritórios jurídicos precisam tratar cibersegurança como prioridade
Essa história deixa uma lição especialmente importante.
Advogados possuem:
segredo profissional;
dados pessoais;
estratégias jurídicas;
documentos empresariais;
informações financeiras.
Um atacante não precisa comprometer:
a empresa inteira.
Pode comprometer apenas:
um advogado.
E conseguir exatamente a informação que procurava.
MFA ajuda, mas phishing também evoluiu
Autenticação multifator continua sendo uma defesa fundamental.
Mas ataques modernos podem utilizar:
phishing adversary-in-the-middle;
roubo de sessão;
engenharia social;
OAuth malicioso.
Por isso, organizações de alto risco precisam avançar para mecanismos resistentes a phishing, como:
FIDO2 e passkeys.
Executivos também precisam desconfiar de ataques extremamente personalizados
Um phishing genérico diz:
“sua conta será bloqueada.”
Um ataque mercenário pode dizer:
“segue a versão revisada do contrato da aquisição que discutimos ontem.”
A segunda mensagem possui:
contexto.
E contexto gera:
confiança.
É isso que torna operações direcionadas muito mais perigosas.
O pedido bipartidário mostra que a questão ultrapassou divisões políticas
Ron Wyden e Sheldon Whitehouse são:
democratas.
Pat Harrigan é:
republicano.
Em um Congresso profundamente polarizado, os três concordaram em uma coisa:
empresas estrangeiras acusadas de vender espionagem digital contra americanos precisam enfrentar:
consequências.
Mas ainda falta a decisão do governo
Esse é o ponto mais importante neste momento.
Os parlamentares fizeram:
um pedido.
O Departamento de Comércio ainda precisa:
avaliar;
decidir;
eventualmente adicionar as empresas à Entity List.
Até agora, não existe confirmação pública de que:
BellTroX;
CyberRoot;
Sunkissed Organic Farms
tenham sido incluídas por causa dessa solicitação.
Portanto, seria incorreto publicar:
“EUA baniram empresas de hackers por encomenda.”
O correto é:
parlamentares americanos pediram o bloqueio.
Se o governo aceitar, o impacto pode ser significativo
Empresas modernas dependem profundamente de tecnologia americana.
Cloud.
Software.
Hardware.
Ferramentas de segurança.
Serviços digitais.
A Entity List tenta transformar essa dependência em:
instrumento de pressão.
A mensagem seria simples:
se uma empresa ganha dinheiro atacando cidadãos americanos:
pode perder acesso ao ecossistema tecnológico americano.
A indústria de espionagem comercial está se tornando um problema de segurança nacional
O caso demonstra uma transformação maior.
Durante décadas, espionagem era associada principalmente a:
CIA;
NSA;
MI6;
Mossad;
serviços russos;
serviços chineses.
Hoje existe outro ator:
a empresa privada.
Com dinheiro suficiente, clientes podem contratar capacidades que antes exigiam:
um serviço de inteligência.
Isso democratiza uma capacidade que talvez ninguém quisesse democratizar
Tecnologia normalmente reduz custos.
Computação ficou barata.
Armazenamento ficou barato.
Comunicação ficou barata.
Agora:
espionagem digital também ficou mais acessível.
Uma empresa não precisa possuir uma NSA particular.
Pode tentar:
alugar uma.
É por isso que Washington está atacando a cadeia econômica
Prender hackers estrangeiros pode ser difícil.
Eles podem nunca entrar nos Estados Unidos.
Mas cortar:
software;
cloud;
hardware;
serviços;
sistema financeiro
pode tornar a atividade:
mais cara e mais difícil.
É a mesma lógica utilizada contra outras ameaças cibernéticas internacionais.
A pergunta agora é até onde os Estados Unidos irão
Se o Departamento de Comércio aceitar o pedido, poderá estabelecer um precedente importante.
Empresas de hacking mercenário que atacam:
jornalistas;
advogados;
empresas;
cidadãos
podem começar a enfrentar o mesmo tipo de restrição utilizado contra fornecedores de: spyware comercial.
Isso mudaria a equação econômica do setor.
Porque o produto dessas empresas é: acesso clandestino.
Mas, para vendê-lo, elas também precisam de: acesso à tecnologia.
