O mercado clandestino de espionagem digital sob encomenda voltou ao centro das atenções em Washington. Um grupo bipartidário de parlamentares americanos pediu ao governo dos Estados Unidos que imponha fortes restrições comerciais a três empresas acusadas de atuar como “hack-for-hire”, expressão usada para organizações que realizam invasões e espionagem digital em nome de clientes pagantes.
O pedido foi apresentado em 9 de setembro pelos senadores democratas Ron Wyden, do Oregon, e Sheldon Whitehouse, de Rhode Island, juntamente com o deputado republicano Pat Harrigan, da Carolina do Norte. Em carta enviada ao secretário de Comércio Howard Lutnick, eles solicitaram que o Bureau of Industry and Security inclua as empresas na chamada Entity List.
As três organizações citadas nominalmente são BellTroX Pvt. Ltd., CyberRoot Pvt. Ltd. e Sunkissed Organic Farms Pvt. Ltd., anteriormente conhecida como Appin Technology Pvt. Ltd. A solicitação também alcança subsidiárias relacionadas à antiga Appin.
A história, porém, exige uma correção importante em relação à ideia de que Washington simplesmente foi solicitado a “banir” essas companhias.
Não é exatamente um pedido para proibir as empresas nos Estados Unidos
O mecanismo solicitado pelos parlamentares é a inclusão na Entity List, instrumento de controle de exportações administrado pelo Departamento de Comércio.
Na prática, a inclusão pode restringir severamente o acesso das organizações listadas a produtos, software, tecnologia e determinados serviços sujeitos às regras americanas de exportação.
Os parlamentares querem utilizar justamente essa dependência tecnológica como instrumento de pressão, argumentando que as empresas poderiam perder acesso a recursos americanos importantes para suas operações, incluindo software, infraestrutura em nuvem e ferramentas de cibersegurança.
Portanto, não se trata de uma proibição global das empresas nem, neste momento, de uma sanção financeira já aplicada.
É um pedido para que o governo americano tome uma medida administrativa que ainda precisa ser analisada.
E o governo ainda não tomou a decisão
Outro ponto essencial: as três empresas ainda não foram incluídas na Entity List em decorrência desse pedido.
O TechCrunch informou que, até a publicação da reportagem, não estava claro se o Departamento de Comércio atenderia à solicitação, e a pasta não havia respondido ao pedido de comentário.
Assim, a notícia não é:
“EUA banem empresas de hackers de aluguel.”
É:
“parlamentares americanos pressionam o governo para impor restrições.”
Essa diferença é fundamental.
As acusações remontam a mais de 15 anos
Segundo a carta dos parlamentares, grupos de cibermercenários sediados na Índia teriam passado mais de 15 anos realizando espionagem direcionada contra cidadãos, empresas e advogados americanos.
As acusações são baseadas, entre outros elementos, em investigações jornalísticas e pesquisas independentes realizadas ao longo dos últimos anos.
Os parlamentares afirmam que as operações atingiram milhares de americanos e empresas dos Estados Unidos.
Entre os alvos descritos aparecem companhias de private equity, empresas farmacêuticas e profissionais do setor jurídico.
Mais de mil advogados teriam sido alvo
Um dos números mais impressionantes apresentados na documentação diz respeito ao setor jurídico.
Os parlamentares citam investigações segundo as quais mais de 1.000 advogados de grandes escritórios americanos teriam sido alvo dessas operações.
A finalidade, segundo a carta, seria em alguns casos obter informações capazes de influenciar ou manipular disputas judiciais em andamento.
Esse cenário mostra por que o mercado de hackers mercenários é diferente de grande parte do cibercrime tradicional.
O objetivo não precisa ser roubar dinheiro diretamente.
Pode ser:
obter documentos confidenciais;
ler e-mails;
descobrir estratégias jurídicas;
identificar fontes;
monitorar adversários;
obter vantagem comercial.
A informação roubada é o produto.
Hack-for-hire transforma invasão em serviço
O conceito funciona de maneira relativamente simples.
Um cliente deseja informações às quais não possui acesso legítimo.
Em vez de realizar pessoalmente a invasão, contrata terceiros com capacidade técnica para executar a operação.
Esses operadores podem utilizar phishing, roubo de credenciais, malware, engenharia social e outras técnicas para comprometer contas e dispositivos.
O cliente recebe os dados.
O invasor recebe pagamento.
A relação transforma espionagem digital em uma espécie de serviço terceirizado clandestino.
Isso cria um mercado extremamente difícil de investigar
Quando uma empresa é atacada por um grupo de ransomware, normalmente existe um objetivo relativamente evidente:
extorsão.
No mercado de hackers de aluguel, a motivação pode estar escondida várias camadas atrás do operador.
Quem realizou tecnicamente a invasão pode não ser quem:
queria os dados.
E quem contratou o serviço pode utilizar intermediários para dificultar ainda mais a atribuição.
Isso produz uma pergunta complicada:
quem é o verdadeiro atacante?
O hacker?
A empresa que o contratou?
O intermediário?
O cliente final?
Na prática, uma investigação pode precisar reconstruir toda essa cadeia.
BellTroX já havia aparecido em investigações internacionais
A BellTroX tornou-se conhecida internacionalmente após investigações sobre uma ampla operação de espionagem digital.
Pesquisadores do Citizen Lab documentaram anteriormente atividades relacionadas ao grupo, enquanto reportagens também associaram suas operações a campanhas contra milhares de indivíduos e organizações.
A empresa voltou agora à mira dos parlamentares americanos justamente por causa desse histórico.
Na carta, BellTroX aparece entre as três organizações que os congressistas querem ver submetidas às restrições comerciais americanas.
CyberRoot também está na lista
A segunda companhia é a CyberRoot Pvt. Ltd.
Investigações citadas pelos parlamentares também relacionaram a empresa a operações de espionagem sob encomenda.
Assim como ocorre com BellTroX, o pedido atual não representa uma condenação judicial americana recém-proferida contra a companhia.
Os parlamentares estão utilizando investigações existentes como fundamento para solicitar uma medida administrativa do Departamento de Comércio.
O terceiro nome é mais peculiar: Sunkissed Organic Farms
A terceira organização citada chama atenção pelo nome.
Sunkissed Organic Farms Pvt. Ltd.
Mas existe uma razão para sua presença.
Segundo a documentação apresentada pelos parlamentares, a companhia anteriormente operava sob o nome Appin Technology Pvt. Ltd.
A Appin aparece há anos em investigações sobre o mercado de hackers mercenários.
A solicitação enviada ao governo americano inclui também subsidiárias relacionadas à organização, entre elas Adaptive Control Security Global Corporate e ABP Holdings, com seus respectivos nomes corporativos anteriores detalhados pelos parlamentares.
O caso Appin ganhou uma dimensão além da cibersegurança
A história se tornou particularmente controversa porque não envolve apenas alegações de invasões.
Também envolve uma batalha contra:
as reportagens sobre as invasões.
Segundo os parlamentares, empresas e pessoas associadas a esse ecossistema utilizaram tribunais estrangeiros para tentar remover investigações jornalísticas e limitar a divulgação pública das acusações.
É esse componente que transformou a discussão em algo simultaneamente relacionado a:
cibersegurança;
liberdade de imprensa;
jurisdição internacional;
controle de exportações.
Uma reportagem da Reuters chegou a ser retirada
Um dos episódios mais conhecidos envolveu a Reuters.
Uma decisão judicial obtida na Índia chegou a produzir uma ordem global que obrigou temporariamente a agência a retirar do ar uma investigação relacionada à Appin enquanto o caso era contestado.
A Reuters declarou que mantinha sua reportagem.
Posteriormente, a ordem foi suspensa e o conteúdo voltou a ser publicado.
Esse episódio aparece como um dos principais argumentos dos parlamentares para justificar uma resposta do governo americano.
Outros veículos também enfrentaram pressão
A Electronic Frontier Foundation já atuou na defesa do Techdirt e da MuckRock Foundation após ameaças jurídicas relacionadas às reportagens sobre a Appin.
Os parlamentares também mencionam processos envolvendo empresas e organizações americanas, incluindo nomes do setor de tecnologia e mídia.
Na visão apresentada na carta, existe uma combinação particularmente preocupante:
primeiro, supostas operações de espionagem.
Depois:
tentativas jurídicas de impedir que essas operações sejam discutidas publicamente.
Parlamentares também citam supostas operações ligadas ao Catar
A carta afirma ainda que existem evidências de que grupos desse ecossistema teriam atuado a pedido do governo do Catar.
Entre os alvos mencionados estariam opositores relacionados à candidatura catariana para sediar a Copa do Mundo de 2022 e familiares de um ex-presidente republicano do Comitê Permanente de Inteligência da Câmara dos Representantes.
Essa é uma alegação particularmente sensível e precisa ser tratada como tal.
O TechCrunch informou que um representante do governo catariano em Washington não respondeu ao pedido de comentário antes da publicação da reportagem.
Portanto, não é adequado transformar essa acusação em uma afirmação definitiva de que o governo do Catar ordenou todas ou mesmo parte das operações atribuídas às empresas.
A Entity List pode atingir justamente aquilo que hackers precisam: tecnologia
O instrumento escolhido pelos parlamentares é interessante porque tenta atacar a infraestrutura econômica e tecnológica utilizada pelas organizações.
Uma operação profissional de ciberespionagem pode depender de:
servidores;
serviços em nuvem;
domínios;
software;
ferramentas de segurança;
infraestrutura de desenvolvimento;
serviços digitais.
Grande parte desse ecossistema possui empresas americanas em algum ponto da cadeia.
A inclusão na Entity List pode dificultar o acesso a determinados produtos e tecnologias sujeitos aos controles americanos.
É por isso que os parlamentares argumentam que a medida poderia ter efeito operacional.
Mas Entity List não é sinônimo de bloqueio financeiro total
Essa distinção é importante.
Os Estados Unidos possuem diferentes mecanismos de sanções e restrições.
A Entity List, administrada pelo Departamento de Comércio, está fundamentalmente ligada a controles de exportação.
Já sanções financeiras tradicionais podem envolver o Departamento do Tesouro e mecanismos diferentes, como bloqueio de ativos e restrições financeiras.
Por isso, chamar a medida solicitada simplesmente de:
“sanção econômica total”
pode criar uma interpretação errada.
O objetivo principal aqui é restringir acesso a itens e tecnologias controlados pelos Estados Unidos.
Washington já utilizou ferramentas semelhantes contra empresas de vigilância
O governo americano vem aumentando sua atenção sobre o mercado de spyware comercial e serviços de espionagem digital.
Nos últimos anos, empresas envolvidas no desenvolvimento ou comercialização de ferramentas consideradas capazes de facilitar abusos de vigilância foram alvo de diferentes medidas americanas, incluindo controles de exportação, sanções financeiras e restrições de vistos.
A preocupação é semelhante:
tecnologias desenvolvidas comercialmente podem acabar utilizadas contra jornalistas, dissidentes, autoridades, executivos e cidadãos.
O mercado de hack-for-hire acrescenta outra camada ao problema porque não vende necessariamente apenas uma ferramenta.
Pode vender:
o ataque completo.
É a “terceirização” da espionagem digital
Uma organização não precisa possuir sua própria equipe ofensiva.
Ela pode simplesmente contratar quem tenha essa capacidade.
Esse modelo reduz a barreira de entrada para operações sofisticadas.
Uma disputa empresarial pode ganhar dimensão cibernética.
Uma batalha judicial pode produzir espionagem.
Uma investigação jornalística pode provocar tentativas de invasão.
Um conflito político pode gerar operações contra adversários.
É justamente essa transformação de capacidade ofensiva em serviço comercial que preocupa autoridades de diferentes países.
Empresas americanas também podem virar parte involuntária da infraestrutura
Um hacker mercenário não precisa operar exclusivamente com tecnologia produzida no país onde está localizado.
Pode contratar cloud de uma empresa americana.
Usar software americano.
Comprar ferramentas de segurança.
Registrar serviços.
Utilizar plataformas globais.
Essa dependência cria uma oportunidade para governos tentarem:
aumentar o custo operacional.
A proposta dos três parlamentares segue exatamente essa lógica.
A lista não é secreta — os nomes agora são públicos
A imagem que circula sobre a reportagem afirma:
“The list is not public.”
Essa frase precisa ser contextualizada.
Os nomes das empresas que os parlamentares pediram para incluir na Entity List estão publicamente identificados no comunicado oficial do senador Ron Wyden: BellTroX, CyberRoot e Sunkissed Organic Farms, além das subsidiárias citadas.
O que não existe é uma confirmação de que elas já tenham sido oficialmente adicionadas à Entity List em decorrência desse pedido.
Ou seja, para uma publicação atualizada, não seria correto dizer que:
“a lista das empresas é secreta.”
Ela está pública.
É um pedido bipartidário, mas não uma decisão do Congresso inteiro
Outro detalhe merece precisão.
O pedido reúne parlamentares dos dois principais partidos americanos.
Wyden e Whitehouse são democratas.
Harrigan é republicano.
Isso permite descrevê-lo corretamente como:
bipartidário.
Mas não significa que o Congresso dos Estados Unidos tenha aprovado uma lei ou que exista uma decisão institucional de toda a Câmara e do Senado para banir essas empresas.
São três parlamentares pressionando o Poder Executivo a agir por meio de uma ferramenta administrativa já existente.
O próximo movimento depende do Departamento de Comércio
Agora, a questão central está no governo americano.
O Bureau of Industry and Security terá de decidir se existem fundamentos suficientes para acrescentar as empresas à Entity List.
Se isso ocorrer, empresas sujeitas às regras americanas poderão enfrentar exigências de licença para fornecer determinados itens e tecnologias às organizações listadas, com políticas de análise que podem tornar essas transações muito mais difíceis.
Mas enquanto a decisão não for tomada:
não existe o “banimento” solicitado pelos parlamentares.
O caso mostra como o cibercrime profissional está mudando
Durante anos, a imagem popular do hacker esteve associada a indivíduos operando de maneira independente.
O mercado moderno é muito mais complexo.
Há grupos de ransomware com estruturas empresariais.
Corretores de acesso.
Desenvolvedores de malware.
Fornecedores de spyware.
Empresas de vigilância.
Operadores de phishing.
E:
hackers de aluguel.
Cada grupo ocupa uma parte diferente da economia ofensiva.
E informação corporativa pode valer mais que ransomware
Em determinados contextos, roubar a estratégia jurídica de uma empresa pode valer milhões.
Descobrir antecipadamente:
o que um advogado pretende argumentar;
quais documentos possui;
quem são suas fontes;
qual acordo pretende propor
pode alterar completamente uma disputa comercial.
Isso ajuda a explicar por que advogados aparecem com tanta frequência entre os alvos descritos nas investigações.
A caixa de entrada de um advogado pode conter:
a estratégia inteira de uma empresa.
O pedido americano tenta mudar a economia desse mercado
É difícil eliminar completamente a capacidade técnica de realizar invasões.
Ferramentas podem ser recriadas.
Infraestrutura pode ser substituída.
Pessoas podem mudar de empresa.
Mas governos podem tentar tornar a operação:
mais cara;
mais difícil;
menos escalável;
mais arriscada.
Restringir acesso a tecnologia americana é uma dessas estratégias.
O episódio ainda está longe de terminar
Neste momento, existem três fatos diferentes que não devem ser confundidos.
Os parlamentares apresentaram o pedido.
As empresas foram nominalmente identificadas.
O Departamento de Comércio ainda precisa decidir se adotará a medida.
Portanto, a próxima notícia realmente decisiva será saber se BellTroX, CyberRoot e Sunkissed Organic Farms serão efetivamente incluídas na Entity List.
Até lá, o episódio permanece como uma pressão política bipartidária sobre o governo americano — sustentada por acusações graves de espionagem digital mercenária, mas ainda sem a aplicação da restrição solicitada.
