Uma notícia alarmante surgiu neste fim de semana, indicando que hackers com apoio do governo da China conseguiram penetrar os sistemas de escuta de várias operadoras de telecomunicações e provedores de internet nos Estados Unidos. Esse ataque cibernético parece ter como objetivo reunir informações sobre os cidadãos americanos, destacando uma preocupação crescente sobre a segurança das redes de telecomunicações no país. Os sistemas de escuta, regulamentados por uma lei federal dos Estados Unidos que já tem 30 anos, são considerados alguns dos componentes mais sensíveis nas redes dessas operadoras, oferecendo a um número restrito de funcionários acesso quase irrestrito às informações de seus clientes, incluindo seu tráfego de internet e histórico de navegação.
Para profissionais de tecnologia que há anos alertam sobre os riscos de segurança associados aos chamados “backdoors” legais, a notícia desses ataques representa um momento de “eu avisei” que muitos esperavam que nunca chegasse, mas que sabiam que, em algum momento, se tornaria realidade. Especialistas no assunto já haviam reiterado que era uma questão de tempo até que essas vulnerabilidades fossem exploradas. Matt Blaze, professor de Direito na Universidade de Georgetown e especialista em sistemas de segurança, afirmou que os recentes compromissos de provedores de telecomunicações e internet eram absolutamente inevitáveis e uma evolução a ser esperada na “batalha cibernética” em curso.
A reportagem do Wall Street Journal, que foi a primeira a divulgar essas informações, revelou que um grupo de hackers conhecido como Salt Typhoon, vinculado ao governo chinês, conseguiu acessar os sistemas de três das maiores empresas de internet dos Estados Unidos, como AT&T, Lumen (anteriormente conhecida como CenturyLink) e Verizon. Esses sistemas são utilizados para facilitar o fornecimento de dados de clientes a leis e instituições governamentais. Os ataques podem ter resultado em uma coleta em vasta escala de tráfego de internet dessas operadoras, o que levanta preocupações significativas sobre a segurança da informação e a privacidade dos cidadãos americanos. Canais de mídia como CNN e The Washington Post também confirmaram as invasões e relataram que a investigação do governo dos Estados Unidos está em seus estágios iniciais.
Os objetivos da campanha de hackers respaldados pela China ainda não estão completamente claros, mas fontes de segurança nacional mencionadas pelo Wall Street Journal consideram a violação “potencialmente catastrófica”. Salt Typhoon é uma das várias unidades de hackers apoiadas pela China que se acredita estarem estabelecendo as bases para ciberataques destrutivos num futuro conflito previsto entre os Estados Unidos e a China, possivelmente relacionado a Taiwan. Blaze também destaca que as intrusões chinesas nos sistemas de escuta dos Estados Unidos são exemplos da aplicação maliciosa de um backdoor que, supostamente, seria projetado para fins legais e legítimos. O consenso na comunidade de segurança tem sido de que é tecnologicamente impossível garantir um “backdoor seguro” que não possa ser explorado ou abusado por atores maliciosos.
A legislação que possibilitou o recente abuso de backdoors é a Lei de Assistência à Comunicação para a Aplicação da Lei, ou CALEA, que foi sancionada em 1994, em um período em que os telefones celulares eram raridade e a internet ainda estava em desenvolvimento inicial. A CALEA exige que qualquer “provedor de comunicações”, como operadoras de telefonia ou de internet, deve fornecer ao governo todo o auxílio necessário para acessar as informações de um cliente quando apresentado com uma ordem judicial. Em outras palavras, se houver um meio de acessar os dados de um cliente, as empresas devem disponibilizá-lo, tornando a interceptação uma prática comum e amplamente aceita após os ataques de 11 de setembro de 2001.
Desde então, as leis e regulamentos de vigilância nos Estados Unidos se expandiram significativamente, criando um setor de empresas terceirizadas que ajudaram as operadoras a cumprir tais demandas. Embora muitos dos detalhes sobre como essas leis de vigilância ampliadas operavam e qual o tipo de acesso que o governo tinha aos dados privados dos cidadãos tenham sido mantidos em segredo até 2013, quando Edward Snowden vazou milhares de documentos classificados, a repercussão desse escândalo de vigilância foi marcante. Esse vazamento expôs as técnicas de espionagem do governo federal e deu início a um questionamento massivo de grandes companhias de tecnologia na Califórnia.
Nos anos que se seguiram a essas revelações, as empresas de tecnologia começaram a implementar criptografia em grande escala, percebendo que não podiam ser forçadas a entregar dados que não podiam acessar. Ao mesmo tempo, as operadoras de telecomunicações e provedores de internet mostraram-se lentos em adotar a criptografia nos dados de tráfego de seus clientes, deixando a maior parte do tráfego telefônico e de internet nos Estados Unidos suscetível à interceptação. Não é apenas nos Estados Unidos que existe uma demanda por backdoors; em todo o mundo, muitos governos estão se esforçando para implementar legislações que comprometem ou contornam a criptografia.
Na União Europeia, por exemplo, alguns estados membros trabalham para exigir legalmente que aplicativos de mensagens escaneiem comunicações privadas de seus cidadãos em busca de material suspeito de abuso infantil. Especialistas em segurança sustentam que não existe tecnologia capaz de atender às exigências dessas leis sem o risco de abuso por atores maliciosos. A Signal, um dos aplicativos de mensagens com criptografia de ponta a ponta, é um crítico fervoroso dos backdoors em criptografia e citou o recente ataque a provedores de internet dos EUA por hackers chineses como um risco sério à segurança cibernética. A presidente da Signal, Meredith Whittaker, enfatizou que não é possível criar um backdoor que seja acessível apenas para “os bons” e que a CALEA deve ser vista como uma lição cautelar sobre os perigos dos backdoors, em vez de um exemplo de sucesso.
Essas questões fundamentais ressaltam um dilema persistente em relação à privacidade, segurança e a necessidade de proteção eficaz contra ameaças cibernéticas, que devem ser enfrentadas não apenas pelas autoridades governamentais, mas também pelas empresas responsáveis pela proteção dos dados de seus clientes.
