A Al Jazeera afirma que uma campanha de malware clandestina ligada à empresa israelense Candiru infectou 45 dispositivos pertencentes aos seus jornalistas e funcionários, e extraiu dados deles sem qualquer ação dos usuários. A divulgação é um exemplo contundente de como o spyware de clique zero com o qual os jornalistas contam pode ser voltado contra eles, e por que a cautela comum frequentemente não é suficiente contra atacantes bem financiados.

Os detalhes abaixo vêm de um relatório que resume a declaração da Al Jazeera. Onde o registro público é escasso, nós o dizemos.

O que a Al Jazeera diz que aconteceu

De acordo com o relatório, a Al Jazeera descreveu um ataque de clique zero ligado à Candiru que comprometeu 45 dispositivos de seus jornalistas. O malware teria exfiltrado dados sem qualquer interação do usuário. Em outras palavras, as pessoas afetadas não precisaram abrir um arquivo, tocar em um link ou aprovar qualquer coisa para que a infecção se instalasse.

O resumo da fonte não fornece mais especificidades, como quais sistemas operacionais foram afetados, quais vulnerabilidades foram usadas, durante qual período as infecções ocorreram ou quem encomendou a campanha. Não vamos adivinhar esses detalhes. Os leitores devem tratar o número de 45 dispositivos como a alegação reportada pela Al Jazeera e ficar atentos a acompanhamentos técnicos da emissora ou de pesquisadores independentes.

Como o spyware de clique zero funciona sem qualquer toque

A maioria das pessoas aprendeu a evitar links suspeitos e anexos inesperados. Esse conselho visa ataques de "um clique", em que a vítima precisa fazer algo. O spyware de clique zero remove essa etapa.

Em termos gerais, ataques de clique zero aproveitam falhas em softwares que processam automaticamente dados recebidos, como aplicativos de mensagens, analisadores de mídia ou serviços de rede. Se um atacante encontra uma vulnerabilidade nesse processamento automático, uma mensagem ou pacote de dados especialmente elaborado pode acionar a execução de código no telefone ou computador antes que o proprietário veja qualquer coisa. Pode não haver notificação, nenhum pop-up estranho e nenhum sinal óbvio depois.

Uma vez instalado, spyware desse tipo pode tipicamente ser usado para ler mensagens, coletar arquivos e reunir outros dados do dispositivo. O relato da Al Jazeera sobre exfiltração de dados se encaixa nesse padrão.

O ponto-chave para leitores não técnicos: isso não é uma falha do julgamento do usuário. O comportamento cuidadoso não pode prevenir totalmente um ataque que não requer comportamento algum.

Por que jornalistas são alvos privilegiados para ferramentas no estilo Candiru

A Candiru é descrita como uma empresa israelense, e ferramentas de empresas como ela são frequentemente chamadas de spyware mercenário: capacidades de vigilância poderosas desenvolvidas por fornecedores privados e vendidas a clientes. Essas ferramentas são caras e complexas de construir, razão pela qual tendem a ser direcionadas a um pequeno número de alvos de alto valor em vez do público em geral.

Jornalistas se encaixam nesse perfil por razões claras. Repórteres detêm material sensível: identidades de fontes, descobertas não publicadas e comunicações privadas com pessoas que podem estar em risco. Comprometer os dispositivos de uma redação pode expor tudo isso de uma só vez. Um único telefone infectado pode revelar não apenas a atividade do próprio jornalista, mas os contatos e confidências de todos com quem ele fala.

A escala relatada aqui, 45 dispositivos em uma única organização, sugere uma campanha voltada para uma instituição inteira em vez de um indivíduo. Isso importa para organizações de notícias, grupos de direitos humanos e qualquer local de trabalho onde várias pessoas lidam com informações sensíveis.

A pressão de vigilância sobre o jornalismo também se manifesta de outras formas. Nossa cobertura do prolongado apagão de internet na Caxemira administrada pelo Paquistão, baseada em reportagens da Al Jazeera, mostra como restrições à comunicação podem agravar os riscos que as pessoas enfrentam ao tentar compartilhar informações.

O que realisticamente reduz sua exposição

Nenhuma medida isolada torna um dispositivo imune a um atacante determinado e bem financiado. Mas algumas medidas aumentam significativamente o custo e a dificuldade de um ataque.

  • Instale atualizações de SO e de aplicativos prontamente. Ataques de clique zero dependem de falhas não corrigidas ou não divulgadas. Atualizações de segurança fecham brechas conhecidas, e atrasos as deixam abertas.
  • Ative o Modo de Bloqueio onde disponível. Algumas plataformas oferecem uma configuração de proteção extrema que reduz a superfície de ataque limitando certos recursos. Ela troca conveniência por segurança, o que pode ser uma barganha razoável para pessoas em risco elevado.
  • Reinicie os dispositivos regularmente. Alguns malwares não sobrevivem a uma reinicialização, então reinicializações periódicas podem forçar um atacante a reinfectar.
  • Reduza o que é armazenado no seu dispositivo. Mensagens que desaparecem e a exclusão rotineira limitam quanto um invasor pode coletar.
  • Separe o trabalho sensível. Usar um dispositivo dedicado para as comunicações mais sensíveis pode conter o dano se outro dispositivo for comprometido.
  • Relate suspeitas de comprometimento. Se você trabalha em uma organização de notícias ou grupo de defesa, levante preocupações com sua equipe de segurança ou um especialista em segurança digital em vez de tentar investigar sozinho.

O que isso significa para você

A maioria dos leitores provavelmente não será alvo de ferramentas como as da Candiru. Mas as lições se aplicam amplamente. Manter os dispositivos atualizados é o hábito mais útil, e ele também protege contra muitas outras ameaças.

Se você é jornalista, ativista, advogado ou alguém que possa atrair interesse de nível estatal, assuma que seu risco é maior e aja de acordo: atualize rapidamente, use os modos de proteção mais fortes que seu dispositivo oferece e limite dados sensíveis no seu telefone.

Também vale ser claro sobre o que uma VPN faz e não faz. Uma VPN criptografa seu tráfego de rede e mascara seu endereço IP de sites e redes locais. Ela não impede spyware que já está em execução no seu dispositivo, e não pode prevenir um exploit de clique zero que visa o software do próprio telefone. As VPNs continuam úteis para privacidade de rede, mas não são uma defesa contra essa classe de ataque.

Principais conclusões

A divulgação reportada pela Al Jazeera de uma campanha ligada à Candiru contra 45 dispositivos é um lembrete de que o spyware de clique zero que os jornalistas enfrentam pode contornar até usuários cuidadosos. Trate os detalhes como em desenvolvimento, já que o resumo público é limitado.

Para qualquer pessoa em risco elevado: aplique atualizações de SO assim que estiverem disponíveis, ative o Modo de Bloqueio se seu dispositivo o suportar, reinicie regularmente, armazene menos dados sensíveis e entenda que uma VPN não o protegerá de spyware no próprio dispositivo.