Episódio #376 – Pagers bomba e o vai e volta do X

(00:01) [Música] Bem-vindos e bem-vindas ao Café Segurança Legal, episódio 376, gravado em 19 de setembro de 2024. Eu sou o Guilherme Goulart e, junto com Vinícius Serafim, vamos trazer para vocês algumas das notícias desta última semana. Tudo bem, Vinícius? Olá, Guilherme, tudo bem? Olá aos nossos ouvintes. Notícia não faltou, mas vamos ficar com as duas principais manchetes dos últimos dias.
(00:43) Não vamos gravar amanhã, pois é feriado aqui no Rio Grande do Sul, e tivemos que condensar nossa rotina de quinta-feira. Tinha bastante coisa, mas essas duas já vão dar bastante pano pra manga. Então, pegue o seu café, sua água ou sua bebida preferida e venha conosco. Para entrar em contato conosco, enviar suas críticas e sugestões, é muito fácil: basta enviar uma mensagem para podcast@segurancalegal.com.
(01:10) Estamos no Mastodon como @segurancalegal@mpsocial e no Bluesky como @segurancalegal.bsky.social. Temos recebido mensagens de ouvintes, mas terão que ficar para o próximo episódio por conta da urgência dessas notícias. Já pensou em apoiar o projeto Segurança Legal? Acesse o site apoia.se/segurancalegal e escolha uma das modalidades.
(01:32) Entre os benefícios, você terá acesso ao nosso grupo exclusivo de apoiadores no Telegram, onde os apoiadores viram primeiro a notícia sobre os pagers que vamos falar. Há também a recomendação do blog da BrownPipe, onde você pode ver nossa curadoria semanal de notícias importantes sobre segurança da informação, direito da tecnologia e dados pessoais.
(02:04) Você também pode se inscrever na mailing list do Segurança Legal para receber as notícias em seu e-mail. Se você ainda não está nos acompanhando pelo YouTube, saiba que pode fazê-lo. Pode ligar na sua televisão e ver nossos rostinhos bonitos em youtube.com/segurancalegal.
(02:29) É isso, Vinícius. Vamos direto ao tema. Diga. Uma coisinha: no YouTube, tenho feito uma série de vídeos. Não estou conseguindo fazer toda semana, pois é um pouco mais apertado, mas são vídeos sobre os fundamentos de segurança da informação e algumas coisas mais “hands-on”. Na semana passada, fiz uma live sobre autenticação para desenvolvedores.
(03:08) Brinquei com Go para demonstrar algumas coisas. Ficou longo, mas você pode pausar, acelerar, etc. Lá tem conceitos bem interessantes não só para quem programa em Go, mas em qualquer linguagem de programação. Voltando para quem desenvolve, há discussões sobre autenticação, e farei um em breve sobre autorização. O que está lá da semana passada é sobre autenticação. Confiram no canal do Segurança Legal. Recado dado. Perfeito.
(03:44) Bom, a primeira notícia é o que chamamos de “o incrível caso das explosões de pagers” ocorridas no Líbano, envolvendo uma ação até o momento atribuída ao Estado de Israel, por meio de sua agência de inteligência, o Mossad. Essas explosões visaram atingir o grupo Hezbollah, um grupo paramilitar fundamentalista que teria adquirido 5.000 dispositivos.
(04:11) Eles compraram 5.000 dispositivos. Pelas informações que temos, não foram todos que explodiram, mas muitos explodiram. Foram cerca de 2.800, quase 3.000 dispositivos. As notícias falam em 2.700, outros em 2.800 e alguma coisa, resultando em pessoas feridas. Desses 5.000, uns 3.000 teriam explodido.
(04:35) Lembrando que o Hezbollah comprou esses dispositivos há algum tempo, visando escapar da capacidade de Israel de monitorar e interceptar celulares. O Lucas Lago, que convidamos para falar sobre o tema, vai abordar justamente isso em um áudio que nos enviou. Para contextualizar, desses dispositivos, entre 2.800 e 3.000 explodiram.
(05:12) A notícia, até este momento, é de que quase 2.800 pessoas ficaram feridas e 12 morreram, para ver o impacto forte disso. O número aumentou para mais de 12 depois que explodiram os walkie-talkies. Explodiram os pagers num dia e, no dia seguinte, os walkie-talkies. Alguém mencionou celulares, mas isso não foi confirmado. Os walkie-talkies, sim, rádios de comunicação.
(05:53) O Hezbollah importa esses aparelhos da fabricante Gold Apollo, que permitia que a BAC Consulting, uma empresa húngara, os fabricasse. Depois, vamos falar um pouco mais sobre isso. A hipótese mais estabelecida, embora ainda não provada, é que eles teriam colocado pequenas cargas de explosivos nesses equipamentos, em um ataque que depois explicaremos, chamado de ataque de supply chain. Houve uma intervenção nesses dispositivos, não foi como se tivessem sido comprados e uma vulnerabilidade ativada.
(06:24) O Lucas fala sobre isso no áudio dele, e podemos comentar em cima. É importante dizer que esse grupo é amplamente reconhecido como um grupo terrorista e, por isso, enfrenta diversas dificuldades para adquirir equipamentos, devido às sanções que os países impõem às empresas que negociam com eles. Isso pode ter influenciado a atuação de grupos menos conhecidos para fornecer esses equipamentos.
(06:57) Existe outra hipótese, mas vamos ouvir o áudio do Lucas e depois comentamos sobre como eles explodiram para podermos avançar. Assim que quiser, toque o áudio. O nosso amigo Lucas Lago estava no evento Mind the Sec e ia assistir à palestra do nosso amigo Fábio Assolini, que participou por muitos anos conosco.
(07:29) Mandei um abraço nosso para o Fábio, que o Lucas conseguiu entregar. Que legal. E o Fábio mandou outro abraço de volta. Muito bem. Vocês ouvirão um ruído de fundo, pois o Lucas Lago está no evento Mind the Sec. Vou colocar o áudio dele na sequência.
(08:09) Olá, Vinícius. Olá, Guilherme. Bom dia, boa tarde, boa noite para todos os ouvintes do Segurança Legal. O Vinícius pediu para eu repetir e expandir um fio que escrevi no Bluesky sobre os pagers-bomba. Todo mundo viu as explosões dos aparelhos usados pelo Hezbollah no Líbano, principalmente pagers e walkie-talkies. A primeira coisa importante a falar é que nenhum desses dois dispositivos tem bateria interna grande o suficiente para ter gerado aquelas explosões. Ontem, saiu uma reportagem no New York Times que apontou que as baterias foram adulteradas para conter uma pequena quantidade de PETN.
(08:49) É o explosivo também conhecido como pentrita e, aparentemente, mais poderoso que nitroglicerina. É uma coisa bem poderosa; uma pequena quantidade causa um estrago legal. O mais provável é que esse ataque esteja sendo executado há muito tempo. A reportagem do New York Times sugere pelo menos dois anos de trabalho de infiltração na linha de produção dos aparelhos, inclusive com a criação de empresas de fachada para controlar a produção e distribuição. O principal suspeito de ter executado o ataque é Israel.
(09:29) Israel tem uma política de obscuridade total em relação a operações militares, então dificilmente confirmarão ou negarão a autoria. Ficarão em silêncio. Mas Israel tem capacidade, interesse e flexibilidade moral suficiente para realizar esse tipo de operação. De certa forma, os métodos parecem muito com os inaugurados pelo ataque do Stuxnet contra as centrífugas do Irã. Os Estados Unidos também tiveram um grande esforço para contaminar a linha de produção de pendrives na época, pelo menos é o que tudo indica.
(10:06) Do ponto de vista de inovações tecnológicas, aprenderemos muito pouco. Tudo indica que foi um ataque de supply chain que pode se dar ao luxo de ser pouco sofisticado na área de tecnologia. O pessoal de espionagem e inteligência terá bem mais para aprender aqui. Esse episódio é mais uma escalada do jogo de gato e rato entre o Mossad и o Hezbollah.
(10:45) O uso dessas soluções de baixa tecnologia, como pager e walkie-talkie, já era uma resposta do Hezbollah à preocupação com as capacidades do Mossad de conseguir dados e metadados de smartphones. Pense no uso do Pegasus, o famoso spyware que usaram inclusive contra o Jeff Bezos. Um ponto que me parece muito importante é que esse ataque não pode ser visto como algo pequeno. Israel tinha acesso a informações privilegiadas, porque se conseguiu adulterar um pager e um walkie-talkie para ter um explosivo na bateria, com certeza conseguiria alterá-los para ter acesso aos dados transmitidos.
(11:24) É seguro assumir que fizeram isso por algum tempo. Nesta semana, Israel decidiu tanto revelar que teve esse acesso privilegiado por tanto tempo, quanto abrir mão dele. Ao realizar este ataque, ficará claro para o Hezbollah que isso aconteceu, e eles certamente darão o próximo passo no jogo de gato e rato, tentando mitigar as formas que Israel conseguiria afetá-los.
(12:00) É muito raro um atacante que tem um acesso privilegiado abrir mão dele em troca de nada, a não ser que já houvesse alguma suspeita. Esse ataque claramente deve ser visto nesse contexto e provavelmente indica uma escalada. Abraço, pessoal. Antes de tirar do Bluesky, a última mensagem que ele botou no fio foi: “essas são as principais contribuições que consigo trazer. Surgindo algo interessante, adiciono aqui. Se viu esse fio na timeline de alguém, segue aí”.
(12:45) Fica a dica, sigam o Lucas. Ele escreveu na sequência: “Se quiser comprar meus cursos, se deu mal, não tenho curso para vender”. Lucas, obrigado pelo teu áudio e por interromper teu evento. Você estava lá e gentilmente contribuiu aqui. Ficou sem café, sem lanche, para sair e gravar. Quando formos a São Paulo, pagaremos um sanduíche de mortadela lá no mercado público para você.
(13:31) Ele traz várias coisas, como essa matéria do New York Times, que ele linkou e estará no shownotes. Saiu o “The Daily”, podcast do New York Times, com a principal manchete do dia, com o repórter que escreveu essa matéria. Eles colocam esses principais pontos que o Lucas trouxe, principalmente o fato de ter levado mais ou menos dois anos preparando essa estratégia. Ao contrário do que vimos no começo, que diziam que teria sido um carregamento de pagers comprado pelo Hezbollah, desviado, mexido e devolvido, o que está parecendo é diferente.
(14:06) O que parece é que outra empresa pediu licença para a empresa taiwanesa para produzir. Essa licença, obviamente, não é de graça; ela deve ter pago por isso. O pessoal foi atrás do endereço dessa empresa que teria produzido os pagers, e é um endereço residencial onde não há fábrica nenhuma. Montar 5.000 pagers…
(14:45) Não estou nem dizendo fabricar, estou dizendo montar. Imagino que eles não pegaram os pedidos prontos; eles efetivamente montaram. Montar esses 5.000 pagers, se foi o Mossad, eles têm que ter utilizado uma linha de montagem. Não se monta 5.000 pagers em casa com duas ou três pessoas; precisa de bastante gente.
(15:18) E não só montar, mas projetar uma alteração nele para que, ao receber um determinado código — o pessoal do New York Times comentou que, se recebesse um código específico, ele acionaria —, ele pudesse explodir. A modificação não é simplesmente abrir e jogar explosivo dentro. Não imagine que eles abriram, jogaram explosivo e fecharam.
(15:49) Tem que ser feita uma modificação no equipamento para que ele exploda de forma controlada, seja em uma janela de tempo ou por uma mensagem. Não se pode simplesmente botar explosivo lá dentro; tem que montar um circuito minimamente confiável para não explodir acidentalmente ou falhar no momento do uso. Alguém tem que projetar isso para 5.000 equipamentos. A estimativa é que levaram dois anos na execução.
(16:25) Isso chama a atenção: o investimento e o esforço para fazer esse ataque. Podemos começar pelos diferentes cenários. Este é um podcast que trata também de segurança da informação. O ataque de supply chain, que já explicamos, é uma situação em que um agente malicioso consegue entrar na cadeia de produção, neste caso, de um equipamento físico.
(17:06) Pode-se entrar no meio da logística e comprometer a segurança de equipamentos físicos. A novidade aqui foi a explosão, mas no passado há outros casos. A própria NSA, em 2014, na esteira do caso Snowden, revelou que implantava dispositivos para interceptação de tráfego em servidores e roteadores.
(17:51) O Glenn Greenwald revelou na época que a NSA implantava dispositivos de interceptação. Tinha até foto dos agentes abrindo caixas de roteadores da Cisco, fazendo modificações em uma bancada, fechando tudo e usando as fitas adesivas originais. O menor dos problemas é esse. Eles interceptavam fisicamente o equipamento, implantavam dispositivos de backdoor, encaixotavam novamente e encaminhavam aos destinatários.
(18:29) Isso foi revelado em 2014, mas já acontecia desde 2010 e provavelmente antes. O ataque de supply chain envolve isso ou também a possibilidade de ter acesso ao processo de desenvolvimento de softwares para implantar códigos maliciosos dentro de softwares legítimos. Esse problema é tratado em normas como a ISO 27002, que fala sobre as melhores práticas de segurança.
(19:11) A questão é conhecida, mas a diferença está na intensidade do impacto e na qualidade geral, comparando com as práticas de segurança que geralmente discutimos aqui. Quando falamos em cibersegurança ou ciberguerra no âmbito da inteligência, de países contra países, abre-se um novo campo de problemas e motivações.
(19:49) O custo que o Vinícius colocou, não apenas o financeiro, deve ser altíssimo. Há uma questão de organização e muitas pessoas envolvidas. No âmbito das motivações, é isso que temos que destacar. As questões de segurança da informação que comentamos, embora o vetor seja o mesmo (ataque de supply chain), diferem qualitativamente da segurança que discutimos para empresas e pessoas comuns.
(20:32) É muito difícil identificar e evitar esse tipo de ataque por causa das motivações. Quando falamos em supply chain, o que está mais perto da nossa realidade não são coisas explodindo, mas a questão da Cisco que você citou, de alterarem um roteador para fazer sniffing de tráfego. O que chega mais próximo do nosso dia a dia são bibliotecas de software que, eventualmente, são comprometidas e utilizadas no desenvolvimento.
(21:11) Você acaba utilizando um software com uma biblioteca comprometida. Nos últimos tempos, temos comentado sobre esse tipo de problema de segurança em supply chain, mais focado no ambiente de software. Agora, estamos vendo uma situação especial em que colocam uma carga explosiva dentro do dispositivo.
(21:48) Discutimos se isso era cibersegurança ou não. No final das contas, é uma carga explosiva acionada remotamente. Existe a discussão se foi remoto ou não, porque os aparelhos explodiram não exatamente no mesmo momento, mas em uma janela de umas 3 horas.
(22:27) Uma hipótese é que, como é um equipamento ligado a uma rede, poderiam ter sido programados para explodir por meio de um comando. Essa é uma hipótese. Mas também li, e acho que faz sentido, que poderiam explodir por um timer, o que deixaria a operação menos complexa. Você programa e eles explodem numa janela de tempo.
(23:39) Depois que explodissem, ninguém mais os utilizaria, então não faria sentido explodir uns em um dia e outros em outro. Teria que ser uma ação orquestrada. O que o Vinícius vai falar é que, para um agente como um estado ou uma agência de inteligência, comprometer tecnicamente ou colocar novos dispositivos para ações remotas é algo básico.
(24:15) Por outro lado, se os caras ficaram dois anos fazendo isso, acho pouquíssimo provável que todo esse esforço fosse para colocar uma carga explosiva com um timer fixo, sem poder intervir. O negócio explodiria em um tempo pré-determinado. Se tiveram todo esse esforço, minhas fichas estão no seguinte: eles poderiam ter um mecanismo de timer, mas acho que se perde muito o controle.
(24:59) Você vai querer explodir no momento mais adequado, e estamos falando de geopolítica, estratégia militar. Talvez no momento em que querem invadir ou percebem que o Hezbollah está se organizando para fazer algo. Seria uma carta na manga. Pensando friamente, eu não faria todo esse esforço para colocar um equipamento que eu não pudesse controlar exatamente quando detonaria.
(25:34) Acho pouco provável. O que acho mais provável é que, com ou sem timer, deixaram uma forma de intervir remotamente, inclusive acionando a explosão, adiando-a, ou com um mecanismo de segurança do tipo “se eu perder o contato, ele explode em X tempo”.
(26:20) O custo para fazer isso seria muito baixo. Vou mostrar um exemplo, um módulo que qualquer um pode comprar para Arduino, para mostrar o que está disponível. Uma agência de inteligência terá coisas muito melhores. Deixa eu fazer um disclaimer: você falou “comprar e brincar”. É brincar mesmo com Arduino, não fazer bomba. É importante destacar, pois nem todo mundo está habituado com esse cenário.
(26:51) Quando falamos “brincar”, nos referimos a plataformas de microcontroladores para realizar projetos, estudados em universidades. Arduino é uma delas. Você monta miniprojetos de eletrônica e computação, e uma possibilidade é realizar comunicações entre dispositivos para fins totalmente lícitos. Ninguém fica fazendo bomba por aí. Apenas para mostrar o que temos no mercado.
(27:22) Há coisas que permitiriam isso há uma década. Eu estava tentando achar o site do fabricante, mas aqui está um desses módulos. É o SIM800L, mas há vários modelos. Essencialmente, são um celular. Você pode receber sinal, fazer e receber ligações, enviar e receber SMS.
(27:58) Ele tem entrada e saída de som e GPIO (General Purpose Input/Output), pinos que você pode usar para controlar o que quiser, como acionar um relé, uma lâmpada. Você pode pegar um desses módulos, usar com um Arduino, e mandar uma mensagem SMS para ele. Se a mensagem for “Liga a lâmpada 1”, ele liga. Em vez de uma lâmpada, você aciona uma carga explosiva.
(29:06) Isso é pequeno, do tamanho de uma moeda de R$1. E está disponível para comprar no AliExpress ou em lojas de microeletrônica no Brasil. Se você tem um módulo desses para brincar com Arduino, imagine o que o Mossad não tem acesso em termos de miniaturização. Se tiveram tempo para projetar, foi barbada colocar um recurso desses lá dentro.
(29:37) O New York Times comentou a possibilidade de que, em uma quantidade tão grande de pagers, é possível que pelo menos um não tenha explodido e possa ser analisado. Seria arriscado. Eu não abriria; tenho até medo de ficar perto de um. Vai que alguém botou à venda no eBay um que não explodiu.
(30:13) Olha o risco que Israel assumiu. Eles venderam esses pagers, mas vai saber se não foram parar em outro lugar. Alguém pode pegar e vender o seu no eBay. A questão é que esses pagers não só teriam sido modificados para explodir, mas também para permitir o rastreamento.
(30:47) Já que eles não só explodiram, mas antes disso estavam sendo utilizados para rastrear e capturar mensagens. Faz sentido, dado o esforço investido. Eles estavam usando pagers, uma tecnologia antiga, para fugir do monitoramento de celulares que Israel já fazia, aproveitando sua capacidade para isso.
(31:20) Chegaram a usar essa capacidade para matar pessoas-chave do Hezbollah, usando não só localização, mas interceptação. Então, se tivessem modificado o pager só para explodir, seria pouco provável. Devem ter modificado para levantar informações, monitorar trocas de mensagens, e, como brinde, meteram uma carga explosiva para quando não pudessem mais usar, causando mais um efeito no alvo.
(33:15) Isso é mais provável, dado o esforço. Concordo com o Lucas: não tem muita tecnologia nova, não é uma “cyber weapon” como costumamos dizer. O que já vimos no passado que se aproxima disso? O Stuxnet de 2010, considerado o primeiro malware a causar danos a estruturas físicas, desenvolvido pelos EUA e Israel para sabotar centrífugas de enriquecimento de urânio no Irã.
(33:55) Eles conseguiram infectar o Windows e o software Siemens Step 7 que controlava as centrífugas, alterando a velocidade e o volume de gás, fazendo-as superaquecer e estragar. Quando falamos em segurança da informação para empresas, o dano tende a ficar no espaço digital. Você destrói informações que, de forma indireta, terão impactos na vida física. Um hospital atingido por ransomware, por exemplo, pode levar a mortes pela falha dos sistemas, mas é indireto.
(35:15) O Stuxnet é interessante porque o software causou danos físicos diretamente. O caso da NSA de 2014, o ShadowPad, também via ataque de supply chain, incluiu um trojan no software de gerenciamento de servidores da NetSarang. O CCleaner também foi alvo, com dois cavalos de Troia inseridos, atingindo 2 milhões de usuários no que pode ser o maior ataque de supply chain.
(36:29) O ShadowHammer de 2019 envolveu malware nas atualizações da Asus, atingindo até a BIOS. Os atacantes obtiveram um certificado válido para assinar o malware. Teve também o SolarWinds. O ponto de atenção aqui é que, embora tenha um pouco de tecnologia sendo usada para causar danos a pessoas, não é da mesma forma que com malwares que se autorreplicam ou interagem com outros sistemas.
(37:04) O ataque é emblemático porque matou pessoas, o que não é comum no mundo da segurança da informação. Mas não tem muita tecnologia nova. Com dispositivos que você compra na internet, poderia colocar um explosivo remoto em qualquer coisa, até num sapato. Você vende para o grupo, o cara põe o sapato com o dispositivo e uma bateria, e dias depois explode.
(37:46) Nem precisa ser remoto. A pergunta é: foi um ciberataque? Estamos avaliando apenas a explosão. Não sabemos se não havia outro mecanismo, se a modificação nos pagers não permitia obter informações ou ler mensagens. Nesse aspecto, sim. Ou se eles poderiam simular o envio de uma mensagem de uma fonte confiável.
(38:23) O efeito que vemos é o da explosão. Obviamente não foi a bateria que sobrecarregou e explodiu. Se olharem os vídeos, é uma explosão, não uma bateria pegando fogo. As explosões são fortes. Tem uma filmagem de uma câmera de segurança em um caixa: uma mulher atendendo, o cliente na frente, e o negócio explode com deslocamento de ar. É explosivo mesmo.
(39:01) Não sabemos se não havia outro recurso lá que permitisse a escuta passiva, a captura de mensagens. Os pagers só recebem, não enviam. Ele é passivo, dificulta a localização. Você põe um negócio lá que monitora o que o pager recebe e ativamente manda para algum lugar com esse novo circuito. Eventualmente, Israel poderia até injetar uma mensagem no pager, como fizeram interceptando uma ligação telefônica de um alvo.
(40:37) Disseram para o cara subir em um andar para conversarem, e quando ele foi, atacaram. Já fizeram isso com telefone, poderiam ter preparado algo assim com o pager. Considerando apenas a explosão, é um explosivo acionado remotamente, algo trivial para uma agência de inteligência hoje em dia. Se tem outra coisa, ainda não sabemos.
(41:15) Para concluir: eu tinha um pager da Motorola. Lembro do som, ele vibrava. Era um aparelhinho. Você via a mensagem e procurava um telefone para ligar. Havia mensagens de texto também, não só o bipe. Você ligava para uma central e pedia para mandar uma mensagem, que aparecia no pager. Não fui atrás das tecnologias atuais, mas imagino que não seja muito segura. Seria fácil interceptar os sinais.
(42:36) O Vinícius vai mostrar o site da Gold Apollo, a empresa que teria concedido a marca para a empresa húngara fabricar. Ao que tudo indica, a Apollo não tem nada a ver, também foi vítima. No site deles, em “Products”, eles mostram o que fazem, inclusive “restaurant pagers”. Fui procurar para vender no Brasil e só achei esses.
(43:46) Tem o numeric pager, o alphanumeric pager… imagino que seja um desses modelos. Uns até parecem mais sofisticados. Eles têm transmissores, um “patient call watch” para chamar socorro… coisas do ambiente hospitalar. Realmente espero que isso não vire uma tendência, porque o mundo atual já é bem difícil. A história do “drone pager”… essas coisas vieram para ficar. Vamos ver muito disso, infelizmente. Vamos esperar que apareça um pager que não explodiu para análise.
(45:10) Agora, aquele tema do X, um verdadeiro buraco negro que nos puxa. Não vamos mais falar sobre o X. Mas acontecem coisas absurdas. Se você está nos ouvindo, provavelmente já sabe do caso Cloudflare. Preciso trazer algumas informações antes. Ficou claro que as ordens que culminaram no bloqueio do X no Brasil envolviam a tentativa de bloquear conteúdos e retirar perfis do ar sobre um tema que não sabíamos qual era.
(45:49) O discurso sobre liberdade de expressão… claro, o problema está em xeque, a rede está fora do ar, mas não sabíamos o que o STF estava buscando bloquear. Era perseguição política? O que se descobriu, e vai ficar no shownotes, é que alguns perfis estavam usando o Twitter para expor dados de delegados da Polícia Federal, o chamado doxing.
(46:30) Ameaçando e expondo pessoas, em especial o delegado Fábio Shor, responsável por investigações contra o ex-presidente Bolsonaro. Alguns “influenciadores” começaram a divulgar esse discurso, envolvendo dados dessas pessoas. A partir disso, começaram a investigar. Basicamente, as pessoas que tiveram seus perfis afetados por essas ordens que o X não quis cumprir estavam envolvidas em ações para expor dados de delegados federais, inclusive, em alguns casos, de crianças.
(47:46) Eles expuseram fotos do delegado Fábio, que não tinha fotos publicadas na internet. Conseguiram uma foto da sua carteira de motorista. Reconheceu-se que era um grupo muito organizado, a ponto de colocar um bicho de pelúcia amarrado no limpador de para-brisa do carro do delegado, no endereço residencial dele. Algumas postagens perguntavam se o delegado era procurado “vivo ou morto”.
(48:24) O Carlos Afonso faz uma reflexão sobre liberdade de expressão. Parece claro que esse tipo de ação, expor e ameaçar delegados da Polícia Federal, colocando em risco não só ele, mas sua família, não está coberto pela liberdade de expressão. Foi esse conteúdo que o X se negou a retirar do ar.
(49:04) Na esteira dessas descobertas, há outros problemas. Uma delegada federal começou a ser alvo de tentativas de suborno por meio de e-mails anônimos criptografados, usando o ProtonMail. Ela deixou de responder e começou a ser ameaçada. Essa delegada também atuou no inquérito das fake news e das milícias digitais.
(49:46) Esse episódio foi descoberto em uma campanha de exposição e intimidação de outros delegados que trabalhavam em investigações com Alexandre de Moraes. A campanha teria sido conduzida pelo blogueiro Allan dos Santos, que está nos EUA desde 2020 com ordem de prisão. Ele anunciou que pagaria R$5 milhões para quem tivesse provas contra Alexandre de Moraes na Operação Acrônimo.
(50:24) Esse fio foi puxado por uma operação da PF que chegou nos pedidos de bloqueio para evitar que esses dados de delegados, às vezes com fotos de crianças, continuassem no ar. Foi todo esse relatório que embasou a decisão do STF de bloquear o X, porque a plataforma não quis retirar o conteúdo.
(51:02) Outra questão interessante: algumas dessas fotos, inclusive do delegado que não tinha fotos na internet, foram acessadas via Infoseg, um sistema federal parecido com o Consultas Integradas. Foi o tema do nosso primeiro episódio do podcast. Conversei com o Rafael Zanatta sobre isso esta semana. Passei para ele nosso primeiro episódio, com o alerta de que estávamos horríveis, com áudio ruim, tudo travado. Estávamos aprendendo.
(51:47) Julgo que estamos muito melhores do que naquele primeiro episódio. A PF está investigando isso. Descobriram que a conta de um juiz, provavelmente invadida, teve 4.000 consultas via VPN no Infoseg em um único dia. Deve ter uso de robôs, roubo de credenciais. Mas isso é tema para outra conversa.
(52:21) Depois, tivemos uma carta assinada por mais de 50 acadêmicos e intelectuais ao redor do mundo, se colocando contra as ações de Musk. A carta dizia: “A disputa do Brasil com Elon Musk é apenas o mais recente exemplo de um esforço mais amplo para restringir a capacidade de nações soberanas de definir uma agenda de desenvolvimento digital livre do controle de megacorporações”. O conteúdo estará no shownotes.
(52:46) Foi um movimento internacional importante, se posicionando contra Musk. Além disso, Musk chamou o governo da Austrália, via seu primeiro-ministro, de “fascista” porque estão querendo aprovar uma nova lei de desinformação online. Vão impor multas de até 5% da receita anual para empresas que não façam uma gestão adequada do risco de desinformação.
(53:27) O primeiro-ministro australiano criticou Musk, dizendo: “As redes sociais têm uma responsabilidade social. Se o senhor Musk não entende isso, isso diz mais sobre ele do que sobre o meu governo”. A Austrália é uma das nações mais bem colocadas no ranking de democracia da revista The Economist, insuspeita nesse caso. É um país bem estabelecido, não tem nada de fascista lá. As leis são parecidas com as da União Europeia.
(54:35) Isso já seria suficiente para falarmos sobre o assunto, mas aí veio o caso Cloudflare. O bloqueio do X no Brasil foi feito… a gente citou três formas: retirada do app das lojas, que seria agressivo; mexer no DNS, que seria facilmente burlável; ou o bloqueio dos endereços IP, que foi o que optaram por fazer.
(55:49) Mesmo que você resolva o DNS para o IP correto, o IP estaria bloqueado. Por isso, quase todo mundo ficou sem acesso. O aplicativo tentava conexão, mas não conseguia. O que aconteceu agora foi que o X migrou seus servidores para uma estrutura da Cloudflare. A Cloudflare ajuda a proteger sites contra ataques, principalmente negação de serviço.
(57:06) Os servidores do X não ficam mais expostos diretamente. O acesso é feito pelos endereços da Cloudflare, que repassa as conexões. Se alguém tentar atacar o site, a Cloudflare simplesmente move o serviço para outro IP e o site continua funcionando. Com isso, não há um endereço fixo, mas uma faixa de endereços que a Cloudflare gerencia.
(58:32) O resultado é que não tem mais como fazer um bloqueio por IP como vinha sendo feito. Se fossem bloquear os IPs da Cloudflare, bloqueariam vários outros serviços. A Cloudflare teria uma fatia de 98% do mercado de empresas que usam esse tipo de serviço de segurança na nuvem, com cerca de 4 milhões de clientes.
(59:45) O detalhe é que quem contrata esse serviço são empresas grandes, como bancos, agências de viagem, hospitais, empresas aéreas. Se tentassem bloquear por IP, derrubariam uma quantidade absurda de serviços no Brasil. Quem resolveu voltar atrás foi a própria Cloudflare, que ajudou mesmo sem ter sido citada na petição.
(1:01:15) O Twitter (X) passa a usar a Cloudflare, e essa mudança na arquitetura fez o serviço voltar a funcionar no Brasil, tornando os bloqueios inefetivos. Durante isso, o próprio X disse, em 18 de setembro, que colaboraria com as autoridades brasileiras. A conta oficial Global Government Affairs disse que fizeram uma modificação em seus provedores de rede que causou uma “restauração temporária e inadvertida” dos serviços e que continuariam seus esforços para retomar o serviço em breve.
(1:03:28) Quando o STF e a imprensa perceberam que o X voltou a funcionar, a Anatel iniciou comunicação com a Cloudflare. Surpreendentemente, eles disseram que iriam colaborar, isolando a faixa de IPs do Twitter para permitir que os bloqueios voltassem a funcionar. Isso envolveu um custo para todos. A Anatel disse que o desbloqueio se deu por uma ação deliberada do X para restabelecer o serviço.
(1:04:51) E aí veio a decisão do STF, do ministro Alexandre de Moraes, em 18 de setembro de 2024. Ele diz: “É dolosa, ilícita e persistente a recalcitrância da plataforma X no cumprimento de ordens, confessada diretamente por seu maior acionista, Elon Musk, em publicação no próprio X dirigida a todo território nacional”. A publicação de Musk dizia: “Qualquer magia suficientemente avançada é indistinguível de tecnologia”.
(1:06:11) Arrogante, não? O cara fez uma coisa muito avançada… A decisão continua: “Não há, portanto, dúvidas de que a plataforma X, sob o comando direto de Elon Musk, novamente pretende desrespeitar o Poder Judiciário brasileiro”. O STF determinou que a Anatel adotasse providências para manter a suspensão, incluindo os novos acessos via servidores CDN como Cloudflare, Fastly e Edgecast.
(1:07:24) E que o Twitter Brasil suspendesse a utilização desses novos acessos, sob pena de multa de R$5 milhões. Intimou-se o presidente da Anatel, o Twitter e a Starlink, diante de sua responsabilidade solidária. Qual o racional disso? Poderíamos pensar que Musk, em conluio com a Cloudflare, buscou isso para viabilizar a continuidade do serviço.
(1:08:39) Eu imaginei que a Cloudflare compraria a briga. Mas, logo depois, a Cloudflare não só não comprou a briga, como colaborou voluntariamente com a Anatel. Aí a coisa perde o sentido. O cara vai para o X se vangloriar e, logo depois, o bloqueio é restabelecido. Qual o fundamento?
(1:09:58) A Cloudflare já se envolveu em retiradas de conteúdo antes, por violação de direitos autorais na Itália. Mas tiveram um caso emblemático e delicado com a retirada de conteúdos nazistas e negacionistas do Holocausto no Reino Unido. Nesse caso, não foram tão rápidos. Reclamaram que era um “precedente perigoso”. A decisão foi tomada depois que os neonazistas começaram a dizer que a Cloudflare apoiava sua causa. Aí tiraram do ar, a contragosto.
(1:11:16) É delicado eles ficarem controlando conteúdos ativamente enquanto CDN. Mas isso não se aplica diante de uma ordem judicial. Depois de tudo isso, saiu a notícia de que o X decidiu apresentar dois novos representantes legais no Brasil. Palmas para o profissional.
(1:12:29) Eles apresentaram, mas ainda não está certo, pois não entregaram a documentação que comprove a representação. Têm 24 horas para isso. Parece que o X vai, sim, bloquear os perfis solicitados pela justiça. Isso serviu para uma coisa interessante: fazer o pessoal usar outra rede social. O Bluesky, para mim, está sendo muito mais útil do que o Twitter jamais foi.
(1:13:06) O Twitter eu já tinha largado de mão. É só bobagem, e depois que Musk mexeu, você recebe coisas que não te interessam. O Bluesky está sendo uma experiência muito boa. Serviu também para vermos o que é um papo furado. Vieram à tona as situações em que Elon Musk, o “defensor da liberdade de expressão”, compactuou com governos autoritários por causa de seus interesses.
(1:13:40) Essa palhaçada de que ele defende a liberdade de expressão não dá para levar a sério. Ele está se complicando com outros países, com a União Europeia. Vamos ver mais confusões envolvendo Musk. Aqui, a multa é de R$5 milhões, mas veja o valor das multas que empresas como Google e Microsoft tomam na Europa. Nossas multas às vezes são irrisórias em comparação.
(1:14:48) Nos EUA, a multa é ajustada ao poder financeiro da empresa. É interessante acompanhar isso e não só entrar na vibe do que as pessoas dizem sem saber. Converso com familiares que perguntam sobre Musk. Quando pergunto se sabem dos detalhes, a galera não sabe. Estão achando que ele é um bastião da liberdade de expressão, mas ele é um grande hipócrita.
(1:15:25) A professora Shoshana Zuboff, autora de “A Era do Capitalismo de Vigilância”, escreveu um artigo explicando que o Twitter não é uma arena pública, mas um local onde o discurso é controlado por um algoritmo. Isso está ficando mais claro. Mas também vemos uma luz no fim do túnel. Tinha gente que ganhava dinheiro lá. É ruim porque ele força as condições para o bloqueio.
(1:16:43) O judiciário está bloqueando porque conteúdos gravíssimos de ofensas a delegados não foram retirados. A empresa se recusa a cumprir. Na verdade, é ele que está se autobloqueando. Ele tem o dinheiro para brigar, contratar advogados, fazer um estudo. Acontece que ele não tem argumento. Quando há gente fazendo doxing e incitando ataques, isso não é liberdade de expressão.
(17:38) Dentro dos limites da liberdade de expressão, há coisas que nos espantam. Nos EUA, pode-se levantar uma bandeira nazista; aqui, você vai preso, assim como na maior parte da Europa. Acho que nós estamos mais certos do que eles. Os norte-americanos estão errados. Não é possível que alguém possa fazer uma coisa dessas, defender uma ideia que prevê a extinção de outros seres humanos.
(18:14) Há outras coisas semelhantes que atacam pessoas por suas escolhas e pregam ideias perigosas. Se essas coisas forem divulgadas sem restrição… não é censura a priori. Você faz e sofre a consequência. Quer poder dizer o que quiser e ficar por isso mesmo? É delicado.
(18:53) Esse tema anda imprevisível. Se me perguntassem se isso aconteceria, eu duvidaria. Mas se eu pudesse apostar, diria que a coisa tende a se estabilizar com a indicação dos representantes. Vamos terminando, a não ser que aconteça outro fato bombástico em relação ao X.
(19:33) De repente, dá tempo de fazer um adendo antes da publicação. Mas espero que não. Café expresso e café frio. Para quem vai o café expresso? Vou te ajudar: um café expresso para nosso amigo Lucas Lago, que topou participar. E outro para o Assolini, que estava com ele no evento. Pode ser. O frio é fácil. É para o X, né?
(20:05) No caso dos pagers, é mais sério, não dá para envolver o café. Não sei se para a Cloudflare… ela está prestando um serviço. Hoje, empresas desse porte têm um compliance forte. Conversava com uma pessoa que dizia que, ao contratar um prestador, fazem uma análise do passado da empresa. Se houver envolvimento com corrupção, por exemplo, aponta-se um risco regulatório à imagem.
(21:11) Surpreende-me, porque imagino que essa contratação não se deu com Elon Musk botando o cartão de crédito no site. Acredito que envolva algo maior. Eu daria para eles o café frio. Hoje, a distribuição teve bastante café frio. Terminamos fisicamente cansados de falar sobre essas coisas.
(21:47) Vamos ver os próximos capítulos da novela. Agradecemos a todos que nos acompanharam. Nos encontraremos no próximo episódio do podcast Segurança Legal. Até a próxima. Até a próxima, Guilherme. Para aqueles que continuam assistindo, ficou um buraco no áudio porque a fonte se desprendeu do Discord. Quando vi, teu áudio estava mutado. Ajustei e comecei a gravar.
(22:29) Teremos que passar para o Mateus a trilha do cachorro para ele encaixar no vídeo. Vai ter um trabalho extra de edição. Pessoal, vamos para o feriado. Um abraço a todos. Nos encontramos semana que vem, se tudo der certo. Até. Abração.