Colasus sem fronteiras o caso Kouloglou e a ameaça à democracia pela vigilância comercial

O laboratório canadense Citizen Lab voltou a colocar no centro do debate público uma realidade desconfortável: a vigilância com ferramentas comerciais de espionagem não é apenas uma abstração técnica, mas uma ameaça real e concreta para a supervisão democrática. De acordo com o seu relatório, o ex-deputado Stelios Kouloglou foi repetidamente infectado com o spyware Pegasus enquanto fazia parte da comissão do Parlamento Europeu encarregada de investigar precisamente o uso e abuso desses produtos. Que um membro da comissão de inquérito seja alvo directo do objecto da investigação revela uma lacuna grave entre a teoria regulamentar e a prática operacional.

Os achados forenses indicam infecções em outubro de 2022 e março de 2023, aproveitando um exploit de zero clique na implementação da função smart home da Apple, conhecido por pesquisadores como PWNYOURHOME e corrigido em atualizações posteriores de iOS. Além disso, os investigadores detectaram coincidências operacionais com uma campanha anterior dirigida a jornalistas e ativistas exilados na Europa, sugerindo que o cliente que comprou o serviço de espionagem tinha autorização para operar em vários Estados-Membros. Esse cruzamento de jurisdições, possível graças a licenças comerciais, torna insuficientes os quadros regulatórios que dependem apenas de fronteiras nacionais.

O caso expõe várias lições simultâneas. Por um lado, a sofisticação técnica desses exploits –zero-click, abuso de implementações de IoT e notificações de ameaça que chegam tarde ou não são seguidas por medidas imediatas – demonstra que a segurança individual do dispositivo já não é garantia suficiente. Por outro lado, a pesquisa também destaca outra via de risco: as redes de telecomunicações foram exploradas por atores que manipulam protocolos como SS7 e Diameter ou enviam mensagens SMS com comandos ocultos para converter um telefone em um rastreador sem instalar malware visível. A segurança da privacidade combina fatores de software, hardware e arquitetura de rede; a mitigação exige intervenção técnica e regulatória.

Para legisladores e responsáveis por instituições públicas, a primeira obrigação é assumir o alcance político do problema. É indispensável instaurar mecanismos obrigatórios de notificação de intrusão para cargos públicos e comissões de investigação, dotar o Parlamento e as administrações de capacidade forense independente e procedimentos claros de resposta, e rever as autorizações de utilização de tecnologias de vigilância. A União Europeia já tem fóruns e comissões para estes assuntos, como a própria comissão PEGA cujo trabalho pode ser consultado na web do Parlamento Europeu, mas tornar públicos incidentes, auditar fornecedores e condicionar licenças de exportação de spyware são passos que devem ser acelerados(ver informação geral em PEGA — Parlamento Europeu).

Para jornalistas, ativistas e funcionários com alto risco, a higiene digital deve ser complementada por políticas institucionais: segregar dispositivos de trabalho para deliberações sensíveis, aplicar atualizações de segurança quanto disponíveis, verificar e agir em notificações de ameaças do fabricante, e recorrer a laboratórios forenses reputados quando houver indícios de compromisso. Citizen Lab e outros grupos especializados publicaram guias e análises sobre como é detectado e mitigado este tipo de intrusões; seu trabalho permanece acessível em Citizen Lab. Receba uma notificação da Apple ou de outro fornecedor não é uma conclusão, mas o início de uma cadeia de respostas coordenadas.

No plano tecnológico, há medidas concretas que reduzem a superfície de ataque: separar contas e dispositivos para tarefas críticas, minimizar a exposição de metadados em comunicações, utilizar soluções com controles de segurança hardware e verificar a cadeia de fornecimento de fornecedores de segurança. Ainda assim, a lição estrutural e política é mais profunda: a existência de mercenários digitais e fornecedores que vendem capacidades para violar direitos fundamentais exige transparência contratual, condicionamento de licenças, auditorias independentes e sanções eficazes contra abusos. A Apple publicou informações sobre sua resposta a vulnerabilidades e atualizações do iOS que corrigem vetores explorados; é importante verificar essas atualizações nos repositórios oficiais da empresa e aplicá-las sem demora ( Actualizações de segurança da Apple).

Finalmente, o caso Kouloglou ilustra que a tecnologia pode minar a capacidade das instituições para supervisionar seu próprio uso. Se aqueles que investigam não podem contar com canais seguros para deliberar, o efeito dissuasor sobre a investigação institucional será profundo. Responder requer combinar medidas técnicas, reformas legais e vontade política para controlar um comércio que opera hoje numa zona cinzenta entre a segurança e o abuso. Enquanto isso, a cidadania e os responsáveis públicos devem agir com premura: auditar dispositivos de risco, exigir transparência sobre contratos de spyware e fortalecer capacidades forenses e de resposta a incidentes para recuperar a confiança no controle democrático sobre essas tecnologias.