Meta corta o spyware do NSO e adverte sobre o phishing de um só clique no WhatsApp

Meta anunciou esta semana que deteve tentativas de spear-phishing ligadas ao provedor de spyware israelense NSO Group e que apresentará uma moção de desacato a um tribunal federal por alegadas violações de uma ordem judicial que proíbe o grupo de se dirigir ao WhatsApp e seus usuários. De acordo com a empresa, os atacantes tentaram enganar pessoas para clicar em links maliciosos que redirigiam sites externos, uma tática que lembra as campanhas de “1-click phishing” previamente atribuídas à NSO e que também implicou a criação de contas e grupos de teste no WhatsApp que Meta eliminou.

É importante distinguir entre a proteção que fornece a criptografia de ponta a ponta e a exposição que provocam ataques sobre o dispositivo do usuário. A cifra protege o conteúdo em trânsito, mas não impede que um atacante comprometa um telefone através de um link malicioso ou software invasivo como Pegasus. Por isso, embora o WhatsApp enfatize que as mensagens e chamadas permanecem criptografadas por defeito, a ameaça real para muitas vítimas é a infecção do dispositivo, não a intercepção da comunicação em trânsito.

A manobra detectada incluiu domínios maliciosos identificados por Meta, entre eles fr24cast[.]com, ghazacast[.]com e ikhwancast[.]com, que foram utilizados como señuelo. Tecnicamente, um ataque de “1-click phishing” pode funcionar explorando vulnerabilidades em apps ou navegadores para executar código com apenas abrir um link ou uma página, o que reduz drasticamente a necessidade de que a vítima faça mais de um simples clique. Essa capacidade torna estes ataques particularmente perigosos para jornalistas, ativistas, funcionários e qualquer pessoa em ambientes de alto risco.

No plano legal e de políticas, o caso acrescenta outra camada de pressão sobre o NSO Group: no ano passado, a empresa foi condenada a pagar danos por explorar servidores do WhatsApp para implantar spyware contra mais de 1.400 pessoas, e em 2021 foi incluída na lista de entidades do Departamento de Comércio de EE. Os EUA, por actividades contrárias à segurança nacional. A tática de Meta de solicitar medidas judiciais mostra que as grandes plataformas combinam detecção técnica com litígio para conter atores que operam na fronteira entre o marketing comercial e a vigilância ilícita.

Para usuários e responsáveis pela segurança, as recomendações práticas permanecem as mesmas, mas com maior ênfase na prevenção avançada: manter sistemas e aplicativos sempre atualizados, evitar abrir links recebidos por fontes não verificadas e denunciar qualquer atividade suspeita à plataforma. Além disso, o WhatsApp oferece uma opção “Strict account settings” — um modo de configuração dura que limita quem pode ver e contactar a conta — e outras protecções como desativar as vistas anteriores de ligações e ativar a verificação em dois passos; informações oficiais sobre essas medidas estão disponíveis na página de segurança do WhatsApp https://www.whatsapp.com/security.

Aqueles que considerem que o seu perfil os torna alvo potencial devem elevar os seus controles: ativar a autenticação de duplo fator preferencialmente com chaves físicas, limitar a visibilidade da informação do perfil, restringir quem pode adicioná-los a grupos e considerar o aconselhamento de especialistas em análise de dispositivos móveis. Organizações e jornalistas que investigam ameaças de spyware também podem beneficiar de recursos públicos e estudos forenses sobre Pegasus e vetores de infecção, por exemplo as análises do Citizen Lab, que documentam técnicas e evidências usadas por empresas de vigilância.

Em última análise, este episódio sublinha que a luta contra o spyware comercial exige uma resposta combinada: melhorias contínuas na segurança técnica das plataformas, atualizações regulamentares e judiciais que penalizem abusos, e práticas de higiene digital mais rigorosas por parte de usuários e organizações. Actualizar, restringir e verificar Ainda são as regras básicas para reduzir a superfície de ataque, mas em casos de risco elevado a proteção efetiva requer medidas proativas e, quando for caso disso, apoio forense e legal.