Ciberespiões ao ataque: como hackers ameaçam o WhatsApp e Signal dos políticos

As secretas portuguesas, nomeadamente o Serviço de Informações de Segurança (SIS), acabam de tocar a campainha de alarme a nível nacional. E o assunto é sério, parecendo saído de um autêntico guião de um filme de espionagem. Está em curso uma campanha de ciberespionagem à escala global, patrocinada por um Estado estrangeiro (com várias fontes europeias a apontarem o dedo a hackers com ligações à Rússia), focada em roubar dados sensíveis e confidenciais através das plataformas WhatsApp e Signal.

O objetivo desta malta mal-intencionada não é espiar as conversas do cidadão comum, mas sim apontar as baterias a alvos de alto calibre: governantes, diplomatas, militares e outros responsáveis com acesso a informação privilegiada de Portugal e de países aliados. Se achavas que estas aplicações eram fortalezas impenetráveis, está na hora de perceberes como é que os “maus da fita” estão a contornar o sistema.

O alerta máximo das secretas portuguesas

O mais curioso, e que o SIS faz questão de sublinhar, é que esta campanha não significa que o WhatsApp ou o Signal tenham sido “hackeados” ou que as suas bases de código estejam comprometidas. Pelo contrário, as plataformas continuam a funcionar como suposto. O que os atacantes estão a explorar é o elo mais fraco de qualquer sistema informático: o ser humano.

Os hackers estão a utilizar métodos sofisticados de engenharia social para enganar os utilizadores mais incautos, levando-os a partilhar credenciais ou acessos sem se aperceberem. Como estas aplicações ganharam o estatuto de meios de comunicação ultrasseguros, os utilizadores tendem a baixar a guarda, confiando cegamente em qualquer link ou mensagem que lhes apareça à frente, e é exatamente aí que o ataque acontece.

Como funciona este golpe de mestre?

Para darem um ar de legitimidade aos ataques, os cibercriminosos estão a recorrer a ferramentas de Inteligência Artificial de última geração. Com a IA, conseguem assumir identidades alheias de forma quase perfeita, simulando um tom de voz ou uma fluência linguística impecável, fazendo-se passar por colegas de trabalho, parceiros institucionais ou até familiares.

Um dos métodos mais utilizados é o “Quishing” (phishing através de códigos QR). O atacante inicia uma conversa amigável sobre um tema de interesse comum e, a certa altura, pede à vítima para ler um código QR com o telemóvel. Ao fazê-lo, a vítima está, na verdade, a emparelhar a sua conta a um dispositivo controlado pelos hackers. A partir desse momento, os atacantes ganham acesso a todas as conversas privadas e de grupo, conseguem descarregar ficheiros confidenciais e ainda usar essa mesma conta para espalhar o vírus a toda a lista de contactos do governante afetado.

WhatsApp vs Signal: a batalha da encriptação

Sempre que se fala nestes ciberataques, surge a dúvida: como funcionam estas aplicações em termos de segurança e qual delas é a melhor? Tanto o WhatsApp como o Signal utilizam o que chamamos de “Encriptação Ponta-a-Ponta” (End-to-End Encryption, ou E2EE).

Em termos simples, a encriptação ponta-a-ponta funciona como um cadeado inquebrável. Quando envias uma mensagem, ela é baralhada e trancada no teu telemóvel. Ela viaja pela internet como um amontoado de caracteres incompreensíveis e só volta a ser decifrada quando chega ao telemóvel do destinatário, que possui a “chave” única para a abrir. Isto significa que nem a tua operadora, nem os governos, nem as próprias empresas que gerem o WhatsApp e o Signal conseguem ler as tuas mensagens ou ouvir as tuas chamadas.

Do ponto de vista puramente técnico da encriptação do conteúdo, ambas são extremamente seguras. Aliás, o WhatsApp utiliza o “Signal Protocol”, ou seja, a mesma base tecnológica desenvolvida pelos criadores do Signal. No entanto, a grande diferença está naquilo que as aplicações fazem com os teus metadados.

Por que razão os governantes preferem o Signal?

Se ambas são seguras, porque é que os altos cargos políticos, jornalistas e dissidentes preferem o Signal? A resposta resume-se a uma palavra: Privacidade.

O WhatsApp é propriedade da Meta (a dona do Facebook e do Instagram). Embora não consiga ler as tuas mensagens, o WhatsApp recolhe uma quantidade absurda de metadados: sabe com quem falaste, a que horas, qual a tua localização, qual o modelo do teu telemóvel, a duração das chamadas e os teus padrões de utilização. Numa investigação governamental ou num ataque cibernético avançado, saber quem falou com quem e quando pode ser tão prejudicial quanto ler a própria mensagem. Além disso, o WhatsApp faz parte de um ecossistema gigante focado na recolha de dados para fins comerciais.

Por outro lado, o Signal é gerido por uma fundação sem fins lucrativos (Signal Foundation), financiada por doações, cujo único objetivo é a privacidade absoluta. Segundo vários especialistas em segurança cibernética e fontes ligadas à defesa de direitos digitais, o Signal foi desenhado para não recolher praticamente dados nenhuns. Se o Signal for intimado por um tribunal a entregar dados de um utilizador, a única coisa que podem fornecer é a data em que a conta foi criada e o dia em que o utilizador se ligou pela última vez. Nada mais. Não há registo de contactos, nem de horas, nem de localizações.

É exatamente por causa desta política de “conhecimento zero” e da total ausência de fins lucrativos ou de partilha de dados com empresas de publicidade que o Signal é considerado a ferramenta de comunicação mais segura do mundo, sendo a escolha óbvia para quem tem segredos de Estado no bolso do casaco. E, por arrasto, torna-se o troféu mais desejado para os hackers internacionais!