Uma equipa de especialistas de topo em cibersegurança da Google decidiu unilateralmente acabar com uma iniciativa de pirataria informática que durava há nove meses e que explorava 11 falhas para tomar controlo de aparelhos iOS, Android e Windows. A decisão de acabar com a operação causou discórdia dentro da empresa, porque se acreditava que os alegados hackers estavam a trabalhar para um país aliado dos EUA numa ação de contraterrorismo – informação que só agora foi revelada.
Os ataques datam de 2020 e a utilização de técnicas nunca antes vistas chamou a atenção dos especialistas de cibersegurança da Google, que também ficaram impressionados pela escala, sofisticação e rapidez da operação. Apesar de ter tornado pública a ação de desmantelamento e as falhas exploradas, a equipa da Google não revelou todos os pormenores, deixando de fora informações como a identidade dos atacantes e das vítimas, bem como dos nomes de domínio usados para os ataques. Ainda assim, as decisões de publicitar a exploração das falhas e o desmantelamento não foram consensuais dentro da própria Google, acabando por levantar questões na comunidade de cibersegurança.
Um porta-voz da Google, citado pelo MIT Technology Review, explica que o “Project Zero dedica-se a encontrar e sanar vulnerabilidades de dia zero e a publicar a pesquisa técnica desenhada para melhorar o entendimento das novas vulnerabilidades de segurança e técnicas de exploração junto da comunidade (…) Acreditamos que partilhar esta investigação ajuda a criar melhores estratégias de defesa e a aumentar o nível de segurança para todos”.
Não é invulgar as empresas de segurança atuarem sobre vulnerabilidades que estão a ser exploradas por governos aliados, mas essas ações raramente são públicas. Neste caso da Google, não se sabe se os hackers foram avisados de antemão do desmantelamento.
Um especialista de inteligência dos EUA explica que há certos padrões nas operações conduzidas pelos governos do Ocidente que não estão presentes nas de outros países. “É aqui que julgo que entra em equação uma dimensão ética fundamental. A forma como se trata a atividade de inteligência ou das agências de autoridade de um país com controlo democrático dentro de um governo representativo legalmente eleito é diferente da forma como se o faz para um regime autoritário”, cita este especialista, sob condição de anonimato.
A equipa da Google defende não ter estado preocupada com quem estava a explorar as vulnerabilidades, nem com que intenções e explica que a decisão de tornar as falhas públicas justifica-se com o receio de que essas pudessem eventualmente vir a ser exploradas por outros, com más intenções ou sem terem qualquer escrutínio público ou privado.
