Proton Mail divulga dados de usuário, levando a prisão na Espanha
(restoreprivacy.com)-
Em relação a um pedido legal das autoridades espanholas, o Proton Mail divulgou dados de um membro da organização pró-independência da Catalunha Democratic Tsunami. Como resultado, esse membro foi preso.
-
O Proton Mail é um serviço de e-mail seguro com sede na Suíça, conhecido por sua criptografia de ponta a ponta e por sua rígida política de não manter logs. Em 2021, a empresa já havia atendido a um pedido legal relacionado à prisão de ativistas climáticos franceses.
-
O ponto central deste caso é que o Proton Mail forneceu à polícia espanhola o endereço de e-mail de recuperação vinculado à conta de uma pessoa que usava o pseudônimo
Xuxo Rondinaire. Essa pessoa é suspeita de ser integrante da polícia catalã (Mossos d'Esquadra) e de ter fornecido informações internas ao movimento Democratic Tsunami. -
Com base no e-mail de recuperação recebido do Proton Mail, as autoridades espanholas solicitaram informações adicionais à Apple e conseguiram identificar essa pessoa. Este é um caso que mostra a interação complexa entre empresas de tecnologia, privacidade dos usuários e órgãos de aplicação da lei.
-
A resposta do Proton Mail a este pedido está vinculada à legislação suíça, que o obriga a cooperar com exigências legais internacionais formalizadas pelos canais adequados (o sistema judicial suíço). Somente em 2022, o Proton Mail atendeu a 5.971 solicitações de dados.
A importância do OPSEC
-
Esta situação relembra a importância de manter um OPSEC (segurança operacional) rigoroso. É preciso reconhecer que a vinculação com informações de recuperação ou com serviços secundários com menor nível de proteção de privacidade, como uma conta Apple, pode se tornar uma vulnerabilidade potencial.
-
Usuários preocupados com privacidade, especialmente os envolvidos em atividades sensíveis ou políticas, devem colocar o OPSEC em primeiro lugar ao usar ferramentas de privacidade.
-
Recomenda-se evitar o uso de e-mails de recuperação ou números de telefone que possam ser ligados diretamente à identidade pessoal ou a atividades principais, considerar o uso de e-mails descartáveis ou números virtuais que ofereçam anonimato, usar VPN para ocultar o endereço IP e empregar meios de pagamento anônimos.
A posição do Proton
-
O Proton confirmou os principais pontos deste caso e afirmou que o fato de os dados obtidos junto à Apple terem sido usados para identificar um suspeito de terrorismo mostra que a empresa mantém apenas o mínimo de informações dos usuários.
-
O Proton oferece privacidade por padrão, mas não anonimato. O anonimato exige esforço do próprio usuário para manter um OPSEC adequado, como não adicionar uma conta Apple como meio opcional de recuperação.
-
O Proton não exige obrigatoriamente a adição de um e-mail de recuperação. Isso porque, em teoria, ele pode ser fornecido mediante ordem judicial suíça. Terrorismo também é ilegal na Suíça.
Opinião do GN⁺
-
Este caso mostra claramente como é difícil equilibrar privacidade do usuário e aplicação da lei. Pode ser visto como um exemplo dos limites dos serviços de comunicação criptografados sob a justificativa de segurança nacional.
-
Do ponto de vista do Proton Mail, não há como escapar das obrigações impostas pela lei suíça, mas, se isso continuar se repetindo, a empresa poderá perder a confiança dos usuários. O próprio fato de defender uma política rígida de não manter logs e, ao mesmo tempo, atender a milhares de solicitações de dados por ano pode parecer contraditório.
-
Usuários envolvidos em atividades sensíveis precisam aproveitar casos como este para revisar seu nível de OPSEC. É importante não esquecer que, por mais seguro que um serviço seja, sempre existe o risco de exposição da identidade por meio de vínculos secundários, como um e-mail de recuperação.
-
Por outro lado, as autoridades policiais também precisam refletir se não estão exigindo informações de usuários de forma excessiva sob o pretexto de combate ao terrorismo. Uma postura que não distingue protestos democráticos de terrorismo pode ser um atalho para uma sociedade de vigilância.
-
Reconhecer os limites da privacidade oferecida por governos e empresas e não negligenciar os esforços individuais de OPSEC talvez seja a melhor forma de proteger a privacidade. Para isso, vale recorrer a diferentes medidas, como VPN, pagamentos anônimos e uso de e-mails descartáveis.
1 comentários
Comentário do Hacker News