- A pouco conhecida empresa de tecnologia de vigilância First Wap vendeu para empresas privadas e outros clientes o poderoso software Altamides, capaz de rastrear a localização de pessoas no mundo todo
- Lighthouse Reports e jornalistas parceiros analisaram um arquivo com mais de 1,5 milhão de registros de dados e revelaram que políticos, empresários e pessoas comuns foram alvo de vigilância ilegal
- O setor de vigilância dizia que essas ferramentas eram usadas apenas para investigações criminais, mas a apuração mostrou que na prática seu uso para fins privados e antiéticos, fora do governo, também é tolerado
- A First Wap construiu um sistema global de rastreamento explorando falhas de segurança do antigo protocolo de telecomunicações SS7 e depois ampliou suas capacidades para incluir escuta de chamadas e invasão de mensageiros criptografados
- Por meio de uma reportagem infiltrada, surgiram indícios de que executivos da empresa continuaram discutindo negócios mesmo sabendo dos riscos ligados a vendas indiretas para driblar sanções
A face real do negócio da vigilância: o rastreamento do Altamides e sua escala internacional
O retrato da indústria de vigilância revelado em Praga
- Em junho de 2024, na feira secreta de tecnologia de vigilância ISS World, o executivo de vendas da First Wap, Günther Rudolph, mencionou que “poderia até ir para a prisão se intermediasse o negócio” durante uma conversa sobre a venda do software de rastreamento Altamides para uma empresa privada de mineração
- Na ocasião, a contraparte da negociação era uma empresa pertencente a uma pessoa sancionada, com o objetivo de vigiar ativistas ambientais, e Rudolph sugeriu capacidade técnica exclusiva ao dizer: “só nós conseguimos fazer isso”
- Mas o suposto comprador era, na verdade, um repórter infiltrado da Lighthouse Reports
Um vasto arquivo de rastreamento de localização e uma investigação jornalística internacional
- A investigação começou com a análise de um arquivo de mais de 1,5 milhão de dados de rastreamento de localização encontrado por um repórter da Lighthouse na deep web
- Com a participação de 14 veículos de imprensa e mais de 70 jornalistas, o grupo identificou os donos de números de telefone e classificou grupos-alvo (clusters) para entender a dimensão do material
- Os dados incluíam pessoas de 160 países, entre altos políticos atuais e antigos, empresários e cidadãos comuns
- Exemplos: o ex-primeiro-ministro do Catar, a esposa do ex-presidente sírio Bashar al-Assad, um produtor da Netflix, o fundador da Blackwater, a fundadora da 23andMe e executivos da Red Bull, entre muitas outras pessoas rastreadas
- Durante a análise dos dados e a apuração, jornalistas de vários países também rastrearam e confirmaram indícios de vigilância local e vítimas adicionais
A posição da First Wap e a autodefesa do setor
- A First Wap afirmou que “não tem relação com atividades ilegais ou violações de direitos humanos” e disse não poder comentar especificamente o caso por haver risco de expor a identidade de clientes
- A empresa enfatizou a posição genérica de que, após a instalação, não interfere no uso e que os órgãos de aplicação da lei utilizam o sistema para combater “crime organizado, terrorismo e corrupção”
- Todo o setor de vigilância sustentava a narrativa de uso exclusivo contra terrorismo e crime, mas esta investigação revelou uma realidade em que usos governamentais e não governamentais, comerciais e privados, são todos tolerados
Software de vigilância sem fronteiras: uma realidade em que qualquer pessoa pode virar vítima
Casos reais de vítimas do Altamides
- Em 2012, “Sophia” (nome fictício), que estava de férias na praia de Goa, na Índia, teve sua localização rastreada por um homem com uma obsessão pessoal, usando um sistema de vigilância de nível estatal
- Como nesse caso, o Altamides se espalhou também para atores privados fora do governo (stalkers, empresas etc.), e pessoas comuns como professores, terapeutas e tatuadores aparecem entre as vítimas
Rotas de distribuição e expansão do software
- A First Wap vendeu o software globalmente por meio de uma rede de distribuidores intermediários
- A empresa britânica de consultoria investigativa KCS Group tentou vender o Altamides a governos do Norte da África e da Ásia, e documentos mostram tentativas de transformar a instabilidade política (Primavera Árabe) em oportunidade comercial
- A KCS declarou oficialmente que “não esteve envolvida na venda ou no uso de ferramentas de vigilância antiéticas”
O pioneiro silencioso que dominou o setor
A origem técnica e o crescimento do Altamides
- Josef Fuchs, ex-Siemens, descobriu no início dos anos 2000 as vulnerabilidades do SS7 nas redes globais de telecomunicações e usou isso para mudar o rumo do negócio da First Wap de marketing por mensagens curtas → software de rastreamento de celulares
- Desde a era dos feature phones como BlackBerry e Nokia, a empresa implementou um sistema capaz de localizar alguém em qualquer parte do mundo apenas inserindo o número de telefone
- Depois, expandiu os recursos para interceptação de SMS, escuta de chamadas e invasão de mensageiros criptografados como o WhatsApp
Domínio global do mercado e gestão nas sombras
- Por mais de 20 anos, a First Wap construiu silenciosamente um império global de vigilância sem fronteiras nem restrições legais, praticamente sem impor limites ao escopo e às fronteiras desse tipo de monitoramento
A realidade além do manual revelada por reportagem infiltrada
Limites éticos e práticas de negociação indireta
- Já nos primeiros contatos e na análise de documentos, foram detectados casos de vigilância de pessoas sem relação com crimes comuns e de uso por estados autoritários e atores não estatais
- A First Wap afirma que adota procedimentos rigorosos de conformidade com sanções e revisão contratual “apenas para clientes governamentais”
- O repórter infiltrado, usando uma identidade falsa como representante de uma consultoria sul-africana, participou da ISS World em Praga e se reuniu com um vendedor real para sondar a viabilidade de projetos de vigilância para empresas privadas e fins políticos
- Sobre os casos de risco, o executivo de vendas Rudolph reconheceu formas indiretas de viabilizar o negócio, dizendo que, embora as sanções europeias tornassem a operação arriscada, seria possível negociar por meio de uma subsidiária na Indonésia e do uso de empresas de fachada
- Depois que a Lighthouse informou a empresa sobre a investigação infiltrada, a First Wap respondeu que “as falas reais se referiam à possibilidade técnica e houve um mal-entendido”
2 comentários
Isso é real mesmo, e não uma história que parece teoria da conspiração?
Por mais que seja uma vulnerabilidade do próprio protocolo, deve haver centenas de operadoras de telecomunicações, então acho difícil acreditar que dá para rastrear o mundo inteiro assim.
E, para começo de conversa, como saberiam e identificariam o número de telefone do presidente dos EUA, do Jensen Huang ou do Chunsik que mora ao lado da minha casa?
Comentários do Hacker News
Gostaria que jornalistas investigassem mais por que esse tipo de tecnologia de vigilância e o compartilhamento dessas informações são permitidos, e quais incentivos fazem com que tais tecnologias existam. Ao ler a autobiografia de Obama, <A Promised Land>, tive a impressão de que, quando um líder passa a ser diretamente responsável pela segurança do público, sua posição sobre vigilância muda completamente. Sempre que vejo câmeras da Flock ou dispositivos de vigilância em lojas, tenho a sensação de que os líderes estão fascinados com o poder dessa tecnologia em si, mais do que com a vaga possibilidade de abuso. Acho que é parecido com noticiar o risco de incêndios numa sociedade sem mencionar a necessidade de sistemas preventivos, como leis contra incêndio, alarmes de incêndio e normas sociais. Eu gostaria de ver reportagens que investiguem quem é responsável por instalar câmeras da Flock, por que elas são instaladas e como obter resultados positivos sem os efeitos colaterais negativos — como perfilamento, stalking e rastreamento de pessoas que não cometeram crimes — focando apenas nos sucessos, como prender ladrões de carros
Todo mundo tende a achar que, se tiver poder, vai usá-lo corretamente. Em teoria, se existisse um governo perfeito com todos os poderes de vigilância, haveria vantagens, como redução da criminalidade. Mas, na prática, grandes organizações não são boas em controle minucioso, e mesmo quando os líderes começam com boas intenções, surgem problemas por causa de gerentes intermediários ou de dados imprecisos. Até bons líderes frequentemente escolhem mal seus sucessores, e no fim é alta a chance de aparecer um líder corrupto. Além disso, mesmo que descentralização ou privacidade não sejam ideais, elas precisam continuar existindo como mecanismo de backup caso um sistema centralizado de vigilância falhe
Acho que a ideia de que Obama defendia reformar a vigilância de massa, mas mudou de postura quando passou a ser responsável pela segurança pública, é só uma desculpa. Por causa do risco político de ser responsabilizado por alguma tragédia após uma reforma da vigilância — mesmo que ela não tenha relação com a vigilância — ele acabou abandonando uma posição que estava certa quando era candidato e preferiu evitar o problema. É perfeitamente possível prevenir crimes sem vigilância em massa, e também reduzir comportamentos ruins diminuindo a pobreza. Como nenhuma política vai levar isso a 0%, desistir de uma reforma correta apenas por medo de ser criticado é falta de coragem
Eu não sou totalmente contra vigilância em si. Só quero que ela seja transparente e limitada ao mínimo necessário. Por exemplo, se a polícia quiser meu histórico de buscas do Google, deveria obrigatoriamente obter um mandado e justificar o motivo, e o titular da conta deveria ser notificado depois de certo tempo. Se for necessário acessar um celular, o certo seria obtê-lo por procedimento formal e pedir a senha diretamente à pessoa, em vez de invadi-lo secretamente. Isso tem o efeito de inibir abusos porque, em vez de rastrear todo mundo o tempo todo, a ação fica visível o suficiente. Além disso, dados comerciais coletados para prevenção de furtos, como reconhecimento facial, não deveriam ser usados para marketing e análise, e deveria haver lei obrigando sua exclusão após certo período
Ressalta-se que a razão pela qual tecnologias de vigilância são permitidas, no fim das contas, é a “indiferença” do público
A percepção de que “não há custo em simplesmente não lidar com o problema” é tão difundida porque pequenos custos pouco claros são impostos à força a todos, enquanto se vende a ideia de que isso pode salvar uma vida de vez em quando. Esse método é muito usado por pessoas mal-intencionadas e comentaristas sem escrúpulos em qualquer parte do mundo. A sociedade não consegue lidar bem com desvantagens estruturais que, individualmente, parecem perdas mínimas, mas no conjunto representam uma perda enorme. Se todos nos EUA gastassem 1 minuto por dia para salvar 1 vida por ano, na prática a perda seria maior do que a vida salva; mas, como o prejuízo é subjetivo, ninguém acaba questionando
Uma empresa chamada First Wap torna possível rastrear pessoas. O principal produto da empresa é um software que opera no nível da rede de telecomunicações. O ponto importante aqui é que as operadoras ainda suportam um protocolo antigo chamado Signalling System 7 (SS7). Para que a rede telefônica entregue mensagens de texto ou chamadas com base na localização do usuário, é indispensável trocar sinais de consulta de localização. A vulnerabilidade essencial é que as redes processam esses comandos sem sequer verificar quem realmente enviou a solicitação nem com que finalidade. Esses sinais (mensagens de signalling) não aparecem de forma alguma no telefone do usuário e trafegam apenas entre números de nós da rede chamados “Global Titles (GT)”
Como “curiosidade”, “outras redes” também incluem todas as redes parceiras de roaming internacional. Ou seja, explorando a vulnerabilidade do SS7, é possível rastrear a localização de outra pessoa até mesmo a partir do outro lado do continente
Suspeito que as operadoras estejam simplesmente vendendo os próprios dados dos usuários. Houve até notícia de multa da FCC por vender esse tipo de informação sem consentimento dos usuários link de referência
Mesmo em 2025, as vulnerabilidades das redes SS7 continuam existindo. Um invasor pode instalar uma femtocell (pequena estação repetidora) ou um IMSI catcher (estação-base falsa) para interceptar tráfego SS7. No GSM, o terminal autentica sua identidade para a rede, mas a rede não autentica sua identidade para o terminal, então é fácil induzir o celular a se conectar a um IMSI catcher. Até no LTE, tenta-se contornar a segurança forçando um downgrade da conexão por meio de uma estação-base forjada. Veja uma explicação detalhada do ataque
Há um texto chamado <i>Why the US still won’t require SS7 fixes that could secure your phone</i> (2019), no qual se diz que a FCC dos EUA tem adiado a correção das vulnerabilidades do SS7, ignorado orientações técnicas do Department of Homeland Security (DHS) e, embora tenham existido propostas de boas práticas (como aplicar vários sistemas de filtragem), na prática tudo continua dependente apenas de implementação voluntária link da matéria
Acho curioso que hoje em dia esses “segredos” estejam sendo noticiados pela imprensa. A fonte citada no artigo parece propositalmente vaga. Eles apenas escreveram “Lighthouse found a vast archive of data on the deep web”, mas isso não significa, no fim, que a empresa de vigilância simplesmente colocou informações de milhares de pessoas em algo como um bucket S3 aberto? Na verdade, é comum nesse setor ver empresas que exploram falhas de segurança alheias para interceptar e vigiar, mas expõem seus próprios dados para fora por erros básicos. No caso do vazamento da TM_Signal, a causa também foi que um arquivo de mensagens de alto escalão dos EUA estava armazenado num S3 aberto. Ironicamente, uma empresa de segurança que vive de roubar dados alheios deixa até os próprios dados visíveis para qualquer um — um erro de segurança ao mesmo tempo ridículo e triste
Para quem tiver interesse, há um texto da Lighthouse Reports que explica tecnicamente em detalhe a metodologia da investigação de vigilância link para a explicação técnica
Isso me lembra a apresentação “SS7: Locate. Track. Manipulate.”, que vi há muito tempo no CCC (Chaos Communication Congress), em 2014 link do vídeo da palestra
O artigo fala em “1,5 milhão de registros, mais de 14 mil números únicos e histórico de vigilância em cerca de 160 países”; seria bom se existisse um site como o HIBP (Have I Been Pwned) para eu verificar se meu número está incluído
Stallman era uma figura áspera e peculiar, mas estava certo ao defender que dispositivos com risco de violar a privacidade deveriam ter todo o código e até os transistores totalmente abertos