Dados de saúde de europeus vendidos a empresa americana operada por ex-agentes de inteligência israelenses

• A Zivver, empresa holandesa de segurança de dados, foi adquirida pela americana Kiteworks, colocando dados sensíveis de saúde e administrativos de cidadãos europeus sob controle de uma empresa dos EUA
• Grande parte da diretoria da Kiteworks tem origem em unidades de inteligência militar de Israel, e o CEO Jonathan Yaron também serviu em uma unidade cibernética especializada do Exército israelense
• A Zivver é usada por hospitais, tribunais e autoridades de imigração da UE e do Reino Unido para enviar documentos confidenciais; embora ofereça criptografia, uma investigação confirmou que a empresa consegue visualizar o conteúdo dos documentos internamente
• Especialistas em cibersegurança e inteligência alertam que essa aquisição deveria ter sido bloqueada com antecedência ou submetida a uma análise rigorosa
• Surgem sérias preocupações sobre soberania e segurança de dados, já que dados sensíveis de europeus passaram a estar sob influência da legislação americana e de redes de inteligência israelenses

---

Aquisição da Zivver e transferência de dados

• A Kiteworks adquiriu a Zivver em junho de 2025, e o CEO Yaron descreveu isso como “um momento de orgulho para todos”
  • Segundo ele, a aquisição “marcou um importante marco na missão de proteger dados sensíveis em todos os canais de comunicação”
• Porém, com esse negócio, informações pessoais de cidadãos da Europa e do Reino Unido passaram para as mãos de uma empresa americana
  • A Zivver é um serviço importante de mensagens seguras usado por hospitais, seguradoras, órgãos governamentais e autoridades de imigração na Holanda, Alemanha, Bélgica e Reino Unido
• Segundo a reportagem, até documentos criptografados da Zivver podem ser visualizados pela própria empresa

Histórico da diretoria da Kiteworks

• Grande parte da alta administração da Kiteworks veio das Forças de Defesa de Israel, em especial de unidades de inteligência militar
  • Incluindo o CEO Jonathan Yaron, vários executivos têm experiência em unidades especializadas em decifração de comunicações criptografadas e escuta
• Essa composição de pessoal evidencia claramente ligações com os serviços de inteligência de Israel

Preocupações dos especialistas

• Especialistas em cibersegurança e inteligência apontam que essa aquisição deveria ter sido barrada previamente ou examinada com extremo rigor
• Os dados processados pela Zivver são avaliados como informações de grande valor para organizações criminosas ou serviços de inteligência estrangeiros
• Após a aquisição, esses dados passaram a estar sujeitos às leis americanas de vigilância e sob gestão de uma empresa ligada a redes de inteligência israelenses

Como a investigação foi feita

• A Follow the Money investigou o processo de aquisição da Zivver e o histórico da diretoria da Kiteworks
  • Os fatos foram confirmados por meio de entrevistas com especialistas em inteligência e cibersegurança
• Esta reportagem faz parte da série ‘The EU Files’, que trata da questão da soberania de dados dentro da UE

Impacto mais amplo na Europa

• O caso revela o risco de que a infraestrutura de comunicação segura usada por órgãos públicos europeus fique conectada a redes de inteligência estrangeiras
• Como exemplo concreto do conflito entre regulação de proteção de dados e segurança nacional, o tema pode emergir como uma questão central no debate sobre soberania digital na UE

[GN⁺]

Comentários do Hacker News

• O CEO da empresa de tecnologia americana parece ser ex-integrante de uma unidade cibernética de elite das Forças Armadas de Israel, por isso o artigo aparentemente menciona a Unit 8200
  Parece um enquadramento um pouco estranho descrever essa unidade como se fosse apenas uma alternativa a pegar em computadores em vez de armas. Acho que faltou mais contexto no artigo

  • A Unit 8200 não é apenas uma unidade de cibersegurança, mas também responsável por coleta e análise de inteligência de sinais
    Se Jack Ryan fosse israelense, provavelmente teria servido nessa unidade em vez da CIA
    Ela também realiza trabalho analítico, como seleção de alvos, e isso está bem descrito nesta reportagem da 972mag
  • Na prática, não é exatamente um conceito de “isenção”. Todos os cidadãos são recrutados, e a unidade é atribuída conforme a capacidade de cada um
    Se você tiver talento, provavelmente vai querer entrar numa unidade dessas em vez de patrulhar Gaza
  • Servir na 8200 também faz parte, no fim das contas, do serviço militar obrigatório

• Já convivi com um engenheiro inicial da Zivver (desenvolvedor Scala), então conheço um pouco do assunto
  A ideia central era criptografia de ponta a ponta, então a organização adquirente não deveria poder ver diretamente os dados dos clientes
  Durante a covid, a empresa teve muito sucesso na Holanda quando o envio digital de relatórios se tornou obrigatório
  Mas esta aquisição atual pode afetar negativamente o debate sobre soberania digital na Holanda

  • Fico curioso para saber se a criptografia inclui também os metadados. Por exemplo, gostaria de saber se informações como quem enviou para quem também ficam protegidas

• Mesmo sendo um serviço baseado na UE, se for adquirido por uma empresa estrangeira, há risco de que dados sensíveis fiquem expostos a outra jurisdição. É bastante preocupante

• Gostaria de saber se existe alguma forma de recusar isso (opt-out). Fico em dúvida se a Comissão Europeia fechou um contrato em massa sem consultar a população

• Desde o Google, a big tech americana vem rebaixando continuamente a linha de base da privacidade
  No fim, normalizou a ideia de que “privacidade não existe” em nome do lucro do capital
  Existem serviços alternativos também na Europa, mas, se os cidadãos não fizerem escolhas conscientes, surgirão efeitos colaterais

  • Vale lembrar que os dados do HN também são compartilhados e licenciados com startups da Y Combinator
    Mesmo que você apague a conta, os dados não são completamente eliminados. Esses fatos não são informados com clareza no momento do cadastro
  • A maioria das pessoas usou serviços do Google de graça por décadas e, ainda assim, fica indignada quando aparece um modelo pago
    Essa obsessão por uma “internet grátis” acabou criando um pesadelo de privacidade
    A menos que a Europa crie serviços públicos bancados por impostos, como um EuroTube ou EuroGram, na prática é difícil haver alternativa
  • A Apple tem feito um trabalho bastante bom como defensora da privacidade, mas ainda assim costuma ser criticada por questões de padrão de cabo ou problemas de UI
    É curioso esse duplo padrão em que odiar certa empresa parece ter virado “moda”
  • Os governos da UE, para além das falhas do GDPR, estão fazendo com que os cidadãos forneçam à força seus dados pessoais a empresas americanas
    Existem alternativas pagas como o Proton, mas a maioria das pessoas prefere serviços gratuitos
    A menos que o governo construa diretamente um “canal soberano”, a dependência de FANG só tende a se aprofundar
    Pode parecer um pouco mais barato agora, mas no fim é uma estrutura fadada ao desastre
  • Em especial, a aplicação frouxa do GDPR na Irlanda acabou prejudicando apenas as empresas europeias, com quase nenhuma melhora real de privacidade
    Ainda assim, usar o direito de acesso do titular (subject access request) foi uma experiência interessante

• Esta página do artigo força a criação de conta
  Se você remover a classe "quickSubscribe" no HTML, dá para rolar a página de graça

  • Ou então é mais simples procurar um link de arquivo nos comentários

• Resumindo, uma empresa de dados de saúde da UE criptografa documentos por meio de um portal web operado por ex-especialistas militares em criptografia
  Mas essa estrutura pode acabar ficando sujeita à legislação dos EUA, e pode haver possibilidade técnica de acesso no momento do upload
  Suspeitar da confiabilidade só por serem de origem israelense parece um enquadramento exagerado

  • No fundo, esse tipo de modelo pode ter a segurança quebrada apenas com alteração do código do navegador
    Eu mesmo fiquei incomodado porque profissionais de saúde já me enviaram correspondência por esse serviço sem meu consentimento
  • O destaque dado a “Israel” no título parece uma provocação intencional. Dá a impressão de que o autor queria cliques

• Antigamente eu recebia mensagens da Zivver com frequência de instituições de saúde, mas desde o anúncio da aquisição não recebi nenhuma

• Nunca vi a Zivver no sistema de saúde alemão
  A Alemanha já está adotando mensageiros baseados em Matrix e e-mails S/MIME para uso médico
  Na verdade, foi mais problemático o ex-ministro da Saúde tentar fornecer dados de saúde para a OpenAI e outras empresas
  Veja a reportagem da Heise

  • No longo prazo, parece que será impossível fazer opt-out completo do prontuário eletrônico de saúde
    Por isso é importante eleger políticos que entendam essa “Neuland” da era digital e tenham sensibilidade técnica
  • Mesmo que por fora pareça que a Zivver não é usada, é possível que seguradoras a utilizem internamente no backend, como Office 365 ou SAP
    Afinal, o usuário não tem como conhecer todo o software interno usado por uma organização