Recomendações da RSF para jornalistas potencialmente espionados pelo Pegasus

A força do spyware Pegasus é que “não existe uma maneira eficaz de o usuário conter esse tipo de ataque”. Como explica o especialista em segurança cibernética do Laboratório de Segurança da Anistia Internacional, Claudio Guarnieri, essa ferramenta de monitoramento de alto desempenho, projetada pela empresa israelense NSO Group, é capaz de sugar todo o conteúdo de um telefone: mensagens, e-mails, fotos, contatos, etc, sem que nenhuma ação específica do usuário seja necessária e sem deixar rastros facilmente detectáveis.

Na impossibilidade de poder se proteger contra tal ataque, jornalistas que trabalham com temas sensíveis relacionados aos onze países clientes do grupo NSO (México, Índia, Marrocos, Indonésia, Arábia Saudita, Emirados Árabes Unidos, Cazaquistão, Azerbaijão, Togo, Ruanda e Hungria) e que suspeitam de uma possível infecção pelo Pegasus podem realizar os seguintes procedimentos:

• Parar imediatamente de usar seu smartphone e comprar um novo para continuar se comunicando, mas manter o dispositivo potencialmente infectado como evidência (longe do jornalista e de seu ambiente de trabalho);
• Desconectar todas as contas do smartphone e alterar todas as senhas a partir de outro dispositivo;
• Entrar em contato com a Forbidden Stories ou especialistas em TI, como os do Laboratório de Segurança da Anistia Internacional, para saber se seu número está na lista dos 50 mil telefones vazados. O grupo de especialistas da Anistia Internacional desenvolveu uma ferramenta, o Mobile Verification Toolkit (MVT), para descobrir se um aparelho foi infectado com o Pegasus (atenção, seu uso requer bons conhecimentos técnicos de informática). Os jornalistas também podem enviar seu número de telefone para ser verificado ao [email protected].

Caso você não possa trocar de telefone, a RSF recomenda: 

• Reiniciar o telefone. No iPhone, especialistas da Anistia descobriram que isso pode excluir temporariamente o Pegasus do sistema iOS;
• Realizar uma reinicialização de fábrica no smartphone, mesmo que isso não garanta a remoção do Pegasus (atenção, isso também pode destruir evidências de uma infecção anterior);
• Atualizar o sistema operacional e todos os aplicativos do telefone;
• Excluir todos os dispositivos desconhecidos conectados a diferentes aplicativos de mensagens e contas online (Signal, WhatsApp, Twitter, Facebook, etc.);
• Listar todas as senhas digitadas e armazenadas no smartphone, modificá-las e nunca reutilizar as senhas antigas.

Se algum de seus contatos próximos foi infectado, execute as mesmas recomendações. 

Ainda que, até o momento, não exista um bloqueio confiável contra o Pegasus, certas medidas e boas práticas podem dificultar o trabalho do spyware que deseja acessar o smartphone de um jornalista. Entre elas: 

Proteger seu smartphone 

• Ter um código de acesso para desbloquear seu celular. Usar pelo menos um código PIN de seis dígitos ou - melhor ainda - uma frase forte e única (diferente de outros códigos de acesso do usuário). Ter um código de acesso do tipo “0000”, “1234” ou a sua data de nascimento não é garantia de segurança, seja no telefone ou no chip do aparelho; 
• Atualizar seu equipamento regularmente;  
• Instalar uma VPN (porém, tenha cuidado: a VPN protege apenas contra certos tipos de ataques); 
• Instalar um antivírus no celular (Avast, McAfee ou Kaspersky); 
• Excluir os aplicativos não utilizados; 
• Desligar seu smartphone pelo menos uma vez por dia. Essa medida simples pode ser suficiente para impedir a operação de muitos programas spyware.

Proteger e-mail e contas:

• Habilitar a autenticação de dois fatores para as contas mais importantes (Twitter, Google, Facebook, etc.);
• Desativar o iMessage e o Facetime (pontos de entrada conhecidos do Pegasus);
• No iPhone, desinstalar os aplicativos da Apple, como Apple Music, FaceTime e iMessage, Mail (obs: é preciso desativar o iMessage antes de desinstalar o aplicativo).

Ao usar o celular:  

• Dar preferência ao uso de VPN para navegar na internet;
• Nunca clicar em links contidos em uma mensagem de um número desconhecido;
• Não usar o Wi-Fi em locais não confiáveis, ou usá-lo com a VPN previamente ativada;
• Instalar somente aplicativos da App Store (iPhone) e Google Play (Android); 
• Bloquear notificações e pedidos de autorização de acesso aos contatos;
• Não autorizar seu smartphone a salvar senhas. Usar um gerenciador de senhas seguro, como o LastPass; 
• Usar o Signal para se comunicar com uma fonte;
• Para jornalistas que lidam com informações muito confidenciais, pode ser útil usar um telefone que não esteja conectado à Internet: um celular antigo ou um smartphone sem acesso a dados.

Outros recursos úteis: 

• O serviço de assistência da organização Access Now pode diagnosticar e fornecer conselhos técnicos úteis em 9 idiomas; 
• O kit de primeiros socorros digitais e o guia de autodefesa contra vigilância oferecem orientações quando um dispositivo se comporta de forma suspeita.