O caso da Mitto AG surveillanve - ou porque é que nunca devemos encriptar a porta traseira.

Vigilância Mitto AG

Ilja Gorelik, co-fundadora e chefe de operações da Mitto AG, alegadamente ajudou empresas de vigilância privadas e agências governamentais a localizar pessoas através dos seus telemóveis.

A fuga publicada pelo Bureau of Investigative Journalism e pela Bloomberg News acusa a empresa suíça Mitto AG de ter ajudado a localizar os telemóveis e a obter informações em operações de vigilância mundial.

Tecnologia para melhorar a segurança

O paradoxo no caso da vigilância Mitto AG é que, na realidade, a tecnologia fornecida é suposta ajudar a proteger dados secretos - não permitir a vigilância.

A Mitto AG oferece serviços de mensagens de texto em todo o mundo, para que os serviços em linha possam oferecer verificações de mensagens de texto após o início de sessão. Para entrar numa conta online, por exemplo, não só se utiliza uma palavra-passe, mas também um código que é enviado através de uma mensagem de texto.

A Mitto AG tem contratos com fornecedores em todo o mundo para o envio de mensagens de texto em grandes quantidades. Grandes empresas tecnológicas como a Google, WhatsApp, Microsoft e Twitter eram clientes da Mitto AG. Esta última deixou recentemente de cooperar com a Mitto AG devido à investigação em curso no âmbito da alegada vigilância da Mitto AG.

Devido ao seu negócio, a Mitto AG trabalha com empresas de telecomunicações em mais de cem países e tem acesso à infra-estrutura de comunicações móveis em numerosos países de todo o mundo, também em países como o Afeganistão e o Irão.

Tecnologia utilizada para a vigilância

Mas desde o final do ano passado, a Mitto AG tem estado sob grave suspeita: em vez de aumentar a segurança para os utilizadores, diz-se que o co-fundador Gorelik utilizou o acesso à infra-estrutura de telemóveis para permitir a terceiros monitorizar os utilizadores de telemóveis.

A partir de 2017, vendeu o acesso à rede da empresa a empresas privadas de vigilância, que a teriam utilizado para operações de espionagem em nome de agências estatais, segundo a Bloomberg.

As parcerias de Mitto com fornecedores de telecomunicações permitiram-lhe fazer uso de algumas vulnerabilidades há muito estabelecidas no protocolo (Sistema de Sinalização 7, ou SS7) que está na base de grande parte das comunicações internacionais. Através do SS7 as pessoas podem ser localizadas e informações como o histórico de chamadas podem ser lidas dos seus telefones.

Em 2017, um relatório do Departamento de Segurança Interna dos EUA observou quão graves são as vulnerabilidades de segurança no SS7: Terceiros podem determinar a localização física de dispositivos móveis ou interceptar ou redireccionar mensagens de texto e conversas devido a vulnerabilidades no SS7.

Estas questões são há muito conhecidas, mas devido à idade do SS7 - foi estabelecido nos anos 70 - é complicado, se não impossível, resolver as questões.

Esta é também uma das razões pelas quais Tutanota não suporta mensagens de texto para autenticação de dois factores. Em vez disso, recomendamos vivamente a utilização de U2F (hardware token) como uma melhor prática para aumentar a segurança do login.

Espionagem para muitos países

Num caso específico em 2019, os sistemas de Mitto foram alegadamente utilizados para localizar o telefone de um alto funcionário do Departamento de Estado dos EUA, de acordo com a Bloomberg. Não é claro quem estava por detrás da operação. Além disso, o relatório menciona o caso de uma pessoa no Sudeste Asiático cuja vigilância alegadamente envolvia o envio de comandos de sistema para ler mensagens de texto.

Toda a gama de empresas de vigilância e serviços secretos com os quais a Mitto AG cooperou ainda não é clara. No entanto, uma ligação explosiva com a Rússia também veio à luz.

O jornal suíço Tages-Anzeigertinha publicado ligações comerciais com a Rússia. De acordo com a reportagem, Mitto é a empresa-mãe de uma empresa de fachada suspeita em Moscovo, que foi fundada precisamente no ano em que as actividades de vigilância começaram: 2017.

De acordo com a Tages-Anzeiger, a Mitto AG é a proprietária total da empresa de Moscovo chamada Tigokom. O objectivo da empresa está listado no registo comercial russo para “actividades no campo das comunicações sem fios”. A sede da Tigokom é uma única sala num pequeno edifício de escritórios em Moscovo, localizado centralmente.

Para o perito em inteligência Erich Schmidt-Eenboom, a revelação levantou suspeitas: “Isto levanta a suspeita de que os serviços russos possam ter sido fornecidos com informações de Mitto”, diz Schmidt-Eenboom ao Tages-Anzeiger: “Agora as autoridades suíças devem tomar medidas para esclarecer esta suspeita”.

Mitto AG nega espionagem

A Mitto AG nega que está envolvida no negócio da espionagem e vigilância. A Mitto não operou um departamento que dê às empresas de vigilância acesso à infra-estrutura de telecomunicações para monitorizar pessoas, e não o fará, diz ela. Foi lançada uma investigação interna para esclarecer as acusações.

De acordo com a BloombergMitto AG afirmou numa declaração:

“Estamos chocados com as afirmações contra Ilja Gorelik e a nossa empresa. Para ser claro, Mitto não organiza, não organizou e não irá organizar e operar uma empresa, divisão ou entidade separada que forneça às empresas de vigilância acesso às infra-estruturas de telecomunicações para localizar secretamente as pessoas através dos seus telemóveis, ou outros actos ilegais. A Mitto também não tolera, apoia e permite a exploração de redes de telecomunicações com as quais a empresa tem parcerias para prestar serviços aos seus clientes globais”.

Lição aprendida

Tal como está, o caso de vigilância da Mitto AG mostra como é perigoso se as empresas tiverem acesso a dados sensíveis.

Foi necessário apenas um homem - reconhecidamente este homem foi o co-fundador da empresa, mas ainda assim apenas um homem - para divulgar dados de localização de cidadãos a empresas de investigação privadas. Esta forma de vigilância podia ser retirada de um romance de espionagem mais vendido, mas alegadamente aconteceu na realidade.

A própria razão pela qual esta fuga de dados sensíveis foi possível, em primeiro lugar, são as deficiências de segurança - ou vulnerabilidades - no protocolo SS7.

Isto mostra claramente que temos de proteger os dados sempre que possível, também e particularmente das empresas que lidam com tais dados.

Encriptar tudo

O caso Mitto AG é outro exemplo de porque nunca devemos encriptar de portas traseiras.

A encriptação de ponta a ponta é a melhor ferramenta de que dispomos para proteger dados sensíveis. Não só das autoridades, mas também de actores maliciosos que possam tentar obter acesso aos nossos dados pessoais.

Mais uma vez, a Mitto AG é a prova de que uma “porta traseira apenas para os bons da fita” - como as autoridades pedem regularmente - simplesmente não é possível. Assim que houver uma “porta de trás”, um actor malicioso irá aparecer e abusar dela.

A encriptação de ponta a ponta nunca deve ser quebrada.