O agravante é que o Graphite, assim como o Pegasus, faz tudo isso sem a necessidade de que o dono do aparelho execute alguma ação ou acesse determinado link malicioso, numa estratégia conhecida como “zero clique”.
No caso da invasão do Graphite ao WhatsApp, os usuários do aplicativo de mensagens receberam documentos eletrônicos maliciosos que fizeram o trabalho de infecção dos aparelhos sem necessidade de clique.
De acordo com Hiago Kin, presidente da Abraseci (Associação Brasileira de Segurança Cibernética), o potencial de estrago desses spywares é sem precedentes exatamente por essa forma de agir.
Ele não trabalha atuando sobre permissões concedidas a aplicativos, e burladas a partir daí por um malware, mas sim sobre o sistema operacional, e opera os aparelhos com total permissão de acesso a todos os aplicativos, independentemente do nível de segurança dos apps. É como se um ‘super usuário’ tivesse controle sobre o aparelho, afirma Kin.
Esses aplicativos exploram uma série de falhas e brechas de segurança dos sistemas operacionais de aparelhos como celulares e computadores — Apple e Google, por exemplo, já corrigiram problemas de softwares e chegaram a processar a NSO Group, responsável pelo Pegasus, pelos danos causados. Em 2019, o Facebook também entrou com uma ação contra a empresa pelo uso do WhatsApp para realizar espionagem cibernética.
Uso de programas espiões gera preocupação
Para Marina Meira, coordenadora geral de projetos da Associação Data Privacy Brasil, há uma clara violação dos direitos fundamentais à privacidade e à proteção de dados com o uso do programa.
