Funcionários do governo que se tornam whistleblowers vêm enfrentando cada vez mais acusações baseadas em legislação como a Lei da Espionagem, mas eles não são espiões.

São americanos comuns que, como a maioria dos cidadãos, têm smartphones que automaticamente fazem backup dos arquivos na nuvem. Quando querem falar com alguém, eles ligam ou enviam um texto pelo telefone. Usam Gmail e compartilham memes e falam de política no Facebook. Às vezes, até acessam essas contas nos computadores do escritório.

Então, no meio de um trabalho, eles se deparam com uma informação preocupante. Por exemplo: que, frequentemente, o governo não faz ideia se as pessoas mortas durante um ataque com drones são civis ou não. Ou que a NSA testemunhou um ciberataque contra funcionários de seções eleitorais em 2016 e que o serviço de inteligência americano acredita que esse ataque tenha sido orquestrado pela Rússia, ainda que o presidente esteja o tempo todo na televisão dizendo o contrário. Ou que o FBI usa brechas sigilosas para contrariar suas próprias diretrizes no que diz respeito à infiltração em grupos políticos e religiosos. Ou que colaboradores de Donald Trump estão implicados em transações financeiras nebulosas.

Aí eles pesquisam em bancos de dados do governo atrás de mais informações e talvez imprimam alguns dos documentos encontrados. Buscam mais material sobre aquele assunto no Google. Talvez até enviem uma mensagem de texto para um amigo comentando quão surreal isso tudo parece ser, enquanto avaliam quais podem ser os próximos passos. Será que deveriam falar com um repórter? Então buscam dicas nos sites das organizações midiáticas de que gostam e começam a pesquisar sobre como usar o navegador Tor. Tudo isso acontece antes que eles entrem em contato com um jornalista pela primeira vez.

A maior parte das pessoas não está ciente disso, mas todos nós estamos sendo monitorados. As empresas de telecomunicação e as gigantes de tecnologia têm acesso a praticamente todos os nossos dados privados, desde a nossa exata localização a cada momento até o conteúdo de nossas mensagens de texto e de nossos emails. Mesmo quando esses dados particulares não são enviados diretamente para as empresas de tecnologia, nossos aparelhos continuam a registrá-los. Sabe o que você estava fazendo exatamente em seu computador dois meses atrás, às 15h05? Seu navegador provavelmente sabe.

Embora todos nós estejamos sob essa vigilância extensiva, para funcionários e prestadores de serviço do governo – especialmente aqueles com habilitação de segurança, ou seja, acesso a informações confidenciais – privacidade é algo praticamente inexistente. Tudo o que eles fazem nos computadores do trabalho é monitorado. Toda vez que realizam uma busca no banco de dados, o termo pesquisado, assim como o exato momento em que a busca foi feita, ficam registrados e diretamente associados a eles. O mesmo vale para quando acessam um documento secreto, imprimem qualquer coisa ou conectam um pen drive no computador. Pode haver registros de quando um funcionário faz um print da tela ou copia e cola algo. Mesmo quando alguém tenta driblar isso tudo tirando fotos diretamente da tela, câmeras no local de trabalho podem estar registrando cada um de seus movimentos.

Funcionários do governo com habilitação de segurança prometem “nunca divulgar informação confidencial para ninguém” que não esteja autorizado a recebê-la. Mas, para muitos whistleblowers, a decisão de ir a público está ligada a descobertas preocupantes sobre atividades do governo, associada à crença de que de que, enquanto aquela atividade permanecer secreta, o sistema não vai mudar. Ao mesmo tempo em que existe certa proteção para os whistleblowers que compartilham suas preocupações internamente ou que levam suas reclamações ao Congresso, existe também um longa história de punições contra essas mesmas pessoas que decidiram se manifestar.

O uso crescente da Lei de Espionagem, de 1917, que criminaliza a divulgação de informações relativas à “defesa nacional” por qualquer um “que se acredite ter intenção ou razão para usá-las a fim de prejudicar os Estados Unidos ou beneficiar uma nação estrangeira”, mostra como o sistema é arquitetado contra os whistleblowers. Membros do governo acusados com base nessa lei não podem argumentar que decidiram compartilhar suas descobertas motivados pelo desejo de ajudar os americanos a enfrentar e acabar com abusos do governo. “Essa lei é cega para a possibilidade de que o interesse público em conhecer a incompetência, a corrupção ou a criminalidade governamental possa ser mais importante que o interesse do governo em proteger um segredo”, escreveu Jameel Jaffer, diretor do Knight First Amendment Institute, em um artigo publicado recentemente. “Ela é cega para a diferença entre whistleblowers e espiões.”

Dos quatro casos ligados à Lei de Espionagem devido a supostos vazamentos no governo Trump, o mais atípico diz respeito a Joshua Schulte, um ex-desenvolvedor de software da  CIA acusado de passar para a WikiLeaks documentos da agência, assim como suas táticas de pirataria, no que ficou conhecido como “Vault 7”. O caso de Schulte difere dos demais porque, depois que o FBI confiscou seu computador, telefone e outros aparelhos por meio de uma invasão em março de 2017, o governo alegou ter descoberto mais de 10.000 imagens de pornografia infantil, assim como registros de conversas em que Schulte falava sobre imagens de abuso sexual de crianças, além de evidências de discurso racista. Inicialmente, os promotores fizeram várias acusações relacionadas a pornografia infantil e, depois, acusaram Schulte de agressão sexual, num caso separado, com base em indícios provenientes do telefone dele. Somente em junho de 2018, em um aditamento de sentença, o governo finalmente o acusou com base na Lei de Espionagem pelo vazamento de táticas de pirataria. Ele se declarou inocente de todas as acusações.

Os outros três casos relacionados à Lei de Espionagem com base em supostos vazamentos de segredos do governo envolveram pessoas identificadas como fontes de The Intercept. The Intercept não faz comentários sobre suas fontes anônimas, embora reconheça ter ficado aquém de suas próprias diretrizes editoriais em um caso. Não surpreende que uma publicação que nasceu a partir dos vazamento de Snowden e que se especializou na publicação de documentos secretos do governo cuja divulgação serve ao interesse público tenha se tornado um alvo atraente para a administração Trump em sua guerra contra os whistleblowers.

O governo vem para essa guerra armado com dispositivos como a Lei de Espionagem, que são terreno fértil para abuso, e com um aparato tecnológico impressionante na área de vigilância, que praticamente não tem limites quando aplicado a seus próprios funcionários e prestadores de serviço. Porém, os jornalistas dos EUA também dispõem de ferramentas, incluindo a Primeira Emenda à Constituição e a capacidade de aprender sobre os métodos que o governo usa para rastrear e espionar seus empregados. Nós mergulhamos nos processos relativos a todos os sete casos ajuizados pelo Departamento de Justiça de Trump para identificar os métodos que o governo utiliza para identificar fontes confidenciais.

______________

Quando um funcionário do governo se torna um whistleblower, o FBI tem acesso a um amplo conjunto de dados descrevendo exatamente o que aconteceu nos computadores do governo e quem pesquisou o quê nos bancos de dados, o que ajuda a reduzir a lista de suspeitos. Quantas pessoas acessaram esse documento? Quantas o imprimiram? É possível utilizar contra elas alguma das mensagens presentes no email de trabalho? Que evidência pode ser extraída dos computadores que usavam no escritório?

Assim que o FBI obtém uma lista de suspeitos com base na vasta quantidade de informações que o próprio governo coletou, eles usam ordens judiciais ou mandados de busca para acessar ainda mais dados acerca dos alvos de sua investigação. Eles obrigam empresas de tecnologia, cujos modelos de negócio frequentemente se baseiam em coletar a maior quantidade possível de dados sobre seus usuários, a entregarem tudo, incluindo emails pessoais, mensagens de texto, metadados sobre chamadas telefônicas, backups do smartphone, dados relativos a localização, arquivos armazenados no Dropbox e muito mais. Agentes do FBI invadem as residências e vasculham os veículos dos suspeitos, extraindo tudo o que podem de seus telefones, computadores e dos discos rígidos que encontram. Às vezes, isso inclui arquivos que os suspeitos achavam que tinham apagado ou mensagens de texto e documentos enviados por meio de serviços que criptografam as mensagens, como Signal ou Whatsapp. A encriptação que esses apps usam protege as mensagens enquanto elas estão sendo enviadas pela internet, de modo que o próprio serviço não possa espiar o conteúdo ou entregá-lo para o governo, porém não protege as mensagens armazenadas num telefone ou em outro aparelho que seja apreendido e analisado.

Como whistleblowers não são espiões, normalmente eles não sabem como evitar esse tipo de vigilância. Um whistleblower que sabia com quem estava lidando, o ex-agente da CIA e da NSA Edward Snowden, não considerava qualquer possibilidade de trazer segredos do governo a público e permanecer anônimo.

“Agradeço sua preocupação com minha segurança”, escreveu Snowden em 2013 (em um email criptografado, de um endereço anônimo e não associado a sua identidade real, que ele acessava somente por meio da rede Tor) para a cineasta Laura Poitras, “mas eu já sei como isso vai terminar para mim e aceito o risco”. No documentário “Citizenfour”, Snowden explica que as medidas de segurança que ele adotou enquanto contatava jornalistas foram pensadas apenas para que ele dispusesse do tempo necessário para fazer com que as assombrosas invasões de segurança da NSA chegassem ao público americano. “Não acho que seja possível eu não ser descoberto com o tempo”, disse Snowden em um quarto de hotel em Hong Kong antes de se apresentar publicamente como fonte do vazamento.

Se quisermos viver num mundo onde as pessoas possam trazer à tona questões preocupantes, de forma segura, então precisamos de uma tecnologia que proteja a privacidade de todo mundo, e essa precisa ser a configuração padrão. Tal tecnologia também protegeria a privacidade dos whistleblowers antes que eles decidam se tornar fontes.

______________

Em 2017, na primeira denúncia contra um suposto whistleblower desde que Trump assumiu a presidência, o Departamento de Justiça acusou Reality Leigh Winner com base na Lei de Espionagem. A alegação era de que Winner vazou um documento ultrassecreto da NSA para uma organização jornalística, amplamente divulgada como sendo The Intercept. Na época, Winner tinha 25 anos e era uma veterana condecorada da Força Aérea dos EUA, além de ser uma dedicada treinadora de crossfit, apaixonada por questões envolvendo a crise climática. O documento em questão era um relatório da inteligência da NSA descrevendo um ciberataque: oficiais da inteligência militar russa hackearam uma empresa americana que fornecia suporte técnico às eleições e, dias antes da votação de 2016, enviou aos funcionários das seções eleitorais  — que eram clientes dessa companhia — mais de 100 emails com vírus, na expectativa de obter controle sobre os equipamentos infectados.

De acordo com os autos do processo, Winner foi uma das seis pessoas que imprimiram o documento que ela foi acusada de vazar (ela tinha buscado, acessado e mandado imprimir o arquivo no dia 9 de maio de 2017). Depois de examinar os computadores de trabalho dos seis funcionários, eles descobriram que Winner era a única dentre eles a ter contato por email com a organização jornalística que publicou o documento. (Usando sua conta pessoal no Gmail, ela tinha pedido à organização a transcrição de um podcast). Na época, aqueles que acusaram The Intercept de ter revelado a identidade de Winner disseram que o veículo, na tentativa de autenticar o documento que havia recebido de uma fonte anônima, compartilhou com o governo uma cópia que continha uma dobra, indicado que o material tinha sido impresso. Mas só a história relativa ao email e à impressão feita por Winner já bastavam para transformá-la na principal suspeita.

Agentes do FBI então invadiram sua residência e a interrogaram sem a presença de um advogado e sem informar que ela tinha o direito de permanecer calada, o que levou sua defesa a acusar o governo de ter violado o chamado Aviso de Miranda (direito ao silêncio, com base no princípio da não autoincriminação). Na casa de Winner, eles encontraram notas manuscritas sobre como utilizar um celular descartável e o navegador Tor. Também apreenderam seu smartphone Android e seu laptop, dos quais extraíram mais evidências.

O FBI também obrigou várias empresas de tecnologia a entregar informações relativas às contas de Winner. O Facebook forneceu dados das contas dela no Facebook e no Instagram; o Google, das duas contas de Gmail que ela usava; o Twitter compartilhou dados da conta dela, e a AT&T também colaborou.

Não sabemos exatamente o que essas empresas entregaram, mas sabemos que elas foram obrigadas a abrir toda a informação associada às contas de Winner, incluindo:

• Nome do usuário, endereço de email, endereço físico, números de telefone e de cartões de crédito.
• O histórico de cada vez que ela acessou as contas, durante quanto tempo e a partir de que endereço de IP.
• Metadados relativos a toda a comunicação que ela já teve por meio desses serviços, incluindo o tipo de comunicação, a fonte e o destino, assim como o tamanho do arquivo ou a duração da comunicação.

O FBI também exigiu registros das contas que estavam associadas aos perfis dela no  Facebook, Instagram, Google, Twitter e At&T — aquelas que foram criadas usando o mesmo endereço de email, acessadas pelo mesmo endereço de IP ou a partir do mesmo navegador. (Se os usuários não tomam cuidados extras para permanecer anônimos, os provedores podem facilmente relacionar diferentes contas acessadas a partir do mesmo computador.)

O FBI também extraiu tudo o que podia do telefone de Winner:

• Fotos dela, incluindo uma que foi tirada em 7 de fevereiro de 2017, de um site que listava oito servidores de SecureDrop (sistema de envio de informações confidenciais) utilizados por diferentes organizações midiáticas.
• Dados relativos aos aplicativos no smartphone dela, como o app do Facebook, que continha mensagens privadas que ela trocou com a irmã e que depois foram utilizadas contra ela.
• O histórico do navegador: no dia 7 de março, ela visitou um site que continha uma lista de “provedores de email na dark web” e pesquisou na internet sobre “email tor”. No dia 9 de maio, “aproximadamente às 19h28m49s”, Winner pesquisou e acessou uma página com dicas para whistleblowers, no site do veículo para o qual ela foi acusada de vazar o documento da NSA. Ela também viu as dicas oferecidas em outro site jornalístico e mais tarde, naquela mesma noite, acessou sua conta de Dropbox; três minutos depois, voltou a ver a página com dicas no site do primeiro veículo.

Então o FBI conseguiu um mandado de busca direcionado ao Dropbox, exigindo todos os arquivos e demais informações armazenadas na conta de Winner, assim como “quaisquer mensagens, registros, arquivos ou informações que tenham sido apagadas mas ainda estejam disponíveis para a Dropbox Inc.” O Dropbox entregou ao FBI um pen drive contendo esses dados.

Eles também obtiveram um mandado de busca endereçado ao Google, demandando praticamente tudo que estivesse armazenado na conta de Winner, incluindo:

• Todas as mensagens da conta dela no Gmail.
• O histórico das buscas no Google.
• O histórico de suas localizações.
• Toda a atividade de seu navegador que pudesse ser identificada com base em cookies (isso possivelmente incluiria uma lista de todos os sites que ela visitou que usassem o serviço de Google Analytics).
• Backups do telefone Android.

Com base nos metadados que o FBI obteve por meio da primeira ordem judicial endereçada ao Google, o órgão descobriu uma nova conta do Google, desconhecida até então. O mandado de busca exigiu dados acerca dessa outra conta também, e o Google entregou ao FBI “mais de 809MB de arquivos eletrônicos (compactados)” com informações provenientes das duas contas de Winner.

O FBI também obteve dados a partir do laptop dela. Descobriram que ela tinha realizado o download do navegador Tor no dia 1º de fevereiro de 2017 e que o utilizou em fevereiro e março. O FBI também descobriu uma nota salva na área de trabalho que continha o nome de usuário e a senha para uma pequena companhia de email chamada VFEmail, então conseguiu outro mandado de busca exigindo uma cópia de tudo relativo a essa conta.

Winner foi considerada culpada e condenada a cinco anos de prisão, a mais longa sentença já dada a uma suposta fonte jornalística por uma corte federal. A First Look Media, proprietária de The Intercept, contribuiu com a defesa legal de Winner por meio do Press Freedom Defense Fund.

______________

Ao longo da notável carreira de 16 anos de Terry Albury no setor de contraterrorismo no FBI, ele “observou ou vivenciou frequentemente episódios de racismo e discriminação dentro do órgão”, de acordo com documentos judiciais. Único negro a ser agente especial do FBI no escritório regional de Minneapolis, ele ficou especialmente incomodado com o que considerava ser um “viés sistêmico” no órgão, particularmente no que dizia respeito aos maus tratos dispensados a informantes. Em 2018, o Departamento de Justiça acusou Albury de espionagem por vazar documentos secretos para uma organização jornalística, supostamente The Intercept, que publicou no início de 2017 uma série de revelações com base em diretrizes confidenciais do FBI, incluindo detalhes relativos a táticas controversas para investigar minorias e espionar jornalistas.

Ainda que o FBI não soubesse se os documentos tinham sido impressos antes de ser compartilhados, não foi difícil rastrear quem os havia acessado. O FBI identificou 16 pessoas que tinham acessado um dos 27 documentos divulgados pelo site de notícias. Eles vasculharam os computadores de trabalho de todas essas 16 pessoas, incluindo o de Albury, e descobriram que seu computador também tinha acessado “mais de dois terços” dos documentos que vieram a público.

Segundo os autos, o FBI utilizou uma série de atividades identificadas no computador de Albury como evidências contra ele: quais foram os documentos que ele acessou e quando isso ocorreu, quando ele tirou print das telas, quando copiou e colou esses prints em documentos que não foram salvos, e quando os imprimiu. Por exemplo, no dia 10 de maio de 2016, entre as 12h34 e as 12h50, Albury buscou dois documentos confidenciais. Dezenove minutos depois, ele copiou dois prints de tela em um arquivo do Word que não foi salvo e, ao longo dos 45 minutos seguintes, adicionou outros 11 prints em um arquivo de Excel que também não foi salvo. Ao longo do dia, ele viu mais documentos secretos e continuou a fazer prints da tela, copiando as imagens para o arquivo no Excel. Às 17h29, ele imprimiu esse arquivo e então o fechou, sem salvar.

E não era apenas seu computador que estava sob monitoramento no trabalho. Usando um sistema de circuito fechado, o FBI captou imagens de Albury. Nos dias 16 de junho, 23 e 24 de agosto de 2017, o sistema registrou Albury segurando uma câmera digital prateada, inserindo “o que parecia ser um cartão de memória” no equipamento e tirando fotos da tela do computador. Nos três dias, ainda de acordo com os autos do processo, ele estava visualizando documentos na tela de seu computador.

“Isso se tornou uma questão de direitos humanos para ele”, disse a esposa de Albury em um documento no qual pedia uma pena mais branda para o marido, “os maus tratos e as táticas que foram usadas pelo FBI e a forma como ele era parte disso”. Albury, que tem 40 anos, declarou-se culpado e foi condenado a quatro anos na prisão, além de três anos de liberdade assistida.

______________

Aplicativos como Signal e WhatsApp tornaram mais simples a comunicação entre jornalistas e suas fontes graças à encriptação de mensagens, fazendo com que apenas os aparelhos telefônicos de cada parte da conversa podem acessá-las, e não o próprio serviço. (Isso não é verdade quando são utilizadas opções que não criptografam as mensagens, tais como Skype e Slack, serviços de mensagem direta no Twitter e no Facebook, ou mensagens normais de texto e chamadas telefônicas). Ainda assim, a criptografia não protege as mensagens quando o telefone é examinado fisicamente e o usuário não apagou seu histórico de mensagens. Isso ficou absolutamente claro em 7 de junho de 2018, quando o Departamento de Justiça acusou James Wolfe, ex assistente do Comitê de Inteligência do Senado, de fazer declarações falsas ao FBI.

Conforme documentos judiciais, Wolfe disse aos agentes que investigavam o vazamento que não tinha entrado em contato com jornalistas. Mas a acusação cita o conteúdo de conversas que ele travou com jornalistas por meio do serviço Signal. O documento não menciona como o FBI obteve essas mensagens, mas a única conclusão razoável é a de que os agentes as encontraram enquanto vasculhavam o telefone de Wolfe.

Além de obter as conversas no Signal, o FBI examinou o email profissional de Wolfe e encontrou uma troca mensagens entre ele e um jornalista. O FBI sabia que ele tinha se encontrado pessoalmente com repórteres, assim como sabia quando esses encontros ocorreram. Mencionaram, além disso, centenas de mensagens de texto trocadas com jornalistas, e sabiam com quais deles Wolfe havia falado por telefone, e durante quanto tempo.

Ao longo da mesma investigação, o Departamento de Justiça enviou para o Google e para a Verizon ordens de apreensão que visavam obter anos de registros telefônicos e de email pertencentes a Ali Watkins, repórter de segurança nacional do New York Times, que havia trabalhado antes para BuzzFeed News e Politico. O FBI estava investigando uma fonte de Watkins para um artigo publicado no BuzzFeed sobre um espião russo que tentou recrutar Carter Page, conselheiro de Trump. Os registros apreendidos compreendiam até o período em que Watkins estava na faculdade. Esse foi o primeiro caso conhecido em que o governo Trump foi atrás das comunicações de um repórter.

Wolfe se declarou culpado por ter mentido aos investigadores acerca de seus contatos com a mídia e foi condenado a dois meses de prisão, além de receber uma multa de US$ 7.500.

______________

Mesmo sem vasculhar fisicamente um telefone, o FBI pode obter metadados em tempo real, ver quem manda mensagens para quem e quando, por meio de pelo menos um app de mensagens criptografadas. Isso aconteceu no caso de Natalie Mayflower Sours Edwards, uma assessora sênior da divisão de crimes financeiros (FinCen), do Departamento do Tesouro. No fim de 2018, o Departamento de Justiça acusou Edwards de supostamente passar para um jornalista (Jason Leopold, da BuzzFeed News, segundo foi amplamente noticiado) detalhes relativos a transações financeiras suspeitas envolvendo operadores republicanos, membros seniores da campanha de Trump, e um agente russo conectado ao Kremlin e a oligarcas russos.

De acordo com autos do processo, o FBI conseguiu uma “autorização judicial para [uso de dispositivos do tipo] ‘pen register’ e ‘trap and trace’” visando espionar o telefone pessoal de Edwards. Essa ordem permite que o órgão colete vários tipos de metadados relativos à comunicação de um telefone usando um amplo leque de técnicas — exigindo que outras partes entreguem seus metadados, por exemplo, ou usando um dispositivo como o StingRay, que simula uma torre de celular de modo a enganar os aparelhos, fazendo com que eles se conectem e, a partir daí, possam ser espionados.

Graças a essa autorização, o FBI teve, em tese, condições de reunir em tempo real metadados provenientes de um app de mensagens criptografadas no celular de Edwards. Por exemplo, no dia 1º de agosto de 2018, às 0h33, seis horas depois de essa ordem judicial “entrar em vigor” e um dia depois de o BuzzFeed News publicar uma das reportagens, ela supostamente trocou 70 mensagens criptografadas com o repórter. No dia seguinte, uma semana antes de o BuzzFeed News publicar mais uma matéria, ambos teriam trocado mais 541 mensagens.

Os autos não indicam o nome do app que foi utilizado, e não está claro como o governo obteve os metadados. Porém, ele não poderia tê-los obtido monitorando diretamente o tráfego de internet proveniente do telefone de Edwards. Desta forma, o mais provável é que o governo tenha ordenado a um serviço de mensagens que fornecesse os metadados, e o serviço obedeceu.

Moxie Marlinspike, fundador do Signal, disse que o app não é responsável. “Signal foi desenvolvido para preservar a privacidade e coleta o mínimo de informação possível”, disse ele a The Intercept. “Além da criptografia de ponta a ponta para cada mensagem, Signal não tem qualquer qualquer registro dos contatos de um usuário, dos grupos dos quais participa, dos nomes ou avatares de qualquer grupo, dos nomes no perfil ou dos avatares dos usuários. Mesmo as buscas por GIF são protegidas. Na maior parte do tempo, a nova tecnologia do Signal, Sealed Sender, significa que nós não sabemos quem está escrevendo para quem. Cada demanda do governo que nós respondemos está listada em nosso site, assim como nossa resposta, em que é possível ver que os dados que somos capazes de fornecer é praticamente nada.”

Um porta-voz do WhatsApp disse que eles não comentam casos específicos e indicou uma seção de FAQ (perguntas frequentes) sobre as respostas que o serviço fornece mediante solicitações de cumprimento da lei. O documento afirma que o WhatsApp pode “coletar, usar, preservar e compartilhar informações de usuários se acreditarmos de boa fé que isso é necessário” para “responder a processos legais ou solicitações governamentais”. De acordo com o relatório de transparência do Facebook, que inclui demandas por dados de usuários do WhatsApp, durante o segundo semestre de 2018 (período em que entrou em vigor a ordem autorizando o uso de “pen register” contra o telefone de Edwards), o Facebook recebeu 4.904 pedidos de “Pen Register / Trap & Trace”, que visavam a obtenção de dados referentes a 6.193 usuários, e forneceu “alguns dados” para 92% dessas demandas.

Um porta-voz da Apple optou por não comentar mas indicou a seção de diretrizes do processo legal sobre o tipo de dados relacionados ao iMessage que a Apple pode fornecer mediante ordem judicial. “Projetamos o iMessage e o FaceTime para usar criptografia de ponta a ponta, de maneira a impossibilitar que a Apple descriptografe o conteúdo das suas conversas quando elas estiverem em trânsito entre os dispositivos”, informa o texto. “A Apple não pode interceptar as comunicações do iMessage e não possui registros da comunicação via iMessage”. A companhia reconhece, contudo, dispor de “capability query logs do iMessage” o que indica que o app no aparelho de um usuário deu início ao processo de envio de mensagem para a conta de iMessage de outro usuário. “Capability query logs não indicam que qualquer comunicação entre usuários foi efetivamente realizada”, diz o texto, informando que esses registros são retidos por até 30 dias e, caso estejam disponíveis, podem ser obtidas por meio de um mandado de busca, por exemplo.

O FBI exigiu que uma operadora entregasse os registros telefônicos relativos ao celular particular de Edwards e fez o mesmo com um colega dela, a quem se referiram como sendo um “co-conspirador”. O órgão também obteve um mandado de busca para o email particular de Edwards, provavelmente Gmail, e a partir dessa conta, acessou o histórico de buscas dela na internet (acusaram-na de buscar reportagens sobre os vazamentos atribuídos a ela, pouco tempo depois de esses textos serem publicados). Por meio de um mandado de busca, o FBI apreendeu um pen drive e o celular particular de Edwards. Segundo a denúncia, o pen drive continha 24.000 arquivos, incluindo milhares de documentos que descreviam transações financeiras suspeitas. No celular, os agentes encontraram mensagens que Edwards supostamente trocou com um jornalista.

Edwards pode receber uma pena de até 10 anos na prisão. Ela se declara inocente.

______________

Funcionários do governo frequentemente têm acesso a documentos restritos por meio de bancos de dados internos, incluindo alguns administrados por companhias privadas como a Palantir. Esses sistemas rastreiam o que cada usuário faz: que termos eles buscam, em que documentos clicam, em quais realizam download e exatamente quando. Funcionário da Receita Federal, John Fry tinha acesso a vários deles, incluindo um administrado pela Palantir, assim como ao banco de dados FinCEN — o mesmo onde Edwards teria encontrado relatórios de atividade suspeita.

Em fevereiro deste ano, o Departamento de Justiça acusou Fry de supostamente fornecer detalhes acerca de transações financeiras suspeitas envolvendo Michael Cohen, ex-advogado de Trump, para o proeminente advogado Michael Avenatti e para pelo menos um jornalista, Ronan Farrow, da New Yorker. Em uma dessas transações, realizada pouco antes das eleições de 2016, Cohen pagou US$ 130 mil a uma atriz pornô, como forma de mantê-la calada acerca de um affair que ela afirma ter tido com Donald Trump.

No dia 4 de maio de 2018, às 14h54, Fry supostamente acessou o banco de dados Palantir em busca de informações relativas a Cohen e fez o download de cinco relatórios de atividade suspeita, segundo informam os autos. No mesmo dia, Fry supostamente realizou várias buscas por documentos específicos no banco de dados FinCEN.

O FBI obteve os registros telefônicos de Fry por meio de sua operadora de telefonia. Depois de fazer o download dos relatórios de atividade suspeita associados a Cohen, Fry aparentemente ligou para Avenatti. Alega-se que, mais tarde, ele ligou para um jornalista, numa conversa que durou 42 minutos. Então o FBI conseguiu um mandado de busca para o telefone de Fry. Entre os dias 12 de maio e 8 de junho de 2018, Fry supostamente trocou 57 mensagens com o jornalista via WhatsApp. Depois que a matéria foi publicada, ele teria enviado uma mensagem elogiosa: “muito bem-escrita, como imaginei que seria”. O número do jornalista supostamente estava na lista de contatos do celular de Fry.

Fry pode receber uma pena de até 5 anos na prisão. Ele se declara inocente.

______________

Daniel Hale já era ideologicamente contra guerras antes de entrar para as Forças Armadas, em 2009, quando tinha 21 anos de idade, mas sentiu que não tinha escolha. “Eu era sem teto, estava desesperado, não tinha pra onde ir, e a Força Aérea me aceitou”, disse Hale em “National Bird,” um documentário de 2016 sobre whistleblowers que debate o uso de drones para fins bélicos.

Hale passou os cinco anos seguintes trabalhando no departamento de drones para a NSA, na Força Tarefa Conjunta de Operações Especiais no Afeganistão, e como prestador de serviço lotado na Agência Nacional de Inteligência Geoespacial. Seu trabalho incluía ajudar a identificar alvos a serem assassinados.

Hale é também um ativista declarado. “A coisa mais perturbadora em torno do meu envolvimento com drones é não saber se alguém que eu ajudei a matar ou a capturar era um civil ou não”, ele disse no filme. “Não tem como saber.”

Em maio, o Departamento de Justiça acusou Hale de espionagem por supostamente vazar documentos confidenciais relacionados ao uso bélico de drones para uma organização jornalística. Representantes da administração Trump identificaram o veículo como sendo The Intercept, que publicou em 2015 as matérias mais detalhadas já feitas sobre o programa de assassinatos do governo dos Estados Unidos.

“Em uma denúncia revelada no dia 9 de maio, o governo alega que documentos do programa americano de drones foram vazados para uma organização jornalística”, disse Betsy Reed, Editor-in-Chief de The Intercept, em um comunicado sobre a acusação enfrentada por Hale. “Esses documentos detalhavam um processo secreto, inimputável, para mirar e matar pessoas ao redor do mundo, incluindo cidadãos americanos, por meio de ataques com drones. Eles são de importância pública vital, e atividades relativas a sua exposição estão protegidas pela Primeira Emenda. O suposto whistleblower pode receber uma pena de até 50 anos na prisão. Ninguém nunca foi responsabilizado por matar civis em ataques com drones.”

No dia 8 de agosto de 2014, dezenas de agentes do FBI invadiram armados a residência de Hale e vasculharam seu computador e pen drives. Tudo isso aconteceu durante a administração Obama, que desistiu de entrar com uma ação. Cinco anos depois, o Departamento de Justiça de Trump reativou o caso.

De acordo com documentos judiciais, investigadores tinham acesso aos termos exatos que Hale supostamente digitou em diferentes computadores: um para trabalho comum e o outro para trabalho confidencial, assim como podiam saber quando isso ocorreu. As evidências contra ele incluíam trechos de supostas mensagens que ele teria enviado para seus amigos, além de textos e conversas por email com um jornalista, que alguns veículos identificaram como sendo Jeremy Scahill, de The Intercept. O material descreve metadados relativos às chamadas telefônicas de Hale. Alega-se que ele foi a um evento numa livraria e sentou ao lado do jornalista. Tudo isso ocorreu antes que ele supostamente enviasse qualquer documento para a mídia.

Entre setembro de 2013 e fevereiro de 2014, de acordo com a acusação, Hale e o jornalista “tiveram pelo menos três conversas criptografadas via Jabber”, um tipo de chat online. Não está claro onde o governo obteve essa informação; ela pode ter vindo de monitoramento na internet, do próprio provedor do Jabber ou da análise do computador de Hale. E, assim como nos casos de Winner e Albury, o FBI sabia exatamente que documentos Hale teria mandado imprimir e quando. A acusação alega que Hale imprimiu 32 documentos, dos quais pelo menos 17 foram posteriormente publicados, “na íntegra ou parcialmente”, pela organização de notícias.

Quando o FBI invadiu a casa de Hale, os agentes supostamente encontraram um documento confidencial em seu computador, além de outro num pen drive, que Hale teria “tentado apagar.” Eles também encontraram, em outro pen drive, o sistema operacional Tails, desenvolvido para manter dados e navegação na internet privada e anônima, embora não pareça que o FBI tenha obtido qualquer dados a partir disso. Entre os contatos do celular de Hale, agentes alegaram ter encontrado o número telefônico do jornalista.

Hale, que agora tem 32 anos, pode receber uma pena de até 50 anos na cadeia. Ele se declarou inocente.

______________

Ainda que as probabilidades sejam desfavoráveis em relação a fontes que desejam permanecer anônimas, persiste alguma esperança. Fontes distintas se deparam com riscos extremamente diferentes. Se você trabalha para uma companhia como Google, Facebook ou Goldman Sachs, você pode se ver sob intensa vigilância em relação a seus dispositivos de trabalho, enquanto seus equipamentos pessoais permanecem fora do alcance do seu empregador (desde que você não confie nos serviços que ele controla para se comunicar com jornalistas). E algumas fontes do governo podem dispor de caminhos que dão acesso a documentos secretos cuja divulgação é de interesse público, porém não geram um registro com horário carimbado, associado ao nome do usuário.

Está cada vez mais claro que a primeira evidência a ser usada contra whistleblowers vem de eventos que aconteceram antes de eles entrarem em contato com a mídia, ou mesmo antes de eles tomarem a decisão de divulgar qualquer coisa. Mas ainda é crucial que os jornalistas estejam preparados para proteger suas fontes da melhor forma possível sempre que um whistleblower procurar por eles. Isso inclui usar sistemas como SecureDrop, que oferece às fontes caminhos seguros, livres de metadados, para entrar em contato com a mídia, e minimiza os rastros de contato entre os aparelhos.

Os jornalistas também devem adotar medidas para reduzir, em sua comunicação com a fonte, a quantidade de informação que é acessível a empresas de tecnologia, usando sempre apps de mensagens criptografadas em vez de mensagens de texto inseguras e sempre apagando o conteúdo. Eles também devem encorajar suas fontes a não adicioná-los na lista de contato do telefone, já que isso pode ser sincronizado com servidores como Google ou Apple.

O processo jornalístico de verificação da autenticidade dos documentos também traz risco para as fontes anônimas, mas esse processo é fundamental para assegurar que o material não foi falsificado ou alterado, e para manter sua credibilidade junto aos leitores. O processo de autenticação, que frequentemente envolve compartilhar parte do conteúdo de uma futura matéria com o governo, é uma prática jornalística comum que dá ao governo a chance de ponderar os riscos envolvidos na publicação daquele material, riscos estes dos quais o jornalista pode não estar ciente. Ao transformar esse processo numa armadilha para jornalistas e fontes, o governo está prejudicando a oportunidade que tem de proteger seus interesses legítimos e contar seu lado da história.

As organizações jornalísticas também precisam tomar decisões difíceis acerca do que publicar. Às vezes, elas podem decidir que é mais seguro não divulgar documentos se a história puder ser contada só com a descrição do conteúdo, deixando em aberto de onde aquelas informações provêm. Entretanto, essas abordagens diminuem a transparência junto aos leitores e também podem limitar o impacto da história, o que é importante tanto para jornalistas como para whistleblowers. Em uma era em que o rótulo “fake news” é usado para tirar o crédito de jornalismo investigativo sério, documentos de fonte original servem como uma evidência poderosa para refutar essas acusações.

______________

Apps de mensagens criptografadas trouxeram um grande avanço na segurança de conversas online, mas ainda apresentam grandes problemas quando se trata da proteção de fontes. Muitos, incluindo WhatsApp e Signal, incentivam os usuários a adicionar o número das pessoas com quem trocam mensagens, o que frequentemente é sincronizado com a nuvem, e WhatsApp encoraja os usuários a fazer o backup de seu histórico de mensagens. Embora o Facebook, que detém o WhatsApp, não tenha acesso ao conteúdo dessas mensagens cujo backup foi feito, o Google e a Apple têm.

Não é suficiente que esses apps criptografem as mensagens. Eles também precisam ser mais ágeis para apagar dados que não sejam mais necessários. Criptografar as mensagens de ponta a ponta protege as mensagens enquanto elas vão de um telefone para outro, mas cada aparelho ainda tem uma cópia do texto de todas essas mensagens, deixando-os vulneráveis em caso de apreensões. Funcionalidades que apagam as mensagens são um ótimo ponto de partida, mas elas precisam ser aperfeiçoadas. Os usuários deveriam ter a opção de ver todas suas conversas automaticamente apagadas, sem precisar se lembrar de ajustar isso a cada vez que começam uma conversa, e eles deveriam se solicitados a ativar essa opção quando entram no app pela primeira vez. E quando todas as mensagens numa conversa desaparecem, todos os rastros de que uma conversa com aquela pessoa ocorreu deveriam desaparecer também.

Há ainda muito trabalho a ser feito em relação à proteção de metadados. A opção “sealed sender” do Signal, que criptografa boa parte dos metadados aos quais o serviço tem acesso, vai além do que qualquer outro dentre os app de mensagem mais populares oferece, mas ainda não é perfeito. Apps de mensagem precisam ajustar seus serviços de modo a não ter acesso aos metadados dos usuários, incluindo endereço de IP. Se os serviços não puderem acessar essas informações, então eles não poderão ser obrigados a entregá-las para o FBI durante a investigação em torno de um vazamento.

De modo padrão, navegadores retêm um histórico detalhado de cada site que você já visitou. Eles precisam parar de fazer isso. Por que não reter apenas um mês do histórico como procedimento padrão, e permitir que os usuários mudem esse prazo se quiserem reter por mais tempo?

Por hora, Tor Browser é o melhor navegador no que diz respeito a proteger a privacidade do usuário. Não só ele nunca retém um histórico de nada do que acontece ali, como também encaminha todo o tráfego por meio de uma rede anônima, além de usar a tecnologia para combater uma técnica de rastreamento chamada “browser fingerprinting,” de modo que os sites que você visita não sabem nada sobre você. Infelizmente, o simples fato de ter o Tor ou outras ferramentas específicas para preservação da privacidade instaladas num computador tem sido usado como evidência contra supostos whistleblowers. Esse é um dos motivos pelos quais estou animado com o plano do Mozilla de integrar o Tor diretamente ao Firefox como um modo de “navegação superprivada”. No futuro, em vez de ter de fazer o download do Tor, as fontes poderão simplesmente usar um dispositivo que integra o Firefox para obter o mesmo nível de proteção. Talvez Google Chrome, Apple Safari e Microsoft Edge devessem seguir Mozilla nesse caminho. (O navegador Brave já aceita janelas privadas de Tor).

Por fim, as gigantes tecnológicas que acumulam nossos dados privados por meio de serviços como Gmail, Microsoft Outlook, Google Drive, iCloud, Facebook e Dropbox deveriam armazenar menos informações sobre as pessoas, para começo de conversa, e criptografar uma parte maior dos dados que eles armazenam, para impedir que elas mesmas tenham acesso e, portanto, não possam entregar esses dados para o FBI. Algumas companhias fazem isso para certo tipo de dados  — a Apple não tem acesso às senhas armazenadas no seu iCloud Keychain, e Google não pode acessar seus perfis sincronizados de Chrome — mas isso está longe de ser o suficiente. E talvez eu tenha que esperar sentado.

Tradução: Amarílis Lage

https://theintercept.com/2019/09/16/trump-usa-metadados-contra-whistleblowers/