Ficha Técnica

Título: A Arma Perfeita - Guerra, Sabotagem e Medo na Era

da Ciberguerra
Título original: The Perfect Weapon.
War, Sabotage and Fear in the Cyber Age
Autor: David E. Sanger
Tradução: Isabel Pedrome
Editora: Rita Fazenda
Revisão: Eurico Monchique
ISBN: 9789896611231

CASA DAS LETRAS

[Uma chancela do Grupo LeYa]
Rua Cidade de Córdova, n.º 2
2610-038 Alfragide – Portugal
Tel. (+351) 21 427 22 00
Fax. (+351) 21 427 22 01

© David E. Sanger, 2018

Todos os direitos reservados de acordo com a legislação em
vigor
www.casadasletras.leya.com
www.leya.pt
 Índice
Capa

Ficha Técnica
PREFÁCIO
PRÓLOGO Da Rússia com amor

Capítulo I OS PECADOS ORIGINAIS

Capítulo II A INBOX DE PANDORA
Capítulo III UM ATAQUE DE 100 DÓLARES
Capítulo IV UM ALVO A ABATER

Capítulo V A CHINA
Capítulo VI OS KIM VOLTAM AO ATAQUE
Capítulo VII A PLACA DE PETRI DE PUTIN
Capítulo VIII A DESORIENTAÇÃO

Capítulo IX UM AVISO CHEGADO DE INGLATERRA

Capítulo X UM DESPERTAR LENTO
Capítulo XI TRÊS CRISES NO VALE

Capítulo XII LANÇAMENTOS FRUSTRADOS

Capítulo XIII BALANÇOS

POSFÁCIO
AGRADECIMENTOS
NOTAS
 David E. Sanger
A ARMA PERFEITA
Guerra, Sabotagem e Medo na Era da Ciberguerra
Tradução
Isabel Pedrome
 Para a Sherill.
O seu amor e o seu talento fazem nascer
todas as coisas boas da vida
 PREFÁCIO
o fim do primeiro ano de presidência de Donald Trump, o
N seu secretário da Defesa, Jim Mattis, fez uma
recomendação surpreendente ao novo comandante-chefe:
com tantos países de todo o mundo a ameaçarem as redes de
fornecimento de energia e de água e as redes de
comunicações móveis dos Estados Unidos, Trump devia
mostrar-se publicamente decidido a tomar medidas
extraordinárias para proteger o país. Se qualquer outro país
atingisse as infraestruturas críticas americanas com um
ataque devastador, mesmo não nuclear, devia estar prevenido
para que a retaliação fosse um ataque nuclear.
Tal como a maior parte do que acontece em Washington, a
recomendação chegou rapidamente à comunicação social.
Muitos afirmaram que a ideia era tresloucada e uma resposta
desse tipo seria selvagem e excessiva. Embora nos últimos
anos muitas nações já tenham recorrido a ciberataques contra
outros países, até ao momento ainda não havia qualquer
indicação de que um desses ataques tivesse custado a vida a
quem quer que fosse, pelo menos de forma direta. Nem os
ataques americanos aos programas militares do Irão e da
Coreia do Norte, nem os da Coreia do Norte a vários bancos
americanos ou a um conhecido estúdio de Hollywood ou ao
Sistema Nacional de Saúde britânico, nem os ataques da
Rússia à Ucrânia, à Europa e por fim à democracia
americana. Mas a sorte que envolvera estes acontecimentos
acabaria sem dúvida em breve. Ainda assim, porque haveria
Donald Trump ou qualquer dos seus sucessores de assumir o
risco imenso de contribuir para uma escalada da ciberguerra
que pudesse transformá-la numa guerra nuclear?
Como acabou por se saber, a recomendação do Pentágono
era apenas um prelúdio a outras propostas — feitas a um
presidente que valoriza as posturas agressivas e o princípio
de que a América está antes de tudo o mais — para usar o
poderoso ciberarsenal americano de modo muito mais
agressivo. Mas foi também uma advertência quanto à rapidez
com que o receio de um ciberataque devastador deixou de ser
um mero tema de ficção científica e de filmes como Die
Hard para passar a estar no centro da estratégia de defesa dos
Estados Unidos. Apenas uma década antes, em 2007, a
possibilidade de um ciberataque nem sequer era mencionada
no relatório acerca de ameaças potenciais que as agências de
informações americanas preparam anualmente para o
Congresso. À cabeça da lista vinha o terrorismo, a que se
juntavam outras preocupações surgidas na sequência dos
ataques de 11 de setembro de 2001. Atualmente a hierarquia
inverteu-se. Há vários anos que a maior ameaça, a que vem
no topo da lista, é a possibilidade de um ciberataque — de
uma tentativa de paralisar as principais cidades a um esforço
sofisticado para minar a confiança do público nas
instituições. Desde que os soviéticos testaram a primeira
bomba atómica, em 1949, que a perceção das ameaças
enfrentadas pelo país não se modificava com esta rapidez.
No entanto, o general Mattis, que recebeu a quarta estrela
numa carreira centrada no Médio Oriente, receava que as
duas décadas em que a preocupação principal foi perseguir a
Al-Qaeda e o Estado Islâmico por todo o mundo tivessem
desviado as atenções dos Estados Unidos dos desafios
realmente importantes.
«A luta desenfreada pelo poder — e não o terrorismo — é
atualmente a principal preocupação dos Estados Unidos no
que respeita à sua segurança», afirmou o general no início de
2018. «Os Estados Unidos perderam a vantagem competitiva
em todos os domínios militares», incluindo o mais recente,
«o ciberespaço.» A estratégia militar que propôs a Trump
deu voz a um receio incipiente entre muitos elementos do
Pentágono de que a ciberguerra, ou a possibilidade de
ciberataques, represente uma ameaça sem igual, e
particularmente uma ameaça que ainda não é possível travar.
O mais irónico em tudo isto é que os Estados Unidos
continuam a ser a potência mundial mais hábil e insidiosa
nesta matéria, como os iranianos descobriram quando
perderam o controlo sobre as suas centrifugadoras e os norte-
coreanos suspeitaram quando os seus mísseis começaram a
despenhar-se. Mas a distância em relação aos seus rivais está
a reduzir-se. As ciberarmas são tão baratas e tão fáceis de
encobrir que se têm revelado tentações irresistíveis. E os
responsáveis norte-americanos estão a descobrir que, num
mundo em que quase tudo está ligado a tudo — telefones,
carros, redes elétricas e satélites —, o funcionamento de tudo
pode ser profundamente perturbado e tudo pode mesmo ser
destruído. Ao longo de 70 anos, a postura do Pentágono tem
sido que apenas os países com armas nucleares podem
ameaçar a existência dos Estados Unidos. Neste momento
essa ideia já foi posta em causa.
Em quase todos os estudos secretos do Pentágono acerca
de como um futuro confronto com a Rússia e a China, ou
mesmo com o Irão e a Coreia do Norte, poderia decorrer, o
primeiro ataque do inimigo contra os Estados Unidos começa
com uma ciberofensiva dirigida à sociedade civil. O objetivo
seria destruir as redes de distribuição de energia, imobilizar
comboios, silenciar telefones digitais e sobrecarregar a
Internet a ponto de a tornar inutilizável. De acordo com as
hipóteses mais destrutivas começaria a haver escassez, tanto
de alimentos como de água, e os hospitais teriam de recusar
pacientes. Sem acesso aos habituais meios eletrónicos, os
americanos começariam a entrar em pânico, ou até a voltar-
se uns contra os outros.
A razão por que o Pentágono está a considerar estas
possibilidades é os seus próprios planos de agressão militar
começarem com ciberataques igualmente perturbadores da
vida quotidiana entre os seus adversários, refletindo novas
estratégias para tentar vencer disputas militares antes que o
primeiro tiro seja sequer disparado. Uma descrição vaga do
que isto representaria tornou-se conhecida nos últimos anos,
em parte devido a Edward Snowden, e em parte porque um
grupo misterioso conhecido como Shadow Brokers — que se
suspeita ter ligações próximas aos serviços de informações
russos — obteve muitos terabytes de dados de que faziam
parte várias «ferramentas» que a Agência Nacional de
Segurança (ou NSA, de National Security Agency) usou para
penetrar em redes informáticas de outros países. Não foi
preciso muito para que estas ciberarmas começassem de
repente a ser igualmente usadas contra os Estados Unidos e
os seus aliados e para começarem a aparecer nas notícias dos
jornais de todo o mundo ataques com nomes extravagantes,
como WannaCry, praticamente todas as semanas.
O secretismo de que estes programas são rodeados
obscurece no entanto o debate público acerca do bom senso
de as usar, ou dos riscos envolvidos na perda de controlo
sobre estes meios. O silêncio da administração norte-
americana acerca do novo arsenal dos Estados Unidos e das
suas implicações oferece um contraste evidente com as
primeiras décadas da era nuclear. As cenas horrendas de
destruição em Hiroxima e Nagasáqui não só chocaram a
sensibilidade nacional americana, como tornaram o potencial
destrutivo dos Estados Unidos — e pouco depois também da
Rússia e da China — óbvio e inegável. No entanto, apesar de
os governos terem mantido em segredo os pormenores
técnicos da construção das armas nucleares — os locais onde
estão armazenadas e quem tem autoridade para ordenar o seu
lançamento —, os Estados Unidos iniciaram um debate
político que durou várias décadas acerca de quando seria
adequado ameaçar usá-las e da possibilidade de as eliminar.
Estas discussões começaram e terminaram de maneiras muito
diferentes: nos anos 50 nos Estados Unidos falava-se sem
grande cerimónia na possibilidade de lançar armas nucleares
para pôr fim à guerra da Coreia, mas nos anos 80
estabelecera-se por consenso nacional que a única
justificação possível do uso de armas nucleares seria a
ameaça à sobrevivência do próprio país.
Até ao momento não houve qualquer debate equivalente
em relação ao uso de ciberarmas, embora a cada ano que
passa o seu poder destrutivo se torne mais evidente. As
armas continuam invisíveis, os ataques são fáceis de negar e
os resultados incertos. Os responsáveis pelos serviços de
informações, por natureza discretos, bem como os seus
equivalentes militares, recusam discutir o alcance do
ciberarsenal dos Estados Unidos, por receio de diminuírem
uma eventual pequena vantagem do país em relação aos seus
adversários.
O resultado de tudo isto é que os Estados Unidos fazem
um uso em grande medida secreto desta nova arma
incrivelmente poderosa, com base em decisões tomadas para
cada circunstância particular, antes que as consequências
deste recurso tenham sido amplamente compreendidas. Os
Estados Unidos tendem a chamar «exploração de
vulnerabilidades de redes digitais» a casos que, quando têm
alvos americanos, chamam «ciberataques». De resto, o
âmbito da palavra neste momento inclui tudo, da desativação
de uma rede energética à manipulação de eleições, passando
pela preocupação com a carta que aparece na nossa caixa de
correio a avisar que alguém — talvez uma rede criminosa,
talvez os chineses — se apoderou do nosso cartão de crédito,
do nosso número de segurança social ou dos nossos
processos médicos, pela segunda ou terceira vez.
Nos tempos da Guerra Fria, os líderes nacionais
perceberam que as guerras nucleares tinham modificado a
dinâmica da segurança nacional de uma forma fundamental,
embora discordassem em relação à melhor maneira de
responder à ameaça. No entanto, na era dos conflitos digitais
não há muitos que tenham uma noção do modo como esta
revolução mais recente está a criar uma nova configuração
do poder global. Durante a sua campanha espalhafatosa para
as presidenciais de 2016, Trump disse-me em entrevista que
a América estava «completamente obsoleta em matéria de
ciberguerra», sem mencionar, se é que o sabia, que os
Estados Unidos e Israel tinham criado a ciberarma mais
poderosa de sempre para usar contra o Irão. Mas o mais
preocupante foi a falta de compreensão que o futuro
presidente revelou da dinâmica dos ciberconflitos diários e
desgastantes na altura já em curso — a que pouco falta para
poderem ser chamados «guerras» e que entretanto se
tornaram o estado normal das coisas. A sua recusa de
reconhecer o papel pernicioso da Rússia nas eleições de
2016, por receio de que isso minasse a sua legitimidade
política, apenas contribuiu para exacerbar a necessidade de
formular uma estratégia nacional para os Estados Unidos. No
entanto, o problema está muito para além da Casa Branca de
Donald Trump. Ao fim de uma década de audiências no
Congresso, continua a haver pouco acordo em relação ao
significado de um qualquer ciberataque e a um ciberataque
poder constituir um ato de guerra — ou em que casos isso
pode acontecer —, um ataque terrorista, mera espionagem ou
vandalismo por meios digitais. As mudanças tecnológicas
estão muito para além da capacidade de compreensão dos
políticos — mas também dos cidadãos que se tornaram
vítimas não intencionais dos combates diários no ciberespaço
—, e sobretudo da sua capacidade de conceber uma resposta
nacional ao problema. Para agravar as coisas, quando a
Rússia usou as redes sociais para polarizar ainda mais as
eleições de 2016, a hostilidade entre as grandes empresas
tecnológicas e a administração norte-americana —
desencadeada pelas revelações de Snowden quatro anos antes
— aprofundou-se ainda mais. Silicon Valley e Washington
são hoje o equivalente de um casal divorciado a viver em
lados opostos dos Estados Unidos e a trocar apenas
ocasionalmente algumas mensagens desdenhosas.
Donald Trump aceitou as recomendações do general
Mattis sem qualquer debate anterior. Entretanto, o
Pentágono, pressentindo a disposição de Trump para uma
demonstração de força no ciberespaço, tal como noutras
áreas militares, publicou uma nova estratégia em que se
considerava previsível uma era de ciberconflitos constantes
de nível moderado e em que os novos guerreiros cibernéticos
americanos penetrariam diariamente as linhas inimigas,
atacando servidores estrangeiros antes que estes tivessem a
possibilidade de materializar qualquer ataque aos Estados
Unidos. A ideia era na realidade a do ataque preventivo
clássico simplesmente adaptado à era digital, para «impedir
ataques antes que estes possam penetrar as ciberdefesas dos
Estados Unidos ou neutralizar as suas forças militares».
Outras propostas sugerem que a aprovação do presidente a
todos os ciberataques deveria deixar de ser necessária — tal
como deveria deixar de ser necessário o seu acordo a
qualquer ataque com drones.
No meio do caos da Casa Branca de Trump, nunca foi
claro de que maneira estas armas deviam ser usadas, mas
ainda assim, de um dia para o outro, os Estados Unidos
aperceberam-se de que haviam entrado num território novo.
*
O ciberconflito continua a ser uma área cinzenta entre a
guerra e a paz, um equilíbrio difícil que muitas vezes parece
prestes a desfazer-se. A cada dia que passa o ritmo dos
ataques acelera e a nossa vulnerabilidade torna-se mais
evidente: nos primeiros meses de 2018, a administração
avisou as grandes empresas de serviços públicos de que
havia malware nas centrais nucleares e nas redes de energia
elétrica americanas posto por hackers russos e algumas
semanas mais tarde avisou que estes programas estavam a
infestar os routers que controlam as redes das pequenas
empresas e mesmo as residências particulares. Em anos
anteriores houve indicações semelhantes em relação a
hackers iranianos no interior de instituições financeiras e a
hackers chineses que teriam obtido milhões de ficheiros com
os pormenores mais íntimos da vida pessoal de um número
gigantesco de cidadãos americanos que tinham pedido
autorizações de segurança de níveis variados. No entanto, o
esforço para encontrar uma resposta proporcional mas eficaz
a estas agressões já deixou três presidentes americanos
paralisados pela indecisão. O problema é agravado pela
circunstância de a passagem norte-americana ao ataque já ter
ultrapassado de tal maneira a mera defesa que os seus
responsáveis hesitam em ripostar contra os ataques do
exterior.
«Foi esse o nosso problema com os russos», disse-me
James Clapper, diretor dos serviços de informações dos
Estados Unidos do presidente Obama, num dia de inverno
durante um jantar a pouca distância do velho quartel-general
da CIA, em McLean, na Virgínia. Não faltavam ideias para
atacar Putin: isolar a Rússia do sistema financeiro mundial,
revelar as suas ligações aos oligarcas, fazer parte do seu
dinheiro desaparecer — e ao que parece tem muito,
espalhado por todo o mundo.
No entanto, observou Clapper, «sempre que alguém
sugeria uma forma de atingir Putin em retaliação pelo que ele
estava a fazer com as eleições, vinha alguém que dizia: “E
depois? E se ele entra no sistema de votação?”».
A questão de Clapper está no cerne de tudo o que diz
respeito ao ciberpoder. Os Estados Unidos não conseguem
encontrar uma forma de obviar aos ataques russos sem com
isso provocar uma escalada de agressões do mesmo tipo.
Esta situação é suficientemente grave para nos paralisar. A
intervenção da Rússia nas eleições oferece uma boa imagem
dos desafios associados a esta nova forma de agressão
próxima da guerra. Tanto as grandes como as pequenas
potências perceberam o que significa uma arma digital
perfeita. Além de discreta e dissimulada, é incrivelmente
eficaz. Deixa os adversários inseguros em relação à origem
do ataque, e consequentemente ao que devem fazer para se
defender ou contra-atacar. E ainda não percebemos qual a
melhor forma de dissuasão. Ameaçar com um contra-ataque
esmagador será o mais eficaz? Talvez uma resposta não
digital, que possa ir das sanções económicas às ameaças
nucleares? Ou será preferível fortalecer as ciberdefesas dos
Estados Unidos — um projeto para várias décadas — até o
inimigo desistir de atacar o país?
Como seria de esperar, a primeira tentação dos
responsáveis políticos de Washington é sempre comparar o
problema com qualquer coisa mais familiar, como defender
os Estados Unidos de ataques com armas nucleares. Mas a
comparação nuclear é enganadora, e, como o
ciberespecialista James Lewis assinalou, essa falsa analogia
tem impedido os responsáveis norte-americanos de
perceberem o verdadeiro papel do mundo digital nos
conflitos geopolíticos quotidianos.
 As armas nucleares foram concebidas com a única
finalidade de permitir uma vitória esmagadora num conflito
militar. A «destruição mútua assegurada» desencorajou os
ataques nucleares porque ambos os lados perceberam que
podiam ser totalmente destruídos. Já as ciberarmas, pelo
contrário, são mais subtis, e tanto podem ser altamente
destrutivas como psicologicamente manipuladoras.
Até há muito pouco tempo os americanos pensavam
apenas nas ciberarmas mais destrutivas, as que têm o poder
de desligar a rede de distribuição de energia num país inteiro
ou de interferir nos sistemas de comando das armas
nucleares. Isso é sem dúvida um risco, mas essa perspetiva
extrema é talvez aquela de que é mais fácil um país proteger-
se. O mais comum é o uso diário de ciberarmas contra alvos
civis para levar a cabo missões mais específicas — como
neutralizar uma central petroquímica na Arábia Saudita,
destruir uma siderurgia na Alemanha, paralisar os sistemas
informáticos centrais em Atlanta ou em Kiev ou ameaçar
manipular o resultado das eleições nos Estados Unidos, em
França ou na Alemanha. Estas armas de efeito menos
espetacular são usadas atualmente por uma série de países,
não para destruir os adversários, mas para os desencorajar,
para reduzir a sua eficácia económica, minar as suas
instituições e confundir ou incentivar os seus cidadãos à
violência. E são quase sempre utilizadas abaixo do nível que
provocaria retaliações.
Rob Joyce, o ciberczar do presidente Trump nos primeiros
15 meses da sua administração e o primeiro a ocupar esse
lugar a ter dirigido ciberoperações americanas, explicou no
final de 2017 por que razão os Estados Unidos são
particularmente vulneráveis a operações deste tipo e também
por que razão as suas fraquezas não vão desaparecer nos
próximos tempos.
«Uma parte imensa do tecido da nossa sociedade assenta
na tecnologia digital», afirmou Joyce, que passou vários anos
à frente da unidade de operações de acesso dirigido a alvos
específicos, a Tailored Access Operations, da Agência
Nacional de Segurança, a unidade de elite com a função de
se insinuar nas redes informáticas de outros países.
«Continuamos a transferir conteúdos para o formato digital.
É assim que armazenamos a nossa riqueza e a valorizamos, é
assim que processamos as nossas operações e escondemos os
nossos segredos.» Em resumo, estamos a inventar novas
vulnerabilidades mais depressa do que eliminamos as
antigas.
Só muito raramente na história humana uma nova arma
foi adaptada com tal rapidez, preparada para servir para
finalidades tão variadas e explorada por tantos países para
conquistar influência sobre os eventos globais sem recorrer à
guerra aberta. A Rússia de Putin foi um dos países que se
adaptaram mais depressa, e que alcançaram uma maior
mestria no seu uso, embora não seja o único praticante da
atividade. Moscovo tem mostrado ao mundo como funciona
esta forma híbrida de guerra. A estratégia não é propriamente
um segredo de Estado. O general russo Valery Gerasimov
descreveu-a em público e depois ajudou a pô-la em prática
na Ucrânia, um país que se tornou um terreno de teste de
técnicas que mais tarde a Rússia usou contra os Estados
Unidos e os seus aliados. A doutrina de Gerasimov combina
o antigo com o moderno: propaganda estalinista, amplificada
pelo poder do Twitter e do Facebook, apoiada pela força
bruta.
Como mostra a história contada neste livro, parte da
administração norte-americana — e de muitos outros países
— apercebeu-se de todos os sinais de que os seus principais
adversários estavam a preparar um novo vetor de ataque.
Ainda assim, os Estados Unidos foram incrivelmente lentos a
adaptar-se à nova realidade. A administração norte-
americana sabia o que os russos tinham feito na Estónia e na
Geórgia havia dez anos, a primeira vez que recorreram a
ciberataques para paralisar ou confundir um adversário, e
sabiam o que tinham tentado mais tarde na Ucrânia e na
Europa, os seus campos de teste para ciberarmas que vão de
causar a generalização de perturbações em grande escala ao
exercício de uma influência mais subtil. No entanto, a falta
de imaginação impediu os americanos de acreditar que os
russos se atreveriam a atravessar o Atlântico e a aplicar essas
mesmas técnicas às eleições norte-americanas. Tal como os
ucranianos, levámos meses, ou até anos, a entender o que
acontecera.
O pior é que, quando por fim começaram a perceber, nem
os militares nem os serviços de informações, que se
orgulham de estar preparados para qualquer contingência,
tinham respostas para apresentar. No início de 2018, quando
a comissão do Senado das Forças Armadas lhe dirigiu uma
questão acerca de como a Agência Nacional de Segurança e
o Cibercomando dos Estados Unidos estavam a lidar com os
ciberataques mais visíveis às instituições americanas, o
almirante Michael S. Rogers, que na altura estava a chegar
ao fim do seu mandato à frente de ambas as organizações,
admitiu que nem o presidente Obama nem o presidente
Trump lhe tinham dado autoridade para responder.
Putin, segundo afirmou o almirante Rogers, «chegou
claramente à conclusão de que o preço a pagar é baixo e de
que portanto pode “continuar com essa atividade”». A Rússia
não foi o único país a chegar a esta conclusão. De facto,
muitos adversários dos Estados Unidos recorrem a
ciberarmas precisamente por estarem convencidos de que se
trata de uma boa forma de enfraquecer o inimigo sem
desencadear uma resposta militar direta. A Coreia do Norte
pagou um pequeno preço por atacar a Sony ou por roubar
bancos centrais. A China não sofreu quaisquer consequências
por ter roubado os pormenores mais pessoais da vida de
cerca de 21 milhões de americanos.
A mensagem que isto transmite aos adversários dos
Estados Unidos em todo o mundo é clara: as ciberarmas, nas
suas formas mais variadas, são um meio único para atingir os
alvos americanos mais vulneráveis. Como os ataques com
este tipo de armas só raramente deixam atrás ruínas visíveis,
Washington continua a não saber como ripostar contra estas
formas de agressão, excluindo os casos mais diretos e
visíveis.
Quando assumiu funções, em 2014, Rogers disse-me que
a sua grande prioridade era levar a que o uso de ciberarmas
contra os Estados Unidos «tivesse algum custo». «Se não
modificarmos a dinâmica atual», acrescentou, «isto vai
continuar.» Quando abandonou o cargo, em 2018, o país
enfrentava um problema muito maior que quando o assumiu.
*
No final de julho de 1909, Wilbur e Orville Wright
chegaram a Washington para exibir o seu Military Flyer. Nas
fotografias desse evento que nos chegaram, apesar do muito
grão, as criaturas do pântano de Washington do costume
espalham-se ao longo das pontes sobre o rio Potomac para
assistir ao espetáculo. Mesmo o presidente William Howard
Taft apareceu, embora os irmãos Wright não se tenham
arriscado a levá-lo num passeio aéreo.
Como é compreensível, o Exército ficou fascinado com o
potencial do invento. Os generais imaginaram-se a atravessar
as linhas inimigas e a contornar as forças atacantes antes de
lançar uma carga de cavalaria. Só três anos mais tarde, em
1912, alguém se lembrou de armar um destes novos
«dispositivos de observação aérea» com uma metralhadora.
Nesse momento iniciou-se uma escalada em espiral. A
tecnologia imaginada para criar um meio de transporte
revolucionário revolucionou em primeiro lugar a guerra, de
um dia para o outro. Em 1913 havia 14 aviões militares
fabricados nos Estados Unidos. Cinco anos mais tarde, em
plena primeira guerra mundial, já eram 14 mil.
Estas armas estavam de resto a ser usadas de formas que
os irmãos Wright nunca teriam imaginado. O Barão
Vermelho abateu o seu primeiro avião francês em abril de
1916, sobre Verdun. Os duelos aéreos tornaram-se mensais,
depois semanais, e por fim diários. Durante a segunda guerra
mundial os caças japoneses bombardearam Pearl Harbor e
fizeram ataques kamikazes ao destroyer em que o meu pai se
encontrava no Pacífico (falharam duas vezes). Trinta e seis
anos depois dos primeiros voos experimentais de Orville
Wright perante o presidente Taft, o Enola Gay desceu sobre
Hiroxima e mudou o rosto da guerra para sempre,
combinando o alcance da deslocação aérea com o poder
destrutivo da arma mais poderosa de sempre.
O mundo digital de hoje está aproximadamente numa fase
equivalente à da primeira guerra mundial. Há cerca de uma
década havia três ou quatro países com ciberforças realmente
eficazes; hoje são mais de trinta. A curva de produção de
armas ao longo dos últimos dez anos tem sensivelmente a
forma da curva equivalente de produção de equipamento
militar. A nova arma já foi disparada, muitas vezes, embora
os efeitos do seu uso continuem a não ser claros. Na altura
em que escrevo, em 2018, as estimativas mais rigorosas
sugerem que os ciberataques conhecidos entre estados nos
últimos dez anos, aproximadamente, já foram mais de 200 —
número que inclui apenas os que foram tornados públicos.
Tal como no caso da primeira guerra mundial, esta
perspetiva do que se aproxima tem levado os países a
armarem-se, e rapidamente. Os Estados Unidos estiveram
entre os primeiros, e formaram para isso as Ciberforças, ou
Cyber Mission Forces, como são conhecidas — um conjunto
de 133 equipas, com um total de mais de 6 mil efetivos,
estava em pleno funcionamento no final de 2017. Embora
este livro se concentre sobretudo nos «Sete Irmãos» da
ciberguerra — os Estados Unidos, a Rússia, a China, o Reino
Unido, o Irão, Israel e a Coreia do Norte —, muitos outros
países, do Vietname ao México, estão atualmente a seguir-
lhes o exemplo. Muitos começaram a fazê-lo internamente,
testando o seu potencial contra dissidentes ou inimigos
políticos. No entanto, nenhuma força militar pode sobreviver
atualmente sem ciberforças, da mesma forma que depois de
1918 nenhum país pôde imaginar forças armadas sem
aviação militar. Hoje tal como então é impossível imaginar a
forma dramática como esta invenção vai alterar o exercício
do poder soberano.
 *
Em 1957, com o mundo à beira do precipício militar, um
jovem académico de Harvard chamado Henry Kissinger
escreveu um livro intitulado Nuclear Weapons and Foreign
Policy. Tratou-se de um esforço para explicar a um público
americano profundamente ansioso a forma como uma arma
nova tão poderosa como a primeira bomba atómica, cujas
implicações na altura estavam longe de ser compreendidas
com clareza, começara a dar forma a uma nova configuração
fundamental do poder mundial.
Não é preciso concordar com as conclusões de Kissinger
nesse livro — sobretudo a sua sugestão de que os Estados
Unidos podiam vencer uma guerra nuclear de âmbito
limitado — para admirar a sua compreensão de que com a
invenção da bomba nada se mantivera como antes. «Uma
revolução não pode ser dominada antes de ser
compreendida», escreve nesse livro. «Existe sempre a
tentação de procurar integrá-la nas doutrinas familiares:
negar que estamos perante uma revolução.» Mas estava na
altura, acrescenta, «de tentar avaliar a revolução tecnológica
observada na década anterior» e de perceber como ela afetara
tudo o que em tempos havíamos julgado entender. A crise
dos mísseis de Cuba ocorreu apenas cinco anos mais tarde, a
ocasião em que o mundo esteve mais próximo da aniquilação
durante a Guerra Fria. Este episódio foi seguido pelos
primeiros esforços para controlar a proliferação de armas
nucleares, antes que elas pudessem ditar o nosso destino.
Embora a maior parte das analogias nucleares não se
traduza de forma rigorosa na era da ciberguerra, há uma em
que isso é possível. Vivemos atualmente em estado de medo
em relação à possibilidade de a nossa dependência do digital
ser usada pelos países que na última década descobriram esta
nova forma de prolongar velhos antagonismos. Aprendemos
que as ciberarmas, tal como as armas nucleares, são um
grande equalizador. E justifica-se plenamente a preocupação
com a possibilidade de em meia dúzia de anos estas armas,
reforçadas pelo poder da inteligência artificial, serem de tal
forma rápidas que um ataque provoque uma escalada antes
que os seres humanos tenham o tempo — ou o bom senso —
necessário para intervir. Continuamos a procurar novas
soluções tecnológicas — como firewalls mais poderosas,
melhores passwords, melhores sistemas de deteção — para
construir o equivalente à Linha Maginot francesa. Os
adversários, no entanto, fazem o que em tempos fez a
Alemanha: continuam a descobrir formas de a contornar.
As grandes potências, ou as antigas grandes potências,
como a China e a Rússia, começam a pensar numa nova era,
em que as defesas desse tipo deixem de constituir obstáculos
e os ciberataques sirvam para ganhar conflitos antes de ser
sequer visível que eles já começaram. Quando pensam nos
computadores quânticos veem uma tecnologia capaz de
quebrar qualquer tipo de encriptação e talvez de penetrar nos
sistemas de comando e controlo do arsenal nuclear dos
Estados Unidos. Veem bots capazes não só de replicar
pessoas reais no Twitter, mas também de paralisar satélites
com o poder de detetar atempadamente um ataque. Da sede
da NSA, em Fort Meade, aos laboratórios que em tempos
criaram a bomba atómica, os cientistas e os engenheiros
americanos estão envolvidos num combate para manter a
dianteira nesta corrida. O desafio que enfrentam é descobrir
uma forma de defender as infraestruturas civis que a
administração norte-americana não controla e as redes
privadas em que muitas empresas e muitos cidadãos
americanos não querem que o Estado meta o nariz — nem
mesmo com o objetivo de os defender.
O que tem faltado nestes debates, pelo menos até agora, é
um esforço sério para conceber uma solução geopolítica para
além da solução tecnológica. Na minha cobertura da
segurança nacional para o New York Times, mostrei-me
muitas vezes surpreendido com a ausência de qualquer tipo
de discussão das grandes ciberquestões estratégicas
semelhantes às que começaram por rodear a primeira era
nuclear. Em parte isso acontece por haver muito mais
intervenientes que durante a Guerra Fria, em parte por os
Estados Unidos estarem politicamente tão divididos, em
parte ainda porque as ciberarmas são criadas pela estrutura
dos serviços de informações norte-americanos, instituições
naturalmente rodeadas de secretismo e que tendem a
exagerar no sentido da confidencialidade, e que além disso
defendem com frequência que a discussão pública da forma
como estas armas devem ser controladas ou usadas põe em
causa o seu próprio valor.
Em parte este secretismo é justificado. As
vulnerabilidades dos computadores e das redes — do tipo das
que permitiram que os Estados Unidos abrandassem o
progresso nuclear do Irão, penetrassem na Coreia do Norte
ou descobrissem o papel da Rússia nas eleições de 2016 —
sofrem grandes flutuações. No entanto, o secretismo tem um
preço, e os Estados Unidos já começaram a pagá-lo. É
impossível começar a negociar normas de comportamento no
ciberespaço antes de nos mostrarmos dispostos a revelar as
nossas capacidades e a viver dentro de certos limites. Os
Estados Unidos, por exemplo, nunca apoiariam regras que
banissem a ciberespionagem, mas também têm resistido a
apoiar regras que excluam intervenções em redes de
computadores de outros países, que no caso dos Estados
Unidos também são usadas com a finalidade de aniquilar
essas redes. Ainda assim, ficamos horrorizados quando
descobrimos a intervenção dos russos ou dos chineses nas
nossas redes de distribuição elétrica ou nas nossas redes de
telefones móveis.
«A questão central, em minha opinião», afirma Jack
Goldsmith, um professor de Direito de Harvard que fez parte
do Departamento da Justiça de George W. Bush, «é a
incapacidade das administrações dos Estados Unidos de se
verem ao espelho.»
*
Num dia do verão de 2017 desloquei-me ao Connecticut
para visitar Kissinger, que estava então com 94 anos, e
perguntei-lhe como via a nova era em comparação com o que
conhecera durante a Guerra Fria. «É muito mais complexa»,
disse-me. «E a longo prazo também é muito mais perigosa.»
Este livro mostra como essa complexidade e esse perigo
estão já na origem de uma nova configuração do nosso
mundo e explora possibilidades de nos mantermos senhores
da nossa própria invenção.
 PRÓLOGO
Da Rússia com amor

Q uando as luzes se apagaram na Ucrânia Ocidental na

véspera do Natal de 2015, Andy Ozment teve um mau
pressentimento.
Os ecrãs gigantes da sala de crise, que dava para o mesmo
corredor que o seu próprio escritório — num edifício
anódino pertencente ao Departamento de Segurança Interna a
uma curta distância de automóvel da Casa Branca, do outro
lado do rio Potomac —, indicavam que algo mais sinistro
que uma tempestade de inverno ou uma avaria numa central
tinha provocado a escuridão súbita num recanto obscuro da
antiga república soviética envolvida em disputa. O evento
tinha todas as marcas de um ciberataque sofisticado,
controlado remotamente a partir de algum lugar distante da
Ucrânia.
Ainda não se haviam completado dois anos sobre a
anexação da Crimeia por Vladimir Putin, que declarara que a
região voltara a fazer parte da Mãe Rússia. Os tanques e as
tropas de Putin — que trocaram os uniformes por roupas
civis e começaram a ser chamados «homenzinhos verdes» —
estavam a lançar o caos no Sudoeste da Ucrânia, uma região
onde a língua principal era o russo, e a fazer tudo o que se
encontrava ao seu alcance para desestabilizar o novo governo
pró-ocidental de Kiev, a capital do país.
Ozment sabia que um ciberataque russo contra os
ucranianos, longe das zonas ativas de combate, fazia sentido
naquele momento, no meio da época festiva. As redes de
serviços públicos estavam a funcionar com o pessoal
mínimo. Para o exército secreto dos hackers patrióticos de
Putin, a Ucrânia era um excelente terreno de testes. O que ali
aconteceu, disse muitas vezes Ozment ao seu pessoal, foi um
prelúdio ao que pode acontecer nos Estados Unidos. Como
lhes recorda com frequência, no mundo dos ciberconflitos há
cinco tipos diferentes de atacantes: «os vândalos, os ladrões,
os criminosos, os espiões e os sabotadores».
 «Os vândalos, os ladrões e os criminosos não me
preocupam especialmente», costuma acrescentar. Cada
empresa e agência governamental tem a obrigação de se
proteger dos maus protagonistas habituais da Internet. O que
lhe tira o sono são os espiões e os sabotadores. E os
sabotadores que atingiram a rede de distribuição de energia
em 2015 não eram amadores. «As vantagens estão todas do
lado do atacante», avisa Ozment. Putin parecia mesmo estar
a deixar este ponto particularmente claro na Ucrânia.
Ozment, um cientista informático de trinta e muitos anos,
parece cultivar a imagem de alguém que ainda agora acabou
o curso na Georgia Tech e que antes queria andar a fazer
caminhadas pelas montanhas do que a combater malware. O
cientista vivia com a mulher, uma norueguesa, numa casa de
tijolos vermelhos em Washington a norte do Capitólio.
Sempre conseguiu manter o aspeto de quem acaba de chegar
de um dos mercados de rua do seu bairro, e de maneira
alguma da linha da frente das ciberguerras em que os Estados
Unidos estão diariamente envolvidos. Trata-se de um feito
admirável, se tivermos em conta que o seu trabalho era
dirigir o mais próximo que a administração norte-americana
tem de um quartel de bombeiros para responder a
ciberataques. A sua equipa em Arlington era responsável
pela primeira resposta quando havia ataques a bancos ou
companhias de seguros, quando uma empresa de serviços
públicos encontrava um vírus na rede ou suspeitava de
tentativa de sabotagem, ou ainda quando uma agência federal
incompetente — como o Departamento de Gestão de Pessoal
— descobria que os agentes de informações da China tinham
roubado milhões de ficheiros altamente sensíveis. Por outras
palavras, a equipa de Ozment estava sempre a ser chamada,
como um quartel de bombeiros no meio de um bairro cheio
de incendiários.
A sala de crise de Ozment — na linguagem burocrática de
Washington, o Centro de Integração Nacional para a
Cibersegurança e as Comunicações, ou National
Cybersecurity and Communications Integration Center —
parecia um cenário de Hollywood. Havia mais de 30 metros
de ecrãs, onde se mostrava tudo o que se possa imaginar, do
estado do tráfego na Internet ao funcionamento das centrais
energéticas. Por toda a parte havia relógios a marcar
diferentes processos em simultâneo. As secretárias em frente
dos ecrãs estavam atribuídas a várias agências com nomes de
três iniciais, do Federal Bureau of Investigation à Central
Intelligence Agency, passando pela Agência Nacional de
Segurança e pelo Departamento da Energia.
À primeira vista a sala assemelhava-se a um bunker
subterrâneo do tipo dos que a geração anterior de americanos
manteve numa montanha perto de Colorado Springs, a
funcionar vinte e quatro horas por dia. Contudo, a impressão
inicial era enganadora. Os homens e as mulheres que
passaram a Guerra Fria colados aos seus ecrãs gigantes
procuravam uma coisa que dificilmente poderia passar
despercebida: sinais de mísseis nucleares a avançar através
do espaço a velocidades supersónicas e dirigidos a cidades
americanas ou a objetivos nucleares. Se se apercebessem de
um lançamento — e houve muitos falsos alarmes —, sabiam
que tinham apenas alguns minutos para confirmar que os
Estados Unidos estavam a ser atacados e para avisar o
presidente, que teria de decidir se devia retaliar antes que o
primeiro míssil atingisse o objetivo. Mas em tudo isso havia
uma certa clareza: pelo menos sabiam quem poderia lançar
os mísseis, de onde eles viriam e como retaliar. A clareza
criava um quadro em que a dissuasão era possível.
Pelo contrário, os ecrãs de Ozment ofereciam provas de
que na era digital a dissuasão começa e acaba no teclado dos
computadores. O caos da moderna Internet desdobrava-se
ecrã após ecrã, muitas vezes numa desordem
incompreensível. Havia interrupções perfeitamente inocentes
no fornecimento de certos serviços à mistura com ataques
ferozes, mas era quase impossível descobrir de onde vinha
cada ataque particular. Pregar uma partida ao sistema era
uma ideia que ocorria com naturalidade aos hackers, e era
muito fácil mascararem o local onde se encontravam. Mesmo
no caso de um ataque em grande escala, seriam necessárias
várias semanas, ou até meses, para fazer uma «atribuição»
formal com a ajuda das agências americanas de informações,
e mesmo então continuaria a ser difícil perceber quem
instigara verdadeiramente o ataque. Em resumo, tudo era
diferente do que se passara durante a era nuclear. Os analistas
podiam prevenir o presidente acerca do que se estava a
passar — e a equipa de Ozment fê-lo muitas vezes —, mas
não podiam especificar, em tempo real e com certeza, de
onde vinha um ataque ou em que sentido se poderia retaliar.
Quanto mais dados iam chegando acerca do que estava a
acontecer nesse dia de inverno na Ucrânia, mais aumentava a
preocupação de Ozment. «Era o tipo de pesadelo que
andávamos a discutir havia anos e uma ideia que sempre
tentámos pôr de lado», observou mais tarde. Estava-se a
meio de uma semana de férias e feriados, um momento raro
de repouso entre as crises ininterruptas em que consistia o
seu trabalho, e Ozment tirou alguns minutos para ver um
vídeo feito com um telemóvel que os colegas andavam a
passar entre eles. Feito por um dos operadores do fornecedor
de energia elétrica, a Kyivoblenergo, a meio do ciberataque à
Ucrânia, captava a perturbação e o caos entre os operadores
da rede, que tentavam freneticamente recuperar o controlo
dos seus sistemas informáticos.
O que o vídeo mostrava era no fundo a sua impotência.
Por mais que carregassem em diferentes botões, nenhum
tinha o menor efeito. Era como se os seus teclados e os seus
ratos estivessem desligados e o controlo dos computadores
tivesse sido assumido por alguma criatura do outro mundo.
Os cursores começaram a saltar de ecrã em ecrã no controlo
central da Ucrânia, como se fossem manipulados por uma
mão oculta. Os atacantes haviam conseguido desligar
remotamente os circuitos de forma sistemática, apagar
sistemas de segurança e desligar várias centrais elétricas.
Bairro após bairro, as luzes iam-se apagando. «Ficámos
simplesmente de boca aberta», conta Ozment. «A
possibilidade exata que nos ocorrera não era afinal sintoma
de paranoia. Estava a concretizar-se à frente dos nossos
olhos.»
Mas os hackers ainda tinham mais na manga. Tinham
plantado um programa vulgar — malware conhecido com o
nome «KillDisk» — para apagar todos os recursos que
noutras circunstâncias teriam permitido que os operadores
recuperassem o domínio do sistema. Depois veio o retoque
final: desligaram o sistema elétrico de apoio na sala de
controlo, de maneira que os operadores não só ficaram sem
qualquer domínio sobre o sistema, mas também ficaram
totalmente às escuras. Tudo o que os funcionários da
Kyivoblenergo puderam fazer foi ficar sentados às escuras a
praguejar.
Ao longo de duas décadas — desde uma época em que
Ozment ainda não tinha começado a sua carreira na
ciberdefesa —, os especialistas tinham andado a avisar que
era possível desligar completamente a rede elétrica de um
país inteiro, e durante todo esse tempo a maior parte achou
que quando o dia do grande ataque chegasse seria entre
Boston e Washington ou entre São Francisco e Los Angeles
que tudo ficaria às escuras. «Vivemos dominados por essa
paranoia ao longo de vinte anos, mas nunca aconteceu»,
recorda Ozment.
«Só que naquele momento», diz Ozment, «estava mesmo
a acontecer.»
*
E estava a acontecer a uma escala muito mais ampla, de
uma forma que Ozment nunca imaginara sequer.
Enquanto o cientista procurava perceber as implicações do
ciberataque que se produzira quase do outro lado do mundo,
na Ucrânia, os russos estavam já a iniciar um ciberataque
tripartido precisamente por baixo dos seus pés. A primeira
fase dirigira-se às centrais nucleares americanas, bem como
aos serviços hídricos e elétricos, com a introdução de código
malicioso que daria à Rússia a possibilidade de sabotar as
centrais ou de as encerrar quando entendesse. A segunda
apontava à Comissão Nacional Democrática, uma das
primeiras vítimas de uma série de ataques ordenados, como
as agências de informações americanas acabariam por
concluir, pelo próprio Vladimir Putin. O terceiro dirigiu-se
ao grande centro de inovação dos Estados Unidos, Silicon
Valley. Ao longo de uma década, os executivos da Facebook,
da Apple e da Google estiveram convencidos de que a
tecnologia que os fizera ganhar milhares de milhões de
dólares contribuiria igualmente para levar o sistema
democrático a todos os cantos do globo. Putin decidira
desmentir essa ideia e mostrar-lhes que podia usar as mesmas
ferramentas para desafiar a democracia e aumentar o seu
próprio poder.
Tudo isto resultou num ataque multifacetado às
infraestruturas e às instituições dos Estados Unidos, com um
âmbito inacreditável, a começar pela sua insolência. Os
americanos ficaram chocados, mas as jogadas de Putin não
surgiram propriamente do nada. Eram simplesmente a última
fase de uma batalha global jogada no terreno invisível
oferecido por várias redes — uma batalha em que os Estados
Unidos haviam sido responsáveis por alguns dos disparos
iniciais.
 Capítulo I
OS PECADOS ORIGINAIS
«Tudo isto tem analogias com o que aconteceu
em agosto de 1945. Alguém acaba de usar uma
nova arma, e esta arma nunca mais vai ser posta
de lado.»
— General Michael Hayden, antigo diretor da
Agência Nacional de Segurança e da CIA

N um dos primeiros dias da primavera de 2012, dirigi-me

de carro ao que na CIA chamam o seu velho quartel-
general, através do longo caminho de acesso cheio de curvas
e rodeado de árvores.
Sabia que a reunião que ali teria — com Michael Morell,
o vice-diretor da agência — seria provavelmente difícil.
Algumas semanas antes a Casa Branca tinha-me pedido que
falasse com Morell acerca de uma história particularmente
sensível que o The New York Times se preparava para
publicar. Já nos tínhamos encontrado os dois por um breve
momento no gabinete de Benjamin J. Rhodes, na cave da ala
oeste, quando este era vice-conselheiro de segurança
nacional para as comunicações estratégicas, altura em que eu
explicara o que soubera: que dois presidentes com
temperamentos tão diferentes como George W. Bush e
Barack Obama tinham tomado a decisão de usar a ciberarma
mais sofisticada da história contra o Irão, como último
recurso para evitar uma nova guerra no Médio Oriente.
Nem Rhodes nem Morell pareceram surpreendidos por eu
ter juntado as peças da história; o nome de código da arma,
«Stuxnet», correra o mundo acidentalmente havia quase dois
anos, tornando evidente que alguém estava a recorrer a
malware para boicotar as instalações nucleares do Irão. O
Stuxnet estava cheio de pegadas digitais e de outras pistas
que apontavam para onde e quando fora escrito. Parecia por
isso inevitável que alguém acabasse por seguir essas pistas
para descobrir o plano por trás do seu lançamento. A
operação, que ao fim de vários meses de trabalho de
investigação soube que era conhecida como Jogos
Olímpicos, era simplesmente demasiado vasta, e envolvia
demasiados parceiros, para poder manter-se muito tempo
secreta. Os próprios iranianos tinham declarado muito tempo
antes, com provas relativamente frágeis, que quem estava por
trás dos ataques eram os Estados Unidos e Israel. No entanto,
nenhum dos governos admitira o que quer que fosse — um
reflexo do secretismo em que envolviam todas as suas
ciberoperações.
Tal como acontece com as armas nucleares, apenas o
presidente pode autorizar o uso de ciberarmas americanas
com finalidades destrutivas. No entanto, visto quase todas as
operações de caráter ofensivo serem secretas, o que por lei
tem de ser feito de forma a poder ser negado, nunca nenhum
presidente fora apanhado a autorizar o seu uso. A peça do
New York Times seria a base do debate acerca do uso de
ciberarmas para desencadear ataques que em tempos apenas
teriam sido possíveis com um bombardeamento ou ações
locais de sabotagem.
Quando atravessei o famoso átrio da CIA — com as
paredes forradas de estrelas de bronze, uma por cada oficial
da CIA morto em defesa do país — e me dirigi para o
elevador que levava ao gabinete de Morell, não fazia ideia de
como esta história ameaçava perturbar a rede de secretismo
que os Estados Unidos tinham construído ao longo das várias
décadas que haviam sido necessárias para montar os seus
recursos cibernéticos. Nem poderia imaginar que
desencadearia uma das maiores investigações federais dos
tempos modernos, ou que isso levaria à acusação injusta de
um oficial muito respeitado por Obama e que fazia parte do
grupo de militares dos Estados Unidos que haviam
conduzido o país à era da ciberguerra moderna.
Acontece que a administração dos Estados Unidos ainda
não estava na disposição de discutir as consequências de usar
ciberarmas contra outros estados em tempos de paz. Nem
estava particularmente ansiosa por avaliar a que ponto as
suas iniciativas haviam contribuído para provocar uma
corrida às armas em que o Irão, a Rússia e a Coreia do Norte,
além da China, também haviam decidido participar.
*
Para lá do átrio tantas vezes fotografado, os gabinetes já
com muitos anos dos executivos da agência recordam um
pouco os das velhas empresas de computadores — como a já
extinta Burroughs and Digital Equipment Corporation — que
tantas vezes cobri algumas décadas atrás, quando ainda era
um jovem repórter que cobria questões tecnológicas. O
aspeto rétro é ainda mais evidente no sétimo piso, nos
aposentos concebidos por Allen Dulles, diretor da CIA tanto
de Eisenhower como de Kennedy, de forma a poder sentar-se
a poucos metros do seu diretor-adjunto, enquanto ambos
supervisionavam o vasto e complexo esforço dos tempos da
Guerra Fria para roubar segredos e derrubar adversários. De
certa maneira, o aspeto da agência de espionagem mais
famosa do mundo era um tanto enganador: como a história
dos Jogos Olímpicos deixou claro, a agência estava
profundamente integrada na era digital, embora não tivesse
qualquer interesse em propagandear as suas proezas.
O objetivo da minha ida ao velho quartel-general era saber
que pormenores da história que estava para sair preocupavam
Morell e os colegas, ao ponto de estarem na disposição de
pedir ao New York Times que os retirasse, não fôssemos com
isso pôr em risco operações futuras. As conversas deste tipo
são por natureza tensas. A comunicação social tem de estar
preparada para ter em conta as preocupações da
administração, mas insistir, por razões evidentes relacionadas
com a Primeira Emenda, que a decisão de publicar pertence a
cada órgão noticioso, e não ao Estado. Morell, embora
sempre afável e profissional, dera claramente a entender que
da sua perspetiva nada do que estivesse relacionado com a
Operação Jogos Olímpicos devia ser publicado. No entanto,
sempre foi um realista e sabia que a revelação e
disseminação acidental do Stuxnet significava que a história
não iria desaparecer por si. Para a CIA, a reunião desse dia
era apenas um exercício com o objetivo de descobrir o que
eu sabia e para reduzir o mais possível os danos que
poderiam resultar da publicação.
A Operação Jogos Olímpicos foi em grande parte um
trabalho da NSA e da Unidade 8200 de Israel, encarregada
das ciberoperações militares do país. No entanto, a CIA,
como acabei por descobrir, desempenhara um papel-chave,
com a execução de uma autorização presidencial para uma
ação secreta — conhecida em Washington como um finding
— para retardar o programa nuclear iraniano. Uma vez que
os findings são confidenciais e publicamente desmentidos,
não levei qualquer expectativa de que os representantes da
agência com quem ia encontrar-me nesse dia estivessem na
disposição de reconhecer o seu papel no uso da arma, e
muito menos na destruição de cerca de mil centrifugadoras
sob o deserto iraniano que dele resultou. E não o fizeram.
Apesar de tudo, havia nesta história algo de diferente, que
aumentou o nervosismo em torno da publicação do artigo. As
ciberarmas, que estão entre as primeiras armas estratégicas
criadas pelas agências de informações e não pelos militares,
tinham sido rodeadas de maior secretismo que as armas
biológicas ou nucleares, ou mesmo que as novas gerações de
drones e caças furtivos. Havia dentro da administração a
suposição de que o que quer que fosse tornado público
acerca das ciberarmas impediria o seu uso futuro. Embora a
administração descrevesse com grande pormenor a sua
indignação com os ciberataques aos Estados Unidos — ou
apresentasse as provas de que outras potências tinham
entrado nas redes dos seus bancos ou sistemas energéticos
—, considerava mesmo as conversas mais básicas acerca das
capacidades, das intenções ou das doutrinas seguidas pelos
Estados Unidos, inteiramente fora de discussão. Mesmo
dentro da administração havia quem considerasse este nível
de secretismo um verdadeiro absurdo. Como seria possível
criar regras internacionais para o uso de armas que não se
reconhece que se possui, e muito menos que se usa?
Como era evidente, não havia consenso dentro da
administração Obama quanto à forma como estas armas
deviam ser usadas, e, embora tivesse aprovado novos ataques
à central nuclear iraniana, o presidente continuava com
reservas em relação ao plano. Como a nossa história
explicava, nas reuniões na sala de crise durante o primeiro
ano do seu mandato, Obama levantara repetidamente a
questão de os Estados Unidos estarem a criar um precedente
— usando uma ciberarma para atacar uma instalação atómica
— que o país pudesse vir um dia a lamentar. Tratava-se,
como ele e outros observaram, precisamente do tipo de
armas que outros países poderiam um dia aprender a usar
contra os Estados Unidos. «Era a questão certa», afirmou um
alto responsável da administração que iniciou funções já
posteriormente aos ataques com o Stuxnet, «embora ninguém
tenha percebido com que rapidez ela viria a levantar-se de
facto.»
Curiosamente, Obama já se mostrara na disposição de
participar numa discussão pública acerca de questões
similares relativas a drones. Tudo o que dizia respeito ao uso
militar de drones era mantido em segredo na altura em que
Obama tomou posse, mas com o tempo o presidente
divulgou alguns aspetos do programa e mostrou-se disposto a
explicar a legislação e os argumentos por trás da sua decisão
de recorrer a essas máquinas de matar comandadas
remotamente. Ao fazê-lo acabou por levantar parte do
segredo que rodeava o seu uso, de maneira que todos
pudessem perceber quando estas estavam a matar terroristas
ou quando as coisas corriam mal e acabavam por matar
crianças ou convidados de casamentos.
As ciberarmas eram diferentes. A administração
dificilmente admitiria possuí-las, e muito menos tê-las usado.
No entanto, as questões envolvidas eram semelhantes. Da
mesma maneira que a investigação jornalística dos efeitos
colaterais dos ataques com drones impusera o debate acerca
das armas telecomandadas, tanto eu como os meus editores
considerámos que explicar aos leitores a forma como a
administração estava a adotar o uso de ciberarmas que
poderiam acabar por se voltar contra o nosso próprio país era
um imperativo jornalístico. A Operação Jogos Olímpicos
abrira a porta a uma nova dimensão da guerra que ainda
ninguém compreendia muito bem.
A única coisa clara era que qualquer recuo seria
impossível. Quando Michael Hayden, que fora uma figura
central nos primeiros tempos das experiências dos Estados
Unidos com ciberarmas, afirmou que havia no Stuxnet
qualquer coisa que recordava agosto de 1945 — uma
referência ao lançamento da bomba atómica em Hiroxima e
Nagasáqui —, estava a deixar claro que se iniciara uma nova
era. Hayden não tinha autorização para admitir publicamente
o envolvimento dos Estados Unidos no Stuxnet, mas não
deixou quaisquer dúvidas quanto à magnitude do que ali
estava em causa.
«Uma coisa eu sei», concluiu Hayden. «Quando fazemos
o que quer que seja, o resto do mundo conclui que isso
passou a ser o novo padrão, e sente-se legitimado para fazer
o mesmo.»
Foi precisamente o que aconteceu.
*
Hayden tinha muita prática de falar acerca do Stuxnet
como se não passasse de um observador, um zoólogo que
tivesse casualmente reparado no comportamento estranho de
um animal e anunciasse a descoberta de uma nova espécie.
Mas na verdade sabia perfeitamente do que estava a falar.
Hayden fora diretor da CIA durante os primeiros tempos da
Operação Jogos Olímpicos. Nessa altura estava já na
vanguarda dos que, em meados dos anos 90, se convenceram
de que as ciberarmas não eram simplesmente uma nova
ferramenta, mas também o que os militares designavam um
«novo domínio»: o lugar onde os futuros conflitos de poder,
dos maiores aos mais insignificantes, viriam a desenrolar-se.
Nos tempos em que Hayden ia subindo na hierarquia da
Força Aérea, nos anos 70, todos estavam de acordo em
relação aos quatro domínios físicos que durante muito tempo
dominaram os conflitos militares: havia milénios que se
combatia em terra e no mar, e no ar combatia-se desde a
primeira guerra mundial. O espaço foi acrescentado nos anos
50 e 60, quando os satélites deram origem aos satélites
espiões e os mísseis balísticos intercontinentais deram
origem aos sistemas antimísseis. E o ciberespaço? Como me
perguntou uma vez um general na reserva, com espanto
genuíno, na Academia da Força Aérea em Colorado Springs,
«como se pode combater num lugar que não se vê?».
A compreensão de Hayden da natureza revolucionária dos
ciberconflitos começara a tomar forma havia mais de 20
anos, quando foi colocado em San Antonio, no Texas, como
comandante da Agência de Informações Aérea, uma unidade
da Força Aérea onde ficou com uma primeira ideia do poder
da nova geração de armas eletrónicas. Lembrava-se de
observar com perplexidade a forma como os membros da
unidade desativavam remotamente postos de trabalho e
recorriam a técnicas eletrónicas militares para ludibriar um
radar que tentava seguir os movimentos de um caça. No
entanto, o que mais surpreendeu o militar acabado de
regressar dos Balcãs foi os Estados Unidos estarem sob
ataque constante e generalizado em tempo de paz.
Um ano depois de ter chegado ao Texas, em 1998, o FBI
foi chamado para investigar interferências aparentemente
bizarras que tinham começado a ocorrer em lugares
estranhos ligados a redes militares ou de informações, de Los
Alamos ou dos Laboratórios Nacionais de Sandia, onde eram
concebidas as novas armas nucleares, a universidades como a
Escola de Minas do Colorado, que tinha um contrato
importante com a Marinha. Estas interferências
concentravam-se particularmente em torno das redes da base
da Força Aérea de Wright-Patterson, no Ohio, num local
onde os irmãos Wright haviam testado muitos dos seus
primeiros aviões.
Quem acabou por descobrir o ciberataque foi um operador
de computadores da Escola de Minas, que observou várias
atividades noturnas que não conseguiu explicar. Chegou-se à
conclusão de que se tratava de um ataque em grande escala,
persistente, aparentemente com origem na Rússia. Os
hackers tinham penetrado em alguns destes sistemas havia já
dois anos e roubado milhares de páginas de material não
confidencial mas relativo a áreas tecnológicas sensíveis.
A surpresa depressa deu lugar à compreensão de que
estavam perante uma nova realidade. O ataque recebeu o
nome de Labirinto ao Luar. Inicialmente os russos
mostraram-se cooperadores com a investigação, até
perceberem que o FBI tinha provas de que era o governo
russo, e não meia dúzia de hackers adolescentes, que estava
por trás da intrusão. Nessa altura Moscovo deixou de
cooperar. John Hamre, o académico e erudito, normalmente
de uma calma inabalável, que na altura era vice-secretário da
Defesa, afirmou perante as comissões dos serviços de
informações do Congresso: «Estamos no meio de uma
ciberguerra.»
«Para nós isto foi um verdadeiro alerta», disse-me mais
tarde Hamre. «Até então houvera algumas incursões, mas
nunca uma verdadeira intrusão de uma potência estrangeira
nos nossos sistemas, que simplesmente se manteve lá, e foi
difícil expulsar.»
Alguns dos peritos que estudaram o caso estão
convencidos de que o Labirinto ao Luar nunca terminou de
facto. Transformou-se simplesmente em novos ataques que
têm continuado ao longo das duas últimas décadas. Seja
como for, os ciberataques russos desencadearam os primeiros
esforços sérios dos Estados Unidos para defender as suas
redes e formar ciberforças ofensivas próprias.
O ataque forçou os Estados Unidos a confrontarem-se
com as implicações da era digital. Como observou Hayden,
nos anos 80, quando ele estava estacionado na Coreia, as
comunicações militares eram datilografadas, digitalizadas e
enviadas para Washington, para em seguida serem impressas
por alguém que lidava com elas como documentos
confidenciais. De repente os emails e os telegramas
confidenciais começaram a ser a forma normal de
comunicação, o que proporcionou aos serviços secretos de
todo o mundo um novo meio de intercetar uma massa muito
maior de informações em trânsito.
A explosão de dados digitais transformou a missão da
NSA. A agência responsável por encriptar e proteger
informações sensíveis, a maior parte ao serviço de outras
agências, militares e de informações, concentrou-se numa
nova série de alvos: dados de computadores armazenados por
todo o mundo ao alcance do quadro cada vez mais vasto de
hackers da NSA. Grande parte destas informações não eram
do tipo «dados em trânsito» que a agência passara várias
décadas a intercetar. Pelo contrário, eram informações
armazenadas em complexos de computadores que muitos
governos estrangeiros, na sua inocência, haviam considerado
invulneráveis. Como é evidente, tratava-se de uma fantasia.
Uma agência que passara várias décadas a intercetar eletrões
disparados através de linhas telefónicas e de satélites passou
de um dia para o outro a concentrar-se no que foi chamado
«dados em repouso». Esses dados conseguiam-se penetrando
em redes de computadores em todo o mundo.
«Tudo isto significava alcançar o objetivo final, a rede-
alvo», escreveria Hayden mais tarde, em vez de ficar à
espera que as mensagens caíssem do céu. E isto exigia que se
aprendesse a penetrar em sistemas protegidos. Em breve a
NSA, a CIA e o Pentágono uniram forças para criar uma
nova organização, o Centro de Operações de Tecnologia da
Informação, com o objetivo de fazer precisamente isso.
Este centro foi encarado com grande desconfiança pelos
velhos elementos da CIA, que achavam que se tratava na
realidade de jogos de computador para pessoas que em vez
de brincar deviam mas era concentrar-se em espiar. No
entanto, estes veteranos estavam na realidade a viver num
mundo perdido. Retrospetivamente, percebemos que no
início do milénio os Estados Unidos estavam já a entrar
numa nova corrida às armas, com semelhanças com aquela
em que haviam investido milhares de milhões de dólares para
conseguir a primeira bomba de hidrogénio, depois com a que
envolvera a construção dos primeiros mísseis balísticos
intercontinentais, e mais tarde ainda os primeiros mísseis
com ogivas múltiplas. Mas nem o Pentágono sabia o que
pensar acerca destas novas armas, ou qual o melhor sítio para
as arrumar no meio da sua vasta burocracia. Quando voltou
ao posto de secretário da Defesa, em 2001, um lugar que já
ocupara no final dos anos 70, Donald Rumsfeld começou a
procurar um lugar onde albergar esta nova e estranha
capacidade militar — as ciberarmas ofensivas — na vastidão
dos comandos militares.
Se considerarmos os seus «flocos de neve», as mensagens
breves que enviava ao seu pessoal a ordenar a realização de
estudos, recentemente tornados acessíveis ao público, torna-
se claro que pressentiu que as ciberarmas eram imensamente
poderosas. No entanto, teve dificuldade em perceber de que
modo o Pentágono poderia utilizá-las. Como é natural, os
militares já tinham desenvolvido um jargão para uma grande
variedade de técnicas, vulnerabilidades e armas desse
arsenal. Havia operações de «exploração de redes de
computadores», uma forma elegante de descrever o roubo de
dados de um adversário, e havia «ataques a redes de
computadores», que são na verdade ciberataques com efeitos
no mundo real, do tipo dos que foram testados com a
Operação Jogos Olímpicos.
«No Pentágono tudo precisa de uma casa», disse-me
Hamre, «e Rumsfeld percebeu, corretamente, que se tratava
de uma arma estratégica e entregou-a ao Comando
Estratégico de Hoss Cartwright.»
O general James Cartwright, um aviador da Marinha com
a alcunha de Hoss, tirada de uma personagem da série de
televisão dos anos 60 Bonanza, era um dos grandes
pensadores estratégicos nas forças militares absortas pelas
batalhas diárias no Iraque e no Afeganistão. Andava pelo
Comando Estratégico com uma atitude discreta e um sorriso
malicioso, com um aspeto de homem comum trazido da sua
infância passada em Rockford, no Illinois. Cartwright fora
estudante de Medicina e nadador de competição na
Universidade do Iowa, e já no fim da guerra do Vietname
alistara-se como aviador na Marinha. Levantar voo ou aterrar
num porta-aviões são atividades em que não há margem para
erro, e isso sempre atraiu Cartwright, um homem com um
forte sentido da precisão. Mas outra coisa que o futuro
general aprendeu foi que um aviador da Marinha nunca pode
mostrar que está em dificuldades, ainda que tenha
consciência de que só terá uma oportunidade de apanhar o
cabo que impede que o seu avião se despenhe na água
durante uma aterragem.
Na altura em que Bush filho tomou posse, em 2001,
Cartwright já se sentia fascinado com o potencial, e também
o risco, envolvido no uso das ciberarmas. À sua maneira
discreta mas intensa, começou a perguntar a si mesmo se os
sistemas e as estratégias criados pelo Pentágono nas décadas
que se seguiram à segunda guerra mundial seriam suficientes
para enfrentar os desafios dos 50 anos seguintes. A resposta
pareceu-lhe óbvia.
No entanto, no interior do Pentágono podem fazer-se
inimigos pondo em causa que as armas convencionais que
tinham feito a guerra do Vietname e duas guerras do Golfo
continuassem a ser críticas numa época em que penetrar
numa rede de controlo industrial pode ser mais importante
que usar tanques ou bombardeiros. «Havia muita gente no
Pentágono que achava as questões de Hoss interessantes»,
contou-me um dos homens que fizeram parte do grupo dos
chefes de Estado-Maior no seu tempo, «mas também havia
outros que as achavam ameaçadoras.»
Isto tornou-se claro quando Cartwright assumiu o seu
primeiro cargo verdadeiramente importante como general da
Marinha, em 2004: chefe do Comando Estratégico
Americano em Omaha, no Nebrasca. Não havia cargo em
que a precisão e a visão estratégica do mundo pudessem ser
mais relevantes. O Comando Estratégico, conhecido como
Stratcom, é responsável pelo arsenal nuclear dos Estados
Unidos. Durante a Guerra Fria era a primeira linha de defesa
num conflito nuclear com os soviéticos, e era responsável
por manter e deslocar armas nucleares, por preparar o
pessoal para qualquer eventualidade e circunstâncias em que
pudessem ter de ser lançadas, e ainda por assegurar que
qualquer ordem para as usar era autêntica e legítima. As
oportunidades de erro a um nível horrendo eram
intermináveis.
Cartwright considerou o arsenal do Comando Estratégico
e começou a fazer perguntas de grande âmbito: serão
realmente estas as armas que podem manter-nos seguros nos
50 anos seguintes? Havia ainda as questões de segurança: o
arsenal nuclear estava a envelhecer, os silos ainda usavam
disquetes de 5 polegadas. Os homens que trabalhavam nos
silos estavam desmoralizados e desmotivados; não só o lugar
onde trabalhavam estava cheio de mofo e era antiquado,
como tinham de passar uma eternidade a rever
procedimentos apenas necessários no caso de receberem uma
ordem que dificilmente receberiam.
Cartwright estava igualmente preocupado com o vazio
estratégico. A confiança dos americanos na dissuasão nuclear
estava na realidade a restringir a capacidade do presidente
para lidar com o tipo de adversários que os Estados Unidos
tinham de enfrentar todos os dias, do Médio Oriente à Ásia
oriental. Visto que as consequências e as baixas que
resultariam do uso de uma arma nuclear eram tais que o seu
uso era muito pouco provável, Cartwright começou a
repensar estrategicamente as novas ciberarmas que Rumsfeld
pusera sob o seu comando. Estas representavam um enigma
intelectual imenso e, como Hayden mais tarde recordaria, «o
Stratcom era um desafio estranhamente abaixo das
capacidades de Hoss». Foi nessa altura que começou a
refletir no modo como as ciberarmas poderiam expandir as
possibilidades de ação de um presidente ao fim de várias
décadas em que as armas nucleares na realidade as haviam
limitado.
«As ferramentas ao dispor do presidente de um país entre
a diplomacia e o poder militar não eram particularmente
eficazes», disse Cartwright no Instituto Naval dos Estados
Unidos em 2012. Nessa altura já abandonara o serviço
militar ativo e estava ainda a começar a desenvolver as suas
ideias acerca do problema. Aquilo de que os presidentes
americanos precisavam, estava convencido, era de
mecanismos mais coercivos para apoiar a ação da
diplomacia. E as armas nucleares não serviam esse propósito.
Nenhum dos adversários dos Estados Unidos receava que um
presidente americano recorresse realmente a uma arma
nuclear, exceto se o que estivesse em causa fosse a própria
sobrevivência do país.
Durante os vários anos que passou no Comando
Estratégico, Cartwright, segundo disse mais tarde, nunca
parou de procurar novas tecnologias que pudessem ser
usadas militarmente e, de preferência, que pudessem servir
para os Estados Unidos se imporem em todos os tipos de
disputas sem terem sequer de disparar um tiro. Estas
ciberarmas eram aquilo a que chamava armas «à velocidade
da luz» — armas pensadas para a «guerra eletrónica», que
pudessem impossibilitar um adversário de comunicar ou
paralisar as suas defesas. As outras eram armas de energia
dirigível, como os lasers. Ao contrário das armas nucleares,
as armas destes tipos podiam ser usadas em ataques iniciais.
O mais importante, em sua opinião, era que, além dos
estragos que podiam produzir em tempo de guerra, as
ciberarmas continuavam a ter poder coercivo em tempo de
paz. Cartwright falava de usar estas armas para «revolucionar
a diplomacia» ou para forçar um país a perceber que a sua
única hipótese era negociar. No seu discurso de 2012 não fez
qualquer referência ao Irão, mas de qualquer maneira isso
não teria sido necessário. Qualquer observador da cena
mundial na altura perceberia o que queria dizer — isto
aconteceu num momento em que os Estados Unidos se
preparavam ao mesmo tempo para negociar e para entrar em
guerra com Teerão.
Pouco depois de Rumsfeld entregar a direção de tudo o
que respeitava a ciberconflitos ao Comando Estratégico,
desenvolveu-se ali uma espécie de projeto secreto de
ciberguerra, que explorava o que seria necessário para usar
ciberarmas, de que forma, e como o papel dos militares no
seu uso seria diferente do papel da Agência Nacional de
Segurança. Com o tempo, o que resultou da criação de
Cartwright foi um protótipo do que é hoje o Cibercomando
dos Estados Unidos, embora nessa altura pouco passasse de
um plano ainda no papel e quase sem pessoal.
Em 2007, com várias guerras a decorrer no Médio Oriente
e no Sul da Ásia, Cartwright foi nomeado vice-presidente do
grupo dos chefes de Estado-Maior dos Estados Unidos. Foi
uma transição dura. O general não era um veterano do
Iraque, um inconveniente numa época em que isso era
considerado uma distinção e uma boa recomendação para
qualquer posto de comando superior. Desde o início que
existiram tensões entre Cartwright e o presidente do grupo
dos chefes de Estado-Maior, o almirante Mike Mullen, que se
agravaram com o tempo. Apesar dos desafios, foi enquanto
ocupou este cargo que Cartwright começou a pôr as
ciberforças norte-americanas em ação.
*
Em janeiro do mesmo ano, 2007, o diretor dos serviços
nacionais de informações, John D. Negroponte, apresentou
ao Congresso o relatório anual de avaliação de ameaças
mundiais, um exercício que, como é compreensível, merece
o desprezo dos principais responsáveis pelas agências de
informações dos Estados Unidos. Obriga-os a classificar —
em público — as maiores ameaças aos Estados Unidos, e
muitas vezes não passa de um exercício em que se procura
dizer ao Congresso o que este quer ouvir. Ainda assim,
considerado como uma espécie de retrato dos receios e
obsessões nacionais num momento dado, é um documento
revelador.
Quando Negroponte se instalou no lugar das testemunhas
nesse dia de janeiro, começou a sua apresentação com um
anúncio claro: «O terrorismo continua a ser a principal
ameaça à segurança nacional dos Estados Unidos.» Os
senadores presentes acenaram de forma aprovadora. Se
prosseguirmos a leitura do relatório, o que salta à vista é que
a possibilidade de um ciberataque nem sequer é mencionada.
O assunto está completamente ausente.
Já nessa altura, contudo, os chefes dos serviços de
informações dos Estados Unidos sabiam que as escaramuças
diárias entre as superpotências estavam a intensificar-se. Os
ataques chineses às empresas americanas — incluindo aos
fornecedores das forças armadas — estavam a tornar-se mais
frequentes. Em 2008, o ano que se seguiu ao testemunho de
Negroponte, vários hackers chineses ao serviço do Exército
de Libertação Popular entraram nas redes da Lockheed
Martin e roubaram planos do F-35, o caça de combate mais
sofisticado, e sem dúvida mais caro, já produzido. Mais
tarde, ainda nesse ano, introduziram-se nas campanhas de
Barack Obama e de John McCain, os dois rivais na corrida
presidencial. Lisa Monaco, que na altura dirigia a divisão de
segurança nacional do Departamento da Justiça, recorda
claramente o dia em que foi apresentada à equipa sénior do
presidente Obama. «Fiz um esforço para lhes explicar que os
chineses estavam em todos os seus sistemas», contou com
uma boa risada alguns anos mais tarde, numa altura em que
era conselheira para a Segurança Nacional na Casa Branca e
supervisionava o esforço dos Estados Unidos para
desenvolverem as suas ciberdefesas.
Mas foi no dia 24 de outubro de 2008, com o país à beira
das eleições em que Obama seria eleito, que por fim se
percebeu que alguma coisa teria de ser feita. Debora Plunkett
ainda recorda bem esse momento. Estava havia um mês à
frente da secção de operações avançadas com redes, ou
ANO, de Advanced Network Operations, quando lhe
pediram que desenvolvesse e ativasse ferramentas para
determinar se alguém estava no interior das redes de acesso
confidencial dos Estados Unidos, ou a tentar entrar lá.
Debora Plunkett não tinha chegado à Agência Nacional de
Segurança através de um percurso convencional. A filha de
um camionista de longo curso crescera perto de Fort Meade
mas só depois dos primeiros anos passados na universidade
ouviu falar da agência pela primeira vez. Ao fim de dois anos
difíceis no departamento de medicina legal da polícia de
Baltimore foi aconselhada, pelo namorado de uma amiga que
trabalhava para a NSA, a fazer o exame de acesso à agência.
Fizeram-lhe apenas uma descrição vaga do trabalho que aí
teria, mas isso bastou para Debora, que sempre gostara de
charadas, se sentir curiosa. Passou no exame e começou a
trabalhar para a Agência Nacional de Segurança em 1984.
Ao longo dos 25 anos seguintes, Debora Plunkett tornou-
se uma das poucas mulheres americanas de origem africana a
subir à chefia da NSA. «Muitas vezes era eu a única
representante de uma minoria, para não dizer a única mulher
representante de uma minoria na minha organização e no
meu grupo de trabalho», conta-nos. Saiu da secção de
criptografia para assumir a sua posição à frente da secção de
operações avançadas com redes e pouco tempo depois estava
à frente da investigação de redes de intrusos.
Num dia frio do outono de 2008 em Fort Meade — pouco
tempo antes da eleição de Barack Obama —, a equipa de
Debora Plunkett descobriu uma coisa que a deixou aterrada:
intrusos russos nas redes secretas do Pentágono. Tratava-se
de uma nova intrusão no Departamento da Defesa, que nunca
— pelo menos até à altura — descobrira qualquer
interferência no que era conhecido como SIPRNet (o nome
por extenso era o rebuscado «Secret Internet Protocol Router
Network»). A SIPRNet era muito mais do que uma rede
interna: ligava as forças armadas com os altos responsáveis
da Casa Branca e as agências de informações. Em resumo, se
os russos estavam presentes nesse canal de comunicações,
tinham acesso a tudo o que era importante. Debora Plunkett
recorda que «pouco tempo depois foram falar com o
Alexander», ou seja, com o general Keith Alexander, na
altura o diretor da Agência Nacional de Segurança.
Os investigadores concentraram-se em perceber de que
forma os russos tinham penetrado na rede. A resposta foi
chocante: tinham deixado algumas pen USB em áreas
públicas de estacionamento de uma base militar norte-
americana no Médio Oriente. Alguém pegou numa e ligou-a
a um computador portátil conectado com a SIRPNet, e isso
bastou para os russos penetrarem na rede. Na altura em que
Debora Plunkett e a sua equipa fizeram esta descoberta o
vírus já estava em todo o comando central dos Estados
Unidos, e não só, a descobrir dados, a copiá-los e a enviá-los
para os russos.
Para o Pentágono foi uma lição amarga — eram um alvo
fácil para atacantes que recorriam a uma técnica que tanto a
CIA como a NSA tinham usado muitas vezes para penetrar
em redes de computadores de outros países. «Trabalhámos
noite e dia para resolver o problema», recorda Debora
Plunkett. «Acabámos por chegar ao que na altura nos
pareceu uma solução razoável mas acabou por se revelar uma
solução muito boa.» A solução — chamada Operação
Buckshot Yankee — foi aplicada pelo Pentágono nesse
mesmo dia. Logo a seguir, para impedir que uma coisa
semelhante voltasse a acontecer, as portas USB de todos os
computadores do Departamento da Defesa foram inutilizadas
com supercola.
No entanto, o mal estava feito. Como William Lynn, na
altura subsecretário da Defesa, mais tarde explicou, a
intrusão foi «a falha de segurança em computadores militares
dos Estados Unidos mais grave de sempre, e serviu-nos a
todos de alerta».
Talvez isso seja verdade, mas ainda assim houve quem
não tivesse despertado. Depois de sair da NSA, Debora
Plunkett contou-me que, apesar de todos os seus esforços —
que foram consideráveis —, continua surpreendida com a
facilidade com que qualquer estranho consegue penetrar em
sistemas governamentais e de empresas importantes. Cada
vez que há uma invasão importante, «as pessoas como eu
dizem “vai ser agora, é o momento em que vão perceber”,
mas nunca é», acrescenta ainda, «porque somos tão pouco
cuidadosos com questões de segurança e investimos tão
pouco na nossa própria proteção. Facilitamos-lhes a vida».
*
 Enquanto Debora Plunkett tentava reforçar as defesas das
redes do Pentágono contra os russos, a equipa ofensiva da
NSA, que trabalhava não muito longe das instalações de Fort
Meade, já estava a fazer explodir as centrifugadoras de
Natanz.
Incentivado pelo general Cartwright, Keith Alexander, na
NSA, e mais um grupo de outros oficiais haviam sido
autorizados pelo presidente Bush a injetar secretamente
código malicioso nos computadores que controlavam as
instalações nucleares subterrâneas iranianas. Parte do plano
consistia em retardar os iranianos e em forçá-los a sentar-se à
mesa das negociações. Contudo, outra das motivações
importantes era dissuadir o primeiro-ministro de Israel,
Benjamin Netanyahu, de bombardear as instalações
iranianas, uma ameaça que aquele fazia mês sim mês não.
Bush levou a ameaça muito a sério. Os israelitas já se haviam
apercebido duas vezes de projetos nucleares em construção,
uma vez no Iraque e outra vez na Síria, e em ambos os casos
tinham-nos destruído.
A Operação Jogos Olímpicos era uma maneira de manter
os israelitas concentrados em destruir o programa nuclear
iraniano sem desencadear uma guerra regional. No entanto,
não foi fácil introduzir o código na central. Os sistemas de
computadores de Natanz estavam completamente isolados da
Internet. A CIA e os israelitas conseguiram introduzir o
código através de pen USB, entre outras técnicas, com a
ajuda, nalguns casos voluntária noutros involuntária, de
vários engenheiros iranianos. Com um ou outro sobressalto,
o plano acabou por funcionar bastante bem durante vários
anos. Os iranianos ficavam surpreendidos por algumas das
suas centrifugadoras estarem a acelerar e outras a
desacelerar, até por fim se destruírem a si mesmas.
Assustados, desativaram algumas das restantes antes que
tivessem o mesmo fim. Depois começaram a despedir
engenheiros.
Visto de Fort Meade, e da Casa Branca, o subterfúgio
parecia estar a resultar para lá das expectativas mais
ambiciosas dos seus criadores. Mas de repente tudo começou
a correr mal.
Nenhum repórter nem órgão de comunicação social
denunciou a Operação Jogos Olímpicos. A administração dos
Estados Unidos e o governo de Israel conseguiram fazê-lo
por si mesmos, devido a um erro. Desde então o dedo tem
sido muitas vezes apontado aos responsáveis. Os israelitas
dizem que os Estados Unidos não agiram com rapidez
suficiente, e os Estados Unidos asseguram que os israelitas
se tornaram impacientes e desmazelados. Mas uma coisa é
indiscutível: o Stuxnet saiu do sistema fechado em que se
encontrava no verão de 2010 e depressa começou a replicar-
se em sistemas de computadores de todo o mundo.
Apareceu em redes informáticas do Irão à Índia e acabou
por regressar aos Estados Unidos, de onde partira. De um dia
para o outro não havia quem não tivesse uma cópia — os
russos e os iranianos, os chineses e os norte-coreanos, além
de hackers variados por todo o mundo. Foi nessa altura que
lhe deram o nome de Stuxnet, uma mistura de letras retiradas
do próprio código.
Retrospetivamente, a Operação Jogos Olímpicos foi o
primeiro disparo da ciberguerra moderna. No entanto, na
altura ninguém se apercebeu disso. Tudo o que se soube sem
qualquer dúvida foi que um estranho pedaço de código se
espalhara pelo mundo a partir do Irão, e nesse verão de 2010
o programa nuclear iraniano parecia um alvo natural.
Na redação do New York Times estávamos todos atentos a
qualquer indicação de que uma ciberarma, em lugar de
bombas ou mísseis, estava a ser apontada ao complexo
nuclear iraniano. No início de 2009, quando Obama se
preparava para tomar posse, publiquei que o presidente Bush
autorizara secretamente um plano para sabotar sistemas
eletrónicos críticos, sistemas informáticos e outras redes em
que o sistema iraniano se apoiava, na esperança de retardar o
momento em que o Irão seria capaz de construir uma arma
nuclear. Dezoito meses mais tarde, ninguém ficou
surpreendido quando começaram a acumular-se provas de
que o Stuxnet era o código que procurávamos.
Pouco tempo mais tarde, dois ciberdetetives que
formavam uma equipa imbatível — Liam O’Murchu e Eric
Chien, da Symantec — começaram a ficar intrigados. Os
dois formavam um par invulgar: Liam O’Murchu é um
irlandês espalhafatoso com uma pronúncia cerrada, que deu o
sinal de alarme na Symantec, e Chien o engenheiro tranquilo
que investigou o caso. Ao longo de várias semanas os dois
esmiuçaram o código. Sujeitaram-no a vários filtros,
compararam-no com outro malware e mapearam a forma
como funciona. «Apesar de a sua extensão ser cerca de vinte
vezes superior à generalidade dos programas do mesmo
tipo», não continha praticamente bugs, Chien recordaria mais
tarde. «Isto é muito raro. O código malicioso tem sempre
bugs. Não era o caso do Stuxnet.» O engenheiro tem pelo
código a admiração de um colecionador de arte que tivesse
acabado de descobrir um Rembrandt totalmente
desconhecido.
O programa parecia parcialmente autónomo; não era
necessário que ninguém apertasse o gatilho. Pelo contrário, o
código explorava quatro falhas diferentes de segurança do
sistema, que lhe permitiam espalhar-se sem ajuda humana,
procurando autonomamente o seu alvo1. Isto constituiu uma
pista crucial para Chien e O’Murchu: as vulnerabilidades
deste tipo são raras, são muito valorizadas pelos hackers e
são vendidas por centenas de milhares de dólares no mercado
negro. Isso tornou evidente que o Stuxnet não podia ser obra
de um hacker individual, nem sequer de uma equipa de
amadores. Apenas um estado poderia ter os recursos — e o
tempo — necessários para escrever código daquele tipo. «Era
impossível resistir a uma coisa assim», disse-me O’Murchu
mais tarde.
Como é compreensível, os dois engenheiros ficaram um
tanto paranoicos com a possibilidade de estarem a ser
observados enquanto eles próprios estudavam o código.
Meio a brincar, Chien disse um dia a O’Murchu: «Ouve, eu
não sou do tipo suicida. Se por acaso aparecer morto na
segunda-feira, não fui eu.»
Os mecanismos mais ocultos do Stuxnet incluíam outra
pista de que o programa nuclear do Irão era o alvo do
malware. O programa parecia procurar alguma coisa, no seu
caso um tipo específico de equipamento conhecido como
«controlador lógico programável», fabricado pela Siemens, o
gigante industrial alemão. Trata-se de computadores
especializados em controlar bombas de água, sistemas de ar
condicionado e muitas outras coisas que acontecem em
automóveis. Acionam e interrompem o funcionamento de
válvulas, controlam a velocidade de máquinas e verificam
uma série de operações de produção que ocorrem em
instalações industriais modernas: em fábricas de produtos
químicos controlam as misturas, em centrais hídricas
controlam a fluoração e a corrente, em centrais elétricas
controlam a eletricidade. Nas centrais de enriquecimento de
urânio controlam a operação de centrifugadoras gigantes que
funcionam a velocidades supersónicas.
Chien e O’Murchu começaram a publicar o que tinham
descoberto, na esperança de descobrirem algum perito no
tipo de sistemas que o estranho código parecia ter como alvo.
O plano funcionou. Um especialista na Holanda explicou-
lhes que parte do código que tinham publicado procurava
«conversores de frequência», dispositivos usados para
modificar corrente elétrica, ou por vezes para alterar a
voltagem.
Não há muitas explicações inocentes para alguém se
introduzir numa infraestrutura com a finalidade de modificar
a corrente elétrica. E na instalação nuclear de Natanz os
conversores de frequência desempenhavam um papel crítico:
faziam parte do sistema de controlo das centrifugadoras
nucleares. E as centrifugadoras, como os especialistas da
administração dos Estados Unidos sabiam por experiência
própria, eram altamente sensíveis. Uma vez que giram a
velocidades supersónicas, qualquer mudança dramática —
desencadeada, por exemplo, por uma modificação na
corrente elétrica — pode alterar o funcionamento dos rotores,
como o pião de uma criança. Quando se tornam instáveis, as
centrifugadoras podem explodir, levando atrás máquinas ou
pessoas que se encontrem nas proximidades. Nesse caso o
gás de urânio espalha-se por todo o espaço onde se
encontram.
Em resumo, para travar a construção da bomba, o novo
ciberexército dos Estados Unidos construíra uma outra
bomba, neste caso digital.
Quando as centrifugadoras no Irão começaram a ficar
descontroladas, os operadores de Natanz não perceberam o
que estava a acontecer. Os dados que viam nos ecrãs
pareciam normais, tanto no que dizia respeito à velocidade
como à pressão do gás. Não tinham maneira de saber que o
código estava a manipulá-los e a suprimir os sinais que
anunciavam o desastre iminente. Na altura em que os
operadores perceberam que alguma coisa estava
perigosamente errada já não era possível fechar o sistema. O
malware também já tinha afetado esse processo.
Mas havia outras pistas. Embora o programa tenha
acabado por infetar computadores em todo o mundo, apenas
é ativado quando encontra uma combinação muito específica
de dispositivos: grupos de 164 máquinas. Este número
pareceu um tanto aleatório aos detetives do malware, mas
desencadeou os meus alarmes mentais. As centrifugadoras
das instalações nucleares de Natanz — que eu conhecia de
vários anos a cobrir o programa nuclear do Irão e a
entrevistar inspetores da Agência Internacional de Energia
Atómica — estavam organizadas em grupos de 164.
Tudo isto deixou pouco por esclarecer quanto ao alvo do
programa.
No verão e depois no outono seguinte, publiquei com dois
colegas do New York Times, o Bill Broad e o John Markoff,
várias histórias acerca das pistas lançadas pelo código do
Stuxnet. Markoff descobriu provas substantivas, e também
indicações ligadas ao estilo de código, do envolvimento de
Israel na criação do malware. Depois descobrimos vários
aspetos da programação que teriam de ser americanos —
uma data de validade, em que o código seria desativado. Os
adolescentes não incluem datas de validade no código que
escrevem. Já os advogados fazem-no, por receio de que o
malware se transforme no equivalente a uma mina
abandonada no Camboja, à espera que alguém a pise duas
décadas depois de ter sido ativada. Por fim, o Bill Broad
descobriu a última pista de que precisávamos: a prova de que
os israelitas tinham construído uma réplica gigante da central
de enriquecimento de Natanz na sua própria central nuclear
para fins militares, em Dimona (na altura ainda não sabíamos
que os Estados Unidos estavam a fazer o mesmo no
Tennessee). A finalidade era clara: ambos os países estavam
a construir modelos para simular os seus ataques, da mesma
maneira que os Estados Unidos construíram um modelo da
casa de Osama bin Laden em Abbottabad, no Paquistão, mais
ou menos pela mesma altura, para praticar o ataque iminente
contra o terrorista mais procurado do mundo.
Em meados de janeiro de 2011 achámos que já tínhamos
informações suficientes para publicar a nossa primeira
história acerca do que se encontrava por trás dos ataques do
Stuxnet. Num artigo no jornal de domingo, expusemos
provas irrefutáveis de que os Estados Unidos e Israel tinham
produzido em conjunto o malware que retardara o programa
nuclear iraniano. A história estava cheia de pormenores e
marcas que apontavam para Fort Meade, onde se situa a sede
da NSA, mas a publicação não desencadeou nenhum
episódio de indignação política nem qualquer investigação.
Isto só aconteceria cerca de um ano mais tarde2.
*
Depois de termos publicado o nosso artigo, algumas
grandes questões continuaram sem resposta. O que
acontecera fora uma pequena operação que correra mal ou
um esforço de grande escala mantido secreto durante muito
tempo? Supondo que os Estados Unidos e Israel tinham
combinado forças para conceber esta ciberarma de enorme
complexidade, quem teria dado luz verde à operação? No fim
de contas sabíamos que nos Estados Unidos apenas o
presidente tem o poder de autorizar o uso de ciberarmas
ofensivas, da mesma forma que apenas ele pode autorizar o
uso de armas nucleares.
Se a Operação Jogos Olímpicos era uma pista quanto aos
objetivos das operações secretas dos Estados Unidos,
estaríamos dispostos, como país, a abrir a caixa de Pandora?
E, uma vez aberta, seria possível voltar a fechá-la?
*
A descoberta de que Israel construíra uma réplica da
central de Natanz fez-nos perceber o papel central
desempenhado pelos israelitas no desenvolvimento do
Stuxnet. Quanto mais fontes entrevistava, mais claro se
tornava que o ciberprograma criara um desacordo entre o
primeiro-ministro Benjamin Netanyahu e Meir Dagan, o seu
mestre espião, baixo, careca e brilhante. Nos seus primeiros
tempos nas forças armadas de Israel, Dagan dirigira
esquadrões que perseguiam palestinianos. Ariel Sharon, o
primeiro-ministro que fora o comandante e mentor de Dagan,
afirmou cruamente que «a especialidade de Dagan era
separar árabes da sua cabeça», uma frase que se tornou
famosa. A descrição era brutal, mesmo considerando o
mundo violento da Mossad, o serviço de informações mais
conhecido de Israel, que Dagan acabaria por dirigir durante
nove anos — um período extraordinariamente longo. Dagan
procurou desacreditar estas histórias, embora no fundo
sempre tenha sentido orgulho nelas.
A lenda, no entanto, parecia ignorar que os alvos de
Dagan não eram apenas os árabes. Muitos observadores
suspeitam que o espião israelita também participou no
assassinato de vários cientistas nucleares iranianos, mortos
quando se dirigiam de carro ao trabalho por motociclistas
que fixavam bombas aos seus automóveis antes de
acelerarem e fugirem. Se Dagan estava realmente por trás
dos assassinatos, isso condizia com a sua convicção de que a
posse de armas nucleares pelo Irão representava de facto uma
ameaça à existência de Israel. E a verdade é que falar cinco
minutos com Dagan bastava para descobrir que o homem via
o mundo da perspetiva do Holocausto. Na sua secretária
tinha uma fotografia do avô ajoelhado à frente dos seus
captores nazis momentos antes de ser morto. Era a sua
justificação pessoal para a determinação com que organizava
a eliminação dos inimigos de Israel.
Dagan não fazia segredo de que nunca hesitara em enviar
agentes da Mossad em missões de assassinato. No entanto, a
primeira vez que uma dessas missões correu mal — os seus
agentes foram filmados a entrar e depois a sair de um hotel
no Dubai antes e depois do assassinato em 2010 de um
elemento da chefia do Hamas, o grupo islamita palestiniano
— foi o princípio do fim da sua carreira. As imagens dos
agentes israelitas, vestidos informalmente com equipamento
de ténis, passaram repetidamente nas televisões de todo o
mundo. No entanto, quando o seu período como chefe da
Mossad se aproximava do fim, Dagan procurou ficar
lembrado por ter dirigido uma operação que, da sua
perspetiva, fora um êxito total: o ataque de malware que
quase arrasara as instalações de Natanz.
Apesar da reputação de brutalidade de Dagan, conhecido
como o mestre da espionagem que conseguira assassinar
mais árabes a partir do seu quartel-general na Mossad do que
já assassinara na sua juventude, o israelita era um estratego
mais hábil do que a maior parte das pessoas imaginava.
Internamente, insistia com cada vez mais firmeza que
bombardear o Irão era pura loucura — o único resultado que
se conseguiria com isso seria as instalações nucleares
iranianas serem ainda mais protegidas no futuro. O programa
acabaria por voltar, com maior dimensão e mais avançado
que antes. Dagan dedicou os seus últimos anos no cargo a
dissuadir o primeiro-ministro Netanyahu de iniciar um
ataque aéreo ao Irão. «O recurso à violência militar teria
consequências intoleráveis», diria mais tarde Dagan ao
jornalista israelita Ronen Bergman. «Se Israel atacasse,
Khamenei acharia que isso fora uma dádiva de Alá»,
afirmou, referindo-se ao líder supremo do Irão. «Isso uniria o
povo iraniano em torno do projeto e Khamenei poderia dizer
que o objetivo da sua bomba era defender o Irão da agressão
israelita.»
Tudo isto significa que em 2010 Dagan estava sujeito a
uma pressão tremenda para mostrar a Netanyahu que uma
abordagem mais discreta e sofisticada à sabotagem do
programa nuclear iraniano tinha mais possibilidades de ser
bem-sucedida.
Nunca me encontrei com Dagan enquanto ele foi chefe da
Mossad, mas quando soube que numa das festas antes de se
retirar a maior parte dos brindes e das piadas dissera respeito
aos ciberataques em Natanz decidi tentar falar com ele. Os
que estavam por dentro do assunto apanharam as piadas, os
outros ficaram a tentar adivinhar porque estaria toda a gente
a rir-se.
Falei com ele pela primeira vez em 2011, poucos meses
depois de Dagan ter sido demitido do cargo pelo primeiro-
ministro Netanyahu. Pareceu-me claro que continuava
ressentido por ter sido afastado. Referiu-se ao primeiro-
ministro israelita como a um gestor incompetente e um mau
militar. Com ou sem razão, Dagan achava que Netanyahu se
vira livre dele porque o chefe da Mossad, tal como outros
chefes de serviços de informações de Israel, se opunha aos
esforços do primeiro-ministro para bombardear as
instalações nucleares israelitas.
«Bombardear seria a coisa mais estúpida que poderíamos
fazer», disse-me Dagan. Fazê-lo não seria o mesmo que
atacar o reator nuclear de Osirak, no Iraque, em 1981 ou o
reator da Síria em 2007. O antigo chefe da Mossad achava
que o programa iraquiano era pura e simplesmente
demasiado vasto para isso ser possível; não iriam cometer o
mesmo erro que os seus vizinhos. «Por esta razão, embora
reconheça que um ataque aéreo às instalações nucleares
iranianas me teria dado alguma satisfação», disse-me Dagan
num dos dias em que falámos, isso não passaria de uma
solução ilusória. As fotografias de satélite, continuou,
mostrariam as instalações nucleares iranianas devastadas
pelas bombas e toda a gente aplaudiria, mas poucos meses
depois, de acordo com as suas previsões, seriam
reconstruídas de forma a tornarem-se inacessíveis a outro
ataque do mesmo tipo. E isso, em sua opinião, seria
desastroso para o estado de Israel.
Tentar retardar o programa iraniano era um bom plano,
segundo Dagan, mas se Israel tentasse destruir as instalações
nucleares iranianas através de um ataque direto acabaria por
assegurar que o Irão teria, mais cedo ou mais tarde, uma
arma nuclear. Tinha de haver uma ideia melhor.
Na opinião de Dagan, uma ciberarma era a maneira ideal
de sair deste dilema. Nos nossos primeiros encontros, Dagan
foi muito discreto em relação ao seu papel no
desenvolvimento do Stuxnet, mesmo quando lhe assegurei
que soubera da sua participação em videoconferências
encriptadas em que haviam sido discutidos os passos
seguintes dos ataques. Dagan respondeu-me várias vezes
com um sorriso que não percebia muito de computadores,
como se isso o inocentasse do papel que ambos sabíamos que
ele desempenhara.
No entanto, com o tempo, e à medida que ia
enfraquecendo na sequência de um transplante de fígado que
não resultou, foi falando mais abertamente do que
acontecera. Na meia dúzia de conversas que tivemos ao
longo de vários anos, foi usando aqui e ali expressões do tipo
«se o fizemos», de maneira a poder explicar a lógica
subjacente às suas ações sem violar o juramento de manter o
segredo em torno das operações da Mossad. Falou da forma
como a tecnologia de Israel teria tornado quase impossível os
iranianos descobrirem de onde vinha o ataque. Disse que a
operação contra o Irão era um modelo de como Israel deveria
defender-se no futuro. Afirmou que os tempos em que as
demonstrações abertas de poderio militar que eram um
convite às retaliações, à escalada militar e às condenações
internacionais já tinham ficado para trás. Disse que os
tempos da ocupação de territórios eram uma coisa do
passado. A defesa de Israel, insistiu, exigia subtileza e
discrição.
«Duvido que fizesse a menor ideia de como se escreve
uma linha de código», disse-me uma vez um americano que
conheceu Dagan. «Mas sabia muito sobre a melhor maneira
de manipular o inimigo.» E estava convencido de que eram
os serviços de informações que deviam pôr fim ao programa
nuclear iraniano, e não a Força Aérea. Esta maneira de
pensar punha Dagan e Cartwright do mesmo lado da questão.
E muitos dos outros diretores de serviços de informações,
quando abandonaram os cargos, afirmaram ter apoiado os
seus argumentos.
À minha frente Dagan nunca admitiu diretamente o seu
papel nos ciberataques, mas insinuou que tinham sido
pensados não só para impedir os iranianos de enriquecer
urânio, mas também para dissuadir Netanyahu de
desencadear uma guerra no Médio Oriente. «Não confio
nele», disse Dagan de Netanyahu. E acrescentou que era do
interesse do político israelita retratar os iranianos como
zelotes irracionais capazes de usar a bomba contra Israel. Já
Dagan olhava para os iranianos e via um grupo de mullahs
que se preocupavam acima de tudo com manter-se no poder,
e de maneira nenhuma com dar início a uma guerra suicida.
Havia uma razão, disse-me Dagan, para Bush não dar as
suas armas mais poderosas a Netanyahu. «Bush tinha medo
que ele as usasse», contou-me Dagan. «E eu também»,
acrescentou.
Esse receio explica o entusiasmo de Dagan por usar
ciberarmas contra Teerão. Era uma forma de fazer recuar o
programa nuclear. Mas o mais importante talvez seja Bush e
Obama terem sido capazes de convencer Netanyahu de que
não havia razão para bombardear enquanto os ciberataques
continuassem a resultar.
A última vez que vi Dagan, o velho espião mostrou-se
descontente com o que eu escrevera acerca da Operação
Jogos Olímpicos, mas, ao contrário dos seus homólogos
americanos, queixou-se de eu não ter escrito o suficiente, e
não de ter escrito de mais.
«Uma grande parte da história ficou de fora», disse-me
ele, defendendo que os americanos tinham recebido
demasiado crédito pelo que acontecera, enquanto os
israelitas, o que significava ele próprio, não haviam recebido
o suficiente. Eu tinha sido enganado pelos americanos, que
adoravam vangloriar-se dos seus próprios êxitos, insistiu
comigo um dia, em vez de reconhecerem o mérito dos
aliados — teve o cuidado de não mencionar nenhum em
particular —, que haviam executado a parte realmente difícil,
como fazer o código chegar às centrifugadoras, e revê-lo à
medida que isso ia sendo necessário.
Por mim, disse-lhe eu, teria o maior prazer em contar o
lado israelita da história, mas ele próprio teria de ser mais
explícito quanto aos pormenores operacionais, para eu ter
dados suficientes. A sua resposta foi um sorriso — de
desdém.
«Sou um homem idoso», disse-me ele, «e estou doente.
Não quero passar os meus últimos dias na prisão.»
*
No final de 2011, depois de várias dezenas de entrevistas,
fiquei com uma imagem geral da estratégia e dos debates em
torno da decisão de lançar o Stuxnet — ou pelo menos da
parte que consegui reunir, tendo em conta as camadas
sucessivas de proteção do segredo envolvidas. Depois de
consultar os editores, e o conselho editorial do New York
Times, chegou a altura de falar com a Casa Branca do
presidente Obama, para ver se a sua equipa estava na
disposição de falar — tanto acerca do que acontecera como
acerca de quaisquer outras preocupações com a segurança
nacional relativas à publicação dos pormenores da história.
Como é habitual nestes casos, deixei muito claro que o New
York Times, e apenas o New York Times, teria a decisão final
acerca da publicação, mas, no caso de haver algum risco para
operações então em curso, ou para a vida de alguém, a altura
própria para o discutir era então, e não depois de o artigo
sair.
A minha primeira visita foi a Benjamin Rhodes, antigo
romancista e elegante autor de discursos que acabou por
decidir uma série de questões diplomáticas no tempo de
Obama, incluindo a abertura em relação a Cuba. A sua
função era lidar com jornalistas que se dirigiam à
administração com histórias complexas e sensíveis para a
segurança nacional dos Estados Unidos e determinar como,
ou se, a Casa Branca devia responder. Sem entrar em
pormenores em relação aos acontecimentos, sugeri a
possibilidade de falar com o general Cartwright. Isto fazia
sentido, visto que o general estivera em funções durante a
administração de Bush e ainda de Obama e encontrara-se no
centro de todos os debates acerca do uso ofensivo de
ciberarmas, pelo que estava a par das subtilezas da questão.
Cartwright retirara-se da Marinha por não ter sido promovido
a presidente dos chefes de Estado-Maior em 2011 e conhecia
a história do desenvolvimento de um ciberarsenal pelos
militares norte-americanos melhor que qualquer outra
pessoa.
Conheci o general Carwright nos seus tempos do grupo
dos chefes de Estado-Maior e estive presente em várias
conferências em que discutiu os desafios estratégicos
associados à nova era dos ciberconflitos. Na minha cobertura
da Operação Jogos Olímpicos, o nome apareceu várias vezes
como o da pessoa que mostrara a Obama a forma como o
Stuxnet funciona (embora na altura ainda não lhe tivesse sido
dado o nome de Stuxnet) e preparara o diagrama de
pormenor de Natanz para atualizar o presidente.
No entanto, o acesso direto de Cartwright a Obama
começou a incomodar Robert Gates, o secretário da Defesa, e
Mike Mullen, o presidente do grupo dos chefes de Estado-
Maior. Estes estavam convencidos de que havia várias
questões em que ele manipulava o sistema do Pentágono, ou
contornava a linha de comando. Não ter passado pelo Iraque
e pelo Afeganistão também não o ajudou. Quando Mullen
estava prestes a retirar-se, os dois conseguiram que
Cartwright não fosse promovido ao seu lugar. De um
momento para o outro, o homem que esteve entre os
primeiros a esboçar o modo como os Estados Unidos podiam
criar um comando dedicado a lidar com a nova dimensão do
conflito militar foi corrido. Com ele, descobri mais tarde,
saíram algumas das pessoas mais criativas na conceção do
uso defensivo e ofensivo das novas armas.
Depois de se retirar, Cartwright aceitou um lugar no
Centro de Estudos Estratégicos Internacionais e assinou
contratos com várias empresas ligadas à Defesa, incluindo a
Raytheon, um fabricante de mísseis e outros dispositivos
eletrónicos militares. Cautelosamente, começou a levantar a
voz contra o secretismo que rodeia o novo arsenal americano
e a defender que, se os Estados Unidos estiverem
interessados em criar uma ciberdissuasão, têm de começar a
mostrar um pouco as suas capacidades. «Um segredo não
pode ser dissuasor», ouvi-o dizer em mais de uma
intervenção pública. «Se não soubermos que existe, não nos
mete medo.»
Tinha razão, e aos poucos, e com muita prudência, o
Pentágono começou a deixar escapar aqui e ali algumas
informações em relação ao seu potencial na área. Era um
pouco como admitir que o Sol nasce de novo todas as
manhãs, mas ainda assim não foi uma mensagem bem
recebida no mundo dos serviços de informações, que
receavam a divulgação generalizada daquilo em que
consistiam essas armas e de como poderiam ser usadas.
Entretanto, Cartwright ia igualmente defendendo que os
Estados Unidos também podiam sobreviver perfeitamente
com muito menos armas nucleares — um argumento com um
valor particular na boca de um antigo chefe do Comando
Estratégico. Mais uma vez tinha razão, mas as suas ideias
não lhe fizeram novos amigos entre os velhos colegas do
Pentágono, que raramente veem um sistema de armas que
não lhes agrade.
 Segui o conselho de Rhodes e liguei ao general
Cartwright. Na altura em que me fui encontrar com ele não
só conhecia os contornos da história da Operação Jogos
Olímpicos como já os tinha incorporado nos dois capítulos
com que abri um livro acerca da primeira presidência de
Obama, em que descrevo o assunto com todos os pormenores
que consegui descobrir até então. O livro tinha lançamento
marcado para poucos meses depois e já estava em processo
de edição. Isto acabou por se revelar importante mais tarde,
quando o FBI — cujos agentes nunca se devem ter
confrontado com o processo de produção de um livro —
concluiu, erradamente, que Cartwright era a minha fonte.
Ao encontrar-me com o general tive dois objetivos:
verificar se percebera bem a história e as suas implicações e
confrontar-me com uma visão objetiva do perigo que ela
podia representar para a segurança nacional dos Estados
Unidos. Cartwright sabia que eu fora enviado pela Casa
Branca e considerava-se parte do esforço para me dissuadir
de publicar quaisquer pormenores que pudessem ajudar um
adversário do país. Assim que começámos a falar deixou
claro que não podia discutir assuntos confidenciais comigo.
Ainda assim, quando o FBI começou a procurar o
responsável por uma fuga de informações — como se tivesse
havido apenas um —, fomos ambos um pouco ingénuos. Por
ter cumprido o seu dever, Cartwright acabou por pagar um
preço altíssimo, pelo qual me sinto horrivelmente culpado até
hoje.
*
A minha visita ao gabinete de Michael Morell no sétimo
piso da sede da CIA ocorreu apenas alguns dias mais tarde.
Encontrei-o rodeado pelas recordações de três décadas de
carreira, incluindo alguns objetos recolhidos no ataque em
que Osama bin Laden foi morto. Morell estava bastante
próximo do presidente Obama e eu sabia que se a
administração tentasse boicotar a história seria ele o homem
a fazê-lo.
 Começámos a rever os pormenores da minha reportagem e
da história que eu tencionava contar. Falei de muitos aspetos
da investigação que levara os peritos a identificarem o
envolvimento de Israel e dos Estados Unidos, dos destroços
das centrifugadoras encontrados pelos inspetores
internacionais, das réplicas das instalações de Natanz
construídas pelos israelitas em Dimona e pelos americanos
no Tennessee e descrevi as discussões na sala de crise em
que ele próprio participara. Morell acautelou-me em relação
a algumas afirmações e discutiu certas conclusões. Houve
momentos da história em que estudou o assunto com mais
pormenor, tomou apontamentos e sugeriu-me que cortasse as
referências a algumas das técnicas que a agência usava para
penetrar em computadores e redes inimigas (curiosamente,
alguma semanas mais tarde pediu-me que a referência a uma
dessas técnicas voltasse a ser incluída; embora não me
tivesse dado qualquer explicação para o pedido, pareceu-me
evidente que a agência já estava a usar outros métodos mas
queria que os iranianos continuassem a pensar que ainda
usava os antigos).
No conjunto, Morell pediu-me apenas que apagasse meia
dúzia de coisas, a maior parte simples pormenores técnicos
relativos à forma como os Estados Unidos colocam «faróis»
e malware em sistemas e redes estrangeiras. Nada disso era
essencial para contar a história do ciberataque patrocinado
por um estado mais sofisticado alguma vez levado a cabo.
«A verdade é que concordou com praticamente tudo o que
lhe pedimos», reconheceria mais tarde, embora continuasse a
não concordar que publicássemos o que quer que fosse
acerca das operações secretas norte-americanas.
Seja como for, quando a história foi publicada nada disso
importou. Os republicanos, que estavam a tentar transmitir a
impressão de que Obama não tinha mão firme com o
terrorismo — o que não era fácil depois da morte de Bin
Laden —, acusaram a Casa Branca de ter passado a história à
imprensa, a par de uma outra história sem relação com esta
que o New York Times publicou pela mesma altura acerca do
papel do presidente na aprovação de uma «lista de morte» de
terroristas a serem atacados por drones.
«Sabemos que as informações vêm da administração, por
isso penso que chegámos a um ponto em que tudo isto tem
de ser investigado», afirmou o senador John McCain.
Segundo o antigo candidato à presidência, esta história
formava «um padrão com o objetivo de sublinhar as
credenciais do presidente no que respeitava à segurança
nacional, uma coisa que todas as administrações têm feito.
Contudo, esta presidência levou tudo isto a um novo nível».
O próprio presidente iniciou uma manobra delicada. Não
podia confirmar a história, como é evidente, nem podia negá-
la, mas queria que todos soubessem que a fonte não era ele.
«Não vou fazer comentários a questões supostamente
confidenciais», afirmou publicamente com um tom duro
alguns dias depois de os pormenores da ligação da Operação
Jogos Olímpicos à Casa Branca terem sido divulgados.
«Quando esta informação, ou estas afirmações, sejam
verdadeiras sejam falsas, aparecem na primeira página dos
jornais, o trabalho dos que andam na linha da frente torna-se
mais difícil, e o mesmo se passa com o meu — e essa é a
razão por que desde que tomei posse não tenho tido a menor
tolerância com este tipo de especulações e fugas de
informação. Hoje em dia há mecanismos que permitem fazer
as pessoas que transmitem informações confidenciais sofrer
as consequências dos seus atos. Nalguns casos, fazê-lo é um
crime.» E acrescentou rapidamente: «A ideia de que a minha
administração seria capaz de divulgar deliberadamente
informações relativas à segurança nacional é ofensiva, e é
falsa.»
Estes comentários, feitos em junho de 2012, sublinham os
reflexos de secretismo em torno de tudo o que diz respeito à
ciberguerra, o que é especialmente estranho num caso como
este, em que o código se tinha espalhado por todo o mundo
dois anos antes. Além disso, basicamente forçaram o
Departamento da Justiça a lançar uma investigação à fuga de
informações, que o procurador-geral Eric Holder anunciou
por volta da mesma altura. O chefe de pessoal da Casa
Branca deu ordem a todos os funcionários de que
conservassem quaisquer notas, emails ou outros tipos de
comunicações comigo. Uma vez que eu cobria a equipa de
segurança nacional de Obama havia três anos, foi preciso
guardar muitas coisas. Pouco tempo depois o FBI começou a
entrevistar um sem-número de testemunhas. Conseguiram
um mandado secreto para obter todos os emails enviados e
recebidos pelo general Hayden, o antigo chefe da CIA e da
Agência Nacional de Segurança. Além disso usaram as notas
da CIA acerca da minha conversa com Morell para tentar
acusar o general Cartwright. A razão por que decidiram
implicar com ele, entre tantos oficiais estacionados nos
Estados Unidos e noutros países com quem também falei,
continua a ser um mistério para mim (a certa altura foram ter
com ele com passagens dos seus discursos sublinhadas e
também com a sintaxe dos parágrafos que eu próprio
escrevera, na tentativa de encontrar pontos comuns; como é
evidente, todas as citações eram de afirmações que o general
tinha feito em público, não confidenciais).
Como entretanto o próprio general Cartwright admitiu,
cometeu o erro de falar com o FBI sem um advogado
presente. Segundo diz, julgou que estavam todos do mesmo
lado. Quando a entrevista com o FBI se tornou agressiva,
segundo se conta no seu processo, o general adoeceu e esteve
hospitalizado por um breve período. Mais tarde foi acusado
de ter mentido ao FBI acerca de quando e como nos
encontrámos.
O general acabou por nunca ser acusado de ter revelado
informações secretas, e, pelo menos tanto quanto é do meu
conhecimento, nunca o fez. Contudo, este facto crucial
parece não ter qualquer relevância3.
*
A suprema ironia no caso do general Cartwright é que o
homem que permitiu que a administração federal assumisse
uma abordagem sofisticada à arma mais complexa do mundo
esteve entre as primeiras vítimas da discussão paranoica em
torno do assunto. A administração podia ter respondido às
revelações acerca da Operação Jogos Olímpicos admitindo o
que já fora revelado e recordando aos adversários — o Irão, a
Rússia e a Coreia do Norte, entre outros — que os Estados
Unidos tinham o poder de fazer muito pior. Podia ter
explicado por que razão a cibersegurança era tão importante
para evitar uma verdadeira guerra no Médio Oriente. Podia
ter aproveitado a oportunidade para discutir o tipo de regras
globais que devíamos criar para o uso de ciberarmas contra
civis, instalações comerciais e outros governos.
A administração dos Estados Unidos não fez nada disso.
O Pentágono e os serviços de informações não estavam na
disposição de discutir publicamente a forma como poderiam
limitar o uso de ciberarmas, nem em tempos de guerra nem
em tempos de paz.
Em parte, esta relutância refletia o facto de os Estados
Unidos ainda estarem convencidos de que se encontram na
dianteira em cibertecnologia. Nos primeiros tempos da era
nuclear muitos responsáveis políticos e militares tinham-se
oposto a discutir sequer a possibilidade do controlo da
proliferação nuclear, uma vez que não viam razão para os
Estados Unidos renunciarem ao seu enorme avanço em
relação aos competidores (os primeiros limites à proliferação
nuclear surgiram no início dos anos 60, apenas depois de os
russos terem um arsenal completo e o Reino Unido, a França
e a China estarem a construir os deles). No entanto, o
silêncio e a obsessão com o secretismo podem ter tido uma
motivação mais profunda: os serviços de informações
americanos tinham uma série de outras ciberoperações a
decorrer em todo o mundo. Estas operações iam da
espionagem clássica à introdução de malware altamente
destrutivo em sistemas de outros países — do tipo que
poderia fazer um país inteiro recuar à era analógica.

1 Um zero-day flaw, ou seja, uma vulnerabilidade

identificada pela primeira vez num software. A razão de ser
do nome é haver zero dias de pré-aviso para a corrigir antes
que os estragos sejam irreparáveis.
2 A razão do atraso da resposta pode ser uma coincidência
temporal. A primeira história foi publicada poucas horas
depois do levantamento da Praça Tahrir, no Egito, que saltou
para todas as manchetes e forçou Obama a um esforço sério
para fazer o presidente Hosni Mubarak abandonar o cargo.
3 Em 2016 Cartwrigh admitiu a sua culpa. Obama
concedeu-lhe um perdão nos últimos dias da sua presidência,
e restituiu-lhe mesmo as suas autorizações de segurança.
 Capítulo II
A INBOX DE PANDORA
«O enredo da ciberguerra da ficção científica já
aqui está. É o Nitro Zeus. Mas o que me
preocupa, a razão que me faz falar, é que quando
se desliga a rede elétrica de um país inteiro o
que acontece em seguida não é apenas ela voltar
a ser ligada. É mais como o Humpty-Dumpty. E
se nem todos os homens do rei são capazes de
voltar a ligar a eletricidade, ou a filtrar a água
durante vários dias, acabam por morrer muitas
pessoas. Além disso, aquilo que fazemos aos
outros também os outros podem fazer-nos a nós.
Isto será um assunto que se deva esconder? Ou
será melhor discuti-lo?»
— Funcionário da NSA, através de uma
personagem ficcional em Zero Days

D epois de os russos terem penetrado nas redes secretas do

Pentágono em 2008, houve duas coisas que se tornaram
claras para a administração Obama, recentemente iniciada.
Em primeiro lugar, os hackers de Putin iam sem dúvida
regressar. Em segundo lugar, os Estados Unidos precisavam
de um verdadeiro cibercomando, com mais capacidades que
as pequenas unidades espalhadas entre o Exército, a Marinha
e a Força Aérea, além do Comando Estratégico do general
Cartwright. Estava na altura de criar uma verdadeira
organização militar, com as suas próprias tropas e uma
defesa e ataque digitais integrados.
No entanto, ninguém fazia ideia da forma que esse
exército digital devia assumir, ou da forma como devia
combater. Os políticos conseguiam perceber de forma
intuitiva todos os outros domínios militares: terra, mar, ar e
espaço. Conseguiam imaginar equipamento convencional
como tanques, porta-aviões, bombardeiros e satélites. No
entanto, o ciberdomínio, como afirmou Keith Alexander, na
altura chefe da Agência Nacional de Segurança e por fim o
primeiro comandante do Cibercomando, «deixava muita
gente confusa».
«Os meus netos perceberam bem do que se tratava»,
disse-me ele, «mas o Congresso levou bastante mais tempo.»
Na realidade, Keith Alexander e os seus companheiros
deram muitas vezes por si a falar com membros do
Congresso que raramente usavam computadores, de maneira
que não foi fácil explicar-lhes de que maneira uma nova
força militar poderia conceber malware para derrotar um
inimigo. Embora a Operação Jogos Olímpicos pudesse ter
proporcionado um bom exemplo, na altura ainda era um
segredo muito bem protegido. Todo o processo estava de tal
maneira compartimentado que apenas meia dúzia de pessoas
sabia da sua existência.
Em 2009, Robert Gates, na altura o secretário da Defesa
de Obama, concluiu que a intrusão dos russos nas redes
secretas do Pentágono significava que a criação do
Cibercomando dos Estados Unidos já era um pouco tardia.
Oficialmente ganhou forma em junho, e ficou sedeado em
Fort Meade — um reconhecimento de que, se queria
sobreviver, a nova unidade militar precisava
desesperadamente das competências e da experiência dos
civis que trabalhavam para a Agência Nacional de
Segurança. Com o tempo, surgiu um plano para criar uma
força militar com 6200 efetivos — soldados, marinheiros,
comandos e aviadores divididos em 133 cibercomandos —,
que seriam espalhados pelos diferentes serviços. Na altura já
havia meia dúzia de ciberequipas ofensivas em Fort Meade,
organizadas de forma explícita à maneira do Comando de
Forças Especiais, o preferido de todos os presidentes
americanos. No entanto, transformá-las numa força de
combate digital ia levar o seu tempo.
«O pessoal das operações especiais é difícil de encontrar e
de formar», disse-me Ashton Carter em 2013, pouco antes de
abandonar o posto de secretário-adjunto da Defesa. A parte
mais difícil, no entanto, foi perceber exatamente o que ia ser
permitido a estas novas forças. Todas as operações militares
dos EUA exigem a aprovação de juristas, mas perceber o que
é admissível à luz das leis da guerra era particularmente
difícil no ciberespaço (este problema é específico dos
Estados Unidos, mas não atrapalha russos, chineses ou norte-
coreanos).
São problemas do tipo «tens a certeza que esta ação contra
um sistema de informações inimigo apenas vai ter como
consequência perturbar, por exemplo, um sistema da defesa
aérea», disse Carter, sem encerrar hospitais ou cortar o
abastecimento de água a civis? «Temos de perceber as
consequências das nossas ações.»
Por essa razão, acrescentou Carter, «as decisões deste tipo
são suficientemente sérias para ficarem reservadas para o
presidente». Era este o busílis da questão: da mesma maneira
que apenas o presidente pode ordenar o lançamento de uma
arma nuclear, o lançamento de uma ciberarma também deve
ser limitado.
A tarefa de estudar estas normas coube a Keith Alexander,
que por seu lado se apoiou em Paul Nakasone, seu ajudante
de campo. Enquanto Alexander estava constantemente a
defender a sua pasta — por exemplo, argumentando a favor
da necessidade de mais autoridade para recolher dados que
entravam nos Estados Unidos, como fizera a propósito dos
dados digitais que entravam no Iraque —, Nakasone estava
imerso na reflexão sobre a forma de organizar um
ciberexército.
«Todos os que viam a maneira como trabalhava —
apanhava-nos num corredor e perguntava-nos o que estava a
acontecer, movimentando-se com fluidez através do
Pentágono e de Fort Meade — perceberam que estava a ser
preparado para liderar a ciberguerra do futuro», recorda
Christopher Kirchhoff, um assessor do Pentágono que
acabou por se tornar um dos parceiros do esforço de
desenvolvimento de tecnologia experimental do Pentágono
em Silicon Valley.
 Na realidade, Nakasone estava profundamente envolvido
noutra operação crítica — um dos primeiros grandes projetos
secretos do Cibercomando. Tratava-se de um subprojeto
daquilo a que no Pentágono se chamava, com a obsessão
habitual pelos números, «plano operacional 1025», que era
na realidade o projeto de guerra com o Irão, fosse porque as
negociações em relação ao seu programa nuclear falhassem,
fosse por o Irão ter retaliado, ou talvez em resposta a um
ataque à bomba de Israel.
A parte do puzzle que cabia ao Cibercomando era
contribuir para uma operação chamada Nitro Zeus. Era um
plano, recorrendo a cibermétodos mas não só, para sabotar o
país inteiro, de preferência sem disparar um só tiro. Se a
Operação Jogos Olímpicos era o ciberequivalente de um
ataque com drones no Irão, o Nitro Zeus era um ataque direto
em grande escala.
*
O primeiro encontro de Paul Nakasone com a informática
não foi exatamente uma história idílica de descoberta e
invenção com Silicon Valley como pano de fundo.
«Foi em 1986 e eu decidi comprar um PCjr, da IBM»,
recorda. Nakasone estudava na Universidade de St. John,
uma pérola à beira de um lago maravilhoso numa região
remota do Minnesota, tão remota que a capacidade de
comunicar com o mundo exterior era mais importante que
tudo o resto. Esse pequeno computador, com o seu «teclado
de pastilha elástica» que foi objeto de tanta troça e o seu
sistema operativo elementar, deixou-o completamente
obcecado, conta hoje. Várias décadas mais tarde ainda
recorda a estranha combinação de teclas necessária para o
fazer funcionar. «Sabe, ainda foi no tempo em que era
preciso carregar no “control” e no “7” ao mesmo tempo para
imprimir alguma coisa. Não se podia fazer muito com ele.
Mas foi quanto bastou para eu ficar apanhado.»
Nakasone é filho de um linguista americano de origem
japonesa que presenciou o ataque a Pearl Harbor. Durante a
segunda guerra mundial, as aptidões linguísticas do pai
contribuíram para resolver uma necessidade urgente da
administração, o que ajudou a evitar à família a passagem
pelos campos onde a administração de Roosevelt decidiu
internar a maior parte dos cidadãos de origem japonesa. Paul,
que nasceu quase vinte anos depois do fim da guerra, fez
parte da primeira geração da sua família a frequentar uma
universidade nos Estados Unidos.
Quando escrevia no teclado do velho PCjr em 1986,
Nakasone não fazia ideia de como essa primeira e breve
exposição ao novo mundo dos computadores pessoais viria a
modificar a sua vida. Quando recebeu a sua comissão de
serviço no Exército, nesse mesmo ano, ninguém prestou
grande atenção ao seu interesse pelos computadores — nem
sequer ele próprio. Foi assim que começou a percorrer os
postos tradicionais dos oficiais de carreira com a ambição de
chegar aos lugares mais altos. Isso significava pensar como
no Exército sempre se pensou acerca da forma de evitar
guerras — e de as combater —, ou seja, em terra.
Nakasone fez a recruta na Segunda Divisão de Infantaria
em Fort Carson, no Colorado, depois do que foi colocado na
última fronteira dos tempos da Guerra Fria: a zona
desmilitarizada, onde as tropas da Coreia do Norte e da
Coreia do Sul se enfrentam como já acontecia em 1952.
Desse posto de observação, 50 quilómetros a norte de Seul,
tinha-se a impressão de que os norte-coreanos nem uma
lâmpada elétrica eram capazes de fabricar: não se via uma
luz.
Durante a invasão do Iraque de 2008, Nakasone conseguiu
por fim a primeira oportunidade de pensar digitalmente. Fez
parte do Grupo de Iniciativas Estratégicas, que estava então
apenas a começar a usar cibertécnicas — ainda ninguém
chegara sequer ao ponto de conceber a ciberguerra — contra
os extremistas islâmicos. Houve algumas experiências —
como infetar computadores portáteis e cortar linhas de
comunicações —, mas nada que entusiasmasse um
verdadeiro ciberguerrilheiro.
 «Foi em 2008 que tudo mudou», contou-me, quando
Gates começou a fazer pressão para que se criasse o
Cibercomando. A experiência de Nakasone tornou-o um
candidato natural a participar na organização da nova força.
Pelo menos parecia fluente numa linguagem que deixava a
maior parte dos colegas um pouco confusos, e bastante
desconfiados em relação à nova expressão que corria no
Pentágono: «domínio digital».
Tal como o pai, Nakasone deu por si constantemente a
fazer traduções ao serviço das forças armadas: no seu caso,
do código dos programadores no jargão dos estrategos da
guerra. «Entre o secretário da Defesa e os chefes de Estado-
Maior já se percebera que era preciso começar a pensar de
outra maneira acerca do assunto, a pensar como se se tratasse
de um campo de batalha completamente novo», contou-me.
Nakasone passou muito tempo a explicar que as ciberarmas
não suplantaram as armas habituais na guerra. Os
ciberconflitos não existem separados das outras formas de
conflito. Seriam parte de todas as guerras do futuro, assim
como de todos os conflitos secundários; seriam usadas a par
dos drones militares, dos mísseis Tomahawk, dos F-16 e das
Forças Especiais.
No entanto, no princípio «não tínhamos nada», disse ele.
«Não havia estrutura, ainda não havia sequer uma verdadeira
missão. E isso tinha de mudar.»
*
Para as novas tropas do Cibercomando, a Operação Jogos
Olímpicos oferecia um caso de estudo interessante para o que
pode correr bem, e para o que pode surgir inesperadamente,
quando os Estados Unidos se voltam para as ciberarmas.
Os danos materiais causados pelo Stuxnet foram
devastadores e dramáticos, mas não duradouros. Tanto
quanto se sabe, os iranianos perderam cerca de mil
centrifugadoras e, por receio de que os danos se tornassem
ainda maiores, os próprios engenheiros iranianos desligaram
mais algumas. No entanto, depois de o código se ter tornado
conhecido, somaram dois e dois. Precisaram de um ano para
se recuperar e iniciar a reconstrução, mas restabeleceram a
capacidade inicial e acabaram por construir mais cerca de 18
mil centrifugadoras — mais do triplo das que tinham na
altura do ataque. Como o primeiro-ministro iraniano
Mohammad Javad Zarif me disse um dia em Viena durante
as negociações do acordo com o Irão: «Afinal o que
conseguiram os vossos engenheiros? Tornámo-nos mais
determinados e construímos novo equipamento.»
Os efeitos mais duradouros do ataque foram psicológicos,
e não físicos. Quando observamos um gráfico da produção
iraniana de urânio enriquecido, a Operação Jogos Olímpicos
não passou de um sobressalto. Não foi uma mudança
profunda; foi uma vitória tática, não estratégica. Mas
produziu um sentimento de medo no establishment nuclear
iraniano.
«A primeira coisa que o ataque fez perceber aos iranianos
foi que estamos dentro dos sistemas deles», observou mais
tarde um antigo oficial israelita. «Isso deixou-os
forçosamente paranoicos. Não só estávamos lá, como
podíamos voltar as vezes que entendêssemos. Por outras
palavras, não podiam sequer fechar-nos a porta. O segundo
efeito», continuou o oficial, «foi termos enviado uma
mensagem. Se países como os Estados Unidos e Israel
estavam na disposição de ir a este ponto para travar as
centrifugadoras, a que ponto estariam dispostos a ir para
impedir a produção de uma bomba atómica? E a terceira
mensagem», disse o mesmo responsável, é que o programa
nuclear «pode ser mais valioso para eles como moeda de
troca que como sistema de produção da bomba.»
Ainda assim, quando os iranianos reconstruíram o sistema
com maior escala que antes, o presidente Obama não podia
contar que essas mensagens convencessem os mullahs de que
estava na altura de se sentarem à mesa das negociações para
ver o que conseguiriam obter em troca de abandonarem o
programa nuclear. Havia sempre a possibilidade de o seu
esforço para conter Israel falhar e de o primeiro-ministro
Benjamin Netanyahu decidir bombardear as instalações
nucleares iranianas — e com isso envolver os Estados
Unidos numa nova guerra no Médio Oriente. Obama
precisava de uma estratégia mais ampla, que lhe deixasse
uma opção militar realista.
Assim, ainda a Operação Jogos Olímpicos estava a
decorrer, Obama preparou um plano de guerra. A decisão foi
parcialmente incentivada por Gates, que deixou claro que
estava muito pouco impressionado com a atitude da
administração em relação à corrida do Irão à bomba. Gates
escreveu um relatório extraordinariamente crítico ao
conselheiro para a segurança nacional Tom Donilon, em que
mostrava como os Estados Unidos estavam mal preparados
para uma «surpresa estratégica».
Coube ao general John R. Allen, na altura no Comando
Central dos Estados Unidos — sedeado na Florida e que
supervisiona toda a estratégia dos Estados Unidos para o
Médio Oriente —, retificar essa deficiência. Até hoje, o
general Allen, que mais tarde veio a dirigir a Brookings
Institution, nunca falou dos seus esforços nessa matéria, mas
o resultado final foi uma estratégia geral para responder a um
Irão armado com a bomba atómica. E Nakasone e o
Cibercomando tiveram a sua parte nesse projeto: integrar os
ciberataques em operações militares mais tradicionais.
Quando Nakasone e o Cibercomando consideraram o que
as suas armas digitais poderiam fazer em benefício do plano
de batalha, concentraram-se nos alvos iranianos que podiam
alcançar introduzindo-se nas redes do país: a defesa aérea do
Irão, os seus sistemas de comunicações e a sua rede de
distribuição de energia elétrica. O Nitro Zeus seria o primeiro
ataque do plano de guerra: desativar completamente o país,
com tal rapidez que o Irão teria imensa dificuldade em reagir.
Além disso, segundo pensavam alguns dos seus criadores,
era uma imagem do que reservava o futuro. A ideia era fazer
o país alvo mergulhar em total confusão e escuridão desde o
início do conflito. Isso daria tempo aos Estados Unidos e a
Israel para bombardear os muitos locais onde se suspeitava
haver instalações nucleares, fotografar os destroços e, se
necessário, voltar a bombardeá-los. Mas a ideia era o Nitro
Zeus evitar uma guerra aberta, porque, teoricamente, os
iranianos não estariam em condições de ripostar. Também
fazia parte do plano atingir a capacidade do Irão de disparar
mísseis convencionais — uma operação assente numa ideia
que voltaria a ser aplicada, com mais intensidade, quando a
crise da Coreia do Norte se intensificou.
Isto significa que, enquanto o presidente Obama estava
preocupado com a vulnerabilidade da rede de distribuição
elétrica dos Estados Unidos, estes estavam a tentar
introduzir-se na rede do Irão — bem como na sua rede de
telefones móveis e até nos sistemas de comando e controlo
da Guarda Revolucionária Iraniana.
«Isto para mim era quase inacreditável», conta um antigo
oficial. «Ali estávamos nós, a trabalhar todos os dias à porta
fechada, basicamente a tentar perceber se era possível
desativar toda a infraestrutura de um país sem disparar um
único tiro ou lançar uma só bomba. De maneira que
inundámos as redes do Irão de malware», diz o mesmo
oficial, numa referência à introdução de implantes em
sistemas estratégicos-chave que mais tarde poderiam ser
usados para injetar código destrutivo ou simplesmente para
desativar as redes.
«A parte mais difícil foi manter o rasto a tudo», conta
ainda.
Isto era difícil porque as redes estão sempre a mudar, e
porque não era possível testar as vulnerabilidades do Irão em
condições reais. Assim, Nakasone e os milhares de pessoas
que trabalharam no Nitro Zeus recorreram a exercícios e
simulações de ataques. Testaram e voltaram a testar os
implantes em modelos virtuais das redes do Irão, para se
assegurarem de que eles não eram visíveis para os iranianos
e de que os danos não intencionais eram limitados.
E deram respostas de raiz a uma série de questões: como
se deita uma rede abaixo e se impede que ela seja reativada?
Se os iranianos quiserem retaliar, como podemos assegurar-
nos de que não conseguem fazê-lo?
«Era um programa gigantesco, e gigantescamente
complexo», diz a mesma fonte. «Antes de ele ter sido
desenvolvido, os Estados Unidos nunca tinham montado um
ataque combinado digital e no terreno a esta escala.»
Para os ciberguerreiros dos Estados Unidos, o Nitro Zeus
era um ponto de viragem. Expunha muitas das tensões entre
a Agência Nacional de Segurança — que possuía a maior
parte do pessoal necessário para realizar o ataque — e o
recentemente criado Cibercomando dos Estados Unidos. No
papel, as duas organizações eram complementares. Na
realidade, havia pequenos conflitos, como os que caraterizam
os casamentos arranjados, em que o pessoal da NSA olhava
com desdém o do Cibercomando e em que a unidade militar
olhava a NSA como um bando de civis arrogantes que nunca
teriam de participar numa verdadeira missão militar.
Era um conflito que se repetiria muitas e muitas vezes. A
NSA investiu recursos inacreditáveis na penetração de
sistemas estrangeiros, escondendo o seu malware em
recantos onde nunca ninguém se lembraria de mexer, e
verificando-o com regularidade. Em geral o Cibercomando
procurava apoderar-se desses implantes para conduzir
ataques — revelando assim a sua localização. «Era esse o
eterno problema», contou-me um antigo membro da NSA.
«Era a diferença entre os agentes dos serviços de
informações, que andam nisto a pensar nos resultados a
longo prazo, e os militares, que são pagos para planear
ataques.»
No entanto, o mais fascinante no Nitro Zeus talvez não
fossem as subtilezas tecnológicas mas as implicações
geopolíticas. A Operação Jogos Olímpicos era da
responsabilidade de uma agência de informações e fora
concebida para forçar o Irão a sentar-se à mesa das
negociações; o Nitro Zeus era um plano militar, com a
intenção de boicotar toda a infraestrutura do país caso a
diplomacia falhasse. Ambos envolviam ciberarmas, mas com
finalidades estratégicas muito diferentes.
Em conjunto, no entanto, os dois ciberprogramas secretos
sugerem que a administração Obama estava a levar muito a
sério a possibilidade do fracasso diplomático, e a
possibilidade de os Estados Unidos se verem envolvidos num
conflito aberto com o Irão. Na mente dos que administravam
as operações militares, essa guerra poderia ser desencadeada
por alguma coisa completamente fora do controlo dos
Estados Unidos — em particular por uma decisão de
Netanyahu de atacar instalações nucleares iranianas. «Houve
muitos momentos em que me convenci de que o Bibi estava
mesmo prestes a fazê-lo», disse-me alguns anos mais tarde
Ehud Barak, o antigo ministro israelita da Defesa e primeiro-
ministro. «Mas a única coisa em que nós pensávamos era:
“Se o fizermos, teremos o apoio dos Estados Unidos?”» O
Nitro Zeus deu aos Estados Unidos uma oportunidade de
ficar do lado de um aliado, se necessário, mas sem envolver
um grupo de tropas no terreno, um tipo de apoio que se
tornara o santo graal do poder americano nos últimos anos.
«Nunca nos tínhamos envolvido em nada que se
comparasse com esta missão», disse mais tarde uma pessoa
envolvida no projeto ao meu colega Javier Botero. «Era
simplesmente um empreendimento gigantesco, muito
dispendioso, ao alcance apenas de meia dúzia de Estados-
nação.» Excluindo as implicações potenciais para Teerão, o
Nitro Zeus mostrava a que ponto, em apenas meia dúzia de
anos, Nakasone e os colegas tinham transformado as
ciberoperações dos Estados Unidos. Haviam deixado de ser
simples ferramentas de vigilância para se transformarem em
armas vitais do arsenal do país.
*
Um plano com as dimensões do Nitro Zeus e tão
destrutivo como ele exigia que os Estados Unidos
considerassem a possibilidade de fazer coisas às
infraestruturas do Irão que — se nos fossem feitas a nós —
seriam consideradas um ato de guerra. E a sua preparação
teria de ser feita de tal maneira que os iranianos não a
detetassem, que ninguém pudesse olhar para os implantes na
sua rede e concluir que quem quer que tivesse posto ali uma
coisa daquelas estava a preparar um ataque ao país.
Quando os Estados Unidos montam uma operação deste
tipo, o Pentágono chama-lhe «preparar o campo de batalha»
e descreve os passos nesse sentido — no caso de alguém
falar deles — como passos prudentes para o caso de rebentar
uma guerra. Mas quando foram descobertos implantes do
mesmo tipo nos sistemas dos Estados Unidos os americanos
ficaram indignados — compreensivelmente — e supuseram
o pior.
«Já vimos muitos estados investirem tempo e esforço na
tentativa de aceder à estrutura energética dos Estados Unidos
e a outras infraestruturas igualmente críticas, e isso leva-nos
forçosamente a tentar perceber porquê», disse-me o
almirante Rogers, diretor da Agência Nacional de Segurança
e chefe do Cibercomando até à primavera de 2018. «Estou
convencido de que o fazem com uma finalidade, de que se
trata de uma forma de gerar opções e capacidades que virão a
ser úteis no caso de decidirem fazer certas coisas.»
Como é evidente, era precisamente o que estávamos a
fazer no Irão.
A abordagem funcionou em parte porque se tratava de um
alvo altamente invulgar. Havia tantas coisas em causa para o
país — as vendas globais de petróleo, o investimento nas
suas infraestruturas parcialmente destruídas, as ambições dos
jovens que queriam vistos para sair do Irão — que o
programa nuclear se tornou subitamente negociável quando
os ciberataques americanos e israelitas, combinados com as
sanções económicas, desencadearam um debate aceso em
Teerão acerca da alternativa entre tornar o Irão uma potência
nuclear independente e um elemento relevante da economia
global.
Os iranianos não tinham conhecimento do Nitro Zeus,
embora depois de o Stuxnet ter sido espalhado e a Operação
Jogos Olímpicos descoberta ser razoável supor que tenham
desconfiado que havia qualquer coisa deste tipo em
preparação. Mas o que os iranianos sabiam acerca dos
ciberataques americanos, em combinação com a decisão de
interromper o seu programa nuclear, desencadeou uma
resposta absolutamente previsível: o Irão começou a
construir a sua própria ciberarma.
Na realidade, enquanto a equipa de Paul Nakasone
trabalhava sem descanso na preparação do Nitro Zeus, os
iranianos já estavam a preparar a resposta ao Stuxnet. No que
diz respeito a poder de fogo, o seu disparo não teria nunca a
dimensão dos planos da administração dos Estados Unidos
para imobilizar o seu país. No entanto, ainda que com uma
cibercapacidade limitada, os iranianos acabariam por expor
uma verdade difícil de aceitar em relação aos ciberconflitos
em geral, que viria a deparar-se a Obama mas que este nunca
seria capaz de enfrentar: os esforços de defesa estavam
inextricavelmente ligados aos do ataque. E defender os
Estados Unidos — com o seu imenso sistema financeiro, o
seu mercado de ações, as suas infraestruturas e redes de
comunicações — era praticamente impossível.
*
Quando eu era miúdo, nos subúrbios de Nova Iorque,
todos conhecíamos a barragem da Avenida Bowman, em Rye
Brook. Parecia mais um dique a brincar do que uma
verdadeira barragem — cerca de 6 metros de altura e uma
única comporta. Alimentada pelo ribeiro Blind, estava quase
sempre vazia, e por isso era um sítio belíssimo para
brincarmos depois de sairmos da escola. Além disso, era o
tipo de sítio onde os nossos pais provavelmente não
gostavam que nós andássemos, por terem medo que
caíssemos e partíssemos uma perna.
Desconfio que não vi a barragem nem voltei a pensar nela
entre o dia em que acabei a escola primária e o dia em que
John Carlin, que dirigiu a divisão de segurança nacional do
Departamento da Justiça, me telefonou no início de 2016.
Tinha acabado de tomar conhecimento da acusação a uma
série de iranianos, aparentemente com ligações aos serviços
de informações do país, por terem penetrado no sistema de
comando e controlo da barragem da Avenida Bowman em
2013, no que o governo federal sugeriu sobriamente tratar-se
de um esforço para inundar uma área de Nova Iorque com as
águas da represa.
«John», disse-lhe eu, «duvido que haja água suficiente
naquela barragem para inundar nem que seja uma cave.» A
ideia de que uma barragem daquele tipo até tinha um sistema
de comando e controlo já me parecia uma graçola: a
impressão que eu tinha era que a comporta se abria com uma
barra comprida que estava quase sempre trancada e
enferrujada. Embora mais tarde tenha começado a ser
controlada por computador, não era propriamente a
Barragem Hoover.
Acontece que, ao que parece, a barragem da Avenida
Bowman afinal foi um erro dos hackers iranianos — o que
eles tinham em mente era qualquer coisa mais próxima da
Barragem Hoover, só que falharam. Ou talvez se tenha
tratado apenas de uma demonstração de poder. «A conclusão
mais provável é que tenha sido apenas um aviso», disse-me o
senador democrata por Nova Iorque, Chuck Schumer, no dia
da acusação. A mensagem era «não se metam connosco,
porque nós também podemos meter-nos convosco».
Schumer disse-me ainda que a lição a retirar deste caso
não era «que não devemos usar ciberarmas, mas que
devemos ser capazes de nos defender».
Se Schumer tiver razão quanto à natureza retaliatória do
ataque, este oferece uma visão interessante do resultado
previsível da Operação Jogos Olímpicos. A decisão dos
Estados Unidos de usarem uma ciberarma deu aos mullahs e
à Guarda Revolucionária Iraniana uma desculpa para
fazerem algo que de qualquer maneira queriam
desesperadamente fazer: encontrar um pretexto para atacar os
Estados Unidos e os seus aliados. Nem que fosse para
salvarem o orgulho, tinham de provar que eram capazes de
penetrar profundamente nas infraestruturas americanas e dos
seus aliados.
No verão de 2010, os iranianos anunciaram publicamente
a criação de um cibercorpo para responder ao Cibercomando
cada vez maior dos Estados Unidos. Para os historiadores da
Guerra Fria, este acontecimento tinha qualquer coisa de
familiar: nós usamos bombas atómicas, e depois os
soviéticos fazem o mesmo; nós criamos estruturas
burocráticas em torno dessas armas, e logo a seguir eles
também as criam.
De acordo com o mesmo padrão, depois de a Operação
Jogos Olímpicos ter sido exposta, em 2011, os hackers
iranianos começaram a apontar a cerca de meia centena de
instituições financeiras norte-americanas — incluindo o
JPMorgan Chase, o Bank of America, a Capital One, o PNC
Bank e o New York Stock Exchange. De maneira geral não
foram ataques especialmente criativos. Na maior parte dos
casos tratou-se daquilo a que a administração chamou
«negação distribuída de serviço», a que muitas vezes também
se chama ataques DDoS, que sobrecarregam os alvos com
pedidos coordenados de milhares de máquinas distribuídas
por todo o mundo. As redes que foram alvo destes ataques
não haviam sido preparadas para esse volume de tráfego e
muitas vezes bloqueavam e com isso impossibilitavam
qualquer operação dependente delas. Houve bancos que
ficaram paralisados e clientes que ficaram sem acesso ao
online banking. Um grupo que se autodenominou
Ciberguerrilheiros Izz ad-Din al-Qassam reivindicou
convenientemente o ataque.
Não houve nada de muito sofisticado no que aconteceu.
«Foi primitivo, nada que se possa considerar avançado»,
disse na altura James Lewis, especialista em hacking
realizado por países, do Centro de Estudos Estratégicos
Internacionais. «Mas causou perturbação e mostrou que
quem o realizou está seriamente empenhado.»
A indignação dos clientes levou os bancos a procurarem
uma resposta, mas depressa se encontraram no centro dos
problemas ligados a ciberconflitos com envolvimento dos
Estados Unidos. Enquanto Washington aconselhava as
empresas a mostrarem-se transparentes quanto ao que
acontecera, muitos advogados caros e especialistas em
segurança davam o conselho oposto. Admitir que estamos a
ser atacados, diziam estes, apenas serve para encorajar mais
ataques — e sujeita as empresas a processos por perdas. E
tentar convencer os clientes a manter o dinheiro nessas
instituições era pura e simplesmente embaraçoso (como já
vimos muitas vezes, mesmo o governo federal raramente
segue os seus próprios conselhos quando as suas instituições
são alvo de ataques de grande escala).
A maior parte das instituições que foram alvo destes
ataques particulares acabou por preferir o silêncio à admissão
de que haviam sido atacadas. O JPMorgan Chase, que
admitira abertamente ataques anteriores de tipo semelhante,
achou que este tivera uma dimensão suficientemente grande
para ser preferível não falar no assunto. Os seus clientes não
perceberam o que aconteceu.
Mas os bancos não eram os únicos embaraçados com a
questão do que dizer publicamente. Na realidade, a
administração Obama teve dificuldade em responder aos
ataques iranianos aos bancos, e estes iam continuando a
desenrolar-se. Não podia ficar simplesmente em silêncio
perante as notícias de que alguém estava a atacar o sistema
financeiro, mas por outro lado hesitava em dar ao problema a
dimensão da segurança nacional. Embora continuassem a
não dizer publicamente quem estava por trás dos ataques, os
responsáveis da administração começaram a convidar os
executivos dos bancos para reuniões de emergência na Casa
Branca. Entretanto continuavam a tentar descobrir de que se
tratava realmente. Seria vandalismo? Um ato de guerra? Ou
alguma coisa intermédia entre as duas possibilidades?
Na sala de crise havia basicamente dois grupos, recorda
um antigo responsável familiarizado com o assunto.
«Primeiro havia os que diziam que isto era o equivalente a
um submarino iraniano aproximar-se da costa e lançar um
torpedo.» Era a posição de alguns dos membros do grupo dos
chefes de Estado-Maior e também de alguns elementos dos
serviços de informações. «E depois havia os que diziam que
não, que não era — que era o equivalente a um bando de
iranianos a conduzir pelo meio da rua com a música aos
berros e a insultar toda a gente. E ninguém dispara contra
miúdos malcomportados.»
Um dos responsáveis dos serviços de informações que
estiveram envolvidos nas discussões no seio da
administração admite que a divergência entre os dois grupos
era considerável. E explica: «Não era uma coisa nem outra. E
o problema das analogias entre o mundo físico e o mundo
digital é esse, porque […] era o tipo de ataque que mina a
confiança no sistema bancário da maior economia do mundo.
Não podemos deixar-nos ficar na posição de quem permite
que brinquem com o seu sistema bancário», continua o
mesmo responsável, «mesmo que não seja muito a sério,
porque quando isso voltar a acontecer já vai ser numa escala
mais considerável. E é assim que começamos a dirigir-nos
para o caos financeiro.»
No fim de contas, é possível que os iranianos até tenham
feito um favor aos bancos. Depois dos ataques, observaram
vários responsáveis, a indústria financeira gastou milhares de
milhões de dólares a construir a melhor ciberproteção de
qualquer setor privado dos Estados Unidos.
Ainda assim, as investidas contra os bancos
desencadearam um debate familiar em Washington: se os
Estados Unidos ripostarem, o que irá acontecer? Não era
uma questão fácil, porque os ataques não vinham de Teerão,
mas de servidores localizados em muitos outros países.
«Quando o Irão atacou os nossos bancos, podíamos ter
fechado a rede de bots deles, mas o Departamento de Estado
ficou nervoso, porque os servidores não estavam realmente
no Irão», disse mais tarde um antigo responsável da altura.
«Assim, até haver uma solução diplomática, Obama deixou o
setor privado lidar com a questão.»
 Na realidade, uma das coisas que preocupavam Obama
era que, se os Estados Unidos viessem em socorro dos
bancos, estes teriam poucos incentivos para construir as suas
próprias defesas. Na altura a Casa Branca achou preferível
esconder as provas de que eram os iranianos que estavam por
trás dos ataques. As equipas ligadas ao Congresso foram
fechadas em salas de conferência seguras antes de lhes ser
dito que o autor era o Irão, mas foram avisadas de que não
deviam admiti-lo em público. Como é evidente, disse-me um
membro do Congresso, revelar quem eram os responsáveis
acabaria por forçar uma discussão quanto ao que a
administração deveria fazer. E havia muitas razões para não
fazer nada.
Tratou-se de um esforço ridículo, o segredo não poderia
durar muito. Os bancos tinham de saber quem os estava a
atacar e as equipas de segurança privadas também já tinham
começado a identificar os autores. A recusa de Washington
de falar do que quer que estivesse por trás dos ataques apenas
serviu para fazer a administração parecer desorientada,
quando na realidade até sabia o que se estava a passar.
*
No entanto, o que os hackers estavam a fazer às
instituições financeiras americanas era uma brincadeira de
crianças em comparação com os ataques simultâneos que
estavam a lançar contra os seus rivais mais perto de casa. No
verão de 2012, mais ou menos um ano depois da sua
campanha contra os bancos americanos, os iranianos
atacaram a Arábia Saudita: o seu grande adversário, a bomba
de gasolina dos Estados Unidos, e o país cujo rei sugerira aos
Estados Unidos que a melhor maneira de lidar com o Irão era
«cortar a cabeça da serpente».
Os hackers encontraram um alvo fácil na Saudi Aramco,
ou Saudi Arabian Oil Company, o produtor de petróleo
pertencente ao Estado e uma das empresas mais valiosas do
mundo. Nesse agosto, durante o Ramadão, quando os
iranianos sabiam que a maior parte dos trabalhadores da
Saudi Aramco estaria fora, os hackers lançaram o caos com
um vírus simples que infetou 30 mil computadores e 10 mil
servidores. Os ecrãs ficaram sem imagem e os ficheiros
foram apagados. Nalguns computadores ainda apareceu uma
imagem parcial da bandeira dos Estados Unidos a arder. No
meio do pânico, os técnicos sauditas desligaram os cabos dos
servidores e também desligaram fisicamente as filiais da
Aramco em todo o mundo.
A produção de petróleo não foi afetada, mas tudo o que a
rodeava foi, das compras aos fornecimentos, passando pela
coordenação dos navios-tanques. Durante algum tempo a
Saudi Aramco não conseguiu ligar-se ao ministério saudita
da Energia, aos poços de petróleo ou ao terminal gigante da
ilha de Kharg, através do qual os sauditas exportam grande
parte do seu crude. Os emails da empresa deixaram de
funcionar e os telefones ficaram sem linha.
Tratou-se de uma ofensiva marcante. Em vez de se
limitarem a recorrer a ciberataques para perturbar o
fornecimento de serviços, os hackers iranianos acabavam de
mostrar a sua capacidade de utilizar malware para provocar
danos físicos. O software, a que foi dado o nome de
«Shamoon», tornou-se um modelo para outros países que
procuraram conceber eles próprios ataques nos anos
seguintes. Embora as primeiras pistas indicassem que os
hackers iranianos tinham simplesmente penetrado no
sistema, as agências de informações americanas depressa
chegaram à conclusão de que os iranianos tinham um
contacto no interior da Saudi Aramco — alguém com um
acesso alargado às redes da petrolífera. Os sauditas acabaram
por conseguir limpar todos os computadores infetados. De
acordo com um dos cálculos, compraram 50 mil discos
rígidos novos — basicamente absorveram toda a produção
mundial durante algum tempo — para voltar a pôr tudo a
funcionar. Foram precisos cinco meses para desfazer os
efeitos do ataque.
Quando agora refletimos acerca dos contra-ataques
iranianos, da Arábia Saudita a Wall Street passando pela
barragem decrépita da Avenida Bowman, vemos que não se
tratou apenas de uma vingança. Aquilo a que assistimos foi
uma demonstração de baixo nível do que representa um
ciberconflito ininterrupto.
Tal como as escaramuças na zona desmilitarizada entre as
duas Coreias e em Berlim-Leste durante a Guerra Fria, estes
ataques não parecem envolver o risco de uma escalada para
uma guerra mais generalizada. Pelo contrário, toda a gente
parece ter aderido ao princípio de manter os ciberconflitos
abaixo da linha que poderia desencadear conflitos armados.
Os Estados Unidos atacaram aquilo a que os iranianos davam
mais valor — o seu programa nuclear — e o Irão atacou
aquilo a que os Estados Unidos davam mais valor — os
mercados financeiros, o acesso ao petróleo e o seu
sentimento de controlo da própria infraestrutura. Houve
perturbações e avisos, mas ninguém foi morto.
«Passámos muito tempo a estudar o ataque à Saudi
Aramco, e o uso que os iranianos em geral fizeram das armas
digitais», disse-me um responsável de uma agência de
informações que passou a sua carreira a estudar o Médio
Oriente. «Temos de pensar na pirâmide de armas iranianas»,
considerou, e ilustra a ideia com um desenho que mostra os
três lados de um triângulo formado pelos polegares e pelos
indicadores. «Estamos habituados a pensar no nuclear no
topo, depois nas armas biológicas, depois talvez nas armas
químicas e na base possivelmente nas armas de fogo
convencionais. Mas o que eles fizeram foi pôr as ciberarmas
no topo, acima de todas as outras.»
Porquê? Não porque as ciberarmas sejam tão devastadoras
como as armas nucleares ou as armas biológicas — exceto
nos casos mais extremos. «Porque as coisas de que
precisamos para fazer mover uma economia moderna
dependente do petróleo — para mover a Arábia Saudita —
exigem todas eletricidade, válvulas e pipelines. E os sauditas
estão incrivelmente vulneráveis e não conseguem resolver o
problema.» As redes de distribuição deles foram construídas
há várias décadas e estão ligadas a outros países. E o mesmo
acontece aos sistemas de controlo dessas redes. O Irão não
precisa sequer de entrar no sistema através da Arábia
Saudita, tem mais pontos de entrada no Médio Oriente do
que se possa imaginar. «E os iranianos calcularam que os
sauditas não iam entrar em guerra por causa de uma
perturbação nas redes do negócio do petróleo cuja origem
não é possível identificar de forma indiscutível. Isto em
teoria, pelo menos.»
Os ataques à Saudi Aramco foram além disso uma lição
precoce quanto a alguns dos núcleos da vulnerabilidade
americana. Embora os Estados Unidos tenham delineado,
com custos consideráveis, um plano vasto para paralisar o
Irão no caso de rebentar um conflito, o Nitro Zeus ficou na
prateleira, sem nunca ter sido usado. É um facto que se
tornou um modelo de integração de ciberarmas nos planos de
guerra dos Estados Unidos contra outros inimigos potenciais,
mas entretanto o Irão, com muito menos alcance e
capacidades, realizou pequenos ataques que deixaram à vista
não só a facilidade com que se podem criar problemas à
economia americana, mas também a vulnerabilidade criada
pelo secretismo de que os Estados Unidos rodearam as suas
ciberarmas.
Uma vez que os Estados Unidos nunca falaram acerca dos
seus próprios ataques ao Irão, tornou-se praticamente
impossível debater publicamente a sensatez da decisão inicial
de atacar as infraestruturas iranianas — de fazer aquilo a que
Robert Gates chamou a pergunta menos feita em
Washington: «E agora?»
O secretismo das administrações americanas em torno das
suas ciberarmas ofensivas, e o seu receio de revelar fontes e
métodos, significa que o governo nunca avisou realmente os
bancos e as empresas de que eram alvos perfeitos para o
novo cibercorpo iraniano. Em vez disso, os Estados Unidos
lançaram avisos gerais para a necessidade de ciberdefesas e
de partilha de informações — o equivalente digital a dizer a
toda a gente que se proteja na cave das suas casas se houver
um ataque nuclear sem revelar que seria provavelmente a
radiação, e não a explosão, o mais destrutivo.
 «Não lhe parece que isto é ridículo?», perguntei a um dos
assessores seniores de Obama durante os ataques iranianos.
Se tivéssemos bombardeado uma base aérea iraniana não
preveniríamos os americanos quanto ao perigo concreto de
retaliações?
«Não quisemos assustar as pessoas em relação a algo
contra o qual não podiam fazer grande coisa», foi a resposta.
Esse responsável da administração explicou-me ainda que os
administradores executivos dos bancos tinham tido
autorizações especiais para receber informações secretas,
como se isso eximisse a administração de responsabilidades.
Acontece que esses executivos não puderam fazer grande
coisa com as informações confidenciais de que tomaram
conhecimento.
«Não pude explicar aos meus próprios gestores de
tecnologia da informação aquilo que soubera», disse-me um
deles quando mencionei o facto. «Não pude fazer
literalmente nada com a informação, a não ser ficar toda a
noite acordado a preocupar-me.»
Como é evidente, um fracasso das redes da defesa não é
uma coisa que se possa manter em segredo. Pouco tempo
mais tarde começaram a espalhar-se segredos bastante mais
importantes que os autores dos ataques aos bancos
americanos. Bastou um empregado de uma empresa que
trabalhava para a NSA com motivos de ressentimento em
relação à administração, um ego considerável e um acesso
não vigiado aos segredos mais profundos da agência.
 Capítulo III
UM ATAQUE DE 100 DÓLARES
«Será que a combinação de Snowden, do
Cibercomando, do Stuxnet (…) lançou o pânico
entre os adversários dos Estados Unidos e a
corrida subsequente às ciberarmas ofensivas que
está a afetar negativamente o país? (…) São
questões difíceis, próprias de tempos
assustadores.»
— Jack Goldsmith, professor da Faculdade de
Direito de Harvard e antigo procurador-geral
adjunto. Gabinete de apoio jurídico do
presidente George W. Bush

A primeira grande revelação dos segredos mais escondidos

da Agência Nacional de Segurança, e o golpe mais
dispendioso nos seus programas de muitos milhares de
milhões de dólares para penetrar em redes de computadores
de Teerão a Pequim ou Pyongyang, ocorreu com a ajuda de
um software comercial chamado web crawler. O preço
desses softwares fica abaixo dos 100 dólares.
Os web crawlers são exatamente o que o nome diz. No
fundo são robôs de aspiração domésticos que se deslocam de
forma sistemática numa rede de computadores da mesma
forma que os robôs passam da cozinha para o corredor ou
para os quartos, limpando tudo o que encontram. Os web
crawlers podem navegar de forma automática entre sites,
seguindo os links embebidos nos documentos. E podem ser
programados para copiar tudo o que encontram.
Este web crawler particular foi depositado nas redes da
Agência Nacional de Segurança, ou NSA, na primavera de
2013 por Edward J. Snowden, que trabalhava para a Booz
Allen Hamilton em instalações militares da NSA no Havai.
Talvez o aspeto mais surpreendente do seu esforço para
roubar uma quantidade enorme de documentos da agência —
um ato que muitos consideraram uma traição mas os seus
apoiantes consideram um ato patriótico de desobediência
civil necessário havia muito — seja ter funcionado tão bem.
A maior agência do mundo de espionagem eletrónica não
tinha a menor preparação para detetar um programa simples
a navegar num oceano de documentos altamente secretos.
No meio de tanto embaraço, a melhor desculpa que a
agência conseguiu arranjar foi que o processo de adaptação
das medidas de segurança nas suas instalações mais remotas
ainda não tinha chegado ao Havai — ou, mais exatamente,
ao Centro de Criptologia do Havai perto de Wahiawa, em
Oahu. «Algum sítio tinha de ficar para o fim» na atualização
das medidas de segurança, disse-me um dos executivos mais
responsáveis da agência, com atrapalhação evidente.
Se aceitarmos o que diz Snowden, o seu objetivo ao
revelar os segredos da NSA foi expor o que considerou um
crime de grande escala e enorme alcance: programas secretos
que monitorizavam americanos em território dos Estados
Unidos, e não apenas estrangeiros, com o pretexto de
identificar terroristas que se preparavam para lançar ataques
ao país. As enormes bases de dados armazenadas nas
instalações da Agência Nacional de Segurança do Havai
revelaram vários exemplos de programas que parecem dar
razão a Snowden e mostrar que a NSA estava a usar o
Tribunal de Vigilância de Informações do Estrangeiro, e
algumas comissões do Congresso a par do assunto, para
alargar os seus poderes à vigilância de redes de
computadores e telefones domésticas que à primeira vista
parecia não autorizada pela lei.
Mas o objetivo principal da divisão da NSA no complexo
de segurança do Havai estava do outro lado do Pacífico. A
partir do Havai, relativamente perto de Pearl Harbor e do
Comando do Pacífico dos Estados Unidos, a Agência
Nacional de Segurança estava a usar as suas melhores
ciberarmas contra os seus alvos mais sensíveis, incluindo os
serviços de segurança da Coreia do Norte e o Exército de
Libertação Popular da China. As armas iam das novas
tecnologias de vigilância, que conseguiam saltar air gaps e
penetrar em computadores não ligados à Internet, a implantes
que podiam ser detonados em tempo de guerra, desativando
mísseis e sistemas de orientação de satélites. Embora o
público americano e grande parte da comunicação social
tenha ficado incrédula com a imagem do Big Brother — que
tem acesso não só aos números a que as pessoas ligam mas
também a todos os rastos digitais deixados pelos
smartphones que cada um de nós traz no bolso —, os
documentos mais reveladores que Snowden divulgou
expunham as vastas ambições do novo ciberarsenal dos
Estados Unidos.
Se o que a revelação da Operação Jogos Olímpicos
mostrou ao público foi uma imagem das capacidades
ciberofensivas mais sofisticadas dos Estados Unidos vistas
pelo buraco de uma fechadura, o que Snowden divulgou foi
uma visão de satélite da mesma realidade, mas de uma
perspetiva de grande altitude. E dessa altitude era uma
imagem inacreditável. Tornou-se imediatamente claro que,
ao longo da última década, os Estados Unidos tinham
encarregado milhares de engenheiros e empresas de construir
um novo arsenal experimental em condições de secretismo
quase total. Algumas destas armas serviam apenas para
espreitar para o interior de redes estrangeiras e ofereciam
uma nova janela para as deliberações e os negócios secretos
de adversários e aliados — basicamente espionagem
tradicional ciberassistida. Mas as outras iam muito mais
longe, penetrando em redes estrangeiras que um dia os
Estados Unidos podiam decidir danificar ou mesmo destruir.
O conjunto de documentos secretos continha apenas
sugestões relativas a estes programas, uma vez que o nível de
acesso não permitiu mais, mas, tomados no seu conjunto,
sugeriam fortemente que o Nitro Zeus fora apenas o
princípio.
*
Ao mesmo tempo ingénuo e engenhoso, brilhante, com
capacidade de se expressar e altamente manipulador,
Snowden cresceu numa família da Carolina do Norte com
fortes tradições militares. Foi um estudante rebelde, e tentou
por um breve período o programa de treino das Forças
Especiais, embora tenha sido expulso ao fim de pouco
tempo. Aos 20 e poucos anos já tinha entrado e saído de
várias universidades, tentara o budismo e apaixonara-se pelo
Japão. Mais tarde descreveria o seu primeiro emprego como
de «segurança da NSA» — um pequeno exagero. Na verdade
não chegou a trabalhar em Fort Meade. O seu emprego foi de
segurança de um centro de investigação de uma universidade
próxima ligado à Agência Nacional de Segurança.
A grande oportunidade de Snowden deu-se em 2006, tinha
ele 23 anos, quando a CIA precisou de contratar rapidamente
um grande número de pessoas para as suas atividades de
contraterrorismo. Deram-lhe um trabalho em
telecomunicações e a seguir enviaram-no — como infiltrado,
nada mais nada menos — para Genebra. Três anos mais tarde
despediu-se, depois de concluir acertadamente que as suas
qualificações lhe dariam mais dinheiro no setor privado.
Arranjou um emprego na Dell, onde aconselhava a NSA
acerca das atualizações dos seus computadores, e acabou
ligado às suas operações no Havai. No entanto, a sua
verdadeira ambição era trabalhar no interior da Agência
Nacional de Segurança.
Quer tivesse a intenção de camuflar as suas intenções quer
acreditasse sinceramente no que dizia, logo no início da sua
carreira Snowden afirmou com veemência que detestava
fugas de informações, os seus autores e os órgãos de
comunicação que usavam os seus materiais. O New York
Times foi um dos alvos da sua irritação em 2009, quando eu
próprio revelei num artigo que o presidente Bush, ao rejeitar
o pedido israelita para bombardear os bunkers onde o Irão
desenvolvia o seu programa militar, iniciara um programa
para atacar as redes informáticas do país — aquilo que mais
tarde se tornaria a Operação Jogos Olímpicos.
«Que diabo, que raio de ideia foi esta, New York Times?»,
escreveu Snowden nesse dia num comentário. «Estão a tentar
desencadear uma guerra? Valha-me Deus, são piores que o
WikiLeaks!»
 O homem que mais tarde revelou uma verdadeira
montanha de programas sensíveis parecia profundamente
indignado.
«Quem serão as estuporadas das fontes anónimas que
contaram uma coisa destas? Estes tipos deviam todos levar
um tiro nos tomates.»
O que é certo é que entretanto as opiniões de Snowden
acerca da importância de revelar as batalhas secretas dos
Estados Unidos no ciberespaço mudaram de forma radical.
«O que me levou a agir foi a litania contínua de mentiras dos
responsáveis máximos ao Congresso, o que significa
igualmente ao povo americano», afirmou noutro chat online
depois de já ter fugido dos Estados Unidos.
Os seus motivos à época continuam a ser alvo de debates
ruidosos, mas o que se sabe é que Snowden estava tão
interessado num emprego na NSA que penetrou num
computador para obter previamente os testes de admissão.
Com conhecimento antecipado das respostas, teve excelentes
resultados no exame de acesso. No entanto, quando a oferta
da NSA surgiu sentiu-se insultado — era apenas para um
lugar administrativo de nível médio, e com um salário de
nível médio a condizer. Isto levou-o a optar pelo mais
próximo que encontrou, um emprego na Booz Allen
Hamilton, a empresa que concebera a maior parte dos
sistemas de computadores importantes para a Agência
Nacional de Segurança e também contratava o pessoal que os
mantinha a funcionar.
Quando ia para o trabalho, Snowden usava um cartão de
uma empresa subcontratada, e não o da NSA, que tanto
desejava, mas tinha o mesmo acesso que um funcionário, e, o
que é mais importante, conseguiu obter uma palavra-passe
com um nível mais alto de acesso.
Foi assim que entre os ficheiros que Snowden obteve com
o seu web crawler de 100 dólares estava o que Rick Ledgett,
o número dois da Agência Nacional de Segurança, descreveu
como «as chaves do reino».
 Foi a Ledgett, um veterano da NSA, que calhou o trabalho
pouco ambicionado de dirigir o que a agência
enganadoramente chamou o seu grupo de trabalho de fugas
de informação para a imprensa, como se o problema que
Snowden criou à NSA fossem na realidade os jornais e
televisões que espalharam os documentos secretos da agência
por todo o mundo. Quando uma vez lhe sugeri que o nome
de «grupo de trabalho contra as ameaças internas e a má
gestão» teria sido mais apropriado, Ledgett sorriu com
alguma relutância.
«Snowden foi uma parte do problema, mas não foi ele o
problema em si», defendeu, mas admitiu o facto central: a
agência «não fazia ideia» de que um web crawler que podia
ser comprado na Amazon passara várias semanas a passear
entre o que se calcula tenham sido 1,7 milhões de
documentos nos sistemas da agência.
De resto, o número exato de ficheiros de texto, slides de
PowerPoint e bases de dados que Snowden copiou e levou
com ele quando fugiu do Havai para Hong Kong continua
objeto de discussão. A maior parte nunca foi publicada. No
entanto, estes dados não estavam encriptados, pelo menos a
maior parte, dada a suposição de que se partia na altura —
uma suposição extraordinária, tendo em conta a natureza do
trabalho da agência —, de que, se alguém estava no interior
do sistema da NSA, era de confiança e podia copiar o que
entendesse sem com isso lançar qualquer sinal de alarme.
Felizmente para a Agência Nacional de Segurança,
Snowden não tinha todas as chaves do reino. A agência
compartimenta os seus dados em níveis variados, e Snowden
apenas tinha acesso aos documentos que descreviam os
programas da NSA, mas não às fontes específicas ou aos
pormenores das ferramentas que os ativam. Mas mesmo isso
deixou-lhe muito para revelar: programas com nomes como
PRISM — que permitiam o acesso aprovado por tribunais,
embora limitado, a contas online da Google e da Yahoo! de
dezenas de milhões de cidadãos dos Estados Unidos. Além
disso havia o XKeyscore, que oferecia novos métodos muito
sofisticados de filtrar grandes fluxos de dados da Internet que
a NSA acompanhava no seu movimento através do globo.
A fuga de informações proporcionada por Snowden foi
como uma escavação arqueológica das inovações da última
década. Mostrou como a Agência Nacional de Segurança
estava a contornar a encriptação dos dados dos telemóveis, e
de que maneira ignorava até as virtual private networks, ou
VPN, a que muitas empresas e outros utilizadores privados
hábeis recorrem na esperança de proteger os seus dados.
Afinal essas redes privadas não eram tão privadas como se
dizia.
Nas palavras de um dos meus colegas do New York Times
na altura, a agência tornara-se «um omnívoro eletrónico com
possibilidades assombrosas».
Os documentos deixaram claro que estamos na era de
ouro da vigilância digital. Os Estados Unidos estavam a
recolher o que uma comissão presidencial mais tarde chamou
«informação pessoal não pública em grande escala ainda por
digerir» acerca de cidadãos americanos, para o caso de no
futuro querer minar esses dados com «finalidades ligadas à
recolha de informações relativas a outros países». Dentro dos
Estados Unidos discutiu-se acesamente se a Agência
Nacional de Segurança tinha ido para além dos seus limites
ao recolher dados acerca de cidadãos americanos,
suprimindo assim praticamente qualquer distinção entre
comunicações «internas» e «internacionais».
Desde o início que tanto os aliados como os adversários
dos Estados Unidos perceberam uma outra coisa muito mais
importante a partir dos documentos de Snowden — isto é,
que o interesse da NSA na atividade de vigilância global e de
sabotagem ia muito para além de sabotar centrais de
centrifugação iranianas. Snowden fez duas ofertas de mão
beijada aos observadores. A primeira foi a compreensão do
significado das operações globais da Agência Nacional de
Segurança, de Berlim a Pequim. A segunda foi uma desculpa
dada a todos os países do mundo para tentarem impedir o
domínio tecnológico americano nos seus mercados.
 A lição mais importante, saída tanto do caso Stuxnet como
do caso Snowden, foi que o mundo digital continua a operar
quase sem regras de comportamento internacionalmente
aceites. Tratava-se, nas palavras de Obama, «do Oeste
selvagem», em que países, terroristas e empresas de
tecnologia testam constantemente os seus limites com poucas
repercussões.
Tanto a China como a Rússia usaram as revelações de
Snowden para justificar as regras draconianas que exigem
que qualquer empresa dos Estados Unidos a operar no
interior das suas fronteiras tenha de ceder fotos, emails e
chats sempre que isso lhes é solicitado — basicamente
cooperando com a perpetuação de um Estado autoritário.
No que diz respeito à Europa, os alemães, depois de terem
percebido que a NSA instalara um gabinete de vigilância no
piso de cima da embaixada dos Estados Unidos, com vista
sobre a famosa Porta de Brandemburgo, começaram a falar
de criar um sistema Schengen de routing que mantivesse os
dados no interior da Europa. O objetivo seria defender-se
mais do seu aliado, os Estados Unidos, que dos adversários
russos. A ideia foi entusiasticamente apoiada pela chanceler
Angela Merkel, cujo telemóvel fora um dos alvos da NSA.
Mas o plano foi tecnicamente mal concebido e os alemães
acabaram por perceber que o método não faria nada para
impedir a Agência Nacional de Segurança de penetrar nos
seus sistemas. Na verdade, era até possível que o facilitasse.
*
Meia dúzia de anos depois das revelações de Snowden, é
notável o número de perguntas a que a NSA nunca foi
forçada a responder publicamente. Os seus responsáveis
conseguiram esconder-se por trás da confidencialidade que
rodeia as suas operações, apesar de as divulgações de
Snowden terem proporcionado uma visão sem paralelo do
que a agência está a fazer. Em público, os seus responsáveis
trataram tudo o que rodeou a fuga de informações de
Snowden como o equivalente a um desastre natural: algo que
lamentamos mas em relação ao qual nada podemos fazer.
 James Clapper afirmou que Snowden tirara partido de
uma «tempestade perfeita» de falhas de segurança, mas
ninguém foi responsabilizado por essas falhas. «Ele sabia
muito bem o que estava a fazer», disse Clapper, «e foi muito
hábil a manter-se abaixo do radar, de maneira que a sua
atividade não fosse visível.»
Depois das revelações de Snowden foram feitas algumas
mudanças modestas. A Agência Nacional de Segurança
expôs-se um pouco, reconhecendo que tinha a obrigação de
se explicar ao povo americano. Um trabalhador civil da NSA
foi despedido — presume-se que aquele que permitiu que
Snowden usasse a sua palavra-chave de mais alto nível — e
um funcionário de uma subempresa e um oficial das forças
armadas perderam o acesso aos dados da agência. No
entanto, a Agência Nacional de Segurança não deu quaisquer
informações acerca de Snowden. Ninguém teve vontade de
explicar em grande pormenor o que acontecera, ou quem
devia ser responsabilizado. A era do «No Such Agency»,
como os empregados costumavam chamar à NSA, apenas
meio a brincar, tinha de terminar, mas a responsabilização
pelo que aconteceu teve limites.
Nem a Booz Allen nem a NSA alguma vez explicaram a
maneira como Snowden conseguiu transportar uma tal
quantidade de dados num dispositivo eletrónico — ele
próprio nunca disse que tipo de dispositivo usou — e sair
porta fora, sem ser revistado e sem ter de enfrentar qualquer
obstáculo. Apesar de os responsáveis pelas agências de
segurança continuarem a insinuar que Snowden esteve
sempre ao serviço dos chineses ou dos russos, nunca
apresentaram quaisquer provas de que se tratasse de um
agente infiltrado na NSA. Em vez de apresentarem provas,
andaram a sugerir aos jornalistas que examinassem os locais
onde Snowden esteve em Hong Kong e a maneira como o
seu exílio na Rússia foi negociado. Mas, se as agências
alguma vez recolheram provas de que as outras duas
superpotências mundiais colocaram Snowden nas instalações
da NSA do Havai, nunca as apresentaram — talvez porque
ainda tenham esperança de vir a processá-lo, ou talvez
porque isso fosse ainda mais embaraçoso do que aquilo que
já se sabe sobre o assunto.
O mais importante de tudo é que a Agência Nacional de
Segurança nunca teve de explicar porque ignorou um grande
número de avisos quanto a vulnerabilidades bem
identificadas e documentadas numa era de novas ameaças
internas. Os avisos foram públicos. Apenas três anos antes da
fuga de Snowden, um cabo do Exército hoje conhecido como
Chelsea Manning conseguira executar uma ação basicamente
igual no Iraque — fez download de centenas de milhares de
vídeos militares e de comunicações do Departamento de
Estado e entregou-os ao WikiLeaks.
Pouco tempo depois do fiasco de Snowden, a agência
anunciou novas medidas de proteção: os administradores de
sistema com acesso a grandes bases de dados deixariam de
poder fazer download de documentos sem estar
acompanhados. Passou a haver uma «regra dos dois homens»
— que recorda os guardiões das chaves duplas para
lançamento das armas nucleares —, para proteção contra
ações solitárias.
Mas a solução da agência chegou demasiado tarde, ou
então foi ineficaz. Ao longo dos anos seguintes, a NSA
mostrou repetidamente ser incapaz de guardar os próprios
segredos. Snowden é apenas o responsável por fugas de
informação mais famoso até ao momento.
*
Depois de Snowden ter aparecido em Hong Kong e ter
começado a transmitir parte dos documentos ao Guardian, o
problema da confiança nas empresas exteriores que
trabalham para o setor militar saltou para o centro das
atenções: por que razão entregava a administração a gestão
das suas operações de espionagem mais sensíveis à Booz
Allen? A senadora Dianne Feinstein, na altura presidente da
comissão do Senado para os Serviços de Informações, disse-
me em 2013 que «em breve seria sem dúvida aprovada
legislação que limitaria ou impediria empresas
subcontratadas de lidarem com dados técnicos altamente
confidenciais». Isso acabou por nunca acontecer.
O mais surpreendente é a Booz Allen nunca ter tornado
público por que razão atribuiu a Snowden um conjunto tão
sensível de tarefas, e porque o deixou trabalhar com tão
pouca supervisão que ele pôde fazer download de
documentos altamente secretos que não tinham nada a ver
com o seu trabalho como administrador de sistemas. Além
disso, a própria empresa não perdeu qualquer dos seus
contratos com a Agência Nacional de Segurança.
Em Washington a discussão acerca da redução do uso de
empresas externas para trabalhar com os segredos mais
delicados depressa foi esquecida. «Temos de ir ao Congresso
e explicar tranquilamente como são desenvolvidas as
ciberarmas», disse-me um responsável da NSA. Em resumo,
a agência disse ao Congresso que as ciberarmas são
desenvolvidas como tudo o mais — por empresas privadas.
O Pentágono entrega a construção do F-35 à Lockheed
Martin, associada a uma série de parceiros e empresas
subcontratadas. A General Atomics constrói o Predator e o
Reaper, os dois drones mais conhecidos. A Boeing constrói
satélites. A Booz Allen, e muitas outras empresas, dos
arredores de Fort Meade a Silicon Valley, constroem
ciberarmas.
Todas estas empresas andam à caça de zero-day flaws —
ou compram-nas discretamente: falhas de software em
sistemas que possam ser exploradas por um invasor para
espiar ou destruir. Os programadores capazes de transformar
essas falhas em armas são caros e as empresas privadas têm
meios para lhes pagar. Oferecem-lhes salários muito
superiores aos que a administração pode pagar. «As pessoas
iam ficar chocadas», disse-me um empregado de uma das
maiores dessas empresas da área digital, «se soubessem a
que ponto os Estados Unidos entregam a construção e a
manutenção de armas a empresas privadas», mesmo em
sistemas estrangeiros. Isso explica que cerca de um terço dos
1,4 milhões de pessoas que em 2012 tinham acesso aos
documentos mais secretos estivessem em empresas privadas
(e sim, a verificação das condições dessas pessoas para
aceder a esses documentos é muitas vezes feita por outras
empresas privadas).
O homem que pôs a Booz Allen a trabalhar para a NSA
foi J. Michael McConnell, que conheceu os dois lados da
porta giratória do complexo ciberindustrial. McConnell foi
oficial dos serviços de informações da Marinha durante a
Guerra do Vietname e notabilizou-se no delta do Mekong.
Pálido e um pouco curvado, usa óculos de aros finos que lhe
dão uma vaga semelhança com George Smiley, a complexa
personagem dos romances de John le Carré acerca da vida
nos serviços de informações britânicos. Na realidade,
McConnell parece mais um burocrata que um ciberguerreiro.
Enfim, as aparências iludem.
Durante os anos que passou como diretor da Agência
Nacional de Segurança, era Bill Clinton presidente, foi
ficando cada vez mais preocupado com a vulnerabilidade dos
Estados Unidos a ciberataques. Na altura em que voltou à
administração, como diretor dos serviços de informações
nacionais, com o presidente Bush, estava na disposição de
participar numa nova corrida às armas. Durante a segunda
presidência de Bush, foi McConnell, juntamente com
Hayden e Cartwright, que conduziu o país para o âmbito dos
ciberprojetos sofisticados supervisionando a Operação Jogos
Olímpicos e outras operações ofensivas. Quando Barack
Obama se preparava para iniciar a primeira presidência, foi
ele que o pôs a par das operações secretas dos Estados
Unidos noutros países, do Afeganistão ao Irão.
Depois de abandonar o posto, McConnell voltou para a
Booz Allen em 2009 — onde o seu salário deu um salto para
4,1 milhões de dólares no primeiro ano —, para desenvolver
as suas cibercapacidades até estas ficaram ao nível da era de
conflitos de novo tipo que via aproximar-se. Aí fez um
esforço para desenvolver ferramentas «de previsão» de
informação que tanto empresas como governos pudessem
usar para pesquisar na Web anomalias de comportamento que
indicassem a aproximação de um ciberataque ou de um
ataque terrorista. Este trabalho valeu a pena para a Booz
Allen: pouco antes das revelações de Snowden, a empresa
ganhou um contrato de 5,6 mil milhões para fazer análise de
segurança para a Agência de Informações da Defesa e outro
de mil milhões da Marinha para ajudar com «uma nova
geração de operações de informação, vigilância e combate».
Da mesma forma, quando os Emirados Árabes Unidos
decidiram começar a procurar meios para construir a sua
própria unidade de ciberguerra, ciberdefesa e informações —
que estivesse mais de acordo com o seu papel como um dos
parceiros mais próximos dos Estados Unidos no mundo
árabe —, voltaram-se para a Booz Allen, e especificamente
para McConnell, para a pôr de pé. «Estão a ensinar-nos
tudo», explicou-me um alto responsável árabe, «data mining,
vigilância na Web e todos os tipos de recolha de informações
digitais.»
Durante a presidência de G. W. Bush, McConnell falou
comigo de forma persuasiva acerca da necessidade de
empresas privadas que forcem o Estado a abandonar os
velhos sistemas. A Força Aérea, como apontou com
frequência, andou anos a argumentar contra o uso de drones.
No entanto McConnell também defendeu, em 2012, pouco
antes de a fuga de Snowden ter afetado a reputação da Booz
Allen para sempre, que o setor privado tinha de levar a
segurança dos seus próprios sistemas mais a sério. «Isso
devia ser uma exigência para a adjudicação de qualquer
contrato», afirmou. «Não podemos ser competitivos na nossa
era sem um alto nível de segurança.»
Nesta questão é possível que não tivesse razão. Com a
prisão subsequente de mais um dos seus empregados, as
ações da empresa caíram na bolsa por um período breve
devido às expectativas de que estivesse em dificuldades.
Logo a seguir, no entanto, voltaram a subir, na valorização
mais alta de sempre, já que os investidores decidiram usar o
seu dinheiro na aposta segura que era lucrar com a nova
corrida às armas.
Da mesma forma que algumas empresas dos Estados
Unidos se revelaram demasiado grandes para poderem falir,
algumas empresas que trabalhavam para a Defesa eram
demasiado importantes para poderem simplesmente ser
descartadas.
Durante vários meses, as revelações de Snowden
remexeram as águas paradas de Washington. Ao contrário da
CIA, a NSA nunca tivera problemas com fugas de
informações ou agentes duplos. Na altura houve uma
indignação real e uma indignação fingida com o tipo de
dados que a NSA estava a armazenar — embora a agência
tivesse insistido que raramente os usava — acerca de
cidadãos americanos.
A fuga de informações operada por Snowden conseguiu as
maiores manchetes já justificadas por um documento
particular: a cópia da «autorização Verizon» do Tribunal de
Vigilância de Informações do Estrangeiro. Este documento
revelava que o tribunal secreto adotara uma interpretação
legal do USA PATRIOT Act — aprovado logo a seguir ao 11
de setembro — segundo a qual este permitia que se pedisse à
Verizon e às outras grandes operadoras, como a AT&T, que
entregassem os metadados relativos a todas as chamadas
feitas para os Estados Unidos e dos Estados Unidos para
outros países. E acrescentou, já agora, «no interior dos
Estados Unidos».
Os metadados não incluem o que as pessoas dizem por
telefone aos maridos, aos chefes ou aos filhos. São apenas
um registo dos números para onde ligaram, do tempo que
durou a chamada ou de como ela foi encaminhada.
Atualmente, quase duas décadas depois do 11 de setembro,
recolher esses dados para todos os americanos, nas linhas
fixas ou nos telemóveis, parece-nos claramente um exagero
de vigilância por parte do Estado. E de facto assim é: o fluxo
de dados foi tal que o seu uso acabou por ser extremamente
limitado. No entanto, a sua recolha foi um exemplo claro de
como os ataques de 11 de setembro deturparam a capacidade
de ajuizar dos responsáveis de muitos serviços, que
começaram a juntar todos os tipos de informações
simplesmente porque um dia poderiam vir a ser úteis —
provavelmente sem refletirem no precedente que estavam a
estabelecer, especialmente em países como a China e a
Rússia, cujos líderes não param de procurar desculpas para
apertar o nó em torno dos dissidentes.
O problema mais perturbador relacionado com os
metadados do programa não era a forma como estavam a ser
usados, mas que uma série de responsáveis americanos tenha
mentido perante o Congresso acerca da sua existência, e as
revelações de Snowden expuseram o que acontecera. O
incidente foi mais uma ilustração da forma como o
secretismo excessivo em torno da forma como a
administração usa os seus ciberpoderes forçou alguns
responsáveis a tentar ocultar um programa que podia
facilmente ter sido divulgado sem com isso prejudicar a sua
eficácia.
Contudo, o grande efeito do ato de Snowden não se fez
sentir na defesa do direito à privacidade. Apesar de todas as
discussões em Capitol Hill e nas televisões acerca da
reavaliação do equilíbrio entre segurança e direitos
individuais, muito pouco mudou. O Congresso renovou os
poderes de vigilância da Agência Nacional de Segurança,
com ajustamentos mínimos.
O debate público em torno das questões de privacidade
ocultou o que era verdadeiramente revelador nas revelações
de Snowden: ficheiros de PowerPoint atrás de ficheiros de
PowerPoint que documentavam a forma como a unidade de
operações de acesso dirigido a alvos específicos da NSA —
conhecida como TAO, de Tailored Access Operations —
descobriu formas de penetrar mesmo nos sistemas de
computadores mais protegidos do mundo.
Informalmente toda a gente continua a usar o nome
«TAO», embora formalmente a unidade já não exista. Foi
absorvida por outras unidades ofensivas da agência.
Começou como uma pequena unidade, mas desde a sua
fundação, há cerca de vinte anos, transformou-se na unidade
que reúne mais experiência, com mais de mil hackers de elite
em lugares que vão do Maryland ao Havai e da Geórgia ao
Texas.
A unidade não pode competir com os salários pagos em
Silicon Valley, mas a sua missão é irresistível. A secção de
hacking atrai muitos dos elementos mais promissores da
agência, que se sentem excitados com a perspetiva de
conduzir assaltos a redes e ao mesmo tempo participar em
ações patrióticas secretas. E a lista dos seus alvos é vasta: a
liderança chinesa, os príncipes sauditas, os generais
iranianos, os chanceleres alemães e até o Gabinete Geral de
Reconhecimento da Coreia do Norte. Grande parte do
trabalho da unidade é classificado como «informação
excecionalmente controlada», e muitas vezes é incluído nas
comunicações diárias transmitidas ao presidente dos Estados
Unidos.
Na unidade há uma ordem de funções, dizem os que por lá
passaram. Os veteranos procuram formas de penetrar em
redes estrangeiras, depois transmitem o trabalho operacional
a membros mais juniores da equipa, que passam dias e noites
sem fim a «exfiltrar» informações de formas semelhantes à
que a CIA usava para exfiltrar agentes estrangeiros. «Por
vezes isso é feito com grande rapidez, mas outras vezes
demoramos muito tempo», contou-me um antigo responsável
superior da unidade. E o que funciona esta semana pode já
não funcionar na próxima.
É por esta razão que os membros da unidade de operações
de acesso dirigido a alvos específicos estão constantemente a
conceber novos implantes de malware que podem manter-se
no interior de uma rede durante vários meses, por vezes anos,
a enviar secretamente ficheiros à NSA. No entanto, esses
mesmos implantes podem alterar dados, ou imagens, ou
transformar-se em rampas de lançamento para um ataque.
Um dos alvos mais suculentos da TAO, como se percebeu
a partir dos relatórios de Snowden, é um país que os
americanos sempre acharam que estava a tentar penetrar nos
Estados Unidos: a China.
*
Ao longo de vários anos, os responsáveis americanos
consideraram a Huawei, o gigante das telecomunicações
chinês, uma enorme ameaça à segurança dos Estados Unidos.
Os americanos sempre recearam que o equipamento e os
produtos da empresa — dos telemóveis aos switches gigantes
que controlam as redes telefónicas a sistemas de
computadores empresariais — estivessem cheios de acessos
ocultos. Vários relatórios secretos de segurança e estudos
divulgados pelo Congresso avisaram que um dia o Exército
de Libertação Popular e o Ministério da Segurança Estatal
chinês acabariam por explorar essas possibilidades técnicas
para penetrar nas redes americanas.
Em 2005 a Força Aérea contratou a RAND Corporation
para examinar a ameaça chinesa às empresas de networking.
A Huawei era uma das ameaças principais. A RAND
concluiu que um «triângulo digital» de empresas chinesas, os
militares, e vários grupos de investigação ligados ao Estado
estavam a trabalhar em conjunto para penetrar
profundamente nas redes que mantêm os Estados Unidos e os
seus aliados a funcionar. No centro desta ação, sugeriu a
RAND, está o fundador da Huawei, Ren Zhengfei, um antigo
engenheiro do Exército de Libertação Popular que, suspeitam
os americanos, nunca deixou realmente o seu anterior
emprego.
Não foram apresentadas muitas provas, pelo menos em
público. Ainda assim, a informação correu Washington:
compre equipamento chinês e fica a saber o risco que corre.
Não havia qualquer possibilidade de excluir a Huawei das
redes globais, uma vez que o gigante chinês estava a tornar-
se a maior empresa de equipamento de telecomunicações da
Ásia — os telemóveis baratos estão por toda a parte, de
Pequim a Mandalay —, e a terceira maior do mundo. O seu
equipamento, incluindo os chips usados nos telemóveis, está
integrado em produtos usados em toda a parte, do Reino
Unido à Coreia do Sul. A empresa vangloria-se de pôr um
terço da população mundial em contacto. No entanto,
encorajada pelos concorrentes da empresa nos Estados
Unidos, a administração decidiu criar uma firewall em volta
do país. Quando a Huawei tentou comprar a 3Com, uma
empresa americana à beira da falência, a Comissão para os
Investimentos nos Estados Unidos — uma agência
governamental pouco conhecida que depende do
Departamento do Tesouro — bloqueou a compra com base
em questões de segurança nacional.
Em relatórios confidenciais enviados ao Congresso, a
Agência Nacional de Segurança expõe os seus receios: é
quase impossível saber que capacidades ocultas a Huawei
incluiu no seu hardware, ou ocultou no seu software. Se
houvesse uma guerra aberta com a China — ou mesmo
apenas uma disputa regional —, a Huawei poderia ser o
veículo do gigante asiático para bloquear servidores ou
incapacitar parcialmente a rede de telecomunicações dos
Estados Unidos. Depois de o sistema de telecomunicações
estar comprometido, seria fácil avançar para outras redes.
Além disso existiria sempre o receio do roubo: haveria
melhor maneira de encaminhar comunicações secretas para o
Exército chinês do que através de uma companhia telefónica
já estabelecida?
A paranoia não se limitava à Huawei, como é evidente.
Depois de a Lenovo, uma empresa de computadores chinesa,
ter comprado a divisão de computadores pessoais da IBM,
em 2005, o Departamento de Estado e o Pentágono em
grande parte baniram os seus computadores portáteis
praticamente indestrutíveis. Contudo, a Huawei, devido ao
domínio generalizado dos seus produtos, tem sido um alvo
constante das investigações da comissão para os Serviços de
Informações da Câmara de Representantes e das agências de
informações dos Estados Unidos. O problema está na
dificuldade em oferecer provas, pelo menos em relatórios
tornados públicos, que confirmem as suas suspeitas de que o
governo chinês manobrou a empresa ou lhe ordenou que
suprimisse dados (isso não impediu a Câmara dos
Representantes de concluir que a Huawei e outra empresa
chinesa, a ZTE, devem ser impedidas de fazer «aquisições,
assumir a maioria ou fundir-se com outras empresas» nos
Estados Unidos e «não podem ser consideradas livres de
influência estatal de outros países»).
A aparente falta de provas deu origem ao Shotgiant.
«Shotgiant» foi a designação dada a um programa secreto,
aprovado pela Casa Branca de Bush, para penetrar no
quartel-general altamente protegido da Huawei em
Shenzhen, no coração industrial da China. Embora os
responsáveis americanos não descrevessem a operação desta
maneira, a ideia essencial era fazer à Huawei precisamente o
que os americanos receavam que os chineses estivessem a
fazer aos Estados Unidos: penetrar nas redes da empresa,
perceber as suas vulnerabilidades e obter as comunicações
dos seus executivos de topo. No entanto, o plano foi ainda
mais longe: explorar a tecnologia da Huawei para que,
quando a empresa vendesse equipamento a outros países —
incluindo aliados como a Coreia do Sul ou adversários como
a Venezuela —, a NSA pudesse circular livremente nas redes
desses países.
«Muitos dos nossos alvos comunicam através de produtos
produzidos pela Huawei», afirma-se num documento da
NSA em que se descreve o Shotgiant. «Queremos assegurar-
nos de que sabemos explorar estes produtos», acrescenta-se,
para «aceder a redes de interesse» por todo o mundo.
Mas havia ainda outro objetivo: provar a acusação dos
Estados Unidos de que o Exército de Libertação Popular da
China estava secretamente por trás da Huawei e de que a
empresa se encontrava na realidade ao serviço das agências
de informações do país.
As preocupações dos Estados Unidos com a Huawei eram
justificadas. Nenhum país fez até hoje um esforço maior para
penetrar nas redes americanas que a China. «A China é
responsável por mais atividades de ciberespionagem que
todos os outros países em conjunto», disse-me o especialista
James Lewis quando eu me encontrava a meio de uma
investigação acerca do Shotgiant. «Hoje a questão não é
identificar as indústrias em que a China já penetrou, mas
aquelas em que ainda não o fez.»
A Huawei é por isso uma fonte natural de preocupações.
Qualquer empresa rodeada de um ambiente autoritário
dominado por instituições governamentais entrega ao Estado
todos os dados que este lhe pedir. As mesmas preocupações,
disseram-me vários responsáveis, aplicam-se à Kaspersky
Lab, o fabricante russo de software antivírus cujos produtos
têm permitido que os agentes de informações exfiltrem
documentos secretos americanos.
No entanto, quando a revista semanal alemã Der Spiegel e
o New York Times publicaram os pormenores do Shotgiant,
com base nos documentos de Snowden, a profundidade da
hipocrisia impressionou não só os chineses mas também
muitos aliados dos Estados Unidos. «Vocês estão a fazer aos
chineses precisamente o que estão a acusá-los de vos fazerem
a vocês», disse-me um diplomata europeu, cujo país enfrenta
igualmente o problema da Huawei, certo dia quando
tomávamos juntos o pequeno-almoço. Depois de uma
pequena pausa, acrescentou: «Mas a verdade é que
provavelmente devíamos ajudar-vos.»
Como é natural, os responsáveis americanos na disposição
de falar acerca do Shotgiant na altura em que o programa foi
revelado, em 2013, tinham uma explicação diferente. Os
Estados Unidos, argumentaram, penetram em redes
estrangeiras apenas por «motivos legítimos» ligados à
segurança nacional. «Não oferecemos as informações que
recolhemos às empresas americanas para aumentar a sua
competitividade internacional», assegurou Caitlin Hayden,
na altura porta-voz do Conselho Nacional de Segurança. «Já
muitos outros países não podem dizer o mesmo.»
O problema é que os chineses não veem diferença entre
«vantagem económica» e «vantagem para a segurança
nacional». Para um país cujo poder assenta em manter a sua
economia a crescer, essa distinção não existe. Os
responsáveis chineses consideraram a explicação americana
interesseira, na melhor das hipóteses, ardilosa na pior. Como
era claro, disse-me na altura um diplomata chinês sénior
colocado em Washington, o verdadeiro objetivo da NSA «é
impedir a Huawei de vender o seu equipamento para a Cisco
poder vender o dela».
Os slides que explicavam o Shotgiant, entre os
documentos que Snowden deu a conhecer, dão-nos uma ideia
do que estava por trás das intenções da NSA: «Se pudermos
determinar quais são os planos e as intenções da empresa»,
escreveu um analista, «esperamos que isto nos leve aos
planos e às intenções da República Popular da China.» A
Agência Nacional de Segurança viu ali uma vantagem
adicional: a Huawei investia em novas tecnologias e
espalhava cabos submarinos para interligar o seu império e a
agência estava interessada em penetrar em clientes-chave dos
chineses, incluindo «alvos altamente prioritários como o
Irão, o Afeganistão, o Paquistão, o Quénia e Cuba».
Em resumo, por ansiosa que estivesse a NSA por perceber
se a Huawei era realmente um fantoche nas mãos do governo
da China, estava ainda mais interessada em deitar as mãos às
fraquezas das suas redes. Tratava-se de uma missão
particularmente importante, porque a empresa chinesa é
muito popular em países com acesso difícil para as empresas
de telecomunicações americanas e onde estas dificilmente
conseguiriam algum contrato. Por outras palavras, a Huawei
podia ser uma boa porta secreta de entrada na China, mas
acabaria também por permitir a entrada a outro residente,
este secreto, que seria a própria NSA.
De acordo com as regras do jogo da espionagem, tudo isto
é admissível. Espiões americanos, espiões chineses, espiões
russos — bem como mudar de lado —, tudo isso é permitido
e esperado. Mas isto tem um custo a longo prazo que
Snowden, talvez sem que isso tenha sido intencional, deixou
à vista. Se os Estados Unidos quiserem estabelecer as regras
para o resto do mundo — a começar por não explorar
tecnologia que pode pôr em causa infraestruturas críticas —,
têm de estar dispostos a deixar alguma coisa de fora. Como o
Shotgiant deixou claro, ninguém na NSA, ou para lá da
agência, queria decidir o que isso poderia ser.
*
Os ficheiros relativos à China mostraram que a Huawei
não foi de maneira nenhuma o único alvo da Agência
Nacional de Segurança. Em 2013 a agência entrou em duas
das maiores redes de telemóveis da China e descobriu que
algumas das unidades estratégicas mais importantes do
Exército do país — incluindo várias que possuíam armas
nucleares — estavam fortemente dependentes de telemóveis
em que era fácil entrar. Outros documentos de Snowden
mostraram como a NSA tinha mapeado onde os principais
líderes chineses vivem e trabalham. Um dos seus alvos
principais era Zhongnanhai — uma zona residencial murada
ao lado da Cidade Proibida que em tempos foi uma área de
lazer dos imperadores e das suas concubinas. Hoje é um
misto do antigo esplendor e de algumas casas com aspeto
suburbano já um pouco datadas e com — pelo menos de
acordo com as revelações de Snowden — redes de Wi-Fi mal
protegidas. Acontece que os líderes chineses, como toda a
gente, estavam constantemente a queixar-se da lentidão da
Internet e a atualizar o seu equipamento, e isto ofereceu uma
oportunidade à NSA.
Foi uma tarefa para a unidade de operações de acesso a
alvos específicos. No final de 2013, a Der Spiegel publicou o
«catálogo ANT», um catálogo de equipamento que James
Bond teria decerto admirado.
A partir de 2008, aproximadamente, a NSA começou a
recorrer a novas ferramentas destinadas a roubar ou alterar
dados num computador mesmo que este não estivesse ligado
à Internet — exatamente o que fez no Irão para atravessar o
air gap que separava a central de Natanz do mundo digital.
O dispositivo mais engenhoso recorria a um canal
encoberto de baixas frequências transmitido por circuitos
minúsculos e pen USB introduzidas sub-repticiamente nos
computadores. Inserir o equipamento nos computadores
exigia, como é evidente, que os Estados Unidos ou um dos
seus aliados incluíssem o hardware nos dispositivos antes
que estes fossem enviados da fábrica, o desviassem enquanto
estava em trânsito ou encontrassem alguém que conseguisse
aproximar-se dele dissimuladamente. No entanto por vezes
também era possível enganar um alvo e levá-lo a introduzir
ele mesmo o aparelho num computador. O catálogo ANT
incluía um dispositivo, chamado Cottonmouth I, que parecia
uma pen USB normalíssima, das que podem ser compradas
em qualquer loja de produtos de informática. No entanto, no
seu interior havia um emissor-recetor minúsculo que saltava
para um canal de rádio encoberto que permitia «a infiltração
e exfiltração de dados».
Depois de o circuito ilícito estar a funcionar, o catálogo
indicado, os sinais do computador eram enviados para uma
estação retransmissora do tamanho aproximado de uma pasta
— chamado «cómoda» — que as agências de informações
podiam colocar a uma distância que ia até 10 quilómetros do
alvo. Por outras palavras, um agente americano sentado num
café em Pequim podia estar a retransmitir para Washington
emails trocados entre os líderes chineses ou as suas mulheres
e filhos.
A forma mais simples de percebermos o que é um
catálogo ANT é como uma espécie de atualização dos
aparelhos de escuta que os agentes de informações andaram a
pôr nos telefones a partir de 1920. No entanto, isto deixa de
lado o alcance do que o equipamento é capaz de recolher das
redes de computadores, e as oportunidades de ciberataques
que oferece. O catálogo revelou uma nova classe de
hardware com uma escala e uma sofisticação que permitiram
que a Agência Nacional de Segurança penetrasse em
computadores e redes — e alterasse aí dados — que os seus
operadores imaginavam completamente isolados da Internet,
e portanto impermeáveis a ataques do exterior. A NSA
chegou ao ponto de criar dois centros de dados na China,
aparentemente através de empresas de fachada, cuja principal
finalidade era introduzir malware em redes de computadores.
O sistema, a que a NSA chamou Quantum, não foi usado
apenas na China: houve esforços paralelos para introduzir o
malware em redes militares russas e em redes usadas pela
polícia mexicana e pelos cartéis da droga.
Não é por isso de surpreender que quando o New York
Times se preparava para publicar alguns destes pormenores a
NSA se tenha recusado a confirmá-los, pelo menos de forma
oficial. Particularmente, disseram-nos que estava tudo
relacionado com uma nova doutrina de «defesa ativa» contra
ciberataques estrangeiros. Em resumo, o seu objetivo era
mais a vigilância que o «ataque a uma rede de
computadores» — a forma como a Agência Nacional de
Segurança designa as ações ofensivas.
O problema, como é natural, é que os chineses nunca
acreditariam numa coisa dessas. Quando os americanos
encontram implantes semelhantes nas suas redes de
distribuição de combustíveis, ou nos seus mercados
financeiros, supõem imediatamente o pior — que a China
está a preparar-se para atacar. Perguntei a um responsável
superior da NSA como tencionava a agência mostrar à
China, ou a qualquer outro adversário, que se tratava apenas
de ferramentas digitais de monitorização, e não de minas
digitais preparadas para explodir dentro de alguns anos.
«O problema é esse», disse ele. «Não é possível
convencê-los. E eles também não conseguem convencer-nos
a nós.»
Mas ainda havia outra dificuldade. Os responsáveis da
NSA não achavam que o catálogo ANT viesse de algum
documento em que o crawler de Snowden tivesse tocado.
Tiveram de se pôr a procurar outro informador interno — um
segundo Snowden.
*
 As revelações de Snowden já têm neste momento vários
anos e descrevem atividades que tiveram lugar ainda antes de
Barack Obama ter sido eleito presidente pela primeira vez.
Isto significa que alguns responsáveis defendem atualmente
que o prejuízo causado à Agência Nacional de Segurança,
embora tenha sido grave na altura, já diminuiu de forma
dramática. Tal como um novo iPhone ou um computador
portátil super-rápido, a tecnologia de vigilância e ataque
pode parecer datada passado apenas um ano ou dois. E
alguns programas que parecem vitais quando são criados
podem ser simplesmente ultrapassados pelos acontecimentos
— ou pelo aparecimento de uma nova tecnologia.
Foi essa a ideia que o almirante Rogers defendeu perante
mim quando o visitei pela primeira vez na NSA, em 2014,
tinha ele tomado posse como diretor da agência e chefe do
Cibercomando dos Estados Unidos pouco tempo antes. É um
facto que alguns grupos terroristas tinham mudado as suas
táticas quando perceberam de que maneira os Estados
Unidos estavam a aceder às suas comunicações, disse-me o
almirante, que andava de um lado para o outro para distender
os músculos das costas no seu gabinete nas instalações da
Agência Nacional de Segurança em Fort Meade. Sim,
reconheceu, muitos aliados estavam furiosos — alguns por
terem descoberto que estavam a ser espiados pelos Estados
Unidos (como os alemães) e outros por Snowden ter revelado
que estavam a ajudar secretamente os americanos (a lista é
longa, mas também incluía os alemães).
No entanto, Rogers acrescentou: «Ainda não me ouviu, na
qualidade de diretor dizer “Meu Deus, o céu vai cair-nos em
cima!” Estou a tentar ser muito específico e comedido nas
minhas caraterizações.»
Ainda assim, com o avanço da discussão foi-se tornando
claro que o almirante estava preocupado com outro efeito,
mais duradouro, das revelações: podiam, segundo ele,
dissuadir os aliados de trabalhar com os Estados Unidos e de
partilhar o que sabiam sobre o que estava a acontecer no
mundo. Não que as agências de informações da Alemanha,
da França ou do Reino Unido estivessem chocadas com que
o que haviam lido: todos sabiam que os americanos os
estavam a espiar, e também eles tinham muitos programas
para espiar os Estados Unidos. O receio de Rogers era que a
necessidade dos líderes desses países de condenarem
publicamente a ação dos americanos viesse a ter um efeito
corrosivo na cooperação futura.
A maior preocupação relativa ao caso foi claramente em
torno do que aconteceu com a chanceler Angela Merkel. Um
dos documentos — que atualmente parece não ter sido
divulgado através de Snowden mas de outro informador —
sugere fortemente que o telefone pessoal da chanceler fora
posto sob escuta depois de ela se ter tornado líder da CDU.
Isso acontecera cerca de quinze anos atrás, muito antes de
alguém ter considerado seriamente a possibilidade de ela vir
a tornar-se chanceler. Não foi uma ciberoperação, foi um
telefone sob escuta à maneira antiga.
Mas Angela Merkel ficou furiosa — e disse-o a Obama.
«Espiar entre amigos é uma coisa que simplesmente não se
faz», observou, com o telefone pessoal antiquado na mão
perante os jornalistas. Mas é claro que faz, sempre fez, e
entre os que o fazem está a própria agência de informações
de Merkel, o BND, Bundesnachrichtendienst.
Nunca se chegou a provar que a NSA estava ativamente a
escutar as conversas de Angela Merkel, mas Obama foi
forçado a dar o passo invulgar de declarar que retirara o seu
aliado próximo da lista dos alvos da Agência Nacional de
Segurança.
Ainda descontente, a chanceler telefonou a Obama e,
segundo contou mais tarde, recordou-lhe que crescera na
Alemanha de Leste nos tempos da Stasi, a polícia política do
regime, e à sua maneira deixou claro que achava que não
havia grande diferença entre a maneira como a polícia
secreta americana monitorizava o seu próprio povo e o que
os Estados Unidos estavam a fazer com os seus aliados. «Isto
é como a Stasi», disse-lhe diretamente.
 No entanto, Angela Merkel estava longe de ser o único
alvo — os Estados Unidos também estavam a escutar os
líderes do México e do Brasil (depois de declarar
publicamente que a chanceler da Alemanha deixaria de ser
um alvo, Obama não mencionou que outros líderes nacionais
haviam saído da lista, nem quais os mais importantes que
haviam ficado).
A lição a retirar do caso Merkel é que a NSA, na sua
obsessão de recolher todos os bits de informação
relativamente a fontes estrangeiras a que conseguisse deitar a
mão, não considerou o prejuízo que isso poderia representar
para as suas próprias atividades se alguma vez viesse a
tornar-se público. Ninguém teve o cuidado de rever a sua
lista de alvos para verificar se passava o teste simples às
ações secretas da CIA: se esta operação aparecesse nas
primeiras páginas do New York Times e do Washington Post,
alguém teria de pedir a demissão? Na realidade, um
responsável pela segurança nacional da administração
Obama disse-me que as ações clandestinas da CIA eram
revistas todos os anos, mas ninguém pensara em fazer o
mesmo para as da Agência Nacional de Segurança. No
entanto, isso depressa mudou.
Ainda assim, excluindo por terem sido apanhados, os
chefes dos serviços americanos de informações não se
mostraram especialmente pesarosos. As agências de
informações foram criadas para espiar os estrangeiros,
explicaram, tanto amigos como inimigos. «Estamos a falar
de um empreendimento em grande escala, com milhares e
milhares de requisitos individuais», afirmou o general
Clapper aos membros do Congresso quando se viu no centro
da polémica depois das revelações.
Justificou a atividade de vigilância aos aliados com um
mantra simples: não confiar em ninguém. Os Estados Unidos
espiam os aliados para ver «se o que eles estão a dizer condiz
com o que de facto está a passar-se», acrescentou, e como as
palavras e as ações dos outros países «nos afetam numa série
de questões».
 O que Clapper disse é verdade, mas tratou-se de um
vislumbre momentâneo da Realpolitik, porque as revelações
haviam deixado claro a que ponto o apetite dos Estados
Unidos por novos dados se tornara voraz. Na Alemanha, e no
resto do mundo, a Agência Nacional de Segurança estava a
tentar obter números de telefone fixos e móveis — muitas
vezes através de diplomatas americanos — de tantos
responsáveis estrangeiros quanto possível. O conteúdo das
chamadas intercetadas era armazenado em bases de dados de
computadores que podiam ser regularmente pesquisadas com
recurso a palavras-chave.
«Sacaram todos os números de telefone que conseguiram
na Alemanha», contou, a mim e ao meu colega Mark
Mazzetti, um antigo funcionário de um serviço de
informações, e durante algumas conversas num tom
agressivo posteriores às revelações de Snowden os Estados
Unidos deixaram claro que não tencionavam pôr fim a esta
prática, excluindo no caso do telefone pessoal da chanceler
alemã.
Obama e Angela Merkel fizeram o possível por reparar os
estragos. «Susan Rice foi muito clara connosco», disse-me
na altura um alto responsável alemão referindo-se à
conselheira nacional de Segurança dos Estados Unidos. «Os
Estados Unidos não estão a abrir um precedente» quando se
comprometem a não continuar a espiar um governo aliado.
As revelações de Snowden mudaram de forma definitiva o
modo como a Alemanha considera o seu aliado pós-segunda
guerra mundial. Os políticos, tanto em Washington como em
Berlim, gostam de celebrar a proximidade da aliança e
descrevem-na como inabalável. No entanto, embora seja
próxima, está claramente sujeita a abalos — e assenta numa
certa desconfiança.
O general Clapper insiste que Snowden se limitou a
proporcionar aos cidadãos americanos uma imagem do que o
Congresso disse à agência que fizesse: introduzir-se nas
redes de informações digitais estrangeiras. E foi por essa
razão que considerou Snowden apenas mais um elemento
malicioso, que falou de proteger os cidadãos americanos das
intrusões na sua privacidade, mas ao mesmo tempo revelou
demasiadas coisas aos adversários dos Estados Unidos.
«Aquilo que ele expôs foi muito para além da chamada
vigilância interna», resumiu o general.
Mais tarde, quando abandonou as suas funções, disse-me
que as revelações de Snowden forçaram os Estados Unidos a
interromper um programa que ajudara a pôr fim a ataques
com dispositivos explosivos improvisados que mataram e
mutilaram muitos americanos e civis no Afeganistão. «No
dia a seguir àquele em que Glenn Greenwald escreveu acerca
do assunto no Guardian o programa foi encerrado»,
assegurou, referindo-se ao americano que se tornou o maior
apoiante de Snowden. «Isto causou um dano pelo qual todos
estamos ainda a pagar», insiste o general. «Era um ideólogo
narcisista e centrado em si mesmo.»
Pode ser tudo verdade, mas também pode ter-nos feito a
todos um favor ao forçar Washington e os novos gigantes da
Internet — a Google, a Facebook, a Microsoft e a Intel — a
repensar a sua relação com a administração norte-americana.
 Capítulo IV
UM ALVO A ABATER
«Não vejo razão para animosidade, mas o meu
trabalho é dificultar o deles.»
— Eric Grosse, chefe de segurança da Google,
referindo-se à NSA

oi o smiley que começou por chamar a atenção dos

F engenheiros da Google.
O rosto estava na parte inferior de um diagrama
desenhado à mão numa folha de papel amarelo que parecia
um pouco um esboço que um engenheiro tivesse rabiscado
num café — só que se encontrava num slide marcado com
«SECRET//SI//NOFORN» e estava incluído nos documentos
divulgados por Snowden.
O diagrama revelava que a Agência Nacional de
Segurança estava a tentar, talvez com êxito, introduzir-se nas
ligações entre a Internet pública e a Google Cloud, num
ataque conhecido como man in the middle. Por outras
palavras, tudo o que entrava e saía dos centros de dados
internacionais da Google, ligando os seus clientes em todo o
mundo, podia ser intercetado. O desenho incluía uma seta
que apontava para o ponto do diagrama onde a NSA estava a
introduzir-se. Ao lado da seta, para juntar o insulto aos danos
reais, o autor do slide desenhara um smiley.
 O diagrama deixou uma coisa muito clara: a NSA estava a
trabalhar para se infiltrar secretamente nas comunicações
entre os vários front-end servers que a Google distribuiu por
todo o mundo, e que estavam a ser usados por uma razão
muito prática, que era acelerar o acesso à informação.
Alguém em Singapura que fizesse download de dados da
Google Cloud não tinha de esperar que a informação
percorresse meio mundo com passagem pela Escócia.
Se se intrometesse entre dois servidores, a Agência
Nacional de Segurança teria possibilidade de intercetar todo
o tipo de tráfego entre esses servidores e o mundo exterior,
de mensagens de Gmail a Google docs, e até pesquisas no
Google Maps. Com esse passo brilhante, a NSA acederia a
dados de centenas de milhões de contas — na maior parte
dos casos de cidadãos não americanos, mas também de
muitos milhões de cidadãos dos Estados Unidos. Para
recolher os dados relativos aos cidadãos americanos, a
Agência Nacional de Segurança teria de obter uma
autorização do tribunal, mas os estrangeiros — qualquer
pessoa que não fosse legalmente americana — estavam à sua
disposição sem necessidade de autorização de ninguém. Pela
primeira vez, a NSA teria acesso às ideias, aos hábitos de
pesquisa e às comunicações entre milhões de pessoas fora do
país — tanto aliados como adversários. Era o sonho de
qualquer agência de informações.
O diagrama não especificava exatamente como a NSA
planeava introduzir-se entre esses dois servidores, mas só
havia meia dúzia de possibilidades. Teria de lhes aceder
remotamente a partir de uma das suas bases espalhadas pelo
mundo, introduzir-se fisicamente nos próprios cabos
submarinos, ou conseguir a cooperação de um parceiro
estrangeiro, por exemplo dos britânicos. O método mais
provável era aceder fisicamente aos pontos terminais num
país onde os cabos submarinos emergissem. Uma vez que a
Google não encriptava os dados em trânsito através desses
cabos, entrar na rede bastava para lhes aceder.
 Quando o Washington Post publicou o slide pela primeira
vez, a 30 de outubro de 2013, passados um pouco mais de
quatro meses sobre as primeiras revelações de Snowden, a
reação no interior do Googleplex, em Mountain View, foi
imediata e previsível.
«Filhos da puta», escreveu Brandon Downey, um dos
engenheiros da Google responsáveis pela segurança na sua
página do Google Plus, antes de comparar o momento com
uma cena do Senhor dos Anéis, muito à maneira de Silicon
Valley: «É um pouco como voltar para casa da guerra com
Sauron e destruir O Anel, para acabar por descobrir que a
NSA está à entrada do Shire a deitar abaixo a Árvore da
Festa e a subcontratar meios-orcs para substituir todos os
hobbits.»
A resposta da Google foi apenas um pouco mais
diplomática: «Estamos chocados com o ponto a que o
governo americano parece ter chegado para intercetar dados
das nossas redes de fibras privadas, e sublinhamos a
necessidade de reformas urgentes.»
Não há nada de surpreendente na falta de interesse da
administração americana em discutir possíveis «reformas».
Da perspetiva da Agência Nacional de Segurança, as redes
da Google estavam à sua disposição para intercetação de
mensagens, da mesma forma que os cabos de fibra ótica.
Desde que as comunicações em questão fossem entre
estrangeiros, e não envolvessem «cidadãos dos Estados
Unidos», como definia a lei, intercetar o tráfego de Gmail e
as pesquisas no motor de busca era simplesmente uma tarefa
do dia a dia dos espiões digitais americanos.
No entanto, o governo, e a Agência Nacional de
Segurança em particular, deixara escapar uma mudança
profunda na importância que os seus concidadãos davam à
privacidade dos dados que transportam nos seus smartphones
e nos seus computadores portáteis. Quando os telefones
dependiam de linhas fixas, ligadas diretamente a cada
residência, e as chamadas internacionais eram caras e raras
para os cidadãos americanos vulgares, não teria havido
grande indignação se o Estado estivesse atento às linhas
telefónicas internacionais. E nos anos que se seguiram aos
ataques de 11 de setembro houve uma simpatia pública
generalizada pelo esforço do Estado para intercetar as
comunicações entre terroristas.
Mas tudo isso mudou com a invenção dos smartphones.
De um dia para o outro as informações de que a Agência
Nacional de Segurança se estava a apoderar deixaram de ser
apenas tráfego telefónico. Pela primeira vez as pessoas
andavam com toda a sua vida nos bolsos — os seus
processos médicos, as suas informações bancárias e os
emails de trabalho, as mensagens enviadas aos cônjuges, aos
amantes e aos amigos. Estava tudo a ser armazenado
naqueles servidores da Google e noutros semelhantes da
Yahoo!, da Microsoft e de outros competidores menos
importantes. Dependendo do sítio em que cada pessoa se
encontrasse, os seus dados podiam estar a ser armazenados
em qualquer lugar. A distinção entre comunicações
internacionais e nacionais praticamente desaparecera. De
repente, a ideia de o Estado entrar nos servidores da Google
começou a parecer muito mais preocupante.
A revelação do smiley chegou a toda a parte e ameaçou
profundamente o negócio da Google em todo o mundo —
bem como os da Facebook, da Apple, e de todos os outros
símbolos das novas formas de poder americano. A nota
sugeria que a Google estava a ser vítima da intrusão do
governo dos Estados Unidos sem saber disso, mas, num
mundo em que a confiança nas instituições é cada vez menor,
nem a Google nem os outros gigantes tecnológicos podiam
deixar de parecer cúmplices. Os clientes na Alemanha e no
Japão ficaram desconfiados de que as empresas americanas
estavam a entregar secretamente os seus dados à NSA (essa
suposição não estava inteiramente errada: se recebesse uma
ordem do Tribunal de Vigilância de Informações do
Estrangeiro, a Google e as outras empresas com interesses
nas comunicações teriam sido obrigados a obedecer). E havia
governos em todo o mundo que podiam usar as revelações de
Snowden para acusar as empresas americanas de não
merecerem confiança, e de por isso terem de ser reguladas ou
expulsas dos seus países.
«Não ficámos em boa posição», disse-me Eric Schmidt,
na altura administrador executivo da Google, depois das
revelações de Snowden. No entanto, como ele próprio
admitiu, a relação da Google com o governo americano era
complicada — bastante mais complicada do que o desabafo
de Brandon Downey pode sugerir.
*
O fardo da resolução do problema imediato — aferrolhar
os sistemas da Google e convencer os clientes da empresa no
mundo inteiro de que os seus dados não estavam a ser
diretamente transmitidos para Fort Meade — recaiu sobre
Eric Grosse, o amigável chefe de tudo o que diz respeito a
segurança na Google. Com olhos claros e cabelo grisalho,
Grosse mais parece um respeitável pai de família dos
subúrbios que uma das pessoas mais importantes de Silicon
Valley. Ainda assim, o seu doutoramento em Informática da
Universidade de Stanford e o seu passatempo de pilotar o seu
próprio avião davam-lhe o tipo de credibilidade que se espera
na sua área.
Na altura em que cheguei com a minha colega Nicole
Perlroth ao gabinete de Grosse, num dos extremos do
campus da Google, no início do verão de 2014, estava ele
embrenhado no problema de bloquear todas as entradas
possíveis da NSA nas redes do gigante tecnológico. Nos
cubículos abertos com vista para uma velha base aérea,
Moffett Field, no meio do que entretanto se tornou Silicon
Valley — vestígios de uma era anterior à segunda guerra
mundial, em que o avião estava a transformar o poder à
escala global —, Grosse e a sua equipa de engenheiros
trabalhavam noite e dia para tornar os sistemas da Google à
prova de NSA.
O projeto, segundo nos disse Grosse, começara na
realidade antes de terem visto o famoso diagrama do smiley.
Já em 2008 a Google começara a investir em consórcios que
instalavam cabos submarinos. No entanto, partilhar envolve
os seus riscos, e a companhia não tinha o controlo total de
quem podia aceder aos cabos, e havia sempre o risco de o
tráfego da Google ser excluído durante uma emergência,
deixando os seus utilizadores sem acesso aos próprios dados.
Menos de uma década mais tarde, a Google tinha feito um
investimento de muitos milhares de milhões de dólares para
estender os próprios cabos de fibra ótica através do Atlântico
e do Pacífico, de maneira a poder controlar a rapidez e a
fiabilidade da informação transmitida entre os seus
servidores e os seus utilizadores.
Além de passar os próprios cabos, a Google decidira
igualmente, e isto já antes das revelações de Snowden,
desenvolver um programa que encriptasse todos os dados
transmitidos entre os seus centros de dados. Mas, tal como
aconteceu com o investimento em novos cabos, o esforço de
encriptação continuava a arrastar-se quando o documento do
smiley deixou claro que a administração dos Estados Unidos
estava empenhada em penetrar nas redes da Google. De
súbito, assegurar-se de que mais ninguém estava dentro
dessas redes tornou-se uma prioridade imediata.
A possibilidade de um serviço de informações penetrar
nas redes da Google sempre fora uma preocupação da
empresa, segundo nos disse Grosse, mas até aquele
documento aparecer a ameaça sempre parecera meramente
teórica. «Mesmo as pessoas sensatas podiam divergir em
relação ao risco real», disse-nos ainda. A ideia que prevalecia
entre os seus colegas antes de Snowden era que penetrar nas
comunicações entre os servidores da Google «seria
demasiado caro», mesmo para a NSA. «A maior parte do
tráfego não era sensível, de maneira que teria de haver uma
enormidade de processamento para encontrar meia dúzia de
coisas com interesse», explicou. Quem no seu perfeito juízo
se poria à procura de meia dúzia de agulhas no meio de um
tal palheiro?
 Ainda assim, admitiu Grosse, havia alguns engenheiros
especializados em segurança, tanto dentro como fora da
Google, que percebiam melhor a atitude da NSA e achavam
possível que a agência tivesse a motivação necessária para se
atirar à tarefa. «Tinham lido acerca do que acontecera com a
Operação Ivy Bells», concluiu.
Grosse referia-se ao gigantesco projeto das agências de
informações dos Estados Unidos no início dos anos 70 para
penetrar nos cabos submarinos da Marinha soviética no mar
de Okhotsk. Com um risco considerável de serem
descobertos, os responsáveis da NSA tinham enviado um
submarino com a missão de envolver os cabos com um
conjunto de dispositivos com cerca de 6 metros para gravar
todo o tráfego de mensagens. Todos os meses,
aproximadamente, vários mergulhadores tinham de descer a
uma profundidade de cerca de 120 metros para recuperar as
gravações. A operação decorreu com grande êxito até 1980,
altura em que um especialista da NSA, de 44 anos de idade e
com um sério problema de dinheiro, entrou na embaixada
soviética em Washington e denunciou a operação.
Durante todo o tempo em que esteve ativa, a Operação Ivy
Bells foi um processo complicado, que enfrentou grandes
desafios técnicos. Ultrapassar esses desafios exigiu a
colaboração do grande gigante técnico da altura, os
Laboratórios AT&T Bell, que se consideravam não só uma
empresa americana, mas também um membro fundador do
complexo industrial de informações que acabou por ser
responsável pela vitória na Guerra Fria. A empresa não teve
de passar por nenhuma vergonha quando o seu papel no caso
foi revelado — o cabo submarino em questão era usado pelos
militares soviéticos para comunicar com submarinos
armados com mísseis balísticos intercontinentais apontados a
cidades americanas. Os Laboratórios Bell fizeram o que
muitos americanos esperariam que fizessem.
Mas o mundo mudou muito nas quatro décadas que
decorreram entre o lançamento da Operação Ivy Bells e a
descrita no desenho com o smiley. Os engenheiros da
Google, de maneira geral, não tinham crescido num ambiente
marcado pela Guerra Fria e não consideravam que o seu
papel incluísse o apoio à Defesa americana e aos seus
parceiros em matéria de recolha de informações. Seja como
for, não se tratava de um esforço de colaboração. O governo
estava a penetrar na rede de uma empresa e a usar as suas
informações. Embora a Google tenha nascido nos Estados
Unidos, vê-se sem dúvida mais como uma empresa global do
que os Laboratórios Bell nos seus tempos áureos. Os
engenheiros da Google sentados nos seus cubículos em volta
de Grosse consideravam que a sua principal missão não era
contribuir para a segurança nacional norte-americana, mas
assegurar aos seus clientes que as suas informações estavam
seguras. E isto incluía os clientes globais, e não apenas os
americanos.
De um momento para o outro, segundo Grosse, o sentido
de risco da Google modificou-se. A Agência Nacional de
Segurança tinha explorado «o nosso ponto mais fraco»,
disse-nos enquanto visitávamos as instalações da Google,
onde alguns programadores tinham colado fotografias do
quartel-general da NSA com traços agressivos desenhados
por cima. O projeto de encriptação, «que inicialmente estava
pensado para uma escala temporal de alguns meses», passou
a ter um limite «de algumas semanas» para ser completado.
Grosse pôs o programa a andar o mais depressa que
conseguiu. O que acontecera não fora apenas mais uma
escaramuça no que poderia ser considerado uma guerra
prolongada entre Silicon Valley e a NSA. «Não vejo razão
para animosidade», disse-nos Grosse enquanto andávamos de
um lado para o outro no centro de segurança que a Google
criara para lidar com as suas vulnerabilidades, «mas o meu
trabalho é dificultar o deles.»
Pouco depois a Google acrescentou uma nova encriptação
aos seus emails. E, numa piada dirigida à NSA, o código
termina com um smiley.
*
 O caso Snowden deu início a uma era notável, em que as
empresas americanas, pela primeira vez na história do pós-
segunda guerra mundial, se recusaram de maneira geral a
cooperar com o governo americano. Em parte essa recusa foi
envolvida nas ideias libertárias típicas de Silicon Valley, mas
o verdadeiro medo nos gigantes da tecnologia foi que
qualquer associação direta com a NSA levasse os clientes a
perguntar-se se Washington não teria penetrado nos seus
produtos.
Snowden proporcionou tanto a aliados como a adversários
argumentos relativos aos perigos de usar tecnologia
americana — o mesmo argumento que os Estados Unidos
evocam com regularidade em relação ao software antivírus
da Kaspersky, concebido na Rússia, que corre em
computadores americanos, ou a autorizar empresas chinesas
a vender os seus telefones e o seu equipamento de rede nos
Estados Unidos. Além disso, as revelações de Snowden
prepararam o cenário para os conflitos em grande escala
entre as tecnológicas de grande dimensão — Google, Apple,
Facebook e Microsoft — e uma Agência Nacional de
Segurança que supôs alegremente que as empresas
americanas ficariam do seu lado, da mesma maneira que
acontecera com a Lockheed, a Boeing e a Raytheon durante a
Guerra Fria.
A Google não foi, de maneira nenhuma, o único alvo da
NSA, e o projeto de penetrar nos seus servidores foi apenas
uma pequena parte de um esforço muito mais vasto. Meses
antes do aparecimento público do smiley, as revelações de
Snowden deram a conhecer a existência de um programa da
agência com o nome de código de PRISM, para a NSA
recolher comunicações da Internet de todos os tipos com
ordens emitidas pelo Tribunal de Vigilância de Informações
do Estrangeiro. As empresas recebiam ordens para não
revelar o programa, e alguns milhões de dólares para as
compensar pelos custos da colaboração. No interior da
Agência Nacional de Segurança a operação era dirigida por
um grupo conhecido pelo nome de «Operações de Fonte
Especial», que procurava recrutar empresas americanas para
a causa depois dos ataques de 11 de setembro. Toda a gente,
da Microsoft à Yahoo! e da Apple à Skype, participou,
embora uns com mais relutância que outros. Os analistas de
informações ao serviço do governo contornavam todos os
sistemas de encriptação para fazer pesquisas em bases de
dados gigantescas.
O documento do smiley, em combinação com as
revelações do PRISM, sugere que a Agência Nacional de
Segurança tinha na realidade acesso aos servidores das
grandes corporações de duas maneiras diferentes: graças às
ordens do tribunal, com todo o seu poder legal, e através de
um esforço encoberto noutros países, para o qual não era
necessária nenhuma autorização do tribunal mas em que se
exigia muita dissimulação.
A maior parte das pessoas não percebeu a distinção. Para
quem não estivesse a observar atentamente, parecia que as
empresas de Silicon Valley estavam simplesmente a abrir as
suas portas à NSA — que se haviam transformado num
braço de um governo americano cada vez mais autoritário.
As companhias tecnológicas foram rapidamente forçadas a
fazer anúncios públicos em que se distanciavam do governo.
A 7 de junho, o dia em que o Guardian revelou o acesso do
programa PRISM à Facebook, à Microsoft e a outras, Mark
Zuckerberg publicou uma defesa veemente: «O Facebook
não faz nem nunca fez parte de qualquer programa para
permitir o acesso direto do governo dos Estados Unidos ou
de qualquer outro aos seus servidores», assegurou. Nesse
mesmo dia, a Microsoft declarou que apenas colaborara
«com ordens e pedidos acerca de contas ou identificadores
específicos. Se o governo tem um programa voluntário de
segurança mais amplo para recolher dados de clientes, a
Microsoft não participa nesse programa».
No entanto, houve outras empresas que participaram em
projetos desse tipo. Os documentos de Snowden mostram
uma longa história de cooperação entre a NSA e os gigantes
das telecomunicações que controlavam o que se transformou
na espinha dorsal da Internet. Os documentos revelados
mostravam que 17 hubs da Internet da AT&T nos Estados
Unidos tinham instalado equipamento de vigilância da NSA;
um número um pouco menor de instalações da Verizon
também tinham equipamento desse tipo. Muitas vezes os
engenheiros da AT&T estavam entre os primeiros a testar a
nova tecnologia do governo. Um memorando interno da
NSA, que regista a ida de um dos responsáveis máximos da
agência à empresa, refere-se à sua «extrema disponibilidade
para ajudar na intercetação de sinais e para colaborar com as
cibermissões e à amplitude e à profundidade não apenas do
acesso ao programa», mas também aos «conhecimentos
extraordinários» dos profissionais da empresa.
A relação era de tal maneira vital que por vezes o
presidente Obama interveio diretamente junto de executivos
de empresas da área das telecomunicações, telefonando-lhes
pessoalmente para pedir ajuda em casos em que a
necessidade de informação acerca de um grupo terrorista era
crítica ou no caso de as agências de informações recearem
ataques iminentes. E esses executivos, apesar de no fundo
estarem do lado do presidente, tinham de fazer a si mesmos
uma pergunta difícil: as suas empresas eram em primeiro
lugar empresas americanas ou corporações globais?
«Era o tipo de pedido a que não se podia responder que
não», disse-me o responsável máximo de uma dessas
empresas. «Do outro lado da linha está um presidente a tentar
salvar a vida de pessoas.»
Mas veio o momento em que o mesmo executivo teve de
pensar melhor nos perigos envolvidos em responder que sim.
Depois de Snowden, o custo potencial de cooperar com
Washington tornou-se muito mais alto. Qualquer país que
quisesse afastar empresas americanas dos seus mercados
podia usar facilmente o argumento da segurança nacional:
compramos o equipamento americano e estamos
provavelmente a pagar por uma porta de entrada que a NSA
instalou para penetrar nos nossos sistemas.
 No ano que se seguiu às revelações de Snowden, falei
com vários executivos americanos que percorreram a Europa
e a Ásia a explicar aos clientes que não era o que se passava.
No entanto, as suas razões não encontraram grande
recetividade. «Se uma empresa está sedeada nos Estados
Unidos, partimos do princípio de que tem um entendimento
com os serviços de informações norte-americanos», disse-me
um responsável sénior pelos serviços de informações
alemães durante um jantar em Berlim. «E de resto basta ver
quem são os fornecedores da CIA.»
Referia-se ao negócio de 600 milhões de dólares com a
Amazon para construir o sistema gigantescamente complexo
de armazenamento na cloud da CIA. Para a agência, este
negócio representava uma verdadeira revolução — uma
resposta à crítica de que as informações armazenadas pelas
agências de informações estavam tão protegidas em «silos»
que era impossível conduzir ali o tipo de análise de big data
que poderia revelar padrões, ou conspirações. Aos poucos, o
Pentágono começou a mover-se na mesma direção. Como é
evidente, a ideia de centralizar as informações na cloud
deixou muitos dos responsáveis americanos
extraordinariamente nervosos. A lição do 11 de setembro foi
que era preciso partilhar mais as informações, mas a lição de
Snowden era que os sistemas centralizados estão sujeitos a
maiores riscos de fugas. No entanto, o mais irónico é que as
empresas tecnológicas que protestaram publicamente contra
as intrusões da NSA nas suas redes — a Microsoft, a IBM e
a AT&T, entre outras — estavam a competir discretamente
pelo negócio altamente rentável da gestão dos dados dos
vários serviços de informações.
*
Tim Cook, o calmo e quase ascético administrador
executivo da Apple, subiu na hierarquia da empresa quase
como um contrapeso a Steve Jobs. Jobs era o responsável
pelo espetáculo, Cook o estratego discreto. Jobs intervinha
quando os produtos pareciam ter deficiências ou quando
havia algum obstáculo à solução técnica ideal. Cook não
tinha a noção intuitiva de Jobs do que fazia de um produto
algo com o selo inconfundível da Apple, mas aquilo que lhe
faltava em sensibilidade ao design compensava com
sensibilidade geopolítica. Enquanto Jobs não era de maneira
nenhuma um ideólogo e raramente refletia acerca de
questões como o papel da Apple na sociedade, Cook parecia
tão à vontade a discutir uma matéria relacionada com
liberdade cívica como uma ligada a tecnologia.
Talvez a intuição social e política de Cook seja o resultado
da sua juventude passada no Alabama, onde uma das suas
recordações mais vivas é ter passado de bicicleta em frente
de um grupo de homens do Ku Klux Klan que queimavam
uma cruz no jardim de uma família de cor na cidade de
Robertsdale e de lhes gritar que parassem. «Esta imagem
ficou permanentemente gravada na minha memória e
acabaria por mudar a minha vida para sempre», afirmou em
2013, o ano das revelações de Snowden.
Cook nunca falou muito sobre a sua vida pessoal. Só
quando já estava à frente da Apple começou a falar de como
fora para um rapaz homossexual crescer num estado
conservador. No seu gabinete tem retratos de Robert
Kennedy e de Martin Luther King Jr. — dois dos heróis da
sua juventude. Assim, quando Obama o convidou para a
Casa Branca — juntamente com Vinton Cerf, um dos
fundadores da Internet, e Randall Stephenson, o
administrador executivo da AT&T —, no final de 2013,
numa tentativa de conter os efeitos negativos das revelações
de Snowden, Cook tinha sem dúvida ideias formadas acerca
do assunto. Já sabia em que direção a Apple estava a
caminhar no que dizia respeito à tecnologia — exatamente
aquela em que o governo não queria que ela fosse.
No centro da disputa de Cook com a administração estava
decidir se para a Apple era mais importante proteger os
dados que os utilizadores mantinham nos seus telefones ou
assegurar que o FBI e as agências de informações americanas
podiam entrar em qualquer iPhone. Para Cook, não se tratava
de um dilema moral, e como questão comercial era ainda
mais simples. Cook ascendera ao topo da Apple a defender
que um dos objetivos fundamentais da empresa era ajudar os
utilizadores dos seus produtos a manter as suas vidas digitais
privadas. A Apple faz dinheiro a vender hardware e apps, e
não a vender anúncios através de serviços de email ou de
motores de pesquisa.
No entanto, para sua surpresa, Cook deparou-se com uma
oposição feroz, não só do FBI, mas do próprio Obama. Este
último estava surpreendido, porque Cook era um dos poucos
executivos da área tecnológica com quem o presidente
desenvolvera uma relação próxima da amizade. Os dois têm
sensivelmente a mesma idade e nas suas idas a Washington
— que no caso de Cook eram muito mais frequentes que no
de Steve Jobs — o executivo aproveitava muitas vezes para
uma visita à Casa Branca e para uma conversa tranquila com
o presidente, que sempre admitiu um certo fascínio pela
Apple (os seus assessores achavam que isso acontecia porque
a NSA e a agência de comunicações da Casa Branca
insistiam que não conseguiam tornar nenhum iPhone
suficientemente seguro para o presidente e o obrigavam a
usar um BlackBerry, que ele detestava). Pelo seu lado,
Obama parecia completamente no seu elemento nas visitas a
Silicon Valley, onde podia recolher livremente impressões
acerca do futuro da economia americana com a confiança de
quem se encontra entre os seus apoiantes mais entusiásticos.
A relação dos dois torna ainda mais claro e fascinante o
conflito com Cook e os outros apoiantes de Obama na área
tecnológica no que diz respeito à encriptação.
As revelações de Snowden forçaram Cook a tomar
posição numa guerra que se agudizava havia anos — a luta
do FBI contra a tendência crescente para a encriptação de
dados pessoais. Toda a gente está de acordo que as
informações bancárias e algumas informações confidenciais
do âmbito estatal devem ser encriptadas. Mas a ideia de que
o mesmo pode ou deve acontecer com qualquer dado pessoal
insignificante era relativamente recente, e deixou os
representantes das agências estatais estarrecidos. O FBI
avisou que a encriptação de comunicações pessoais estava a
criar uma crise que impedia os seus agentes — bem como as
polícias locais — de localizar terroristas, raptores e espiões.
Ninguém estava mais de acordo com esta perspetiva que
James Comey, o diretor do FBI de Barack Obama, que se
notabilizara por se opor à Casa Branca de Bush quando esta
procurou contornar a lei e os tribunais para autorizar um
programa de vigilância. Mas Comey era acima de tudo um
advogado do governo e neste caso defendia que sem uma
autorização do tribunal para penetrar nos telefones da Apple,
aquilo a que a maior parte das pessoas chamava uma «porta
das traseiras», o dispositivo mais usado de todos estaria a
proporcionar aos conspiradores do Estado Islâmico, e mesmo
aos terroristas de criação caseira, uma forma barata de
comunicarem secretamente.
O argumento não me pareceu especialmente sincero. Há
certas comunicações encriptadas que dificultam a
intercetação de comunicações que anteriormente se
processavam em total liberdade. Mas isto era ignorar a vaga
de novas tecnologias permitidas pela Internet — como
muitos especialistas observaram — que haviam dado origem
a uma idade de ouro da vigilância. Num mundo em que as
nossas bagagens perdidas e os nossos automóveis podem ser
seguidos eletronicamente, em que uma banda de fitness
permite encontrar o local onde nos encontramos e os nossos
relógios estão ligados à Internet, a vida é muito mais fácil
para os investigadores. Como um agente do FBI uma vez
admitiu em conversa comigo: «Se nos metêssemos numa
máquina do tempo e recuássemos dez anos, ficávamos com a
impressão de que a nossa melhor ferramenta nos tinha sido
tirada.»
Cook era de opinião que entregar ao governo dos Estados
Unidos a porta secreta de entrada nos seus produtos que lhe
pediam seria um desastre. «Os pormenores mais íntimos da
nossa vida estão neste telefone», disse-me um dia, com um
iPhone na mão. «Os nossos dados médicos, as nossas
mensagens ao nosso cônjuge, o local onde estivemos ao
longo de todo o dia. E esta informação pertence-nos. A
minha função é assegurar que ela continua a pertencer-nos.»
Foi assim que um ano mais tarde, em 2014, Cook entrou
em guerra com a administração Obama a propósito da
encriptação de dados.
*
Cook subiu ao palco em Cupertino em setembro desse ano
para anunciar o iPhone 6, que a Apple promoveu — embora
em menos palavras — como o telefone para a era pós-
Snowden. Ao longo dos anos, mesmo antes das revelações de
Snowden, a Apple fora encriptando cada vez mais dados nos
seus telefones. A partir desse modelo, graças a uma mudança
no software, o telefone passou a encriptar automaticamente
emails, fotos e contactos, graças a um algoritmo matemático
complexo que usava um código criado para o utilizador do
telefone, e exclusivo para ele.
Mas a grande novidade era que a Apple não ia ficar com a
chave da informação: essa era criada e conservada pelo
utilizador. Tratou-se de uma grande mudança em relação ao
passado. Até então a Apple sempre ficara com as chaves, a
não ser que o utilizador de um dos seus telefones utilizasse
alguma app especial de encriptação — um processo
complicado para a maior parte dos utilizadores.
Mas a partir desse momento a encriptação passaria a ser
automática. «Não conservamos essas mensagens, e de
qualquer maneira não seríamos capazes de as ler», disse-me
Cook. «Não nos parece que as pessoas queiram que
tenhamos esse direito.» Mas o pior para aqueles que queriam
penetrar nos iPhones é que quebrar qualquer código
individual levaria algum tempo: o guia técnico da Apple
dizia que poderia levar «mais de cinco anos e meio tentar
todas as combinações de uma palavra-chave alfanumérica
com letras minúsculas e algarismos».
Durante a semana seguinte, as implicações foram sendo
assimiladas no quartel-general do FBI. Se a encriptação era
automática, seria quase universal. Assim, se o FBI fosse a
tribunal e entregasse um iPhone à Apple e exigisse conhecer
o que lá se encontrava, mesmo que lhe colasse uma ordem do
tribunal, receberia uma quantidade de código encriptado sem
o menor sentido e a Apple poderia assegurar que sem o
código do utilizador a empresa não tinha forma de
descodificar a informação. Se o governo quisesse os dados,
teria de começar a trabalhar em quebrar o código recorrendo
a muita força braçal.
Comey não estava à espera de uma jogada deste tipo. Era
uma quebra completa do entendimento tácito que sempre
conhecera, estabelecido durante os tempos mais simples da
Guerra Fria e depois do choque do 11 de setembro, de que
haveria sempre uma forma de contornar a encriptação. De
um dia para o outro essa suposição básica fora modificada.
«O que me preocupa é que as empresas estão a publicitar e
vender produtos com o objetivo explícito de lhes permitir
protegerem-se por trás da lei», afirmou Comey depois do
anúncio numa conferência de imprensa dedicada em grande
parte ao combate às ameaças do Estado Islâmico.
Para os que estavam nas agências de segurança desde as
criptoguerras dos anos 70 e 80, o argumento era familiar. Na
altura a Agência Nacional de Segurança queria controlar toda
a investigação em matéria de criptografia, de modo a poder
ler tudo o que entendesse. Combatera académicos e empresas
privadas que queriam publicar trabalhos recentes de
investigação acerca das maneiras mais seguras de encriptar
dados, e queria ter um papel no estabelecimento de padrões
na área para poder ler mensagens enviadas em todo o mundo.
Em resumo, a NSA queria controlar o desenvolvimento da
criptografia, de forma a não ficar impossibilitada de entrar
fosse em que sistema fosse.
Mais tarde, nos anos 90, a agência desenvolveu o chip
Clipper, que podia ser instalado em computadores, televisões
e nos primeiros telemóveis. O Clipper encriptava voz e
mensagens de dados mas incluía uma porta das traseiras por
onde a agência podia penetrar, que assegurava que, desde que
tivessem autorização das agências de informações, o FBI e as
polícias locais conseguiam descodificar qualquer mensagem.
A administração Clinton aprovou a ideia — durante algum
tempo —, com o argumento de que, desde que o chip se
encontrasse em todos os dispositivos, os terroristas não
conseguiriam deixar de o usar e as agências de informações
poderiam sempre escutar as suas comunicações.
Como seria de esperar, tanto os consumidores como a
maior parte dos fabricantes revoltaram-se e a administração
Clinton foi obrigada a recuar. «A NSA perdeu ambas as
batalhas», observou Susan Landau, especialista na história
destes conflitos.
Mas de um momento para o outro a mesma batalha voltou
a ser combatida, e com uma ferocidade surpreendente. As
revelações de Snowden deixaram as grandes empresas
tecnológicas mais determinadas do que nunca a reforçar a
sua encriptação, e os seus argumentos tornaram-se fáceis de
aceitar pelas inúmeras histórias de ciberataques a empresas
onde os dados dos seus cartões de crédito estavam
armazenados. Obama soube ler os sinais e criou um painel
independente para o aconselhar em relação às novas
restrições — no caso de se justificarem — a impor à Agência
Nacional de Segurança depois das revelações de Snowden e
para o orientar no estabelecimento de um equilíbrio entre
privacidade e segurança. Do painel faziam parte Mike
Morell, que se retirara do serviço na CIA pouco depois de eu
ter falado com ele a propósito da Operação Jogos Olímpicos,
bem como uma série de outros antigos membros de agências
de contraterrorismo, académicos e constitucionalistas.
Para choque da NSA e do FBI, Morell e os colegas
puseram-se do lado das grandes empresas tecnológicas. O
painel fez uma recomendação unânime de que o governo
«não devia de forma alguma subverter, minar, enfraquecer ou
tornar o software comercialmente disponível mais
vulnerável». Pelo contrário, devia «reforçar o uso de
encriptação e incentivar as empresas americanas a fazerem o
mesmo».
 A tinta dos subscritores do parecer ainda não tinha secado
no documento e já a Agência Nacional de Segurança estava a
pressionar Obama para que este ignorasse o conselho. Numa
altura em que já havia grupos terroristas a recorrer a apps
encriptadas, com nomes como Telegram e Signal, observou
Landau, «a última coisa de que a NSA precisa é de tornar a
encriptação de mensagens mais fácil para toda a gente no
mundo inteiro; se assim fosse, como poderia decifrar
mensagens trocadas noutros países?».
O empreendimento de advogar o acesso do governo coube
a Comey, que sempre tivera uma certa queda para o
dramatismo — como toda a gente acabou por perceber
graças aos seus confrontos posteriores com Hillary Clinton e
Donald Trump —, e em pouco tempo começou a recorrer aos
exemplo mais emotivos em que conseguiu pensar para apoiar
a sua posição: que aconteceria, perguntou, quando os pais de
uma criança raptada fossem ter com ele com um telefone que
pudesse revelar o paradeiro do filho, mas o seu conteúdo não
pudesse ser determinado porque era automaticamente
encriptado — apenas para que a Apple pudesse alargar os
seus lucros a todo o planeta? Comey previu que viria um
momento, em breve, em que esses pais iriam ter com ele,
«com lágrimas nos olhos, o olhariam e perguntariam “O que
quer dizer com isso? Não pode?!”».
«A noção de que alguém quer vender um armário que
nunca poderá ser aberto — mesmo que isso envolva o raptor
de uma criança e uma ordem do tribunal — não me parece
fazer o menor sentido», disse ele. Depois alargou a analogia
a portas de apartamentos e bagageiras de carros sem chave.
Isso impediria buscas legais, argumentou. Se uma tal coisa
não seria tolerada no mundo físico, perguntou, porque
haveria de ser tolerada no mundo digital?
Da outra costa, Tim Cook enviou-lhe a resposta: as chaves
do apartamento e da bagageira do carro pertenciam ao
proprietário do apartamento e do carro, e não ao fabricante
das fechaduras. «A nossa função é fornecer as ferramentas
com que os clientes podem proteger as suas coisas», disse
Cook. Na Apple e na Google, os executivos das empresas
disseram-me que fora Washington que estivera na origem
destas mudanças que mais tarde tanto lhe desagradaram.
Uma vez que a NSA não conseguira fiscalizar os seus
próprios funcionários, o mundo exigia à Apple que provasse
que os seus dados estavam protegidos, e cabia à empresa
fazê-lo. Como é natural, o governo encarou estas respostas
como uma forma de as empresas se esquivarem. E até certo
ponto era-o.
Mas Cook tinha um argumento mais amplo e melhor, a
que o governo não conseguiria esquivar-se com a mesma
facilidade: se a Apple deixasse uma porta das traseiras
incluída no seu código, essa vulnerabilidade tornar-se-ia um
alvo de todos os hackers do planeta. O FBI estava a ser
ingénuo se pensava que, no caso de as empresas criarem uma
porta e darem a chave ao FBI, mais ninguém seria capaz de
descobrir uma maneira de entrar. «O problema é», disse
Cook, «que qualquer pessoa com formação técnica sabe que
se criarmos uma abertura para o FBI também estamos a criá-
la para a China, a Rússia e todos os outros.»
Discretamente, Cook apresentou o argumento ao próprio
presidente Obama — em reuniões discretas em Washington e
Silicon Valley. As agências de informações e a polícia tinham
todo o tipo de alternativas, defendeu. Podiam encontrar
dados na cloud. Podiam usar o Facebook para encontrar as
pessoas com quem cada um se relaciona. Mas dar-lhes o
acesso aos dados que se encontram num telemóvel é não
corresponder às expectativas dos americanos quanto à sua
privacidade — e convidar os chineses e outros a fazerem o
mesmo, mas com propósitos bastante mais sinistros.
«A única maneira de proteger centenas de milhões de
pessoas é como eu estou a fazê-lo», disse-me Cook durante
uma das suas visitas a Washington, acabado de sair de um
encontro em que expusera as suas ideias a Obama e aos seus
assessores. Mas sabia que, apesar da sua admiração por
Obama — «Adoro o tipo», repetiu várias vezes —, estava a
perder a discussão com ele.
 O presidente estava a procurar ponderar a questão
defendendo que a segurança e a privacidade podiam ser
equilibradas. Da perspetiva de Cook, o slogan parecia
simpático quando repetido na sala de imprensa da Casa
Branca, mas não fazia sentido de uma perspetiva tecnológica.
Abrir um buraco no sistema operativo do iPhone era como
abrir um buraco no para-brisas do carro — enfraquecia a
estrutura e permitia que tudo voasse lá para dentro.
Quando falei com Cook, ficou claro que havia outro
problema a preocupá-lo, um problema que os responsáveis
políticos americanos não estavam a discutir em público
porque tornava a questão muito mais complicada da sua
própria perspetiva. A China estava a observar a luta entre a
Apple e a administração americana — e a torcer por Comey.
Se a Apple concordasse criar uma porta das traseiras para o
FBI, o ministro da Segurança do Estado da China exigiria à
Apple que criasse uma também para eles, ou expulsaria a
Apple do mercado chinês.
Na Casa Branca, muitos responsáveis estavam
preocupados com a possibilidade de serem acusados de
cumplicidade com as medidas cada vez mais severas
tomadas pela China contra os seus dissidentes. De facto, o
medo deixou muitos desses dissidentes paralisados. Ainda
assim, os mais altos responsáveis do FBI ignoraram o
argumento. «Nós não somos o Departamento de Estado»,
disse-me um dos colaboradores mais próximos de Comey. Os
restantes membros da comunidade dos serviços de
informações pareciam igualmente pouco preocupados com a
questão. Poucos dias depois do anúncio da Apple, o diretor
de uma das 16 agências de informações dos Estados Unidos
convidou-me para uma reunião no seu gabinete para se
queixar dos executivos de topo da Apple.
«Tudo isto é um resultado direto da fuga de informações
de Snowden», declarou, de resto a única coisa em que ele
próprio e os executivos das grandes empresas tecnológicas
como Cook pareciam concordar. «Estamos a deixar-nos
cegar.» Os smartphones, disse ele, eram parte da tralha
portátil de todos os terroristas identificados pelas Forças
Especiais Americanas no Paquistão e no Afeganistão, e agora
também no Estado Islâmico. A maior parte dos dados que os
seus telefones transportavam era imediatamente lida. A partir
dessa altura passariam a beneficiar de níveis de encriptação
até então apenas acessíveis a agentes dos governos da Rússia
ou da China.
«É uma escolha terrível», desabafou outro alto
responsável de um serviço de informações americano.
«Temos de decidir se atacamos as nossas próprias empresas»
ou se vivemos num mundo em que as suposições normais
das agências de segurança ocidentais — que podiam obter
qualquer mensagem e quebrar qualquer código — deixariam
de se aplicar.
As posições de batalha foram definidas, mas o grande
combate só se daria um ano mais tarde, quando a campanha
presidencial de 2016 já começava a aquecer.
*
Pouco antes do meio-dia de quarta-feira, 2 de dezembro
de 2015, Syed Rizwan Farook e Tashfeen Malik armaram-se
com espingardas automáticas e pistolas semiautomáticas e
atacaram o Departamento da Saúde de San Bernardino, na
Califórnia, onde decorria um banquete. Quando fugiram do
local, deixaram atrás um explosivo constituído por três
bombas que acabaram por não explodir. Do ataque
resultaram 14 mortos e 22 feridos. Os mortos tinham idades
entre os 26 (uma mulher com um filho pequeno) e os 60 anos
(um emigrante da Eritreia que fugira para os Estados Unidos
com a mulher para poder proporcionar uma vida mais segura
aos três filhos).
Os atacantes foram mortos num tiroteio algumas horas
mais tarde, a cerca de 3 quilómetros do local do ataque.
Farook, com 27 anos, veio a saber-se, era filho de pais
paquistaneses que haviam fugido para o Illinois antes de ele
próprio ter nascido, o que significa que tinha nacionalidade
americana. Malik, um ano mais velha, nascera no Paquistão
mas vivera na Arábia Saudita com a família antes de ter
partido para os Estados Unidos com Farook, que conhecera
na sua hajj, a peregrinação a Meca. Seguiu-se o processo de
radicalização. Acabou por se descobrir que referira o seu
apoio ao Estado Islâmico no Facebook pouco tempo antes do
ataque, embora antes de tudo ter acontecido ninguém tivesse
prestado atenção.
Em seguida veio o pormenor que acabaria por reacender o
debate da encriptação e prolongá-lo por vários meses. Farook
tinha deixado em casa o seu iPhone 5c. A questão é crítica
porque, embora os dois tenham feito um esforço sério para
cobrir a sua pista eletrónica até ao ataque — destruíram
fisicamente telefones pessoais e discos rígidos, apagaram
emails e usaram um telefone com um cartão pré-pago —,
esqueceram o telemóvel do trabalho. O FBI estava
convencido de que este aparelho poderia proporcionar pistas
vitais, como as comunicações de Farook com os seus
associados e, o que era ainda mais importante, as suas
coordenadas GPS antes do ataque — isto é, se conseguissem
vencer a encriptação do telefone (Farook não tinha feito
upload dos seus dados para a cloud, o que os teria tornado
mais facilmente acessíveis).
O problema é que Farook tinha protegido o telefone com
um código, e, como é evidente, quando a investigação
decorreu já estava morto. Embora o FBI pudesse tentar usar a
força bruta para penetrar nos dados — basicamente tentar
todas as combinações possíveis —, entre as medidas de
segurança introduzidas pela Apple estava a de apagar todos
os dados ao fim de dez tentativas erradas de introduzir a
password. Esta medida fora concebida para proteger os
utilizadores contra qualquer hacker que conseguisse penetrar
no telefone — na maior parte dos casos criminosos que
procuram informações de caráter financeiro, números de
cartão de crédito ou informações acerca da forma de entrar
numa casa ou de abrir um cofre.
Da perspetiva de Comey, o caso parecia feito de
encomenda para dar força aos seus argumentos. Se houvesse
outros americanos influenciados pelo Estado Islâmico em
comunicação com Farook e Malik, tinham de ser
rapidamente apanhados. E a Apple, em nome da sua política
de respeito pela segurança e pela privacidade, estava a
argumentar que não conhecia a password de Farook, e
portanto não podia dar qualquer ajuda ao FBI. Comey pediu
publicamente à Apple que escrevesse novo código — no
fundo uma variante do sistema operativo do iPhone — que
permitisse ao FBI contornar as seguranças da proteção do
telefone, evitando assim o problema e acedendo ao telefone
de Farook. Comey insistiu que usaria o novo código com
discrição. Na realidade, é possível que o FBI já tivesse a
tecnologia necessária para desbloquear o telefone, pelo
menos de acordo com um relatório posterior do inspetor-
geral do Bureau. No entanto, foi dito aos investigadores que
a tecnologia só estava disponível para trabalhar com
obtenção de informações de fontes estrangeiras e o inspetor-
geral concluiu que os responsáveis máximos do FBI estavam
na realidade ansiosos por criar um confronto jurídico com a
Apple.
O Departamento da Justiça conseguiu que um magistrado
na Califórnia ordenasse à Apple que encontrasse uma
maneira de desbloquear o telefone. Cook percebeu
imediatamente que Comey estava a aproveitar o caso de San
Bernardino para contornar os argumentos cada vez mais
numerosos a favor da encriptação e queria uma escalada do
problema que o levasse até aos tribunais. Cook considerou o
momento uma oportunidade para tomar uma posição e
mostrar a sua independência em relação ao FBI. Escreveu
uma carta com um pouco mais de mil palavras aos seus
clientes em que acusava a administração Obama de uma
obsessão tal com o acesso à informação que estava na
disposição de sacrificar a privacidade dos seus cidadãos a
esse objetivo.
*
O governo dos Estados Unidos pediu à Apple que dê o
passo sem precedentes de ameaçar a segurança dos seus
 clientes. Opomo-nos a esta ordem, que tem implicações
que vão muito para além do caso legal em questão (…) Há
certamente quem defenda que construir uma entrada para
apenas um telefone é uma solução simples e asseada para
o problema. No entanto, essa solução ignora tanto os
aspetos básicos da segurança digital como o significado do
que o governo está a pedir neste caso (…) As implicações
destas exigências são arrepiantes. (…) Em última análise,
receamos que aceder-lhes signifique destruir as liberdades
cuja defesa dá sentido ao nosso governo.
*
Para o chefe de uma das empresas mais bem-sucedidas do
planeta, maior que algumas economias europeias, tratava-se
de uma acusação notável. Cook estava a acusar uma
administração, que se orgulhava da sua reputação de força
progressista em defesa dos direitos civis, de procurar destruir
ou ignorar um princípio constitucional fundamental relativo à
liberdade individual. Com a Apple e o FBI num impasse,
Obama enviou alguns dos seus responsáveis máximos pelos
serviços de informações a Silicon Valley para dissuadir Cook
e levá-lo a considerar de novo um compromisso. O chefe da
Apple não estava interessado nisso. Embora ainda não
pudesse revelá-lo publicamente, o pedido do FBI para
penetrar no telefone de San Bernardino foi apenas um de 4
mil dirigidos por serviços policiais à empresa na segunda
metade de 2015.
Comey não tinha intenção de recuar; disse aos
colaboradores que a publicidade em torno do caso de San
Bernardino acabaria, pelo menos, por servir para recordar
aos criminosos, aos que vendem pornografia infantil e aos
terroristas que podem confiar na encriptação. Era o momento
certo para pôr ordem na questão de uma vez por todas.
*
As coisas não se desenvolveram da maneira que ele
esperava. O FBI acabou por pagar pelo menos 1,3 milhões de
dólares a uma empresa cujo nome não divulgou — mas que
se julga ser israelita — para contornar a encriptação do
telefone. A agência recusou-se a explicar qual foi a solução
técnica encontrada, ou a partilhá-la com a Apple,
aparentemente por recear que a empresa tecnológica
acabasse por reparar qualquer fragilidade detetada pela
empresa contratada. Mais tarde o FBI disse ao Congresso
que não sabia realmente qual fora a tecnologia usada: tinham
simplesmente contratado um serralheiro que abrira a
fechadura. Não haviam, propositadamente, perguntado como
isso fora feito — porque a Casa Branca, de acordo com as
suas próprias regras de revelar a maior parte das fragilidades
às empresas, poderia ter sido obrigada a dar à Apple uma
ideia do que se passara.
Obama, professor de Direito Constitucional, nunca
conseguiu resolver este problema. Também nunca pôs em
prática a recomendação, do seu próprio painel de
consultores, de que o governo devia encorajar cada vez mais
o uso da encriptação. Segundo disse aos colaboradores mais
próximos, os vários anos em que ouvira avisos diários acerca
de atividade terrorista em todo o mundo haviam alterado a
sua visão do assunto. Os Estados Unidos não podiam
simplesmente estar de acordo com quaisquer regras que
impedissem os serviços de informações do país de escutar
alguma comunicação. Era uma divergência em relação à
comunidade tecnológica que pura e simplesmente nunca
superou.
«Se tecnologicamente é possível construir sistemas ou
dispositivos em que não se consegue penetrar, em que a
encriptação é tão forte que não há uma chave possível para a
contornar, em que não há uma chave e não há uma porta,
como vamos capturar uma pessoa que vende pornografia
infantil?», perguntou Obama publicamente alguns anos mais
tarde. «Como vamos desmantelar um plano terrorista?»
Se as organizações governamentais não conseguirem
penetrar num smartphone, concluiu Obama, «toda a gente
vai poder andar com uma conta num banco da Suíça no
bolso».
 Obama descrevera de forma rigorosa — mas não resolvera
— um dos dilemas centrais da era da eletrónica.
 Capítulo V
A CHINA
«O que eu quero dizer é que há dois tipos de
grandes empresas nos Estados Unidos. Há
aquelas em cujos sistemas os chineses já
penetraram e aquelas que não sabem que os
chineses já penetraram nos seus sistemas.»
— James Comey, na altura diretor do FBI,
em 5 de outubro de 2014

O banal edifício de 12 andares na Estrada de Datong, nos

arredores de Xangai, passava despercebido. No meio do
caos de uma cidade de 24 milhões de habitantes — a mais
populosa da China e uma daquelas onde há mais empresas e
instituições ligadas à alta tecnologia —, era apenas um
edifício discreto entre muitos, branco e relativamente alto. A
única indicação de que o prédio anódino era na realidade
uma base do Exército de Libertação Popular e da sua
moderna ciberforça, a Unidade 61 398, eram as proteções em
volta da torre — ou as forças de segurança que interpelavam
quem quer que se atrevesse a fotografá-lo.
Os endereços eletrónicos dos hackers que roubavam
informações às empresas americanas — tudo aquilo em que
se possa pensar, dos planos de aviões F-35 à tecnologia usada
em pipelines de gás passando pelos algoritmos da Google e
pela fórmula mágica do Facebook — apontavam diretamente
para Pudong, o bairro bastante decadente, cheio de salões de
massagens e casas de comida rápida chinesa que rodeava o
edifício branco.
Mas o rasto acabava ali, simplesmente no bairro. Os
chineses tinham protegido de tal maneira o endereço final
dos sistemas dos hackers que parecia impossível relacionar o
rasto com um edifício específico. E isso estava a enlouquecer
Kevin Mandia, um antigo responsável dos serviços de
informações da Força Aérea dos EUA que dirigiu uma de
várias investigações privadas às intrusões chinesas. Parecia
impossível que os hacks que ele tinha identificado viessem
de onde quer que fosse exceto do edifício branco, mas não
havia maneira de conseguir provar que assim era. Por
enquanto.
«Ou os hackers estavam a trabalhar nas lojas de noodles
ou nos salões de massagens ou então trabalhavam noite e dia
naquele edifício da Estrada de Datong», disse-me Mandia
certo dia, já tarde, perto do seu escritório em Alexandria, na
Virgínia.
Mandia estava a construir a sua empresa de
cibersegurança, com uma base de clientes de mais de cem
empresas e uma faturação de mais de 100 milhões de dólares,
a Mandiant, e identificara um grupo de hackers chineses com
ligações claras ao exército da China. A Mandiant classificou
o grupo como «Ameaça Persistente Avançada 1», ou APT1,
uma expressão um pouco extravagante que se usa na área
para identificar e numerar autores de ataques maliciosos no
ciberespaço que não desaparecem depois desses ataques.
Mandia tinha a certeza que os hackers faziam parte da
Unidade 61 398, mas também sabia que acusar diretamente
os militares chineses representava um passo enorme para a
sua empresa. Ao longo de sete anos, compilara uma lista de
ataques suspeitos da unidade a 141 empresas em doze áreas
económicas diferentes, mas precisava de provas sólidas para
poder apontar o dedo aos seus autores. Só que enquanto os
seus investigadores não conseguissem penetrar no edifício,
física ou virtualmente, para identificar os ladrões, os chineses
continuariam a negar que os seus militares tivessem sido
encarregados de roubar tecnologia para empresas estatais da
China.
Sempre engenhoso, o pessoal da Mandiant, formado por
antigos membros de serviços de informações e
ciberespecialistas, tentou um método diferente para mostrar o
que queria. Poderiam não ser capazes de associar os
endereços de IP diretamente ao edifício da Estrada de
Datong, mas podiam olhar para a sala onde os hackers se
encontravam. Assim que perceberam que os hackers
chineses tinham penetrado nas redes privadas de alguns dos
seus clientes — sobretudo empresas da Fortune 500 —, os
investigadores apanharam-nos enquanto estes escreviam nos
seus teclados. Nalguns casos conseguiram mesmo vê-los
sentados em frente aos ecrãs, porque os hackers tinham
deixado as webcams ligadas enquanto trabalhavam em
Xangai (a empresa insiste que nunca ripostou contra um
ataque, um crime de acordo com a lei americana, e que se
limitou a vigiar os atacantes através dos computadores das
suas vítimas).
Os hackers, quase todos homens e a maior parte na casa
dos 20, comportavam-se como muitas pessoas da sua idade
por todo o mundo. Chegavam ao trabalho por volta das 8.30
(hora de Xangai), viam alguns resultados desportivos,
mandavam uns emails às namoradas e uma vez por outra
viam vídeos pornográficos. Depois, quando chegavam as 9
horas, começavam a introduzir-se de forma metódica em
sistemas de computadores em todo o mundo. Teclavam sem
parar até à pausa para almoço, altura em que voltavam aos
resultados desportivos, às namoradas e aos vídeos
pornográficos.
Um dia sentei-me ao lado de alguns dos investigadores da
equipa de Mandia e fiquei a ver a Unidade 61 398 trabalhar.
Foi uma experiência incrível. A minha imagem mental
anterior dos oficiais do Exército Popular de Libertação da
China era um bando de generais velhos com uniformes
vistosos, sentados a conversar sobre os bons velhos tempos
de Mao. Mas estes tipos usavam casacos de cabedal ou
simplesmente camisas normais, e provavelmente só tinham
visto Mao quando visitavam o mausoléu da Praça
Tiananmen. «Pareciam simplesmente bons tipos», recordou
mais tarde Andrew Schwartz, um dos especialistas em
comunicações da Mandiant. «Mas também eram ladrões
prodigiosos.» Além disso trabalhavam para vários patrões:
alguns faziam uns serviços por fora como hackers para
empresas chinesas, o que deixava pouco claro quais os
roubos que faziam por ordem do governo e quais os que
faziam ao serviço de empresas.
 Visto de perto, era este o aspeto da nova guerra fria entre
as duas maiores potências económicas mundiais. Não tinha
grande semelhança com os conflitos mais familiares das
décadas anteriores: ninguém discutia o destino de Taiwan ou
o bombardeamento das minúsculas ilhas de Quemoy e
Matsu, como Mao fizera em 1958, levando os Estados
Unidos a reforçar a sua Sétima Frota e a considerar a
possibilidade de entrar em guerra com a China. Embora a
grande potência do Oriente continue interessada nas suas
reivindicações territoriais — a começar pelo mar do Sul da
China — e em manter os Estados Unidos afastados, percebeu
a forma de voltar a emergir como potência mundial depois de
um hiato de vários séculos: inteligência artificial, tecnologia
espacial e big data. E, como é evidente, ultrapassar o seu
único verdadeiro rival, os Estados Unidos.
Em Washington, três presidentes americanos — Clinton,
Bush e Obama — haviam-se esforçado por definir o que era
exatamente a China em relação aos Estados Unidos. Um
adversário potencial? Um parceiro ocasional? Um mercado
vital para os produtos americanos? Um investidor
importante? A China era tudo isto, e mais, o que a
transformava num problema de política externa difícil e
importante. Sempre que a Casa Branca considerava a
possibilidade de forçar os chineses a responder pelos seus
roubos, havia a tentação de recuar. Havia sempre algum
interesse na colaboração da China: o Departamento de
Estado precisava de ajuda em relação à Coreia do Norte, o
Tesouro não queria perturbar o mercado de obrigações, os
mercados receavam uma guerra comercial. No ciberdomínio
isto significava não referir os chineses, mesmo quando estes
foram apanhados em alguns dos maiores ataques nos últimos
anos.
Estas objeções eram, no entanto, levantadas perante os
chineses em sessões à porta fechada no Diálogo Económico e
Estratégico anual, com a garantia de que quaisquer
discussões seriam mantidas com serenidade. Quase todas
terminavam com a mesma resposta dos chineses: «Não
somos nós.» Era sempre um bando de adolescentes, de
criminosos ou de irresponsáveis.
Em 2013, quando um presidente Obama muito frustrado
se preparava para assinar uma nova ordem para intensificar a
resposta americana aos ciberataques de outros países, não
pôde deixar de mencionar o governo chinês como o principal
responsável. «Nós sabemos que os hackers roubam
identidades e se infiltram em emails privados», disse no
discurso do Estado da União desse ano. «Sabemos que há
países e empresas estrangeiras a roubar os nossos segredos.
Neste momento os nossos inimigos estão igualmente a
procurar sabotar a nossa rede de distribuição energética, as
nossas instituições financeiras, os nossos sistemas de
controlo aéreo. Não podemos permitir que um dia alguém
olhe para trás e pergunte por que razão não fizemos nada
perante ataques tão claros à nossa segurança e à nossa
economia.»
Mas Mandia estava determinado a fazer o que a
administração não queria fazer: provar publicamente que o
Exército Popular da China estava envolvido. Dirigiu-se ao
New York Times, apesar das objeções de alguns colegas,
porque sabia que uma avaliação independente do trabalho da
Mandiant daria maior credibilidade às suas afirmações. No
entanto, o seu verdadeiro objetivo parecia ser levar o
governo dos Estados Unidos e as empresas privadas da área a
tomarem posição.
«Não estou de maneira nenhuma seguro de que isto seja a
atitude mais sensata», disse-me na altura. «Estou consciente
do que os chineses vão fazer: vão pregar um enorme alvo nas
minhas costas.»
A verdade é que ainda assim Mandia não parecia nada
preocupado. Os chineses não eram como os russos. «Eles
estão a fazer isto pelo dinheiro, pela tecnologia, pelo poder
militar», disse-me ainda. «Não vemos os chineses a deitar
abaixo redes energéticas, embora eu esteja certo de que se
entrássemos em guerra com eles não deixariam de o fazer.
Para eles é muito simples: querem ter o controlo no país
deles, e aceder a toda a tecnologia possível nos outros
países.»
*
Ninguém esperava que a revolução digital na China se
desenrolasse como desenrolou. Nos anos 90, na sequência
dos acontecimentos na Praça Tiananmen e da crise
governamental que se seguiu, começou a acreditar-se em
Washington que a Internet acabaria por modificar mais a
China do que a China modificaria a Internet. Ninguém
acreditou mais fervorosamente nisto que Bill Clinton.
Durante uma visita presidencial a Pequim em 1998 disse aos
estudantes da universidade que a revolução digital
significaria para eles mais democracia, apesar das
características do regime chinês.
«Ao longo dos últimos quatro anos observei a liberdade
em ação em muitas manifestações na China», disse aos
estudantes, que o ouviam provavelmente a refletir nos custos
que os seus aplausos acabariam por ter para eles próprios.
«Visitei uma aldeia que escolheu os seus representantes em
eleições livres. Além disso também vi muitos telemóveis,
leitores de vídeo e faxes, que transportam ideias,
informações e imagens de todo o mundo. Ouvi muitas
pessoas dizerem o que pensam (…) Senti em todas estas
coisas o vento da liberdade soprar.»
Depois veio o núcleo do argumento que ele próprio já
usara perante mim e alguns outros jornalistas na Casa Branca
antes de partir nesta viagem: «Um fluxo livre de
informações, ideias e opiniões, e um maior respeito pelas
convicções políticas e religiosas divergentes acabará por
representar força e estabilidade.»
Depois da viagem Clinton disse-me que ficara convencido
de que, com uma China mais ligada ao estrangeiro, o Partido
Comunista acabaria por enfraquecer. E não era o único a
pensar desta maneira. O autor dissidente Liu Xiaobo, que na
altura da visita de Clinton estava na prisão, escreveu mais
tarde que a Internet era «uma dádiva de Deus à China».
 O presidente da China na altura, Jiang Zemin, ouviu
Clinton mas parece não ter acreditado numa só palavra. Os
líderes chineses já estavam a pensar em formas de usar a
nova invenção do Ocidente como instrumento de controlo
social internamente e de conquista de vantagens económicas
no estrangeiro.
E de facto o governo chinês foi-se tornando cada vez mais
hábil a usar a cibertecnologia como instrumento de vigilância
e coerção interna, ao mesmo tempo que as empresas
americanas iam fechando os olhos. Durante algum tempo o
Ocidente pareceu convencido de que, embora o governo
chinês estivesse a tomar medidas altamente repressivas
contra os utilizadores chineses da Internet, os ocidentais iam
ser deixados em paz, desde que permanecessem nos seus
enclaves protegidos.
Mas a estratégia estava traçada. Todos os anos os chineses
impunham exigências mais rigorosas para assegurar que as
suas forças de segurança internas sabiam exatamente quem
estava na Internet chinesa, e o que essas pessoas estavam a
dizer. Os responsáveis exigiam que os utilizadores usassem
os seus verdadeiros nomes, em vez de pseudónimos, e
acabaram por comunicar às empresas da Internet que teriam
de manter todos os servidores por onde passasse tráfego
chinês fisicamente localizados na China. As restrições foram
apertadas de tal forma que as organizações noticiosas
ocidentais se viram obrigadas a obedecer às normas chinesas,
incluindo aceitar a intervenção cada vez maior da censura, ou
a ser excluídas do maior mercado do mundo. Entre outras, a
Bloomberg vergou-se à exigência de censura.
Ao longo dos anos seguintes, de muitas formas diferentes,
este drama repetiu-se vezes sem conta, com a Facebook e a
Uber, a Apple e a Microsoft. Cada uma destas empresas à
vez teve de aceitar as regras impostas pela China: dar ao
Estado acesso à informação da empresa, e muitas vezes até à
tecnologia subjacente, ou sair do país.
A Google esteve entre as primeiras a serem confrontadas
com o problema. A sua experiência mostrou a todas as outras
empresas americanas que a China não estava a entrar nas
redes estrageiras só para se divertir: tinha um interesse
político e procurava informações específicas.
*
Ao que parece, um Google sem censura deixou as
autoridades do país muito nervosas. Como as agências de
informações americanas descobriram mais tarde, os líderes
chineses pesquisaram os próprios nomes no motor de busca e
os resultados nem sempre foram lisonjeiros.
Uma comunicação secreta do Departamento de Estado,
escrita a 18 de maio de 2009, intercetada por Chelsea
Manning e tornada pública no ano seguinte pela WikiLeaks,
comunicava que Li Changchun, na altura responsável pelo
Departamento de propaganda do Partido Comunista da China
e um dos membros mais importantes da liderança chinesa,
ficou surpreendido por, quando pesquisou o próprio nome no
motor de busca da Google, ter encontrado «resultados
críticos acerca de si mesmo». Uma vez que era ele próprio o
grande censor da China, o facto de qualquer cidadão chinês
com uma ligação à Internet poder ler alguma coisa
desagradável em relação à maneira como cumpria as suas
funções foi uma surpresa. Nesse preciso momento a questão
ficou decidida.
Os problemas da Google não se limitaram aos resultados
das pesquisas. Os responsáveis de Pequim também não
gostavam do Google Earth, o software que recorre ao
mapeamento por satélite, porque este mostrava «imagens de
instalações sensíveis de instituições governamentais
militares, nucleares, espaciais, energéticas e outras». Visto
que George Bush estava a pressionar cada vez mais a China
para combater o terrorismo, os responsáveis chineses
comunicaram à embaixada americana que o Google Earth era
a melhor ferramenta dos terroristas.
Li exigiu que as três empresas estatais de
telecomunicações excluíssem o Google, impedindo assim o
motor de busca de chegar a centenas de milhões de chineses.
O que na verdade pretendia era cortar a ligação entre o
Google chinês, que respeitava as regras da censura do país —
não havia referências à história da Praça Tiananmen nem ao
Falun Gong —, e os sites do Google Hong Kong e
americanos, em que não havia censura.
No entanto, em dezembro de 2009, os executivos da
Google descobriram um problema maior: os hackers ao
serviço do governo chinês estavam a penetrar nos sistemas
da empresa nos Estados Unidos. E não queriam apenas os
algoritmos do Google, nem sequer tentar ajudar a Baidu, a
empresa que a China criara para competir com o gigante
americano e que se tornou o segundo maior motor de busca
do mundo. O que os hackers procuravam eram informações
— das atividades dos cidadãos chineses que viviam nos
Estados Unidos às comunicações dos decisores americanos
que usavam o Gmail porque era difícil aceder aos
computadores federais a partir de casa. Os hackers tinham
mapeado os lugares de trabalho dessas pessoas, bem como as
suas vulnerabilidades.
O malware introduzido no sistema da Google estava
encriptado e fora ocultado em recantos de difícil acesso das
redes da empresa, onde facilmente passaria despercebido.
Uma vez introduzido, criava um canal de comunicações
secreto, ou uma porta das traseiras, para a China, por onde
transmitia todas as informações que entretanto descobrisse.
E a Google não era o único alvo dos chineses. Mais ou
menos pela mesma altura havia aproximadamente 35 outras
empresas infiltradas, apesar de a Google ser claramente a
grande prioridade. Este grupo de ataques recebeu o nome
genérico de Operação Aurora, dado por Dmitri Alperovitch,
na altura um jovem investigador da McAfee, que anos mais
tarde se destacaria na identificação dos intrusos russos na
Comissão Nacional Democrática.
Os alvos da Operação Aurora eram uma indicação dos
motivos da China. Os engenheiros da Google descobriram
que, além de procurarem algum do código do seu motor de
busca, os hackers estavam a tentar penetrar nas contas de
Gmail de ativistas dos direitos humanos chineses, bem como
dos seus apoiantes nos Estados Unidos e na Europa.
A Operação Aurora foi no fundo a primeira em que os
chineses foram apanhados a preparar um ataque de grandes
dimensões com a finalidade de roubar informações a uma
empresa não ligada à Defesa. «Nunca tínhamos visto antes
uma empresa comercial ser atacada com este nível de
sofisticação», disse na altura Alperovitch. «Isto revela uma
grande mudança.» Na verdade, foi este o momento em que as
ciberguerras começaram a centrar-se no que os civis
mantinham nas suas redes.
«Foi uma surpresa», disse-me um dos executivos de topo
da Google algum tempo mais tarde. «Não estávamos a
produzir o F-35. Não estávamos a construir lasers espaciais.
Não estávamos a estudar novos mísseis balísticos
intercontinentais. Isto no fundo foi um alerta para o facto de
estarmos nas miras deles.»
A Google deu o passo ousado de anunciar, no princípio de
2010, que fora alvo de um ataque «altamente sofisticado»
com origem na China. Na altura a empresa notificou outras
empresas que sabia que também tinham sido alvo de ataques,
embora muitas delas não tenham querido ser publicamente
nomeadas, por receio de enfurecer os chineses ou até de
revelar as suas vulnerabilidades. Contudo, a Adobe, cujo
software é essencial para fazer pdf e outros documentos
muito usados em escritórios, e mais meia dúzia de outras
companhias não se importaram de correr o risco e apontar o
dedo aos chineses. As empresas defenderam que apenas um
governo teria pessoas com a formação necessária para
conduzir um ataque de sofisticação semelhante.
Ninguém teve grandes dúvidas de que o ataque à Google
fora ordenado pelos níveis mais altos da direção do Partido
Comunista. Uma comunicação confidencial do
Departamento de Estado nos documentos divulgados pelo
WikiLeaks dizia precisamente isto, sem surpresa para
ninguém: «Uma fonte bem colocada afirma que foi o
governo chinês que coordenou as recentes intrusões nos
sistemas da Google. De acordo com o nosso contacto, estas
operações foram decididas ao nível do Politburo do Comité
Central.»
O que surpreendeu outras empresas de Silicon Valley com
negócios com a China foi a Google ter sugerido que ia
ripostar: deixaria de obedecer às regras da censura de
resultados no google.cn, o seu servidor chinês. No interior da
Google, o presidente, Eric Schmidt, tinha uma consciência
muito clara do significado do desafio enfrentado pela
empresa. David Drummond, o responsável máximo pelo
departamento jurídico do gigante tecnológico, escreveu num
blogue: «Reconhecemos que isto pode significar ter de
encerrar a google.cn ou até os nossos escritórios na China.»
Provavelmente era esta a conclusão a que Li Changchun,
o responsável pela propaganda chinesa, queria que a Google
chegasse. Uma vez que os chineses já tinham replicado o
modelo de negócio da Google com o Baidu, o passo
seguinte, tudo indicava, seria afastar a própria Google do
mercado.
Schmidt disse-me mais tarde que os ataques da Operação
Aurora haviam mais ou menos «posto fim ao debate na
companhia acerca do que o seu futuro seria no país asiático».
Se a China estava na disposição de se dar ao trabalho de
penetrar nos servidores da companhia nos Estados Unidos,
não teria sem dúvida pruridos em exigir todos os dados na
China, e a Google não estava na disposição de o permitir. No
final de 2010 a empresa estava a fazer as malas para se ir
embora de Pequim.
Mas o episódio Aurora tinha ainda um aspeto que na
altura nenhum executivo da Google revelou. Os chineses
haviam penetrado num servidor da empresa onde se
encontrava uma base de dados de ordens do tribunal à
Google — os mandados do Tribunal de Vigilância de
Informações do Estrangeiro e de outros tribunais de todo o
país. A equipa de contraespionagem do FBI tinha
consciência do que este roubo particular representava: os
serviços de informações chineses andavam à procura de
provas de que os seus próprios agentes nos Estados Unidos
tinham sido comprometidos e estavam a ser vigiados.
«Saber que estavam a ser alvo de uma investigação
permitia-lhes destruir informações e retirar pessoas do país»,
disse um antigo oficial a Ellen Nakashima, do Washington
Post. Era uma jogada brilhante: ao fim de anos e anos em
que os espiões chineses haviam sido desmascarados pelas
averiguações do FBI, Pequim decidira antecipar-se-lhes. O
ministério chinês de Segurança do Estado, ao que acabou por
se descobrir, penetrara nas informações das agências
americanas de informações — através da Google.
E não seria a última vez.
*
Como é natural, a Unidade 61 398 — formalmente o 2.º
gabinete do 3.º Departamento Geral de Pessoal do Exército
Popular da China — quase não aparecia nos organogramas
chineses. Mas por volta de 2013 já havia vários anos que
estava sob o olhar das agências de informações americanas.
No dia anterior àquele em que Barack Obama foi eleito
presidente em 2008 — e na mesma semana em que o
Departamento da Defesa esteve ocupado a combater os
russos —, outra comunicação do Departamento de Estado
referia as preocupações com a frequência com que os sites
governamentais dos Estados Unidos estavam a ser invadidos.
O próprio Obama já sentira a ferroada: o Departamento da
Justiça contactara-o durante a campanha de 2008 para
explicar que os chineses tinham penetrado profundamente
nos computadores da sua própria campanha,
presumivelmente para tentarem compreender se a sua
complexa relação com Washington mudaria com a eleição de
um jovem senador que até ao momento não chamara
especialmente a atenção dos observadores do seu país.
«Foi a primeira vez que o problema se nos deparou»,
disse-me mais tarde Denis McDonough, que viria a tornar-se
chefe de gabinete de Obama.
 Tudo o que o governo dos Estados Unidos sabia acerca da
unidade continuava a ser confidencial, devido a uma estranha
combinação de preocupações diplomáticas que ninguém
conseguia realmente explicar com uma investigação criminal
aos roubos que os Estados Unidos acabavam de lançar. Mas
muitas vezes na investigação dos ciberataques o governo não
tem o monopólio das provas, uma vez que a maior parte das
empresas começa por chamar outra empresa privada de
cibersegurança e até hesita em deixar o FBI entrar nos seus
computadores, por receio de expor involuntariamente outras
informações aos investigadores federais.
Foi precisamente desta maneira que, em 2012, o pessoal
de Kevin Mandia teve oportunidade de observar um hacker
chinês através da sua própria câmara. E os hackers tinham
ainda outra vulnerabilidade que ajudou Mandia a chegar às
suas identidades. Como tinham um acesso especial à Internet
na China, conseguiam atravessar a Grande Firewall e fazer
coisas impossíveis para os chineses vulgares, como ver as
suas próprias contas de Facebook. Ao ver os hackers
trabalhar com os teclados, a Mandiant conseguiu descobrir os
seus nomes.
Entre as personalidades mais pitorescas estava um com o
pseudónimo de UglyGorilla. Era um dos operadores mais
prolíficos da Unidade 61 398 e colocava todos os tipos de
malware a partir de um endereço de IP que ficava
precisamente no bairro de Pudong. Mandia viu o UglyGorilla
e os companheiros roubarem planos e números de
identificação na RSA, uma empresa americana conhecida
sobretudo por produzir SecurID tokens que permitem a
empregados de empresas que trabalham para o Departamento
da Defesa e para agências de informações aceder aos emails
e às redes dessas empresas. Em seguida os hackers usaram os
dados roubados à RSA para entrar na Lockheed Martin.
Enquanto Mandia estava de olho no UglyGorilla, outro
ataque — talvez o mais perturbador e surpreendente —
estava a decorrer no Canadá, sem que ele se apercebesse
disso. O alvo era uma subsidiária da Telvent, uma empresa
que faz software que permite a empresas que trabalham com
petróleo e gás natural abrir e fechar os seus pipelines
remotamente e controlar o fluxo de energia transportada. A
Telvent estava na posse dos planos de metade dos pipelines
de petróleo e gás do hemisfério ocidental. Em setembro de
2012, a empresa teve de admitir aos clientes que um intruso
penetrara nos seus sistemas e roubara os ficheiros de vários
projetos.
Ninguém conseguiu determinar se este ataque particular
fora obra da Unidade 61 398 — o que parecia provável — ou
de outro grupo chinês. O motivo do ataque também não era
claro. Estariam os hackers a planear tomar o controlo dos
pipelines, talvez em tempo de guerra, e com isso gelar
metade do território dos Estados Unidos? Ou seriam
simplesmente ladrões industriais, a tentar roubar o software
de maneira a poderem replicar as mesmas estruturas na
China ou noutro sítio qualquer? Embora os Estados Unidos e
o Canadá tenham investigado, os resultados — se é que os
houve — nunca foram tornados públicos. O mistério
continua.
*
Enquanto o ataque à Telvent ainda decorria, o governo da
China já estava a preparar outra operação, esta muito mais
sofisticada, em Washington. O objetivo era obterem um
esquema de como o governo dos Estados Unidos funciona,
incluindo os pormenores mais íntimos das vidas de 22
milhões de americanos — quase 7 por cento da população do
país.
Os dados foram extraídos de um recanto aparentemente
pouco interessante da organização administrativa do governo
dos Estados Unidos, o Departamento de Gestão de Pessoal
— uma estrutura burocrática vasta que regista os dados de
milhões de pessoas que já trabalharam, trabalham atualmente
ou se candidataram a um trabalho no governo dos Estados
Unidos, quer como empregadas, quer como trabalhadoras
eventuais.
 Quando a administração Obama decidiu finalmente
proteger a ciberestrutura do governo dos Estados Unidos,
depois das fugas de informações de Manning e Snowden, o
Departamento de Gestão de Pessoal não era exatamente uma
das suas prioridades. «A nossa maior preocupação era a
enorme estrutura de segurança nacional», recordou mais
tarde Michael Daniel, cibercoordenador da administração
Obama. «A Defesa. As agências de informações. Ninguém
pensou especialmente no Departamento de Gestão de
Pessoal.»
Mas os chineses pensaram. Observaram cuidadosamente
as redes do governo federal e depressa descobriram,
enterrado no velho sistema informático do Departamento de
Gestão de Pessoal, um repositório gigantesco, praticamente
desprotegido, de dados altamente sensíveis recolhidos pelo
governo dos Estados Unidos. O Departamento de Gestão de
Pessoal era responsável por reunir as informações
necessárias para verificar o passado de quase toda a gente
que precisava de uma autorização para aceder a documentos
classificados como «secretos» ou «altamente secretos». Em
2014, a altura em que a China penetrou no sistema, eram
quase 5 milhões de americanos.
Para obter uma autorização de acesso a documentos
secretos do governo dos Estados Unidos, os candidatos a
lugares no governo federal e as empresas que concorrem à
adjudicação de contratos têm de preencher um documento
muito exaustivo de 127 páginas — o formulário 86 —, em
que enumeram todos os pormenores pessoais da sua vida.
Todas as contas bancárias, todos os problemas de saúde,
todas as drogas ilegais que usaram quando andavam na
universidade. Têm igualmente de enumerar tudo o que diz
respeito aos cônjuges, aos filhos, aos ex-cônjuges e aos
amantes. Têm inclusivamente de referir o nome de todos os
estrangeiros com quem tenham tido um contacto próximo
continuado ao longo da década anterior.
Os dados incluídos no formulário 86 — e os relatórios dos
investigadores que mais tarde usam essa informação para
fazer verificações — são um verdadeiro tesouro para
qualquer agência de espionagem estrangeira. Ali,
concentrada em apenas um lugar, encontra-se uma verdadeira
enciclopédia da elite da segurança nacional dos Estados
Unidos: não só nomes e números da segurança social, mas
também informações acerca dos lugares onde as pessoas
trabalham, onde já foram colocadas por todo o mundo, e se
estão de tal maneira endividadas que podem ser alvos fáceis
para recrutadores de agentes. As histórias pessoais oferecem
uma série de informações que podem servir para fazer
chantagem, além de pistas acerca de formas de um agente se
fazer passar por outra pessoa online.
Os serviços de segurança chineses têm uma compreensão
muito mais profunda desta vulnerabilidade que a maior parte
dos membros do Congresso ou da administração. Com um
breve trabalho de exploração, a equipa chinesa descobriu que
os dados eram mantidos no Departamento do Interior — sem
qualquer encriptação —, simplesmente porque ali havia
espaço de armazenagem digital disponível. Isto significa que
os registos pessoais estavam armazenados nos mesmos
sistemas usados pelos parques nacionais para acompanhar as
migrações de búfalos ou os cardumes dos lagos e dos rios
dos Estados Unidos.
Mas este ainda era o menor dos problemas relativos à
infraestrutura de informação do Departamento de Gestão de
Pessoal. Tudo o que envolvia a segurança de tecnologia de
informação era absurdamente inadequado, como o inspetor-
geral do departamento — uma entidade independente que o
supervisiona — documentava numa série de relatórios já
desde 2005. O próprio sistema estava ultrapassado, e os
responsáveis pelo departamento tornaram o problema ainda
mais grave por não terem seguido as normas nacionais
relativas a protocolos de segurança e por terem
negligenciado a manutenção adequada dos sistemas e
ignorado as práticas mais aconselhadas. Por volta de
novembro de 2014, os problemas eram de tal maneira graves
que, numa auditoria previamente marcada, o inspetor-geral
recomendou que se encerrassem partes do sistema, porque as
falhas eram de tal ordem que «poderiam comprometer alguns
aspetos da segurança nacional» (o que na verdade já
acontecera, embora o Departamento de Gestão de Pessoal
ainda não se tivesse apercebido disso).
No entanto não era possível simplesmente fechar o
sistema. Havia uma lista de espera de pedidos de autorização
de segurança de várias dezenas de milhares. Várias agências
de todas as áreas — do Pentágono à Agência de Luta contra
a Droga — protestavam constantemente por terem pessoas à
espera de autorizações, e outras de que as pensões de reforma
lhes fossem pagas. A recomendação do inspetor-geral foi
pura e simplesmente rejeitada por Katherine Archuleta, a
diretora do Departamento de Gestão de Pessoal, incapaz de
dar resposta a tantas solicitações com os meios de que
dispunha.
Katherine Archuleta e a sua equipa nunca se aperceberam
do que estava a passar-se nas suas redes. Os computadores
do departamento não tinham qualquer sistema de alerta para
quando um intruso de outro país estava no sistema ou
começava a extrair dados durante a noite. Os investigadores,
que mais tarde acabaram por passar mais de um ano a tentar
descobrir quando se dera o ataque — limitados não apenas
pela tecnologia mas também pela burocracia recalcitrante do
departamento —, calculam que o mais provável é os hackers
terem penetrado repetidamente nos sistemas do
Departamento de Gestão de Pessoal no final de 2013.
Os chineses foram apanhados e expulsos, na primavera de
2014, na altura em que estavam prestes a aceder aos sistemas
onde estava armazenada a informação mais pessoal, acabou
por concluir mais tarde uma investigação do Congresso. No
entanto, nem essa descoberta foi suficiente para convencer os
responsáveis a tomar medidas de emergência para proteger o
sistema. Nessa altura os chineses já tinham aquilo de que
mais precisavam, um mapa das redes do Departamento de
Gestão de Pessoal e as credenciais roubadas a uma das
empresas externas que trabalhavam com a agência.
 Os hackers não tardaram a voltar. Entraram no sistema
com as palavras-passe roubadas e introduziram malware na
rede para abrir uma porta das traseiras. Durante cerca de um
ano trabalharam sem ser detetados e copiaram de forma
sistemática formulários 86, além de relatórios e resultados de
investigações. A certa altura, durante o verão de 2014, os
formulários preenchidos de 21,5 milhões de pessoas foram
copiados da rede do Departamento de Gestão de Pessoal. Por
volta de dezembro, 4,2 milhões de ficheiros pessoais —
relativos a 4 milhões de funcionários da altura e anteriores,
com os seus números de segurança social, histórias médicas
e estado civil — tinham sido copiados. E em março de 2015
já tinham sido copiadas 5,6 milhões de impressões digitais. O
próprio departamento nunca se apercebeu da quantidade de
dados que estava a ser retirada dos seus sistemas,
possivelmente porque os chineses tiveram a cortesia de os
encriptar ao sair, um passo para proteger a imensa quantidade
de informação sensível nos seus sistemas que o próprio
departamento não dera.
Só em abril de 2015, quando uma empresa privada de
cibersegurança ao serviço do Departamento de Gestão de
Pessoal identificou um erro no nome de um domínio — neste
caso «opmsecurity.org» —, a equipa informática da agência
começou a investigar a sério. O domínio estava ativo havia
um ano mas não fora criado por ninguém no departamento.
Pior, estava registado em nome de «Steve Rogers» — uma
personagem ficcional conhecida pelos seus feitos como
Capitão América, um dos Avengers. Um segundo site,
descoberto pouco tempo mais tarde, estava registado em
nome do seu companheiro Tony Stark. Os peritos mais
experimentes em técnicas de hacking observaram
imediatamente que um grupo militar chinês já em tempos
deixara atrás referências semelhantes aos Avengers.
Seguiram-se 50 dias sem novidades, enquanto o
departamento procurava desesperadamente perceber o que
acontecera. Mesmo outras partes da administração Obama
não conseguiam respostas claras. O Gabinete de
Administração e Orçamento, recordou mais tarde um alto
responsável, recebeu informações contraditórias acerca da
amplitude da falha de segurança. «Não me parece que
estivessem a mentir-nos», observou um outro responsável.
«Acho que não sabiam sequer quantos computadores tinham,
quanto mais quem andava por lá.» A empresa de segurança
Cylance ajudou a avaliar os estragos. Um dos técnicos que
trabalharam no caso escreveu um email expressivo ao
administrador da empresa: «Os tipos estão fodidos.»
Pode dizer-se que se trata de um resumo conciso e realista
da situação. Só que os danos não se limitaram aos
funcionários cujos dados eram armazenados pelo
Departamento de Gestão de Pessoal. Embora os serviços de
informações soubessem que não era boa prática armazenar os
registos dos seus operacionais no sistema do departamento
— em parte simplesmente porque não confiavam nele —, os
dois responsáveis máximos da CIA, o diretor John Brennan e
o vice-diretor David Cohen, depressa chegaram à conclusão
de que muitos dos seus agentes infiltrados noutros países
tinham ficado vulneráveis. Muitos estavam colocados na
China com um pretexto oficial, ou seja, tinham cobertura de
diplomatas. Para que essa cobertura fosse convincente,
tinham um ficheiro com uma história no Departamento de
Estado, mas muitas vezes com interrupções nas carreiras e
outras pistas que os chineses poderiam facilmente interpretar.
Depressa se tornou evidente, para a CIA e outras agências
de informações, que o problema era ainda mais complexo.
Na era dos big data, a base de dados era muito mais
vulnerável que os seus milhões de ficheiros individuais. Ia
permitir aos chineses comparar os dados do Departamento de
Gestão de Pessoal com as informações obtidas através de
outros recursos e até de perfis do Facebook e todo o tipo de
poeira digital levantada por diplomatas e espiões em
posições por onde haviam passado. Tornara-se mais fácil que
nunca desmascarar agentes da CIA infiltrados. E o problema
não se limitava aos agentes da altura: todos os que ainda se
encontravam em treino ou à espera de colocação estavam
igualmente vulneráveis a uma possível identificação. Pouco
tempo depois houve dezenas de colocações canceladas na
China. Como me disse Robert Knake, um antigo diretor de
normas de segurança digitais da Casa Branca de Obama,
«havia uma quantidade de oficiais da CIA» que «iam passar
o resto das suas carreiras sentados a secretárias».
O ataque ao Departamento de Gestão de Pessoal
proporcionou-nos um vislumbre do que será o futuro, do que
acontece quando se junta espionagem à maneira antiga com
um mundo de dados feito de milhões e milhões de registos.
Os investigadores passaram a considerar o ataque à Anthem,
uma empresa de seguros de saúde, com novos olhos.
Enquanto a incursão no Departamento de Gestão de Pessoal
ainda estava em curso, os hackers chineses, igualmente
suspeitos de trabalharem para o Estado, haviam sido
apanhados depois de roubarem mais de 78 milhões de
registos. Isto sugeriu a possibilidade de todas estas bases de
dados estarem a ser combinadas para formar uma imagem
mais profunda dos cidadãos americanos.
O almirante Michael Rogers, na altura chefe da Agência
Nacional de Segurança, sugeriu esta ideia quando observou
que bastaria recuar uma década em relação ao ataque ao
Departamento de Gestão de Pessoal para o roubo de 22
milhões de registos não ter grande valor; fosse qual fosse o
país que os obtivesse, ficaria inundado por informações de
que pouco partido poderia tirar. Durante uma conversa em
Aspen, no Colorado, pouco depois das revelações de 2015,
aludiu delicadamente a uma questão mais ampla: «Da
perspetiva de uma agência de informações, as possibilidades
de uso para finalidades ligadas à contraespionagem são
imensas (…) Se estiver interessado em identificar cidadãos
dos Estados Unidos que estejam no meu país, e quiser apenas
perceber por que razão se encontram aí — serão apenas
turistas?, estarão em viagem com outra finalidade qualquer?
—, os dados roubados ao Departamento de Gestão de
Pessoal têm um interesse enorme.»
 Estava-se assim a entrar em território completamente
virgem para a comunidade dos serviços de informações —
um território de imensidão assustadora. Quando começou a
perceber-se a dimensão do roubo de dados do Departamento
de Gestão de Pessoal, Katherine Archuleta deu algumas
garantias perfeitamente ridículas, como a de que «proteger os
dados dos nossos funcionários de ciberataques com intenções
maliciosas é a maior prioridade do departamento». Tudo o
que aconteceu sugere o oposto. Entretanto, Katherine
Archuleta foi ignorando as sugestões repetidas de Capitol
Hill de que devia demitir-se. A Casa Branca declarou-se
solidária com ela, mas a diretora do departamento acabou por
sair em meados de julho.
Ainda assim, pelo menos em público, a administração
nunca chegou a esclarecer os 22 milhões de cidadãos
americanos cujos dados se perderam quanto ao que
acontecera — a não ser acidentalmente. Os funcionários do
governo federal receberam cartas em que se declarava que
algumas das informações dos seus processos podiam ter sido
comprometidas — como se tivessem sido roubadas por
criminosos (na realidade nunca apareceram no mercado
negro, mais uma indicação de que se tratou de uma operação
de serviços de informações). A Casa Branca recusou-se a
acusar Pequim. Felizmente James Clapper, o diretor dos
serviços de informações nacionais, reconheceu um dia numa
entrevista o seu respeito profissional pelos autores dos
ataques: «De certa maneira temos de felicitar os chineses por
aquilo que fizeram», desabafou (mais tarde procurou retirar
esta afirmação).
Algumas semanas depois perante o Congresso, Clapper
insistiu que todo o incidente fora na realidade um ato puro e
simples de espionagem e portanto não constituía um
«ataque». Ao longo de uma audição de cerca de duas horas,
os membros do Congresso foram ficando cada vez mais
irritados: aos seus eleitores pelo menos parecia um ataque.
Clapper ripostou, num dos raros momentos em que se
tornou claro que os Estados Unidos não tinham qualquer
intenção de aceitar regras de comportamento no ciberespaço
que pudessem vir a constituir obstáculos para as suas
próprias agências. Depois de ter previamente declarado que
«se tivéssemos oportunidade de fazer o mesmo
provavelmente tê-lo-íamos feito», Clapper acabou por
afirmar perante os senadores: «Julgo que seria uma boa ideia
recordar que quem tem telhados de vidro não deve atirar
pedras.»
«Isso significa que não há inconveniente em eles
roubarem os nossos segredos, que são mais importantes»,
retorquiu o senador John McCain, «porque temos telhados de
vidro. Isso é incrível.»
«Eu não disse que isso era bom», respondeu Clapper.
«Estou apenas a dizer que ambos os países o fazem.»
*
A Mandiant e o New York Times acabaram por publicar as
suas descobertas acerca da Unidade 61 398 em 2013, altura
em que decorria o ciberataque ao Departamento de Gestão de
Pessoal. Quando leu as notícias, David Hickton, o
procurador-geral para o Distrito Ocidental da Pensilvânia,
achou que o maior caso que o seu gabinete já enfrentara
acabava de rebentar.
Hickton é um homem alto, com uma maneira de falar
direta, e é uma personalidade de Pittsburgh; pela manhã era
normalmente possível encontrá-lo no Pamela’s, um café onde
se servem panquecas, na zona operária de Cemetery Hill.
Quando leu o artigo, com os pormenores acerca do
UglyGorilla e dos seus companheiros, segundo diz, pensou
«isto é o fim. Agora vai ser impossível apanhar os chineses
de surpresa».
Hickton estava na altura no centro de uma experiência em
grande escala para determinar se seria possível acusar
representantes de governos estrangeiros — neste caso
oficiais chineses — por penetrarem nos sistemas de empresas
dos Estados Unidos. O caso deixava muitos responsáveis
americanos nervosos, e muito particularmente a Agência
Nacional de Segurança. Se os Estados Unidos pudessem
acusar hackers chineses de roubo de propriedade intelectual,
o que poderia impedir os chineses de acusar membros da
unidade de operações de acesso a alvos específicos, a
Tailored Access Operations, da NSA, por penetrarem na
Huawei? Ou os iranianos de acusarem os americanos por
fazerem explodir centrifugadoras em Natanz?
Hickton não tinha grande interesse por estes argumentos.
Era acima de tudo um homem político que sabia o que era
preciso fazer em Pittsburgh. A cidade estivera no centro de
uma série de esforços dos chineses para se apoderarem de
tecnologia americana, e pareceu-lhe que estava na altura de
ripostar.
O que não faltava a Hickton eram vítimas por onde
escolher. A Westinghouse, uma empresa de energia nuclear
sedeada na Grande Pittsburgh, descobrira que, numa altura
em que ainda estava a meio da construção de quatro centrais
nucleares com tecnologia de ponta na China, em 2010,
alguma dessa tecnologia, desenvolvida propositadamente
para o projeto, fora roubada, incluindo planos dos reatores.
Os roubos permitiriam aos concorrentes chineses adquirir a
mesma tecnologia sem ter de gastar centenas de milhões de
dólares em investigação e desenvolvimento. Depois, já que
tiveram oportunidade de o fazer, os hackers apoderaram-se
de quase 700 mil páginas de emails da empresa, em princípio
para poderem estudar a estratégia de negociação da direção
da Westinghouse com uma grande empresa estatal chinesa.
Mas havia outras vítimas: a U. S. Steel, uma das poucas
sobreviventes das velhas siderurgias de Pittsburgh, encontrou
malware nos seus sistemas numa altura em que estava
envolvida em vários processos por práticas comerciais
desleais contra empresas siderúrgicas chinesas. Os chineses
roubaram inclusivamente emails da United Steelworkers,
uma central sindical, relativos às suas estratégias para acusar
fabricantes chineses.
Em todos estes casos, a função de Hickton era encontrar
formas de processar elementos individuais da Unidade 61
398 sem usar provas obtidas pelas agências de informações.
«Precisávamos de qualquer coisa que pudéssemos levar a
tribunal, se alguma vez os nossos casos conseguissem chegar
lá», contou-me Hickton.
O que faltava, como é óbvio, eram as informações da
Agência Nacional de Segurança acerca dos oficiais no
interior do edifício branco da Estrada de Datong. No entanto,
como provara a Mandiant, era possível obter imagens dos
responsáveis dentro do edifício — que os chineses ainda não
reconheceram ser o quartel-general de uma ciberunidade do
Exército de Libertação Popular — sem ser através da NSA.
Em conjunto com várias empresas vítimas de ataques, e
com uma série de provas, Hickton conseguiu identificar os
cinco oficiais do Exército chinês mais tarde mencionados
numa acusação, com recurso a várias técnicas que a
Mandiant já usara. Conseguiu mesmo os seus nomes —
Wang Dong, Sun Kailiang, Wen Xinyu, Huang Zhenyu e Gu
Chunhui — e patentes, o que permitiu uma identificação
pública que, nas suas palavras, «ia assustar seriamente os
chineses». Contudo, não tinha quaisquer ilusões quanto à
possibilidade de fazer os cinco oficiais comparecerem
perante a justiça. A não ser que algum deles se lembrasse de
levar um dos filhos à Disneylândia num futuro próximo, a
probabilidade de algum dia os apanhar nos Estados Unidos
tendia para zero. O caso seria acima de tudo simbólico —
uma jogada legal e diplomática para, com tudo o que rodeou
a acusação e a apresentação de algumas das provas,
embaraçar os chineses e levá-los a corrigir o seu
comportamento mais inconveniente.
«A parte da diplomacia não posso fazer», disse Hickton,
«mas posso fazer a parte do “andamos a ver se vos
apanhamos”.»
John Carlin, chefe da divisão de segurança nacional do
Departamento da Justiça, esteve no centro da estratégia de
acusação. «Tínhamos de reagir, e quisemos fazê-lo através
do nosso sistema legal», disse-me Carlin. «E para isso
tínhamos de pôr de pé uma acusação sólida, como com
qualquer outro tipo de processo.»
A questão era de tal maneira sensível que Hickton passou
grande parte do seu tempo a combater o Departamento da
Justiça pela retaguarda. Não se importava de trabalhar com
Carlin no caso, mas a última coisa que lhe apetecia era vê-lo
ser-lhe roubado para lhe ser dada uma nova dimensão por
Washington. Além de que, na opinião de Hickton, havia
outras partes do governo dos Estados Unidos que não
queriam que o Departamento da Justiça se metesse em
questões relacionadas com incursões de Estados estrangeiros
nos sistemas do país. «O Departamento de Estado não
gostava da ideia porque tinha receio de que isso perturbasse
as negociações com os chineses noutras matérias», disse-me
Hickton. «Os tipos dos serviços de informações estavam com
medo que isso os deixasse sem as suas fontes. Isto obrigou-
me a passar meses a fio só a tentar reunir as pessoas
necessárias.»
Quando Hickton leu o relatório da Mandiant e a
investigação do New York Times, pareceu-lhe que o trabalho
que tinha andado a fazer não servira para nada. Achou que
alguém em Washington tomara a decisão deliberada de
«expor o Exército de Libertação Popular e que os
acontecimentos seguiriam o seu curso como resultado da
publicação do relatório». Mas estava enganado: não havia
nenhuma fuga de informações, e, como ele próprio observou,
o facto de a questão se ter tornado pública acabou por
fortalecer o seu caso.
Hickton levou as suas provas perante um grande júri. Os
cinco oficiais do Exército da China foram acusados,
incluindo o UglyGorilla e o seu compatriota KandyGoo. No
entanto, a acusação foi mantida secreta, à espera da indicação
de Washington de que o momento era adequado para o
governo chinês ser publicamente denunciado.
Hickton passava a vida a telefonar ou mesmo
pessoalmente a caminho de Washington, DC, a pressionar
para que a acusação fosse anunciada. Por fim, em maio de
2014, a aprovação chegou. O grande anúncio, para enorme
contrariedade de Hickton, foi feito em Washington e não em
Pittsburgh. «Os agentes estatais envolvidos em
ciberespionagem com objetivos económicos não estão
imunes à lei apenas porque agiram sob a bandeira do seu
país», disse Carlin em Washington. «Vamos responsabilizar
os autores de roubos digitais, da mesma forma que faríamos
com outras organizações criminais transnacionais que
roubassem os nossos bens e violassem as nossas leis.»
Quando o New York Times perguntou a Carlin e a James
Comey, na altura diretor do FBI, se os chineses iriam retaliar
acusando americanos que se envolvessem em atividades
semelhantes ao serviço dos Estados Unidos, a resposta foi,
como é evidente, que não estavam autorizados a discutir
qualquer ciberoperação dos Estados Unidos. No entanto, a
diferença, sublinharam ambos, era que os Estados Unidos
não roubavam segredos à China para os dar a empresas como
a Google, a Microsoft e a Apple.
Isso era verdade, mas também era uma resposta muito
americana. Os chineses nunca admitiriam uma tal distinção.
Para eles, a segurança económica e a segurança nacional
formam uma rede indistinta, e contruir empresas estatais
fortes é essencial para a defesa do Estado. Além disso as
acusações não mencionaram os ataques chineses ao
Departamento da Defesa ou a empresas importantes que
trabalhassem para a Defesa. Foi evidente que os Estados
Unidos não queriam encorajar os chineses a fazer revelações
acerca de ataques americanos a alvos militares equivalentes
em Pequim, Xangai ou Hong Kong.
O UglyGorilla e os colegas de trabalho nunca observaram
o interior de uma sala de audiências americana e Hickton,
que abandonou o seu lugar quando terminou a administração
Obama, admite que dificilmente alguma vez verão um juiz
americano. Contudo, conserva ainda hoje um dos seus
troféus preferidos ligados ao caso: o grande poster vermelho
com «Procurados» do Departamento da Justiça com as fotos
dos cinco oficiais do Exército chinês.
 *
Os chineses foram apanhados de surpresa pelas acusações
e mostraram-se indignados, chamando às provas usadas
«factos adulterados» que «violam de forma grosseira as
normas básicas que regulam as relações internacionais e
põem em risco a cooperação entre a China e os Estados
Unidos». As vítimas dos ciberataques eram eles, afirmaram,
e não os oficiais acusados. Mas a publicação das fotos dos
militares a trabalhar nos seus teclados deixou claro que o
Exército de Libertação Popular ia subir a parada do jogo.
Eric Holder, na altura procurador-geral, disse, a mim e ao
meu colega Michael Schmidt, que a sua resposta aos
chineses era uma espécie de desafio: «Se inventámos tudo
isto, venham a Pittsburgh e envergonhem-nos forçando-nos a
provar o que dizemos ou então a calar-nos.» A liderança
chinesa não insistiu muito — excluindo ter assumido a velha
postura retórica —, mas também não mostrou grande
vontade de abandonar a espionagem industrial. Durante o
resto do ano de 2014 e até 2015 — com as revelações do
caso do Departamento de Gestão de Pessoal — os dois lados
mantiveram uma estratégia de acusações mútuas. O único
sinal de progresso surgiu em 2015, quando um conselho de
peritos das Nações Unidas começou a delinear regras acerca
do tipo de hacking que deveria ser considerado inaceitável. O
roubo de propriedade intelectual — uma violação da lei
internacional mesmo nos tempos anteriores à era digital —
era aquele em que mais facilmente se poderia chegar a um
acordo.
Só foi possível sair deste impasse quando a indignação
dos americanos com o ataque ao Departamento de Gestão de
Pessoal encontrou uma forma de retaliação no protocolo de
estado. Xi Jinping, na altura a instalar-se na presidência da
China, era esperado em Washington em setembro de 2015
para a sua primeira visita de estado — uma ocasião de
pompa e circunstância que a maior parte dos americanos
ignorou mas que foi vital para a liderança chinesa, sempre
muito sensível quanto ao respeito que lhe é devido. Chris
Painter, chefe do cibergrupo do Departamento de Estado,
recordou mais tarde que os responsáveis chineses «revelaram
um desejo quase patológico de que tudo corresse com
perfeição nesta visita».
A equipa de Obama percebeu que isso lhe oferecia uma
forma de pressão e ameaçou prontamente impor sanções à
China em resultado de várias ciberatividades, incluindo os
ataques da Unidade 61 398, poucos dias antes da chegada do
presidente Xi. Sabiam que para os chineses as sanções
lançariam uma sombra sobre a visita e poderiam sugerir que
Xi não dominava a relação entre os dois países. A única
forma de evitar o embaraço, anunciaram aos chineses, era
negociar as bases do primeiro acordo de corrida às armas no
ciberespaço.
Susan Rice, conselheira de Segurança Nacional de
Obama, foi enviada a Pequim em agosto. Todas as avaliações
originais dos serviços de informações acerca da forma como
Xi se comportaria como líder — que se concentraria nas
questões internas, abandonaria todas as ambições de
conquista de território e não desafiaria a influência
americana no mundo — se tinham revelado erradas. O novo
presidente mostrara o seu lado ativista no terreno geopolítico,
muito mais do que alguém esperava. E, embora Susan Rice
tenha tido uma longa conversa com o novo presidente chinês,
a questão da ciberespionagem ficou por resolver. Xi parecia
determinado a evitar o assunto no encontro com Obama, a
última oportunidade do presidente americano para fazer
alguma coisa significativa antes de abandonar o cargo.
No entanto, pouco depois de Susan Rice regressar a
Washington, «os chineses telefonaram e disseram que
precisavam de enviar uma delegação», recordou ela mais
tarde. O espectro das sanções — que teria como alvos um
grupo específico de empresas e entidades governamentais
que haviam beneficiado dos ataques às empresas americanas
—, pouco antes da visita do presidente chinês, fizera
finalmente os chineses refletirem. De um dia para o outro,
uma delegação de 50 representantes do Partido Comunista
Chinês e de burocratas, chefiados por Meng Jianzhu, um
conselheiro próximo de Xi pertencente ao Partido Comunista
e chefe da Segurança Interna, aterrou em segredo em
Washington para negociar um acordo.
A maratona de quatro dias de reuniões decorreu no Hotel
Shoreham, perto do Parque de Rock Creek, um local tão
cheio de turistas de todas as nacionalidades que mesmo uma
grande delegação podia passar despercebida. Painter e
Suzanne Spaulding, uma antiga alta responsável da CIA que
na altura estava a supervisionar as questões digitais no
Departamento de Segurança Interna, centraram-se numa série
de passos para estancar a enchente de ataques à indústria
americana. «Estávamos todos a pensar no Departamento de
Gestão de Pessoal», recordou mais tarde, mas a questão da
espionagem foi deixada de fora — teria tornado um
problema já de si difícil ainda mais complicado.
As conversações terminaram às três da manhã do dia em
que os chineses tinham marcado a viagem de regresso a
Pequim. À chegada, Meng reconheceu pela primeira vez que
havia uma diferença entre ciberespionagem com finalidades
relativas à segurança nacional e espionagem com o benefício
económico como finalidade. Obama comunicou aos líderes
das empresas americanas que os ciberataques seriam
«provavelmente um dos grandes tópicos» e que o seu
objetivo era eles próprios «e os chineses serem capazes de se
aproximar em torno de um processo de negociações» que
poderia «arrastar consigo muitos outros países».
Quando o próprio presidente Xi chegou a Washington
alguns dias mais tarde para a sua primeira visita de estado,
foi recebido com um banquete. Obama convidara toda a
aristocracia de Silicon Valley que estava a deparar-se com
dificuldades na China: Mark Zuckerberg, da Facebook, Tim
Cook, da Apple, e os administradores executivos da
Microsoft e da DreamWorks.
Antes de Xi sair, anunciou com Obama um acordo de que
faziam parte as primeiras restrições ao uso da Internet para
roubar propriedade intelectual. Estranhamente, isto parece ter
tido resultados imediatos. Tanto a Mandiant como outras
empresas observaram uma queda clara nesse tipo de hacking
da parte dos chineses. Painter está convencido de que Xi
considerou o futuro e viu que «daqui a alguns anos as
pessoas vão começar a roubar segredos industriais aos
chineses, e ele quer estar preparado para isso». Na verdade,
já há quem esteja a fazê-lo, e acima de tudo os russos.
No entanto, a esperança de Obama de criar um modelo
que pudesse ser seguido por outros — o que Kennedy fizera
com o Tratado de Limitação de Testes Nucleares, mais de 40
anos antes — nunca chegou a concretizar-se. O acordo com a
China não foi alargado, e os outros países não iniciaram pela
sua parte discussões sérias à semelhança das que se
realizaram entre os Estados Unidos e o gigante asiático.
Os outros assuntos que Obama e Xi discutiram
intensamente, como a forma de controlar um ditador jovem e
obstinado na Coreia do Norte, também pareceram descarrilar
rapidamente.
 Capítulo VI
OS KIM VOLTAM AO ATAQUE
«AGENTE LACEY (LIZZY CAPLAN): Atualmente Kim
Jong-un tem condições de atacar toda a Costa
Oeste. O problema é que estamos a falar de uma
guerra entre países com armas nucleares… A
CIA gostava muito que vocês os dois o
levassem…
AARON RAPAPORT (SETH ROGEN): O quê, a beber
uns copos?
LACEY: Não, não, que o levassem…
DAVE SKYLARK (JAMES FRANCO): Mas que o
levássemos… sei lá… a jantar?
RAPAPORT: Que o levássemos a comer qualquer
coisa fora?
LACEY: Levarem-no.
RAPAPORT: A dar um passeio pela cidade?
SKYLARK: A uma festa?
LACEY: Não, uh, levarem-no.
RAPAPORT: Quer que nós assassinemos o líder da
Coreia do Norte?
LACEY: Sim!
SKYLARK: O quê?!»
— De Uma Entrevista de Loucos, a comédia de
2014 que desencadeou o ciberataque à Sony
Pictures Entertainment
ichael Lynton, o europeu alto e elegante que à época era
M administrador executivo da Sony Pictures
Entertainment, ainda recorda perfeitamente o que aconteceu
quando ligou para o Departamento de Estado no verão de
2014. Estava preocupado com uma torrente de ameaças da
Coreia do Norte, todas com o objetivo de impedir o
lançamento de uma comédia, Uma Entrevista de Loucos,
previsto para breve.
«Nunca tinha ouvido falar de um país exigir que alguém
pusesse fim a um projeto», assegurou-me Lynton.
Não é difícil perceber por que razão os norte-coreanos
estavam preocupados com o lançamento iminente da farsa
protagonizada por Seth Rogen e James Franco. A intriga não
era propriamente subtil: dois jornalistas incompetentes e
confusos conseguem uma entrevista com Kim Jong-un, mas
antes de partirem para o reino eremita são recrutados pela
CIA para o fazerem ir pelos ares. A ideia era completamente
descabelada, mas os norte-coreanos nunca foram conhecidos
pelo sentido de humor.
A publicidade ao filme depressa penetrou no casulo de
Pyongyang. O poster não podia ser mais vistoso: com toques
de design soviético do tempo da Guerra Fria, representava os
mísseis e os tanques do jovem líder norte-coreano com um
aspeto devidamente ameaçador. Na verdade, revelou-se
bastante mais interessante que o próprio filme.
O ministro dos Negócios Estrangeiros da Coreia do Norte,
pressentindo a intriga do filme, já escrevera uma carta de
protesto veemente ao secretário-geral das Nações Unidas,
Ban Ki-moon, a exigir a sua intervenção de forma a impedir
a distribuição do filme. Pelos vistos os norte-coreanos
levaram algum tempo a perceber que o secretário-geral, um
sul-coreano, não estava especialmente interessado em
resolver-lhes o problema. Ainda que estivesse, não se
encontrava numa posição com uma influência particular
sobre os estúdios de Hollywood.
Quando a iniciativa da carta falhou, a Coreia do Norte
começou a fazer ameaças aos Estados Unidos. O lançamento
do filme nos cinemas, como a Sony previra, no dia de Natal
de 2014, seria considerado um «ato de terrorismo»
merecedor de «uma contramedida impiedosa e categórica».
Isto era mais ou menos a resposta da Coreia do Noite a tudo
e mais alguma coisa, de exercícios militares a sanções
económicas. Por outras palavras, a resposta parecia uma
paródia do diálogo de Uma Entrevista de Loucos.
Em Washington, em 2014, antes de se ter tornado credível
que os mísseis de Kim pudessem ameaçar a capital, as
ameaças deste tipo eram recebidas com bocejos do mesmo
tipo dos reservados à discussão do orçamento dos subsídios à
agricultura. Assim, a indignação com Uma Entrevista de
Loucos não obteve qualquer resposta da administração. Mas
conseguiu a atenção de Lynton. O gestor, na altura executivo
de um estúdio de Hollywood, não estava habituado a intervir
em questões de geopolítica. E quanto mais estardalhaço os
norte-coreanos faziam mais nervoso ele ficava — em parte
porque os seus chefes na sede da empresa mãe, a Sony
Corporation, em Tóquio, estavam apavorados. O
administrador executivo, Kazuo Hirai, andava de tal maneira
ansioso que Lynton e a outra responsável do estúdio, Amy
Pascal, deram ordens ao estúdio para atenuar uma cena no
fim do filme em que a cabeça de Kim parece explodir numa
cena de assassinato um tanto crua. Pouco tempo depois o
nome «Sony Pictures» desapareceu de todos os posters e
materiais promocionais do filme, uma decisão tomada pela
direção da empresa em Tóquio, para distanciar a empresa-
mãe do filme.
Ainda assim, as ameaças cada vez mais histéricas da
Coreia do Norte deixaram Lynton perante uma decisão ainda
mais drástica — pôr simplesmente fim ao projeto.
Foi nessa altura que Lynton ligou a Danny Russel.
Na altura Russel era o diplomata do Departamento de
Estado com mais autoridade na Ásia, um homem experiente
e sarcástico que ao chegar aos 60 anos podia dizer que já
tinha presenciado mais ou menos todos os aspetos bizarros
do comportamento dos norte-coreanos. Trabalhara em
segredo na libertação de reféns americanos, participara na
elaboração de sanções e colaborara em iniciativas
diplomáticas relativas ao programa militar da Coreia do
Norte que tinha consciência de que seriam rejeitadas pela
família Kim. Lynton não conhecia Russel — os executivos
dos estúdios de cinema não andam muito por Foggy Bottom
e os diplomatas têm uma atitude compreensivelmente
desdenhosa em relação a Hollywood. Mas quando procurou
alguém ligado à administração que pudesse consultar toda a
gente sugeriu Russel. Na primeira conversa telefónica entre
os dois, Lynton foi diretamente à pergunta mais urgente: os
norte-coreanos estariam simplesmente a fazer estardalhaço
ou a situação iria agravar-se?
«Não me lembro exatamente, mas o que ele perguntou
direta ou indiretamente era se queríamos que retirassem o
filme por haver um risco real de retaliação contra os Estados
Unidos», recordou Russel mais tarde. Russel percebeu
imediatamente que a administração não podia começar a
meter-se no processo de aprovar ou desaprovar filmes, de
maneira que respondeu a Lynton que o que estava em causa
era uma «decisão de negócios» da Sony Pictures. «Não
queria ficar na posição de fazer a administração dos Estados
Unidos cercear a liberdade de expressão às ordens de um
ditador», observa. «A decisão cabia-lhes a eles.»
Ainda assim, Russel deu um conselho a Lynton: seria
melhor não tirar fotos dos atores Rogen e Franco na zona
desmilitarizada. Os norte-coreanos são muito sensíveis em
relação a isso. No entanto, quando o telefonema terminou,
Russel partilhou com Lynton a postura de Washington em
relação às ameaças hiperbólicas da Coreia do Norte. A maior
parte não passavam de ar e vento.
O que nem Russel nem Lynton sabiam é que o pequeno
exército de hackers da Coreia do Norte já começara a pensar
numa forma de devastar a Sony. «Nessa altura Kim Jong-un
era relativamente novo no cargo, e parece-me que ainda não
tínhamos percebido bem as diferenças entre ele e o pai», diz
Lynton. «Ninguém me falou sequer no ciberpotencial da
Coreia do Norte.»
*
Ninguém falou no ciberpotencial da Coreia do Norte
porque ninguém estava sequer a prestar atenção ao assunto.
E na altura em que o filme Uma Entrevista de Loucos estava
a ser feito o reino eremita deixara de ver a Internet como
uma ameaça para a ver como uma invenção brilhante que
deixava a Coreia do Norte a par do Ocidente.
Da mesma forma que os chineses, Kim Jong-il, filho do
fundador do país e pai do seu líder atual, começou por
considerar a Internet uma ameaça ao seu regime — tudo o
que permitisse a comunicação direta entre cidadãos podia
afrontar o poder do clã sobre o país. Na Coreia do Norte, ao
contrário do que acontece na China, a Internet não foi difícil
de manipular, pelo menos até os smartphones começarem a
entrar no país através da fronteira a norte. Não havia
computadores nos lares norte-coreanos, apenas televisões e
rádios com meia dúzia de canais estatais.
No entanto, com o tempo, mesmo um regime rígido e
isolado começou a perceber as vantagens de usar a Internet
para causar perturbações e fazer dinheiro. Kim Heung-
kwang, um dissidente norte-coreano que afirmou numa
entrevista ao New York Times que deu formação a muitos dos
primeiros espiões da Coreia do Norte, recorda que no início
dos anos 90 um grupo de especialistas norte-coreanos em
computadores veio da China com «uma ideia nova muito
estranha»: usar a Internet para roubar segredos e atacar os
inimigos do governo.
«Os chineses já estão a fazer isso», recorda-se de ouvir a
um desses técnicos.
Os militares da Coreia do Norte começaram a treinar a
sério «guerreiros» especializados em computadores em 1996,
recorda, e dois anos mais tarde abriram o Bureau 121,
atualmente a sua principal unidade de ciberataque. Alguns
dos seus membros estiveram dois anos em formação na
China e na Rússia. Jang Sae-yul, um antigo programador do
Exército da Coreia do Norte que desertou em 2007, contou
que estes primeiros hackers eram objeto de inveja dos
restantes programadores, em parte devido à sua liberdade
para viajar.
 «Costumavam regressar com roupas estrangeiras exóticas
e aparelhos caros como máquinas de cozer arroz e máquinas
fotográficas», conta Jang. Os amigos contaram-lhe que o
Bureau 121 estava dividido em grupos, cada um com um país
ou região como alvo, e que se concentravam em particular
nos Estados Unidos, na Coreia do Sul e no seu único aliado,
a China.
«Esses dois anos foram passados não a atacar, mas
simplesmente a perceber a Internet do país-alvo», diz Jang,
que foi tenente numa unidade diferente do Exército que
escrevia software para simulações de jogos de guerra. Com o
tempo, a Coreia do Norte começou a dirigir os estudantes do
ensino secundário com as notas mais altas em Matemática
para algumas das melhores universidades, incluindo uma
escola especializada em questões militares baseadas em
computadores, a Universidade Mirim, que ele próprio
frequentou quando estava no início da sua carreira. Outros
foram colocados numa «base de ataque» na cidade de
Shenyang, no Nordeste da China, onde há muitos hotéis e
restaurantes norte-coreanos.
Ao fim de pouco tempo o próprio Kim Jong-il começou a
parecer um disco riscado em tudo o que dizia respeito a
ciberguerra: «Até agora a guerra tem estado relacionada com
balas e com petróleo», teria dito Kim aos seus militares mais
graduados em 2003, segundo Kim Heung-kwang, «mas no
século XXI tem a ver com informação.»
Ainda ninguém percebeu se Kim Jong-il acreditou mesmo
no seu próprio discurso acerca da guerra de informação —
ou sequer se sabia o suficiente para transformar o slogan
numa estratégia. No fim de contas, é no seu arsenal nuclear
que confia para se manter no poder e para manter a família
viva. De qualquer forma, achava que valia a pena identificar
estudantes promissores ainda jovens e oferecer-lhes uma
formação especial no ofício de hackers. O primeiro passo
foram os melhores programas de informática da China.
A certa altura a divisão de contraespionagem do FBI
apercebeu-se de que os norte-coreanos colocados nas Nações
Unidas também estavam a inscrever-se discretamente em
cursos de programação de computadores em Nova Iorque.
James Lewis recorda que quando o número de alunos norte-
coreanos subiu muito recebeu uma chamada do FBI a
perguntar o que deviam fazer.
«O que lhes respondi foi que não fizessem nada, que os
seguissem e tentassem perceber o que eles andavam a fazer.»
O que eles andavam a fazer na altura não pareceu muito
assustador a ninguém, mas os engenheiros norte-coreanos
aprendem depressa — quem tiver dúvidas só tem de
perguntar a algum cientista especializado em mísseis — e
tornam-se fortes nas suas matérias em pouco tempo. «A
partir de 2009, mais ou menos, o aumento da capacidade foi
enorme, apesar de antes dessa data serem umas nódoas»,
afirmou Ben Buchanan, um investigador do Cyber Security
Project em Harvard, que tem publicado muito acerca dos
dilemas ligados à proteção de redes num mundo imerso em
ciberconflitos. «Em tempos executavam um ataque muito
básico a uma página sem importância da Casa Branca ou de
uma agência americana de informações e depois os seus
apoiantes diziam que tinham atacado o governo dos Estados
Unidos. Mas desde essa altura fizeram progressos enormes.»
Em Washington ninguém parecia particularmente
alarmado. Uma estimativa oficial de 2009 desvalorizou o
valor dos ciberataques da Coreia do Norte, da mesma forma
que subestimou a rapidez com que o programa de mísseis de
longo alcance do país seria completado. Concluiu que seriam
precisos muitos anos até a Coreia do Norte conseguir
representar uma ameaça séria.
Esta avaliação talvez tivesse sido exata se Kim Jong-il
tivesse vivido mais alguns anos. Quando Kim Jong-un
sucedeu ao pai, em 2011, poucos esperavam que um jovem
inexperiente e narcisista de 27 anos que não tinha sido
preparado para o cargo conseguisse impor a sua autoridade
sobre os militares norte-coreanos e a restante elite do país.
Mas o novo líder surpreendeu toda a gente. O seu primeiro
objetivo, tinha consciência disso, era tornar a Coreia do
Norte uma potência nuclear credível. O segundo era eliminar
rivais potenciais, coisa que por vezes fez com artilharia
antiaérea. O terceiro era construir uma ciberforça, e a este
objetivo conseguiu imprimir um caráter de urgência.
Na altura em que Kim Jong-un chegou ao poder, o Bureau
121 já existia havia mais de uma década. Apesar de Kim ser
muitas vezes caricaturado como palhaço pela cultura pop
americana, rapidamente tirou partido de uma nova
possibilidade que o pai e o avô — o Querido Líder e o
Grande Líder, respetivamente — nunca haviam explorado.
Sob a direção do jovem Kim, a Coreia do Norte formou um
exército de mais de 6 mil hackers, a maior parte baseados
fora do território do país (acabaram por se instalar entre a
China e as Filipinas, a Malásia e a Tailândia, tudo países que
oferecem um atrativo de que a Coreia do Norte não dispõe:
praias tropicais).
A ideia era tornar a ciberofensiva mais do que uma arma
meramente para tempo de guerra; tal com os russos, Kim viu
ali uma oportunidade de roubo, assédio e acerto de contas
político. «A ciberguerra, juntamente como as armas
nucleares e os mísseis, é uma arma com finalidades
múltiplas», terá declarado, segundo disse mais tarde um dos
chefes dos serviços de informações da Coreia do Sul4.
Por volta de 2012, Kim começou a dispersar a sua equipa
de hackers por outros países. A China foi a primeira etapa,
por ser o país mais próximo com uma infraestrutura de
Internet capaz de suportar a sua atividade e ao mesmo tempo
dar às equipas da Coreia do Norte desculpas plausíveis
quando fossem detetadas. No entanto, com o tempo os seus
grupos de programadores foram-se espalhando por países
como a Índia, a Malásia, o Nepal, o Quénia, a Polónia,
Moçambique e a Indonésia — lugares onde normalmente
havia naturais da Coreia a trabalhar. Noutros países, como a
Nova Zelândia, os hackers norte-coreanos estavam
simplesmente a dirigir os ataques feitos através dos
computadores do país a partir de outros países. Na Índia, o
lugar onde atualmente têm origem certa de 20 por cento dos
ataques de Pyongyang, os hackers instalaram-se
pessoalmente.
Ao que tudo indica, o êxito foi fácil e rápido. «Pode dizer-
se que têm um dos ciberprogramas mais bem-sucedidos do
planeta, não porque sejam tecnicamente sofisticados, mas
porque alcançaram todos os seus objetivos com um custo
muito baixo», diz Chris Inglis, em tempos um dos vice-
diretores da Agência Nacional de Segurança.
Até certo ponto, os norte-coreanos aprenderam com os
iranianos, com quem há muito tempo partilham tanto a
tecnologia usada nos mísseis como a convicção de que os
Estados Unidos são a fonte dos seus problemas. No domínio
digital, os iranianos ensinaram uma coisa muito importante
aos norte-coreanos: quando estamos perante inimigos que
têm bancos, bolsas de valores, sistemas de transporte e
distribuição de água e petróleo, barragens, hospitais e até
cidades inteiras ligadas à Internet, as oportunidades de causar
problemas são infinitas.
O primeiro grande ataque da Coreia do Norte deu-se em
março de 2013, sete meses depois do ataque iraniano à Saudi
Aramco. Durante um exercício militar conjunto entre as
forças americanas e sul-coreanas, os hackers da Coreia do
Norte, a partir de computadores instalados na China,
utilizaram uma ciberarma muito semelhante à que o Irão
usara contra redes de computadores em três grandes bancos
sul-coreanos e os dois maiores canais de televisão da Coreia
do Sul. Tal como os ataques à Arábia Saudita, os ataques
norte-coreanos aos alvos da Coreia do Sul — uma operação
que recebeu a designação informal de «Dark Seul» —
recorreram a malware que apagou dados e paralisou
inúmeras operações comerciais. Pode ter sido uma imitação,
mas não deixou de ser impressionante. Robert Hannigan, que
mais tarde identificou os norte-coreanos — enquanto chefe
do GCHQ, iniciais de Government Communications
Headquarters, equivalente britânico da NSA —, viu um
paralelismo entre os dois casos demasiado dramático para
poder ser ignorado.
 «Temos de partir do princípio de que estão a ser ajudados
pelos iranianos», concluiu Hannigan.
«Apanhou-nos desprevenidos», observou a propósito da
ameaça norte-coreana. «Como são uma mistura estranha e
um pouco medieval de absurdo e sofisticação, as pessoas não
os levaram a sério. Como é possível um país isolado e
atrasado ter uma capacidade destas? Bom, e como pode um
país isolado e atrasado ter capacidade nuclear?»
*
Felizmente havia falhas no sistema norte-coreano. E em
Fort Meade, onde a NSA e o Cibercomando trabalhavam
lado a lado, sentia-se cada vez mais a urgência de explorar
essas falhas com o mesmo entusiasmo que impulsionara a
Operação Jogos Olímpicos. Os Estados Unidos queriam
assestar um golpe no desenvolvimento da capacidade nuclear
norte-coreana de os ter como alvo.
No caso da Coreia do Norte o problema era muito mais
complexo do que qualquer coisa que a unidade de operações
de acesso a alvos específicos, a Tailored Access Operations,
ou as primeiras formas assumidas pelo Cibercomando dos
Estados Unidos, haviam enfrentado no Irão. Por meados de
2013 tornou-se claro que a administração já ia demasiado
tarde para impedir a produção da bomba pela Coreia do
Norte. A família Kim estava muito, mas muito à frente dos
mullahs. Enquanto os iranianos ainda estavam a tentar fazer
as centrifugadoras simplesmente funcionar para produzir o
urânio de que precisavam, os norte-coreanos já estavam a
montar bombas atómicas. Embora as informações obtidas
pelos serviços secretos diferissem, os norte-coreanos deviam
ter para cima de uma dúzia de ogivas nucleares, e a produção
estava a tornar-se mais expedita.
Assim, os ciberguerreiros norte-americanos, como
afirmou o antigo secretário da Defesa William Perry, «tinham
de se concentrar nos mísseis capazes de alcançar os Estados
Unidos, porque era a única coisa que faltava aos norte-
coreanos».
 Para Kim Jong-un, a capacidade de atingir uma cidade
americana com uma ogiva nuclear tinha a ver com a sua
sobrevivência — mas também com o seu poder futuro. Por
esta razão acelerou o esforço de forma drástica, numa
espécie de versão norte-coreana do Projeto Manhattan. Isso
significava um esforço semelhante em torno de um programa
de mísseis capazes de levar as armas ao outro lado do
Pacífico. E por volta de 2013, pela primeira vez, o programa
pareceu genuinamente ameaçador.
«Ouvi Obama dizer mais de uma vez que não veria
qualquer inconveniente em decapitar o círculo de liderança
de Kim Jong-un se tivesse oportunidade de o fazer — e
achasse que isso não desencadearia uma guerra», disse mais
tarde um dos assessores do presidente. Ninguém estava em
condições de dar essa garantia, e o temperamento de Obama
era de tal forma prudente que muitos dos seus assessores
nem sequer acreditam que ele tivesse sido capaz de apertar o
gatilho. Ainda assim, queria fazer tudo o que estava ao seu
alcance para retardar o programa nuclear da Coreia do Norte.
Foi por esta razão que o presidente que presenciou os
efeitos da arma mais recente dos Estados Unidos, com a
Operação Jogos Olímpicos, começou a pedir uma forma de
aniquilar os mísseis da Coreia do Norte sem ter de disparar
nenhum tiro.
«Quando chegámos ao fim de 2013 já sabíamos que
teríamos de fazer alguma coisa», disse um assessor sénior. O
secretário da Defesa, Ashton Carter, começou a convocar
reuniões em volta de uma questão particular: seria possível
criar um programa que retardasse o progresso da Coreia do
Norte na produção de mísseis balísticos intercontinentais?
No início de 2014, Obama presidiu a uma série de
reuniões para explorar várias possibilidades. O Pentágono e
as agências americanas de informações, foi decidido, teriam
de executar uma série de ciberataques contra os mísseis de
Kim, a começar por um míssil de médio alcance conhecido
como Musudan. Com isto esperavam sabotá-los antes que
fossem disparados, ou desviá-los do rumo previsto
imediatamente a seguir. Outro dos objetivos era que os norte-
coreanos, tal como acontecera com os iranianos,
imaginassem que os erros haviam sido seus.
O presidente foi avisado de que seriam necessários um ou
dois anos até alguém saber se este programa acelerado
resultara. Apenas mais tarde foi possível perceber que em
2014 Obama e Kim estavam a usar ciberarmas um contra o
outro. O objetivo de Obama eram os mísseis da Coreia do
Norte; o de Kim era um estúdio de cinema que parecia
decidido a humilhá-lo. Finalmente, um e outro acabaram por
descobrir o que estava a ser planeado nas suas costas.
*
Em meados de 2014 a Coreia do Norte escolheu o seu
alvo seguinte para um ciberataque — e esse alvo ficava em
Londres.
Numa altura em que os protestos dos norte-coreanos a
propósito da Entrevista continuavam a subir de tom, uma das
redes de televisão comerciais britânicas, o Channel 4,
anunciou planos para transmitir uma série suculenta acerca
de um presidente americano e de um primeiro-ministro
inglês que reuniam forças para libertar um cientista nuclear
raptado em Pyongyang.
Da mesma maneira que fizera com as Nações Unidas, a
Coreia do Norte escreveu uma carta para o número 10 de
Downing Street e exigiu que o primeiro-ministro britânico
pusesse fim à produção e punisse os produtores. A série seria
«uma farsa escandalosa», assegurava a missiva. Como é
natural, os britânicos responderam da mesma forma que as
Nações Unidas — com silêncio.
Poucas semanas depois as coisas começaram a correr mal
no Channel 4. Tornou-se evidente que alguém penetrara nos
sistemas de computadores do canal, apesar de o ataque ter
sido travado antes de infligir danos relevantes. O diretor-
executivo do Channel 4 afirmou que não se deixaria
intimidar e que a produção seguiria em frente (isso acabou
por não acontecer, em grande parte porque o projeto perdeu o
financiamento, embora os receios em relação à reação da
Coreia do Norte pareçam ter estado entre as razões
principais).
Só vários anos mais tarde alguém reparou nas
semelhanças entre os ataques ao Channel 4 e o que estava a
acontecer a 8 mil quilómetros de distância, nos estúdios
cheios de história da Sony.
No fim do verão os hackers penetraram nos sistemas da
Sony e começaram a preparar um ataque. No entanto, a
administração Obama estava concentrada num outro drama
na Coreia do Norte, este bastante mais familiar. Ao longo de
mais de um ano, a Casa Branca tentara negociar a libertação
de dois americanos presos pelas autoridades coreanas. O
presidente Obama decidiu enviar James Clapper, o diretor
dos serviços de informações dos Estados Unidos, um homem
muito invulgar entre os membros da administração Obama,
entre outras razões porque tinha idade suficiente para ser pai
de muitos outros — incluindo o próprio presidente — e avô
de grande parte dos funcionários mais jovens. Clapper era
calvo, brusco, taciturno, e o produto de muitos anos na Força
Aérea — onde chegou a general e ao serviço da qual viveu
em muitos lugares no mundo inteiro, incluindo por um breve
período na Coreia do Sul no fim dos anos 80. Clapper só
estivera no território da Coreia do Norte uma vez,
ilegalmente, em 1985, num helicóptero que penetrara no seu
espaço aéreo.
Da segunda vez foi convidado. Assim, no início de
novembro de 2014, aterrou em Pyongyang num avião
pertencente ao governo dos Estados Unidos e foi levado para
um alojamento estatal nos arredores da capital. No carro,
durante o caminho, o ministro da Segurança do Estado
perguntou de forma insistente a Clapper se trazia alguma
proposta diplomática de vulto. «Estavam à espera de uma
coisa em grande escala», recordou Clapper mais tarde com
alguma surpresa. «Achavam que eu ia fazer uma oferta
estrondosa, quem sabe um reconhecimento, um tratado de
paz, qualquer coisa desse tipo. Como é evidente, não era para
isso que eu ali estava, de maneira que eles ficaram
desapontados.»
Na primeira noite que passou em Pyongyang, Clapper
jantou com o seu equivalente norte-coreano, o chefe do
Bureau de Reconhecimento Geral, Kim Yong-chol.
A refeição, um jantar tradicional coreano, foi deliciosa,
disse Clapper mais tarde, uma avaliação culinária baseada na
sua experiência na Coreia do Sul. No entanto, não houve
mais nada agradável num fim de dia profundamente agreste.
O general Kim, um dos membros da liderança do país,
«passou a maior parte da noite a falar acerca da agressão
americana e do povo horrível que nós éramos». Entre outras
coisas, disse-lhe que Washington está constantemente a
conspirar para derrubar o regime norte-coreano, uma
acusação que não deixa de ter fundamento.
Clapper retorquiu que estava na altura de a Coreia do
Norte impedir que o seu povo continuasse a passar fome,
deixar de construir campos de trabalho forçado e ameaçar
com um holocausto nuclear. A partir desse ponto, a discussão
foi-se tornando cada vez menos produtiva.
«Aqueles tipos eram mesmo da linha dura», concluiu
Clapper.
Contudo, durante todo o tempo que passaram a conversar,
nem a Entrevista nem as ameaças da Coreia do Norte à Sony
foram referidas, e muito menos um ciberataque aos sistemas
do estúdio.
«Eu não fazia a menor ideia do que estava a acontecer na
Sony», contou-me mais tarde. «De resto, porque haveria eu
de saber?»
Clapper tinha razão: não era dessa maneira que os
serviços de vigilância dos Estados Unidos funcionavam. O
país passara mais de seis décadas a desenvolver uma vasta
capacidade de vigilância contra a Coreia do Norte — a
Agência Nacional de Segurança foi criada a meio da Guerra
da Coreia —, mas esta estrutura estava quase inteiramente
centrada em ameaças tradicionais. Os hackers que na altura
trabalhavam em computadores portáteis algures na Ásia não
eram o tipo de ameaça à segurança nacional norte-americana
que esta estrutura tinha a missão de detetar. Além disso, os
estúdios de cinema não eram alvos que preocupassem
especialmente os serviços de informações dos Estados
Unidos. Na realidade, devido à lei que impedia a Agência
Nacional de Segurança de agir em território nacional
americano, não estava sequer autorizada a verificar o que se
passava com as redes do estúdio.
No dia que se seguiu a este jantar, Clapper conseguiu que
os reféns fossem libertados e transportou-os no avião em que
se deslocara à Coreia. Antes de partir ainda teve um novo
encontro com os norte-coreanos. Juntamente com os
americanos que haviam sido libertados, os responsáveis
norte-coreanos entregaram uma conta a Clapper — a sua
parte do jantar com o chefe do Bureau Geral de
Reconhecimento, juntamente com uma noite na hospedagem
proporcionada pelo Estado e com o parqueamento do avião.
«Tive de pagar em dólares», contou-me Clapper mais
tarde. «E não foi pouco.»
*
O anfitrião de Clapper, o general Kim, sabia quase de
certeza do ciberataque à Sony muito antes de ter convidado o
visitante americano para jantar. Atualmente os serviços de
informações têm razões para crer que os hackers estavam a
trabalhar, direta ou indiretamente, na dependência do Bureau
Geral de Reconhecimento. Mas nessa altura a Coreia do
Norte parecia a menor das preocupações dos Estados Unidos
no ciberespaço. Afinal, quem é que vai ralar-se com
ciberataques de um país com menos endereços de IP que a
maior parte dos quarteirões de Nova Iorque ou de Boston?
Quando hoje pensamos no caso, no entanto, vemos que os
responsáveis americanos tinham muitas razões de
preocupação. Kim podia estar falido, e a viver isolado na
bolha de veneração de que era rodeado no seu país, mas em
2014 já era claro que percebia com clareza os novos
contornos do poder nacional. Calculara de forma correta que
um ciberarsenal era uma boa forma de nivelar os países com
menos recursos com as grandes potências: afinal compra-se
ao preço da chuva e pode ser usado a partir de locais situados
no exterior do país de origem. Além disso, ao contrário do
seu arsenal nuclear, as ciberarmas podiam ser usadas contra o
maior inimigo da Coreia do Norte — os Estados Unidos —
sem receio de que meia hora mais tarde a Coreia se tivesse
transformado num monte de cinzas radioativas a norte de
Seul. Kim reconheceu que as ameaças inevitáveis dos
Estados Unidos de impor sanções económicas adicionais
contra a Coreia do Norte por ciberatividade maliciosa eram
em grande parte ocas5. Em resumo, as ciberarmas pareciam
feitas à medida para a situação internacional da Coreia do
Norte: tão isolada que pouco tinha a perder, com tanta falta
de combustíveis que não tinha outra forma de sustentar um
conflito com uma grande potência, e com infraestruturas tão
atrasadas que era em grande medida invulnerável a contra-
ataques.
*
O próprio crescimento do ciberexército de Kim era um
reconhecimento de que os Estados Unidos e os seus aliados
passariam provavelmente os anos seguintes a discutir a
melhor forma de ripostar contra ataques que não deixam
atrás ruínas fumegantes.
Mas Kim calculou que, mesmo que os Estados Unidos
estivessem na disposição de retaliar, não seria fácil fazerem-
no. Em grande parte do planeta, a ausência de redes de
computadores, uma sociedade não conectada, é um sinal de
atraso e fraqueza. Contudo, para Kim isto podia ser uma
vantagem interna. Um país isolado do mundo, com poucas
redes de computadores, é um alvo sem interesse: não há,
pura e simplesmente, «superfícies de ataque» viáveis, pontos
de penetração para introduzir código malicioso que permita
uma retaliação digital contra a Coreia do Norte.
 Como um dia um responsável do Cibercomando dos
Estados Unidos me disse durante um jantar em Washington:
«Como podemos apagar as luzes num país que não tem
sequer energia suficiente para as ligar?»
Quatro anos antes do ataque à Sony, os Estados Unidos
tinham tentado responder a esta pergunta com uma operação
secreta com o nome de código «Comboio da Noite». A
agência fez um esforço continuado e penoso para penetrar
nas redes que ligavam a Coreia do Norte ao mundo exterior,
sobretudo através da China. Foram identificados vários
hackers norte-coreanos, alguns dos quais trabalhavam a
partir da Malásia e da Tailândia, na esperança de reconhecer
e localizar elementos do ciberexército de ataque da Coreia do
Norte. Além disso, sem informar o governo da Coreia do Sul
— o seu aliado crítico na resposta ao desafio da Coreia do
Norte —, os Estados Unidos acompanharam uma
ciberintrusão da Coreia do Sul nas redes dos serviços de
informações da Coreia do Norte.
A finalidade do Comboio da Noite — uma operação
revelada apenas através de um vislumbre muito parcial em
meia dúzia dos documentos revelados por Snowden —
continua a não ser clara. O mesmo acontece com a motivação
da Agência Nacional de Segurança para acompanhar o
ataque: porque não confiaram os Estados Unidos nos seus
aliados sul-coreanos e reuniram abertamente forças para
penetrar nas redes da Coreia do Norte? A operação tinha
supostamente a finalidade de agrupar todas as informações
possíveis acerca da liderança da Coreia do Norte, do seu
recentemente formado cibercomando e, como é evidente, dos
seus segredos nucleares. Não se percebe muito bem o que os
Estados Unidos ganharam realmente com ela, mas,
independentemente do seu êxito ou fracasso, o Comboio da
Noite não ofereceu nenhum aviso antecipado quanto ao que
estava prestes a acontecer à Sony.
*
Quando os hackers da Coreia do Norte penetraram nas
redes da Sony no outono de 2014 encheram o sistema da
empresa de phishing, emails que tentavam que alguém da
empresa engolisse o isco e clicasse no link. A técnica não
tardou a produzir resultados. Já dentro do sistema, os hackers
de Kim conseguiram privilégios de administradores e
puderam passear-se livremente pela rede da empresa. Ao
longo das semanas seguintes, os invasores invisíveis
mapearam os lugares onde os emails eram armazenados, o
funcionamento dos sistemas e onde a Sony protegia os filmes
ainda por lançar. Em resumo, pouco tempo depois do ataque
os hackers ficaram de posse do sistema informático do
estúdio.
Os norte-coreanos foram de uma paciência extrema.
Esperaram pelo melhor momento para executar cada passo
do ataque. Também isto foi um sinal de que se tratava de
verdadeiros profissionais. Como me disse um dos
responsáveis máximos dos serviços de informações dos
Estados Unidos, «no sistema da Coreia do Norte não há
freelancers». E a verdade é que os hackers foram
ultrapassando sucessivamente os obstáculos da rede da Sony,
mapeando os seus ataques, e na empresa ninguém reparou no
que estava a acontecer. Eram o equivalente digital de
assaltantes altamente treinados para não desencadear nenhum
sinal de alarme oculto.
Por estranho que isso hoje nos possa parecer, na Sony
ninguém pensou sequer nas suas redes de computadores
como uma vulnerabilidade. Foi um erro estúpido, mas que
dificilmente se pode considerar raro — em muitas outras
empresas, e também no governo dos Estados Unidos, muita
gente o cometeria igualmente nos três anos seguintes.
*
Poucos dias antes do feriado do Dia de Ação de Graças de
2014, Lynton ia a caminho do trabalho no seu Volkswagen
GTI quando recebeu uma chamada do escritório. Era David
Hendler, o diretor financeiro do estúdio. Tinha havido uma
intrusão nos computadores centrais. Ninguém sabia muito
bem qual era a dimensão do problema, disse Hendler, mas
tudo parecia muito invulgar. Talvez, disse ele, fosse apenas
uma coisa sem importância que o departamento de IT ia
resolver antes da hora de almoço, mas não era o que parecia.
Na verdade, o departamento estava a preparar-se para pôr
todo o sistema da Sony Pictures offline para impedir que o
caso se tornasse ainda mais grave.
À hora a que Lynton chegou ao seu escritório no edifício
Art Deco Thalberg em Culver City — o estúdio onde em
tempos Louis B. Mayer governava Hollywood —, já não
havia ilusões de que o problema pudesse ser resolvido nessa
manhã. «Era evidente que ainda ninguém fazia ideia do
ponto a que aquilo chegara», disse-me mais tarde Lynton. E
nada do que se passara se assemelhava a um ciberataque
vulgar: por exemplo, por toda a parte dos edifícios da Sony
milhares de ecrãs de computadores da empresa mostravam
uma imagem da cabeça de Lynton grotescamente decepada.
Embora a imagem fosse repelente, não passava de uma
manobra de diversão. Enquanto os utilizadores do
computador tentavam perceber o que se estava a passar, os
seus discos rígidos giravam como loucos, a apagar tudo o
que lá estava armazenado. Os únicos empregados que
salvaram a sua informação foram os que tiveram a presença
de espírito de desligar simplesmente o cabo de alimentação
elétrica, o que deteve o que estava a acontecer nesse
momento nos discos. Os que ficaram a olhar para a imagem
perderam tudo.
Pouco tempo depois de Lynton chegar, a Sony desligou
todos os seus sistemas informáticos no mundo inteiro. Os
funcionários ficaram sem emails, sem sistemas de produção,
até sem atendedores de chamadas.
Lynton orgulha-se da sua calma quando sujeito a pressão,
e aquela não foi a primeira crise por que passou. O seu
instinto, típico da maior parte dos executivos de grandes
corporações, levou-o a manter os seus problemas dentro da
empresa. Pensando bem, saber o prejuízo que haviam
causado apenas serviria para alimentar os egos dos hackers.
Mas essa decisão não serviu de nada. Pouco depois toda a
gente saberia o que acontecera.
 Lynton avisou o FBI, que montou o seu quartel-general no
estúdio onde tantos filmes com agentes em perseguição dos
maus haviam sido filmados ao longo de várias décadas. No
entanto ninguém se deteve a refletir acerca da ironia de por
uma vez ser a vida a imitar a arte. Em vez disso, os agentes
depressa centraram as suas preocupações num grupo
autointitulado Guardiões da Paz, que começou a divulgar os
emails da Sony aos poucos. Ninguém teve dúvida de que
estes tinham sido obtidos durante o ciberataque. E havia
claramente alguém envolvido na sua divulgação que percebia
o que atrairia os tabloides — uma indicação de que quem
estava por trás dos ataques tinha alguns conhecimentos
acerca da maneira de ser dos americanos.
A experiência da Sony não era inédita: a publicação das
comunicações do Departamento de Estado e da Defesa pela
WikiLeaks em 2010 revelou como era fácil chegar aos títulos
dos tabloides com comunicações pessoais roubadas através
de um sistema de computadores. Ao longo das semanas
seguintes, os hackers da Sony foram espalhando emails com
pormenores importantes acerca do estúdio, juntamente com
contratos, alguns registos médicos e muitos números da
segurança social. Os norte-coreanos chegaram mesmo a
roubar filmes que ainda não tinham sido lançados, entre eles
Annie.
Os emails da Sony atraíram uma audiência que nenhum
email do Departamento de Estado alguma vez conseguiria
igualar. Na verdade, dificilmente os emails do Departamento
de Estado encontrariam algo mais suculento que alguma
queixa com as instalações de uma embaixada ou as intrigas
de Foggy Bottom, o bairro histórico de Washington. Já os
emails da Sony incluem um de um executivo do estúdio que
descreve Angelina Jolie como «uma miúda mimada e sem
talento». Havia informações acerca de salários pagos pelo
estúdio e de ligações amorosas entre atores e produtores.
Apareceu mesmo um email que parece ter sido enviado pelos
próprios hackers, de 21 de novembro, a avisar que se o
estúdio não pagasse um valor não especificado «a Sony
Pictures seria bombardeada». O email parece não ter sido
lido antes dos ataques. E depois o mais irónico de todos:
emails de Seth Rogen para Amy Pascal, executiva do
estúdio, a queixar-se das mudanças que a Sony introduzira no
guião de Uma Entrevista de Loucos. «O que está a acontecer
é que os americanos estão a mudar um filme para deixar os
norte-coreanos satisfeitos», lamentava-se.
Todo este material, como seria de esperar, se sobrepôs à
cobertura do poder destrutivo do ataque. No espaço de
apenas alguns meses, a Coreia do Norte — um país que mal
conseguia alimentar os seus habitantes — atingira um
estúdio americano icónico com o ciberataque mais
sofisticado desde a Operação Jogos Olímpicos. A Sony
simplesmente adormecera ao volante. E o mesmo acontecera
ao governo dos Estados Unidos.
Retrospetivamente, percebemos que o ataque à
distribuidora pouco passou de um prenúncio — um ataque
arrasador que destruiu equipamento físico utilizando para
isso apenas zeros e uns, como fizera o Stuxnet; a divulgação
de comunicações pessoais que dominaram as notícias e
arruinaram as carreiras de algumas das pessoas atingidas; e
um pedido de resgate que desviou as atenções da verdadeira
finalidade da operação. No entanto na altura ninguém
percebeu isto. Quando o ataque aconteceu, pareceu um raio
caído do nada, uma reação exagerada a uma comédia de
Hollywood do líder paranoico de um país a morrer de fome e
que desperdiçava as suas escassas divisas e mão de obra
preciosa a construir mísseis e ogivas nucleares.
Com 70 por cento da sua rede informática paralisada, a
Sony teve de procurar novo equipamento pelo mundo inteiro.
Entretanto, o departamento de contabilidade decidiu procurar
nos armazéns de material fora de uso os velhos
computadores que em tempos haviam sido usados para
processar ordenados. Tornara-se evidente que durante algum
tempo não iriam fazer transferências bancárias por
computador.
*
 Na Casa Branca, o ataque da Sony levantou uma série de
questões incómodas que voltariam a preocupar o governo
dos Estados Unidos muitas vezes ao longo dos anos
seguintes. A partir do momento em que o FBI acampou no
estúdio, o principal suspeito sempre foi a Coreia do Norte.
Mas, como os assessores do presidente Obama sabiam, uma
coisa era suspeitar e outra era provar. E mesmo que o
almirante Rogers, o diretor da Agência Nacional de
Segurança, entrasse na sala de crise com provas irrefutáveis,
como poderiam torná-las públicas sem revelar as fontes da
agência? E como poderiam retaliar?
«É um problema clássico», disse-me Michael Daniel, o
czar da cibersegurança do presidente Obama, durante a
investigação do caso Sony. «Assim que apontamos quem está
por trás de um ciberataque, a questão seguinte passa a ser “e
como é que vamos fazê-los pagar?”. E nem sempre há uma
resposta fácil.»
De facto, a NSA já andava a estudar os dados obtidos
através de uma série de operações de recolha de informações
no interior das redes da Coreia do Norte, incluindo o
Comboio da Noite, num esforço para denunciar de forma
conclusiva a liderança norte-coreana por ter ordenado o
ataque à Sony. Ao fim de pouco tempo descobriu-se que
algumas das ferramentas usadas contra a Sony já tinham
aparecido noutros ataques montados pelos hackers da Coreia
do Norte.
«Descobrimos rapidamente aquilo de que andávamos à
procura», disse-me um dos responsáveis da Casa Branca,
referindo-se a provas que pareciam mostrar uma ligação
direta entre o Bureau Geral de Reconhecimento e os hackers.
Ainda hoje o governo dos Estados Unidos não revelou estas
provas — nem no caso da Sony nem de outros ciberataques
da Coreia do Norte —, porque não quer mostrar o tipo de
monitorização que pode e está a fazer. Mas parece claro que
os Estados Unidos intercetaram comunicações de voz ou
instruções escritas vindas diretamente da liderança norte-
coreana.
 As provas foram suficientemente persuasivas para o
presidente Obama ter tido imediatamente conhecimento
delas.
«Nunca pensei que um dia teria de vir aqui falar-lhe de um
filme sem o menor interesse de Seth Rogen», disse um dos
seus assessores ao presidente Obama quando se tornou claro
o que acontecera.
«Como é que sabe que é um mau filme?», perguntou-lhe
Obama.
«Bem, é um filme com o Seth Rogen…», respondeu, e o
riso irrompeu na Sala Oval.
No entanto, as provas encontradas só serviram para tornar
o debate ainda mais complexo. Os Estados Unidos tinham
muitos planos para responder a ciberofensivas contra
infraestruturas críticas, de barragens a sistemas de
distribuição de água e energia. O ataque à Sony não fazia, de
modo algum, parte dessa categoria.
«Tratou-se de um ataque destrutivo», afirmou Robert Litt,
o conselheiro-geral para o diretor dos serviços nacionais de
informações. «Mas não podemos dizer que tenha atingido um
setor vital das infraestruturas dos Estados Unidos. Não foi o
mesmo que desligar toda a rede de distribuição de energia
entre Boston e Washington. A questão era se cabia ao
governo a responsabilidade de defender uma empresa como a
Sony de um ataque deste tipo.»
Esta questão era apenas uma das que pairavam sobre
Obama e os seus assessores quando entraram na sala de crise
no dia 18 de dezembro. Num debate acalorado, alguns dos
assessores de Obama defenderam que, quer a Sony fosse
quer não fosse um alvo «crítico», os Estados Unidos tinham
sido atacados.
«Ainda me lembro de estar ali sentado enquanto os nossos
colegas defendiam que isto era como pôr uma bomba num
edifício da Sony, uma coisa que teríamos sem dúvida
considerado um ato terrorista», contou um dos assessores de
segurança nacional, que ficou sentado na segunda fila à volta
da mesa enquanto a discussão prosseguia. «Mas neste caso
não houve explosão — só pessoas a operarem através de
controlo remoto para obterem um resultado semelhante.»
Sempre cauteloso, Obama chegou à conclusão de que não
se tratava de terrorismo, mas antes de «cibervandalismo»,
como disse alguns dias mais tarde (não tardou a lamentar
essa afirmação). O presidente não queria uma escalada do
conflito, mas também não queria ter de passar pelas redes de
outro país para atingir a Coreia do Norte.
«O problema», disse-me mais tarde um dos participantes
na reunião, «é que a única maneira de chegar à Coreia do
Norte era passando pela China, e ninguém queria que os
chineses pensassem que estávamos a atacá-los ou a usar as
redes deles para atacar um terceiro país.»
Mas havia um aspeto do ataque que Obama considerava
especial. O que tornava o caso da Sony particular, da sua
perspetiva, era ter a intenção de exercer coerção política. O
especialista de Direito Constitucional estava determinado a
não permitir que um ditador num país distante e falido
impedisse o lançamento de um filme que considerava
politicamente contestável.
Entretanto as ameaças iam subindo de tom. Os Guardiões
da Paz ameaçaram que a estreia do filme em Nova Iorque
seria alvo de um ataque terrorista: «Em breve o mundo verá
o filme horrível feito pela Sony Pictures Entertainment»,
dizia a sua declaração. «O mundo será dominado pelo medo.
Lembrem-se do 11 de setembro de 2001.»
A referência ao 11 de setembro bastou para a questão ser
levada mais a sério. Lynton suspendeu o lançamento do
filme, e Obama, na reunião da sala de crise no dia em que a
ameaça foi tornada pública, percebeu que não podia manter o
silêncio. Ignorar uma ameaça grosseira de ação terrorista
contra cinemas ia fazê-lo parecer fraco. Tinha de apontar o
dedo à liderança norte-coreana, acusá-la da ciberofensiva, e
deixar claro o que aconteceria se houvesse um ataque contra
os cinemas. Isso significava mostrar que os Estados Unidos
tinham feito a ligação entre o ataque e as ameaças de Kim
Jong-un.
No entanto, os responsáveis dos serviços de informações
foram terminantes em considerar que o presidente não podia
revelar as intrusões dos Estados Unidos, nem da Coreia do
Sul, nos sistemas informáticos da Coreia do Norte. Na
realidade, não queriam que Obama explicasse em público
nem sequer aquilo que era óbvio: a maneira como haviam
relacionado as técnicas de hacking usadas contra a Sony com
outras previamente utilizadas pelos norte-coreanos,
especificamente pelo Bureau 121, que dirigia o exército de
ciberguerreiros da Coreia do Norte — embora os Estados
Unidos não tivessem provas suficientes para atribuir
inquestionavelmente o ataque da Sony ao Bureau 121.
«Foi um debate clássico», contou-me mais tarde uma das
pessoas que estiveram presentes na reunião. «Os tipos dos
serviços de informações não queriam dizer nada — parece
que estão assim formatados. Os tipos ligados à política e à
estratégia queriam que os norte-coreanos sofressem alguma
retaliação.» Contudo, as opções apresentadas por Rogers —
um contra-ataque da mesma natureza à Coreia do Norte, ou
procurar bloquear as contas de Kim Jong-un por todo o
mundo — eram difíceis de pôr em prática e teriam
provavelmente implicações quanto à soberania chinesa.
Obama acabou por decidir acusar e envergonhar os norte-
coreanos e mais tarde pensar no custo que isso teria.
No dia seguinte, 19 de dezembro, poucas horas antes de
partir de férias para o Havai, Obama surgiu na sala de
imprensa e deu o passo sem precedentes de responsabilizar a
Coreia do Norte pelo ataque. Prometeu uma resposta
proporcional «no lugar e no momento e da forma que os
Estados Unidos decidirem». Alguns dos elementos destas
represálias seriam visíveis e outros não. Utilizou a linguagem
da retaliação militar, mas sem ameaçar realmente com ações
específicas.
 «Não queremos uma sociedade em que um ditador
qualquer num lugar qualquer possa impor medidas de
censura nos Estados Unidos», afirmou, não deixando dúvidas
de que estava a desafiar pessoalmente Kim Jong-un. Também
incluiu um remoque à Sony, por esta ter recuado no
lançamento do filme. Os estúdios e as distribuidoras de
cinema americanos não deviam «aceitar ser intimidados por
ataques criminosos» como aquele.
Lynton ficou perplexo com a alfinetada de Obama. Achou
que estava simplesmente a ser prudente e a proteger os
espectadores, e já tinha assegurado que o filme seria
distribuído de uma maneira ou de outra. «Não estou de modo
algum a pensar capitular perante os norte-coreanos», disse-
me na altura.
Lynton mandou o pessoal da Sony procurar cinemas
independentes que quisessem exibir Uma Entrevista de
Loucos. O mais importante foi ter exigido que o filme tivesse
um lançamento em formato digital ao mesmo tempo que
passava nos cinemas. Na altura isto ainda era muito raro, mas
as circunstâncias também o eram. Embora alguns
distribuidores online tenham recuado, a Google apoiou-o e o
mesmo aconteceu com o YouTube. No dia de Natal, depois
de abrirem as prendas, os americanos fizeram download do
filme por todo o país. A intriga era ridícula, mas pelo menos
Kim Jong-un não ganhava. Pelo menos de momento.
O ataque à Sony não foi, de maneira nenhuma, a única
ofensiva altamente agressiva contra alvos americanos
durante o segundo mandato de Obama, e não seria a última.
Nem foi perfeita. Jim Lewis acabou por concluir que os
próprios norte-coreanos tinham as suas fraquezas.
Especificamente, achavam que eram mais discretos do que
realmente eram.
A Coreia do Norte não estava à espera que os Estados
Unidos chegassem tão depressa à conclusão de que era
Pyongyang que estava por trás do ataque, contou-me Lewis.
«O caso da Sony deixou os norte-coreanos chocados por
perceberem que não eram invisíveis no ciberespaço»,
escreveu. No entanto, no interior da Casa Branca e da NSA,
o ataque pôs à vista as fraquezas das defesas norte-
americanas de uma forma ainda mais clara.
A primeira foi a confusão em torno do problema — e isto
tanto na administração como no mundo dos negócios — de
quem era responsável por defender as empresas americanas
deste tipo de ataques.
A questão já fora levantada várias vezes. Quando os
iranianos atacaram as redes do Bank of America e do
JPMorgan Chase, Obama e os seus assessores ficaram
preocupados, mas concluíram que os ataques deste tipo não
eram tão graves que exigissem uma resposta nacional. Os
ciberataques foram encarados como crimes, e não como
terrorismo, e foram encaminhados para o Departamento da
Justiça, que acabou por acusar os hackers iranianos.
No entanto, no início de 2014, quando os iranianos
destruíram equipamento informático no Casino Sands, em
Las Vegas, a administração voltou a não responder —
embora esse ataque tenha sido mais destrutivo e se tenha
tratado de um ato de retaliação política. Os iranianos
atacaram o casino para mostrar ao proprietário, Sheldon
Adelson, que, se queria defender o lançamento de uma arma
nuclear no deserto iraniano, tinha de começar a preparar-se
para ver o seu casino ser posto offline. Também isto foi
tratado como um ato criminoso — que cabia aos tribunais
resolver — e não um ataque aos Estados Unidos.
Em resumo: até ao ciberataque à Sony, Obama achou que
as empresas americanas tinham de se responsabilizar por
defender as suas próprias redes, da mesma maneira que
tinham de fechar as portas dos seus escritórios quando saíam
à noite. De forma geral essa abordagem fazia sentido:
Washington não podia entrar em DEFCON 4 cada vez que
alguém — mesmo que esse alguém fosse um estado —
atingisse um alvo no setor privado. Era evidente que a
administração não podia proteger as empresas de qualquer
ciberataque, da mesma forma que não podia proteger os
cidadãos de qualquer roubo de automóvel ou assalto a
residências.
No entanto, como é óbvio, espera-se que o governo
proteja — ou pelo menos responda — face a ataques com
armas em cidades americanas. E um ciberataque assemelhar-
se-ia mais a um assalto a uma casa ou a um ataque de um
míssil estrangeiro? Ou seria antes qualquer coisa
completamente diferente? E quando se tornaria o perigo
potencial para os Estados Unidos suficientemente grande
para o governo não poder continuar a delegar em empresas
ou cidadãos particulares a sua própria defesa e ripostar?
Ao longo dos oitos anos que passou na Casa Branca —
um período durante o qual os ciberataques passaram de
incómodo a ameaça mortal —, nem Obama nem a burocracia
do Estado chegaram a formular uma resposta satisfatória a
estas questões. Tornou-se evidente que a primeira linha de
defesa tinha de ser as próprias empresas. Fazia sentido que
quando os bancos começavam a ser atacados por hackers que
os deixavam fora de serviço, ou as empresas de serviços
básicos encontravam malware nas suas redes, o Estado não
se envolvesse. No fim de contas, se as empresas achassem
que o governo dos Estados Unidos ia lidar com as
ciberameaças, acabariam por não fazer elas próprias os
investimentos necessários para se protegerem. Além disso,
muitas empresas não queriam que o governo metesse o nariz
nos seus sistemas, nem sequer com o pretexto de as defender.
Mas nesse caso quando devia exatamente o Estado
intervir? Meia dúzia de sites de bancos algumas horas fora de
serviço são uma coisa, mas os ataques que ameaçam deixar
uma cidade sem energia ou congelar os mercados financeiros
são outra. No caso da Sony, a resposta de Obama parecia ser
que os Estados Unidos se envolveriam quando um valor
americano fundamental — neste caso a liberdade de
expressão e reunião — parecesse ameaçado por uma
potência estrangeira. Contudo, nunca justificou publicamente
esta conclusão — nem explicou que outros ataques poderiam
subir o nível de alarme de forma a exigir uma resposta
federal. Como é compreensível, o governo não queria
estabelecer linhas muito claras, por receio de que os
atacantes as sentissem como um desafio. No entanto, os
cidadãos dos Estados Unidos precisavam de saber quem era
responsável por protegê-los, a eles e aos seus dados — da
mesma maneira que precisam de saber que a polícia que os
defende aparece no caso de assaltos a residências, e o
Pentágono os protege contra ataques de mísseis balísticos
intercontinentais.
O que mais se aproximou de uma definição de linhas
claras aconteceu quando Ashton Carter, o secretário da
Defesa de Obama nos últimos anos de mandato, apresentou
uma nova ciberestratégia em Stanford em abril de 2015 —
uma estratégia segundo a qual as forças armadas passariam a
desempenhar um papel mais relevante na proteção das redes
informáticas americanas. «As ciberameaças a interesses
norte-americanos estão a aumentar em gravidade e
sofisticação», disse Carter perante um público de Silicon
Valley claramente dividido em relação à questão do
envolvimento do Pentágono no policiamento das redes dos
Estados Unidos. «Embora o ciberataque norte-coreano à
Sony tenha sido o mais destrutivo em relação a uma entidade
dos Estados Unidos até ao momento, esta ameaça afeta-nos a
todos. (…) A Rússia e a China têm igualmente
cibercapacidades avançadas e estratégias que vão da
penetração invisível em múltiplas redes ao roubo de
propriedade intelectual, e as redes criminosas e terroristas
estão igualmente a aumentar as suas ciberoperações.»
E continuou com uma descrição das Forças de
Cibermissões que estavam a ser formadas no Cibercomando
dos Estados Unidos: 6200 guerreiros americanos, incluindo
equipas defensivas e de combate. E fez um apelo a Silicon
Valley — que encorajasse os seus estudantes mais brilhantes
a fazerem passagens de um ano pelo Pentágono de maneira
que os Estados Unidos pudessem manter-se na vanguarda da
ciberdefesa. (Os executivos de Silicon Valley mostraram-se
cautelosos em relação a esta ideia: o administrador-executivo
de uma das maiores empresas que trabalham com o
Pentágono disse à equipa que rodeia Carter que duvidava que
o seu grupo de programadores mais talentosos obtivesse as
necessárias autorizações de segurança. «Por terem fumado
haxixe na universidade?», perguntaram-lhe. «Não», explicou
o executivo, «por fumarem haxixe no trabalho, enquanto
programam.»)
A nova política do Pentágono descrita por Carter foi
deliberadamente vaga em relação às ocasiões que
justificariam que estes ciberguerreiros entrassem em ação.
Alguns dos assessores de Carter falaram de recorrer às forças
americanas da Defesa na proteção contra os 2 por cento de
ataques mais perigosos — os que ameaçam interesses vitais
dos Estados Unidos. A ideia fazia sentido, embora na
realidade significasse provavelmente que o mais certo era o
Estado intervir para defender o país numa fração muito
menor de ataques, talvez os 0,02 por cento mais graves. E o
que aconteceria no caso dos restantes 99,98 por cento? Seria
razoável que as empresas se defendessem a si mesmas? E
que tipo de defesa seria essa?
Estas medidas reanimaram um debate havia muito em
preparação acerca da razoabilidade de permitir que as
empresas fossem para além da construção de defesas mais
poderosas e atacassem elas próprias os seus atacantes — uma
coisa chamada hacking back. É ilegal nos Estados Unidos, da
mesma maneira que é ilegal entrar na casa de alguém que nos
roubou para recuperar os objetos roubados, mas o facto é que
isso não impediu uma série de empresas de tentarem, muitas
vezes através de subsidiárias ou de proxies (em 2009 os
engenheiros da Google consideraram seriamente a
possibilidade de tentar destruir os servidores de onde os
ataques à empresa haviam sido lançados, na China, antes de
a opinião dos mais sensatos ter prevalecido). Periodicamente
surgem propostas no Congresso para legalizar o hacking
back — muitas vezes com a classificação de «defesa ativa»
—, uma forma de permitir que as vítimas de ciberataques
criem alguma dissuasão. Independentemente de isso vir ou
não a resultar, os contra-ataques de hacking sem dúvida
dariam alguma satisfação às empresas. Mas também podiam
desencadear guerras.
«Seria um desastre completo», disse-me um estratego
militar de alta patente depois de o assunto ter voltado a ser
sugerido, na sequência dos ataques ao JPMorgan e à Sony.
«Imaginemos que uma empresa se introduz num servidor
importante na Rússia ou na Coreia do Norte», continuou a
mesma fonte. «Os russos e os coreanos iam considerar que se
tratava de um ataque de um estado, e por isso seguir-se-ia
uma escalada…» Antes da primeira reunião acerca do
confronto na sala de crise, o conflito alastra, tudo por causa
de um ataque de retaliação acerca do qual o presidente nunca
foi consultado.
A perspetiva — como uma ciberguerra pode transformar-
se numa verdadeira guerra, com troca de tiros — deixa muita
gente aterrada. «Precisamos de um controlo de armas»,
disse-me Brad Smith, o chefe do gabinete de consultoria
jurídica da Microsoft, numa das semanas que se seguiram ao
ataque à Sony.
Mas da mesma forma que os Estados Unidos não
quiseram discutir a limitação das armas nucleares quando
acharam que iam dirigir o mundo nos anos 50, agora não
parecem interessados num acordo que limite as suas próprias
possibilidades de desenvolver um ciberarsenal. Em vez disso
preferem desenvolver novas ferramentas, e reorientar as mais
antigas, para retaliar — dissuasão pela ameaça do uso da
força. A possibilidade de um controlo das armas parece fora
de questão.
*
Mal Obama embarcou no Air Force One para ir de férias
nesse Natal, os blogues e os feeds do Twitter começaram a
dar voz aos menos convencidos. Não estariam perante um
ciberequivalente dos falsos argumentos contra o Iraque em
2003 — quando os Estados Unidos também afirmaram que
as provas contra o regime iraquiano eram demasiado
sensíveis para poderem ser reveladas? Uma vez que os
hackers são particularmente difíceis de detetar, como podia o
presidente estar tão seguro em relação à Coreia do Norte? As
respostas deste tipo revelaram a que ponto a desconfiança em
relação aos serviços de informações dos Estados Unidos está
enraizada, sobretudo na era pós-Snowden.
Obama cometeu um erro básico: acusou um adversário de
atacar os Estados Unidos sem apresentar provas.
A Casa Branca foi apanhada numa posição pouco
confortável. Não tinha imaginado, mesmo na era pós-Iraque,
que pudessem surgir dúvidas sérias em relação a uma
acusação pública do presidente. No entanto, como é evidente,
as dúvidas eram muitas e eram sérias. Meia dúzia de
empresas de cibersegurança surgiram com teorias
alternativas. Algumas disseram que tinham sido os chineses,
outras garantiram que eram os russos, outras que era algum
descontente nos Estados Unidos. Até a Wired, geralmente
cautelosa em relação a assuntos deste tipo, considerou o caso
«frágil».
A verdade é que a administração Obama não tinha feito
um bom trabalho na apresentação das acusações contra a
Coreia do Norte. Não houve nada que se assemelhasse à crise
dos mísseis de Cuba, em que Obama, tal como Kennedy 52
anos antes, tivesse apresentado as suas provas. E o que
poderia ele ter mostrado? Toda a gente reconheceu os mísseis
soviéticos nas fotografias de satélite apresentadas por
Kennedy, mas o código de computadores não permite
imagens muito impressionantes.
«O melhor que se pode dizer é que não há qualquer prova
de que qualquer outro país tenha estado por trás do ataque»,
disse-me Kevin Mandia na altura, depois de ter sido
chamado à Sony para ajudar a resolver o problema.
No início de janeiro a Casa Branca anunciou algumas
sanções económicas menores contra a Coreia do Norte —
sanções cujo efeito Kim provavelmente nunca chegou a
notar, se pensarmos em todas as outras que já haviam sido
impostas. No entanto, mais tarde, os responsáveis que
consideraram tratar-se de uma «resposta proporcional»
reconheceram que na verdade fora ridiculamente fraca, dada
a gravidade do ataque à Sony e o compromisso do presidente
dos Estados Unidos de que as intimidações não seriam
toleradas. Parte do problema, admitiram alguns, era muitos
americanos não acreditarem sequer na acusação contra a
Coreia do Norte, ou não quererem acreditar. E a Casa Branca
ainda não estava na disposição de apresentar publicamente as
provas.
«Se tivesse sido um ataque com mísseis, podíamos ter
provado o que queríamos», disse-me um dos responsáveis da
Casa Branca. «Ninguém teria duvidado. Já um ciberataque é
outra coisa.»
Na verdade, mesmo que tivesse podido apresentar
publicamente as provas, as opções de Obama eram limitadas.
As sanções económicas, a primeira opção de qualquer
presidente que queira mostrar que está a fazer alguma coisa
sem se arriscar a desencadear uma guerra, podem deixar toda
a gente satisfeita no dia em que são anunciadas, mas não
havia qualquer indicação de que 60 anos de sanções tivessem
retardado, e muito menos travado, a acumulação de armas
nucleares pela Coreia do Norte. Porque haveriam as sanções
de ser mais eficazes contra um ciberataque?
Numa série de reuniões na sala de crise em dezembro, em
que os seus assessores procuraram preparar opções para o
presidente, as alternativas mais agressivas foram
consideradas e rejeitadas. A Agência Nacional de Segurança
e o Cibercomando apresentaram uma lista de respostas a que
Obama poderia recorrer para diminuir a capacidade da
Coreia do Norte de se ligar ao mundo exterior — uma das
razões por que tanta gente suspeitou que havia intervenção
americana quando as ligações da Coreia do Norte com a
China foram suprimidas durante algum tempo (na verdade é
verosímil que a iniciativa tenha sido dos próprios chineses).
No entanto, na previsão dos problemas que poderiam surgir
na relação com a Rússia, os assessores de Obama recearam
que um contra-ataque pudesse desencadear uma escalada
imparável. O próprio Clapper argumentou que a única forma
de dissuasão que pode funcionar é uma boa defesa, que
convença os atacantes de que não vão ser bem-sucedidos.
Em resumo, no caso da Sony o governo e o país tiveram
um vislumbre da natureza ambígua e perturbadora dos
ciberconflitos. Não são como a guerra tal como a
conhecemos, nem se assemelham à forma como Hollywood
representa um ataque devastador. O ataque à Sony mostrou
como uma nova geração de armas modificou profundamente
a geografia dos conflitos entre estados. Os novos alvos vão
quase de certeza ser civis, exclusivamente: mesmo um
estúdio de cinema, que dificilmente pode ser considerado
uma infraestrutura crítica, pode ser um bom alvo.
«No fim de contas», disse-me um conselheiro de Obama
num tom resignado, «somos muito mais vulneráveis que
eles.»

4 É quase impossível verificar o que Kim realmente diz, a

não ser que as suas comunicações sejam transmitidas pela
KCNA, a agência noticiosa da Coreia do Norte.
5 E tinha razão. No fim de 2017 — depois de ter acusado
a Coreia do Norte de um ciberataque global chamado
WannaCry —, Thomas Bossert, conselheiro de Segurança
Interna da administração Trump, justificou a falta de
retaliação dos Estados Unidos com a confissão de que não
havia muito com que retaliar. «O presidente Trump usou
praticamente todos os meios de pressão que é possível usar,
excluindo matar o povo da Coreia do Norte de fome, para
modificar o seu comportamento.»
 Capítulo VII
A PLACA DE PETRI DE PUTIN
«No século XXI temos observado uma certa
tendência para as fronteiras entre a guerra e a
paz se tornarem mais fluidas. As guerras já não
são declaradas e, depois de começarem,
obedecem a padrões pouco familiares.»
— Valery Gerasimov, chefe do Estado-Maior
General da Federação Russa, em declarações
acerca da estratégia da Rússia para uma guerra
híbrida, 2013

N osestava
últimos dias de junho de 2017, Dmytro Shymkiv
a cerca de 7500 quilómetros da Ucrânia, a deixar
os filhos num campo de férias perto de Nova Iorque. Eram as
férias de verão anuais da família longe de Kiev, uma capital
que ainda vive desconfortavelmente entre a pressão da velha
cultura soviética e a atração da nova Europa.
No campo de férias os miúdos podiam praticar inglês e
aprender como vivem os adolescentes americanos. No
entanto, para Shymkiv — um empresário de rosto largo e
com cabelo espetado, na altura com 41 anos, que se se
tornara um dos especialistas tecnológicos mais reputados da
Ucrânia muito antes de ter sido persuadido a trabalhar para o
Estado, para ajudar a completar uma revolução — os
cibercombates diários com Moscovo nunca estavam muito
distantes. Nem sequer nas montanhas do estado de Nova
Iorque.
«Tinha saído para correr um pouco», recordou Shymkiv
ainda nesse verão quando falámos no seu gabinete no palácio
presidencial de Kiev, no mesmo corredor que o do
presidente, Petro Poroshenko. «Quando voltei, recuperei o
fôlego, olhei para o telefone e não havia notícias, nada de
especial. Mas nas redes sociais havia indicações de que
surgira um problema. E não era pequeno.»
 Nessa altura os textos começaram a chegar ao seu
telefone. Havia qualquer coisa — os seus colaboradores não
conseguiam dizer exatamente o quê — a deitar abaixo os
sistemas operativos dos computadores na Ucrânia, todos ao
mesmo tempo e aparentemente de forma permanente.
A primeira coisa que pensou foi que os russos tinham
voltado ao ataque.
*
Antes de Shymkiv se ver inesperadamente a desempenhar
o papel de general de quatro estrelas na ciberguerra mais
ativa do mundo, fora um miúdo louco por computadores
numa região remota da União Soviética, a pensar
constantemente em maneiras de fugir para o Ocidente.
Quando chegou à adolescência o império soviético
desapareceu, e com 20 e poucos anos já ele era um dos
principais empresários do país na área tecnológica, antes de
ter começado a dirigir a Microsoft da Ucrânia, na altura com
uma pequena dimensão. Foi aí que descobriu a que ponto um
país com bases tecnológicas anacrónicas — cheio de
computadores obsoletos e software pirata — era vulnerável a
um ciberataque em grande escala. Sabia como era simples
para a Rússia explorar as fraquezas da Ucrânia nas duas
guerras que decorriam em simultâneo no país.
«Há uma guerra clássica na bacia do Don, desde o
problema com a Crimeia», disse-me, referindo-se à região
mais oriental do país, onde as forças militares russas
conduzem uma guerra de guerrilha contra a Ucrânia depois
de Vladimir Putin ter ordenado a anexação do território no
início de 2014. «E depois há uma guerra digital, diária, em
Kiev.» Shymkiv vivia a 800 quilómetros e um mundo de
distância da guerra mais sombria, a dos tiros, mas tinha um
lugar na primeira fila da guerra digital, e foi ela que o
mobilizou para a ação política.
Em fevereiro de 2014 o ucraniano tirou alguns dias de
férias na Microsoft para participar nas manifestações na
Praça Maidan, no Centro de Kiev — o ponto nevrálgigo da
revolução que tirou do poder Viktor Yanukovych, o antigo
presidente e fantoche da Rússia. Shymkiv acampou duas
semanas com os manifestantes, limpou neve e acabou por
também dar lições acerca de tecnologia digital com
temperaturas negativas no que ficou conhecido, só meio a
brincar, como a «Universidade Aberta de Maidan». Enquanto
ali esteve não tornou pública a sua ligação à Microsoft — a
empresa ainda não sabia como tudo aquilo acabaria e não
queria ficar associada ao levantamento. No entanto houve
uma noite em que Shymkiv acabou por tirar a máscara,
quando Poroshenko — o político da oposição que acabaria
por vencer e tornar-se presidente do país — falou com ele.
Os dois homens conversaram, o que deixou chocados alguns
dos companheiros protorrevolucionários de Shymkiv.
Yanukovych, como é evidente, gastou milhões de dólares
para se manter no poder, com a ajuda de Paul Manafort, seu
amigo e principal estratego político. Apesar de tudo, por fim
teve mesmo de fugir e pedir exílio na Rússia. As eleições
para o substituir, em maio de 2014, acabaram por constituir
uma escolha entre uma Ucrânia rendida a Putin e outra que
Shymkiv e uma geração de jovens ucranianos imaginavam
— um país voltado para a Europa. Essas eleições foram um
alvo prioritário de Putin, que procurou derrotar Poroshenko,
ou, se não conseguisse, lançar dúvidas sobre a sua
legitimidade e a integridade do processo democrático
ucraniano.
Passaram 13 meses antes que Donald Trump descesse as
escadarias douradas da Torre Trump para anunciar a sua
candidatura à presidência dos Estados Unidos. Mas, para
quem estava à espera de uma amostra das atrações do
espetáculo que se seguiria, foi tudo.
O ciberexército de Putin deitou mãos à obra. Várias
equipas de hackers tinham-se preparado com o sistema
eleitoral ucraniano e planearam a intrusão. No dia das
eleições estavam a postos. No momento crítico, apagaram
dados do sistema que fazia a contagem dos votos. Mas isso
foi apenas o início. Os hackers conseguiram igualmente
penetrar no sistema que anunciava os resultados e alterar a
contagem recebida pelas redes televisivas. Durante um curto
período, as notícias relativas à contagem dos votos foram-se
sucedendo e a comunicação social ucraniana parecia
convencida de que Dmytro Yarosh, o líder nacionalista e
favorável à aproximação à Rússia, seria o vencedor de que
ninguém estava à espera.
Na verdade tudo não passava de um jogo digital. Os
hackers russos não acharam que as declarações da televisão
pudessem impor-se. Tudo o que queriam era lançar o caos e
alimentar a ideia de que Poroshenko manipulara os
resultados e só assim conseguira vencer. O plano falhou: os
responsáveis ucranianos detetaram o ataque e corrigiram os
resultados ao longo de 40 minutos de tensão antes que as
televisões os anunciassem. Poroshenko ganhara, mas não por
uma maioria esmagadora — tivera apenas 56 por cento dos
votos. As próprias cadeias de televisão russas, aparentemente
sem conhecimento de que o ciberataque fora detetado,
anunciaram os falsos resultados e deram Yarosh como
vencedor.
Poucas semanas depois, Poroshenko contactou Shymkiv,
que conhecia quase apenas do breve encontro na Praça
Maidan. «Na verdade não me deu grande escolha», contou
Shymkiv mais tarde com uma gargalhada. Em breve o miúdo
que aprendera a lidar com computadores a brincar com um
Sinclair nos anos 80 tinha duas tarefas entre mãos: reformar
as instituições corruptas da Ucrânia e proteger o país do
cibermassacre de que ele era diariamente vítima a partir da
Rússia.
Três anos mais tarde, nos bosques do estado de Nova
Iorque, perto do campo de férias dos filhos, Shymkiv não
tirava os olhos do telefone onde os textos dos colegas
ucranianos não paravam de chegar. Segundo lhe contavam,
por volta das 11.30 da manhã os computadores de todo o país
deixaram de funcionar e as caixas de multibanco também
tinham começado a falhar. Mas mais tarde as notícias
agravaram-se. Segundo alguns relatórios, os computadores
que monitorizavam automaticamente a antiga central nuclear
de Chernobyl tinham deixado de funcionar porque os
computadores haviam sido desligados da rede. Algumas
emissoras ucranianas deixaram de emitir por algum tempo e
quando voltaram ao ar continuavam a não poder transmitir
notícias porque os seus sistemas informáticos tinham ficado
a comunicar permanentemente o que parecia um pedido de
resgate.
A Ucrânia já sofrera ciberataques, mas nenhum como
aquele. A ofensiva parecia dirigida a praticamente todas as
empresas do país, grandes e pequenas — de estações de
televisão a software houses, passando por pequenas lojas de
esquina que aceitassem cartões de crédito. Por todo o país, os
utilizadores de computadores viam a mesma mensagem em
mau inglês invadir os seus ecrãs. Anunciava que os seus
computadores tinham sido encriptados: «Oops, os seus
importantes ficheiros foram encriptados (…) Talvez esteja
ocupado a tentar recuperar os seus ficheiros, mas não perca o
seu tempo.» Depois fazia o anúncio duvidoso de que o
pagamento de 300 dólares em bitcoins, a criptodivisa a que
era quase impossível seguir o rasto, lhes daria de novo acesso
aos seus dados.
O ataque fora planeado para parecer vindo de dentro, mas
não era. Não era dinheiro que os hackers queriam, e na
verdade não conseguiram muito.
Era «NotPetya» — o nome dado pela Kaspersky Lab, que
de resto os serviços de informações dos Estados Unidos
desconfiam ter proporcionado as portas das traseiras por
onde o governo russo entrou, através dos seus lucrativos
produtos de cibersegurança (o ataque recebeu este estranho
nome porque os peritos em ciberameaças, ao tentarem
perceber a dinâmica interna do ataque, encontraram
elementos semelhantes ao Petya, malware encontrado num
ataque no ano anterior). Não pareceu coincidência que o
código malicioso tenha detonado pouco antes do feriado que
assinala a adoção, em 1996, da primeira Constituição da
Ucrânia depois de ter saído da União Soviética. Mas como
conseguiram os hackers paralisar tantos sistemas ao mesmo
tempo — mais de 30 por cento dos computadores do país, de
muitos tipos diferentes?
Acontece que o próprio atraso tecnológico da Ucrânia —
uma herança arcaica do seu passado — se tornou uma arma
nas mãos dos atacantes. Em estilo tipicamente pós-soviético,
a Ucrânia exigia a todas as empresas que usassem o mesmo
software de contabilidade, o M. E. Doc. Era pesado, era
antiquado, mas infelizmente era exigido pelo Ministério das
Finanças. Corromper este software com malware era
ridiculamente fácil. Havia anos que não se investia na sua
atualização. Na realidade recorria a uma plataforma tão
antiquada que já nem sequer era suportada pelo fabricante
desde 2013. Não havia atualizações do software e não havia
atualizações de segurança.
Quando Shymkiv se pôs a caminho do aeroporto, os seus
colaboradores já tinham descoberto que o ataque não era um
episódio de um só dia. «Afinal atacar todas aquelas empresas
ao mesmo tempo era apenas a fase final de uma operação
muito mais vasta», disse-me mais tarde. Ao longo de vários
meses, como foi demonstrado pelas análises posteriores, os
hackers russos tinham andado a recolher informações das
principais empresas ucranianas, a fazer download dos seus
emails e a recolher tudo o que tinha alguma utilidade, de
passwords a material que pudesse ser usado para fazer
chantagem.
«Depois, já no fim, quando tinham tudo o que queriam,
puseram as bombas», explicou Shymkiv. «Foi como nos
velhos tempos da União Soviética: primeiro rouba-se tudo o
que há na aldeia, depois deita-se-lhe fogo.»
*
É tentador pensar na ciberguerra como em qualquer coisa
que ocorre separadamente, sem ligação com outros conflitos,
que o que acontece na cloud não tem verdadeiramente
ligação com o que acontece no terreno. Quando os países
começaram a formar as suas forças aéreas, pensaram de
maneira semelhante: os duelos de pilotos no ar eram uma
frente e a guerra de trincheiras era outra frente. Só durante a
segunda guerra mundial a ideia de espaço único de combate
— terra, mar e ar — ganhou forma. Em certos recantos do
mundo, o mesmo ainda acontecia no ciberespaço. Era apenas
mais difícil de identificar.
No combate pelo território e pela alma da Ucrânia, a
guerra convencional e a ciberguerra fizeram mais do que
complementar-se. Tornaram-se a fita de Möbius do conflito
do século XXI, uma faixa contínua com superfícies que são
um prolongamento uma da outra. Putin mostrou ao mundo
como esta estratégia, aquilo a que o Pentágono chama
«guerra híbrida», pode ser eficaz.
A estratégia não era sequer um segredo de estado. Na
realidade, Valery Gerasimov, o chefe do Estado-Maior
General das forças armadas da Federação Russa, descreveu-a
num artigo de 2013 muito citado publicado numa revista
russa sobre questões militares (com o nome formidável de
Correio Militar-Industrial), em que articula aquilo que hoje é
conhecido em toda a parte como a doutrina Gerasimov.
O militar descreve o que qualquer historiador militar da
Rússia conhece: um campo de batalha em que se mesclam
ataques convencionais, terror, coerção económica,
propaganda e, mais recentemente, o ciberconflito. Cada um
destes aspetos da guerra reforça todos os outros. Esta
abordagem mista há muito que ajuda a Rússia a projetar o
seu poder por todo o planeta, mesmo nas ocasiões em que
está em desvantagem militar e económica. Estaline era um
mestre da guerra de informação, internamente e no
estrangeiro, e recorreu a ela para aumentar as suas
possibilidades de vitória na guerra convencional. Se isso
confundisse e dividisse os seus inimigos internos, tanto
melhor.
A diferença hoje está no poder amplificador das redes
sociais. Estaline teria adorado o Twitter. Apesar de muito
hábil em matéria de propaganda, a sua capacidade de
transmissão era primitiva. «O que é novo não é o modelo
básico, é a rapidez com que a desinformação pode espalhar-
se e o baixo custo de a espalhar», nas palavras com que o
politólogo americano Joseph Nye, o homem que cunhou a
expressão soft power, descreveu a forma como a Rússia usa o
sharp power. Se o soft power é a capacidade de seduzir
outras sociedades com os aspetos atrativos de uma cultura
nacional, da sua economia e vida cívica, o sharp power é a
capacidade de usar o escalpelo, cirurgicamente e sem que
ninguém se aperceba disso. Como afirma Nye, «os eletrões
são mais baratos, mais rápidos, mais seguros e mais fáceis de
negar que os espiões».
A doutrina Gerasimov foi muito criticada. A maior parte
dos que se lhe opuseram acharam que se estava a dar
demasiada importância a um artigo isolado numa revista
semanal. Diziam que Gerasimov estava apenas a observar
um elemento da estratégia militar muito anterior a Putin e
que nem sequer era específico da Rússia.
É possível, mas as suas observações tornaram-se mais
relevantes porque a ciberguerra alterou de forma irreversível
o jogo híbrido da guerra, e a Rússia soube incorporá-la de
forma mais brilhante que a maior parte das outras potências.
Quando Gerasimov publicou o seu artigo, em 2013, os
militares americanos ainda consideravam a ciberguerra
sobretudo da perspetiva dos seus efeitos físicos em centrais
energéticas ou noutras infraestruturas, como no caso da
Operação Jogos Olímpicos. Para eles, ciberguerra era uma
coisa e informação era outra. Para os russos, em conjunto
formavam um espectro de continuidade. Num dos extremos
era propaganda pura. Depois vieram as fake news, a
manipulação de resultados eleitorais e a publicação de emails
roubados. Os ataques físicos a infraestruturas estavam apenas
no outro extremo.
Foi na Ucrânia que todas estas técnicas foram usadas em
conjunto pela primeira vez, a partir do início de 2014. Para o
Leste do país, Putin enviou os homenzinhos verdes — o seu
exército não oficial, conhecido por este nome por causa dos
seus uniformes verdes sem insígnias —, para estimular um
nível reduzido de insurreição permanente, que recorre a
assassinatos e bombas para obrigar o governo da Ucrânia a
manter-se sempre em sentido. Estes guerrilheiros sem
uniforme têm nas ruas o mesmo papel que os hackers
desempenham para Putin na Internet: são fáceis de desmentir.
Ainda acostumada a uma época em que as batalhas eram
para os soldados, a comunidade internacional hesitou em
tomar posição, por não poder garantir o mesmo grau de
certeza que as insígnias militares em tempos permitiram.
Tanto os seus homenzinhos verdes como os seus hackers
estão tão rodeados de ambiguidade que Putin conseguiu
evitar as consequências dos seus ataques — embora nunca
tenha havido grandes dúvidas de que era ele que estava na
sua origem.
Mas o líder russo também foi rápido a perceber, muito
antes de o Ocidente ter chegado lá, que as divisões políticas
na Ucrânia podiam ser facilmente exploradas. A divisão
entre as regiões do país onde o russo era a língua mais falada
e as restantes eram particularmente vulneráveis aos seus
ciberesquemas, concebidos para esvaziar um estado,
degradando aos poucos as suas instituições, e minar a
confiança em tudo, das comissões eleitorais aos tribunais e
aos governos locais. Não é de surpreender que todas as
técnicas com que os americanos em breve começaram a
preocupar-se tenham começado na Ucrânia: manipulação de
resultados eleitorais, perfis online fictícios que reforçam as
divisões sociais e desencadeiam receios étnicos, e aquilo a
que começou a chamar-se fake news antes de a expressão ter
recebido um novo significado com o uso que lhe deu um
presidente americano mais recente.
Os objetivos de Putin na Ucrânia eram psicológicos além
de físicos. Queria dizer aos ucranianos que o seu país apenas
existe porque a Rússia consente que ele exista. A mensagem
de Putin aos ucranianos era simples: «Vocês pertencem-nos.»
Não é de surpreender que o líder russo tenha escolhido o
antigo celeiro da União Soviética para esta experiência. A
Ucrânia nunca reuniu as condições para vir a fazer parte da
NATO. Mesmo que conseguisse qualificar-se, não é evidente
que a NATO estivesse na disposição de correr o risco de a
aceitar. Putin podia atacar o país sem receio de que a aliança
ocidental fizesse mais do que anunciar uma condenação
internacional ou algumas sanções económicas. E em 1994,
quando a Ucrânia renunciou voluntariamente às armas
nucleares ali estacionadas desde a época soviética —
destruindo-as em troca de um compromisso vago de que
todos os países «renunciariam a usar a força contra a
integridade territorial ou a independência política da
Ucrânia» —, isso também tirou qualquer crédito à
possibilidade de o país retaliar.
Esse compromisso em relação à independência da Ucrânia
— ou aquilo a que o Ocidente cautelosamente chamou
«garantia», porque na realidade não se haviam
comprometido com nada — revelou-se vazio de significado
quando Putin ocupou a Crimeia em março de 2014. O
território, argumentou o líder russo, fizera parte da Rússia
entre 1783 e 1954, a altura em que Kruchov o entregara aos
ucranianos. Era uma história um tanto vaga, e Putin calculou
acertadamente que nenhum presidente americano ou líder
europeu arriscaria a perda de vidas humanas para defender
um recanto de um país distante onde a língua principal era o
russo, sobretudo de um país que não fazia parte da NATO.
Sempre de acordo com a doutrina Gerasimov, a ocupação
militar de parte do território da Ucrânia incluiu táticas
políticas, já que Putin procurou reforçar a legitimidade das
suas ações através de um referendo democrático ao estatuto
do território em março de 2014. Os relatos que apareceram
na comunicação social sugerem que a decisão do parlamento
de fazer um referendo foi conseguida através de fraude. Uma
das indicações de práticas eleitorais duvidosas, publicou
mais tarde a Forbes, é que o número de votos em Sebastopol
foi de 123 por cento dos eleitores recenseados.
Houve muita desorganização, desmentidos não
confirmados e falta de interesse na região, o que facilitou em
grande medida a posição de Putin. Na altura estava a fazer o
mesmo na Síria, a preparar o terreno para o que veio a
transformar-se numa intervenção militar em grande escala
em 2015. Mas os Estados Unidos mantiveram-se
estranhamente passivos em ambos os casos. Obama pareceu
fatalista em relação à Ucrânia quando disse a Jeffrey
Goldberg, da The Atlantic, que «o facto é que a Ucrânia, que
não pertence à NATO, vai ficar vulnerável ao domínio militar
da Rússia, façamos nós o que fizermos». Em relação à Síria
mostrou-se igualmente cauteloso. Quando o Pentágono e a
Agência Nacional de Segurança o confrontaram com um
plano de batalha que incluía um ciberataque sofisticado às
forças armadas sírias e à estrutura de comando do presidente
Bashar al-Assad, Obama respondeu que não lhe parecia
estrategicamente interessante ripostar na Síria.
Em ambos os casos, os Estados Unidos e os seus aliados
recorreram ao instrumento habitual quando a ação militar
parece demasiado onerosa e não fazer nada parece sinal de
fraqueza: as sanções económicas. Perante a doutrina
Gerasimov e a guerra assimétrica conduzida por Putin, o
melhor que os Estados Unidos podiam fazer era dificultar a
exportação de gás natural e petróleo russo ou a atração de
novos investidores para reanimarem a economia apática da
Federação Russa. Quando os preços do petróleo caíram no
final de 2014, as sanções começaram a produzir efeito —
afastaram os investidores estrangeiros e enfraqueceram o
apoio a Putin com a redução do crescimento económico. E
um dos investidores potenciais era Donald Trump, que ainda
estava a tentar construir um hotel em Moscovo.
Durante o primeiro ano das sanções, um diplomata
europeu que tinha contactos frequentes com a Rússia conta
que «os russos estavam a dizer aos oligarcas que esperassem
só mais um pouco, que as sanções estavam a sair demasiado
caras à Europa e iam acabar por ser levantadas». Mas a
verdade é que se mantiveram e nos Estados Unidos
receberam um apoio esmagador dos dois grandes partidos.
Esmagador, mas não unânime. Pelo menos Donald Trump
não as apoiou. Um dos aspetos mais curiosos de uma das
entrevistas que fiz a Trump, com Maggie Haberman, durante
a primeira campanha eleitoral daquele — muito antes de
terem surgido as primeiras acusações de que Trump estava na
realidade ao serviço de Putin —, surgiu quando o candidato,
pouco a par de questões ligadas aos negócios estrangeiros,
nos disse que tinha dúvidas de que as sanções fizessem
sentido. Disse-o à sua maneira típica, assegurando-nos que a
Ucrânia era uma das suas preocupações e depois perguntando
porque haviam os americanos de pagar o custo de afastar
Putin do país:
*
Isto não quer dizer, ou seja, eu sou muito a favor da
Ucrânia, tenho amigos que vivem na Ucrânia, e quando o
problema ucraniano surgiu, quer dizer, não foi assim há
tanto tempo, e nós e a Rússia estávamos a entrar
seriamente em confronto, não me pareceu que alguém
ligasse ao assunto a não ser nós. No entanto, nós somos os
menos afetados pelo que acontece na Ucrânia porque
somos os que estamos mais afastados. Mas mesmo os
vizinhos deles não parecem falar muito no assunto.
E, sei lá, se pensarmos na Alemanha, e olharmos para
outros países, eles não parecem muito envolvidos. A
questão era só entre nós e a Rússia. E eu pus-me a pensar
porque haviam os países que têm fronteira com a Ucrânia
ou estão perto da Ucrânia — porque é que eles não estão
mais envolvidos? Porque é que são sempre os Estados
Unidos que se metem no meio de tudo, a propósito de uma
coisa que, está a ver, afeta-nos, mas não tanto como a
outros países?
*
Depois acrescentou: «Nós estamos a lutar pela Ucrânia,
mas mais ninguém está a lutar pela Ucrânia.»
«Não me parece justo», disse-nos Trump, sem nunca se
deter no que Putin estava a fazer ao povo ucraniano ou às
agressões à soberania do país. «Não me parece lógico.»
 Foi esta a parte da entrevista, soubemos mais tarde, que os
russos noticiaram.
*
Antes de os Estados Unidos começarem a preocupar-se
com a intervenção dos russos nas eleições americanas, os
seus receios eram muito mais básicos: a possibilidade de um
ciber-Pearl Harbor. Foi esta a expressão que Leon Panetta, na
altura secretário da Defesa de Obama, usara em 2012 num
discurso a bordo de um porta-aviões do tempo da segunda
guerra mundial ancorado no porto de Nova Iorque. Um
ataque desse tipo, disse a um público só de convidados,
poderia «paralisar e chocar o país e criar um sentimento novo
e profundo de vulnerabilidade».
Não foi, de maneira nenhuma, o único a recorrer à nova
expressão; já tinha sido utilizada, pelo seu poder retórico,
mais de duas décadas atrás. Mas Panetta, um político
californiano hábil, percebeu o valor da ideia. O Congresso,
disse-me uma vez, «tem dificuldade em financiar as defesas
contra uma ameaça que não é visível». Assim, embora isso o
forçasse a distorcer um pouco a realidade, teve de fazer uma
analogia entre um ciberataque em grande escala e o ataque
de surpresa aos Estados Unidos mais devastador do século
XX. «Não conseguíamos que o Congresso se concentrasse na
questão», disse-me mais tarde, «mas alguém tinha de fazer
soar o alarme, e a melhor maneira de o fazer era considerar o
perigo que um ciberataque podia representar para o país.»
No entanto, Panetta percebia melhor que ninguém por que
razão a analogia era imperfeita. Os ciberataques mais
devastadores, sabia-o por experiência, eram os mais subtis.
Enquanto diretor da CIA, o lugar que ocupara antes de ter
passado para o Pentágono, foi um dos responsáveis máximos
da Operação Jogos Olímpicos — e percebera perfeitamente
que o resultado do ataque teve tanto a ver com os seus efeitos
psicológicos corrosivos como com os efeitos destrutivos
reais.
 Panetta comunicara a Obama, em 2009 e no início de
2010, que os iranianos estavam a desmantelar alguns
elementos do seu centro de enriquecimento de urânio, por
não conseguirem compreender o que se passava, mas
também por receio de poderem surgir mais calamidades. De
facto, mesmo depois de Panetta ter dado a Obama a notícia
de que o Stuxnet se estava a replicar por todo o planeta,
concordaram manter os ataques secretos por mais algum
tempo. Obama e Panetta apostaram na possibilidade de os
iranianos ainda não se terem apercebido do que estava a
acontecer, o que significava que ainda poderia vir a ser útil.
Depois do discurso de 2012, a verdadeira preocupação de
Panetta foi menos com um ataque que representasse um
drama semelhante a Pearl Harbor que com um que
envolvesse a subtileza da Operação Jogos Olímpicos. Os
seus colaboradores passaram horas sem fim a mapear o
possível significado de um ataque aos sistemas de controlo
industriais americanos — por exemplo, paralisar
silenciosamente a capacidade dos Estados Unidos de se
defenderem ou causar danos semelhantes aos que os Estados
Unidos e Israel tinham causado na central nuclear de Natanz.
Se a rede de distribuição elétrica começasse a ter falhas,
pensou Panetta, ou se perdesse a capacidade de comunicar
com os submarinos americanos, podia não se perceber
imediatamente que se tratava de um ciberataque. Podia
parecer simplesmente que alguém tinha feito asneira. De
resto, foi exatamente desta forma que se processaram os
ciberataques na Ucrânia, onde as asneiras são uma
explicação comum para tudo o que corre mal.
*
Como é evidente, Andy Ozment não precisou de um aviso
nos dias que antecederam o Natal de 2015. Quando entrou na
gigantesca sala de crise do Departamento de Segurança
Interna — o Centro de Integração de Cibersegurança
Nacional e Comunicações — tornou-se claro que alguma
coisa estava a correr mal na Ucrânia. Os ecrãs do centro em
geral monitorizam o que está a passar-se nos Estados Unidos,
mas também têm ligações à Agência Nacional de Segurança
e às Equipas de Prontidão para Emergências com
Computadores, a organização que mantém as redes dos
Estados Unidos a funcionar em todo o mundo. E nesses
canais toda a gente falava da falha de energia na Ucrânia,
porque no mundo digital o que acontece em Kiev raramente
se mantém em Kiev.
Ao longo de mais de um ano foi sugerido em várias
reuniões secretas do governo que os russos já estavam a
implantar software semelhante nos Estados Unidos. Com um
pormenor arrepiante, revelaram a facilidade com que uma
potência estrangeira estava em posição de apagar as luzes no
país. Ozment sabia que os russos, entre outros, estavam a
encher as centrais americanas, os sistemas industriais e as
redes de comunicações com implantes que mais tarde
poderiam ser usados para alterar dados ou simplesmente
fechar esses sistemas. Desde 2014 que as agências de
comunicações andavam a avisar que a Rússia já estava
provavelmente dentro das redes elétricas americanas. O
malware assume muitas formas diferentes e por vezes é
designado Energia Negra.
Esta possibilidade assustou seriamente os responsáveis
americanos pela Defesa — embora estes estivessem
determinados a não o mostrar. Na sua forma mais benigna, os
implantes são úteis em tarefas de vigilância — enviam para a
origem informações acerca do que está a acontecer na rede.
Mas o que torna as ciberameaças diferentes é que os mesmos
implantes usados em vigilância podem ser transformados em
armas. Basta usá-los para injetar código novo. Assim, num
dia podem estar a enviar planos da rede elétrica e no dia
seguinte podem ser usados para a destruir. Ou para apagar
dados. Ou para permitir que alguém num local remoto se
apodere do equipamento — e o atire por uma ribanceira
abaixo, por assim dizer.
O problema, da perspetiva de Ozment, era ninguém saber
se os russos tencionavam que o ataque provocasse apenas um
incómodo, constituísse um verdadeiro ataque, um aviso ou
um ensaio de qualquer coisa maior. Talvez estivessem apenas
a querer perceber a facilidade — ou dificuldade — de
penetrar nas redes elétricas dos Estados Unidos, cada uma
das quais é configurada de uma maneira particular.
Imaginemos um ladrão de bancos com ambições globais
perante a questão de como entrar nos cofres de uma série de
bancos em Nova Iorque, Londres e Hong Kong. Nenhum
seria exatamente igual a outro. Tudo teria de ser feito para
cada caso separadamente: desativar os alarmes, entrar e
impossibilitar que alguém de fora percebesse o que estava a
acontecer. Um plano de fuga eficaz, sem impressões digitais
nem ADN, também seria uma boa ajuda.
Como é natural, quando o Pentágono, o FBI e os
executivos das empresas de eletricidade começaram a
considerar o malware nas centrais elétricas americanas —
especialmente o Energia Negra, que se espalhou a partir de
2014 —, pensaram imediatamente nas possibilidades mais
extremas: os russos estavam a preparar-se para parar tudo o
que faz a América mexer. No entanto, como Michael
Hayden, antigo diretor da Agência Nacional de Segurança e
da CIA, muitas vezes disse, «Uma coisa é penetrar num
sistema e outra é destruí-lo». E tinha razão. Os russos — e
outros — estão à espreita dentro das empresas de serviços
básicos, dos mercados financeiros e das redes de telemóveis
há anos. No entanto, até hoje nunca carregaram no
interruptor.
Nas suas próprias operações, os Estados Unidos também
têm sido cautelosos. Qualquer ataque que tenha realmente o
objetivo de destruir um sistema estrangeiro exige muitos
níveis de aprovação, incluindo do presidente. Havia regras
mais ou menos aceites acerca de entrar simplesmente num
sistema e dar uma vista de olhos — espionagem, em vez de
«preparação do ambiente» para um ataque. No entanto, como
observou Martin Libicki, um especialista da Academia Naval
dos Estados Unidos, para o país ou a empresa que hospeda
estes intrusos a distinção pode ter pouco significado: «De
uma perspetiva psicológica, a diferença entre penetração e
manipulação pode não ser muito relevante.»
Talvez tenha sido por esse motivo que a administração
Obama decidiu, quase por reflexo, que as primeiras intrusões
nas redes de serviços básicos norte-americanas seriam
mantidas em segredo. Os membros mais seniores do
Congresso, alguns membros do governo e os administradores
das empresas em questão foram levados para salas isoladas,
sem comunicação de qualquer tipo com o exterior, e foram
informados acerca da penetração. Não foi permitido que se
tirassem apontamentos. «Foi ridículo», queixou-se um desses
representantes das empresas pouco tempo depois. De acordo
com as instruções que lhes haviam sido dadas, os executivos
das empresas não podiam sequer partilhar a informação com
as pessoas que administravam as redes. Pondo as coisas de
outra forma, as únicas pessoas que podiam fazer alguma
coisa em relação ao problema — ou pelo menos preparar
sistemas de reserva — estavam proibidas de saber o que se
passava.
As agências de informações garantiram que o seu receio
era que a descoberta fosse tornada pública e isso desse aos
russos uma ideia da qualidade dos sistemas de deteção nos
Estados Unidos, e talvez também do nível de penetração da
NSA nos sistemas russos. Não há dúvida que isso
representava um risco. Mas passará pela cabeça de alguém
que os Estados Unidos mantivessem secreta uma informação
desse tipo acerca de um ataque iminente que podia demolir
uma ponte ou fazer explodir uma central elétrica
subterrânea? Dificilmente — sem dúvida quereriam toda a
gente em alerta. As ciber-regras eram diferentes das outras.
Para os russos não houve consequências na Ucrânia nem
nos Estados Unidos por terem penetrado na rede de serviços
básicos. A situação repetir-se-ia vezes sem conta: a NSA não
queria expor as intrusões no sistema americano, por receio de
revelar «fontes e métodos». A Casa Branca não queria
divulgar o que sabia por receio de, como afirmou um dos
conselheiros mais responsáveis de Obama, «alguém poder
perguntar o que tencionavam os Estados Unidos fazer em
relação a isso». A intrusão russa acabou por ser exposta por
empresas privadas de cibersegurança que detetaram o mesmo
malware que o governo. E os responsáveis do governo
podiam assobiar para o lado, discutindo o assunto apenas em
conversas privadas e raramente com autorização para serem
divulgadas (a única exceção pareciam ser os ataques da
Coreia do Norte).
Ozment já conhecia bem esta história recente quando
observava o que se passava na Ucrânia. E isso levantava
várias questões urgentes. Seria a Ucrânia um teste para
alguma coisa que a Rússia estivesse a planear para os
Estados Unidos? Ou seria apenas parte da guerra silenciosa
que se desenrolava havia dois anos num país distante?
Ninguém sabia realmente.
*
O ataque à Ucrânia na altura de Natal apagou as luzes de
225 mil utilizadores durante algumas horas. Mas Ozment
suspeitava que desativar a rede, mesmo por pouco tempo, era
tudo o que os russos tencionavam fazer. No fim de contas o
objetivo do ataque era enviar uma mensagem e semear o
medo. Nunca foi claro, pelo menos a partir dos documentos
que entretanto foram tornados públicos, se o próprio Putin
teve conhecimento antecipado do ataque à rede energética da
Ucrânia ou se foi ele próprio que o ordenou. Mas quer Putin
tenha sabido quer não, o ataque mostrou no ciberuniverso o
que os russos já haviam mostrado no mundo físico ao
retomar a Crimeia: conseguiam alcançar muitos objetivos
desde que usassem táticas subtis, que não pudessem ser
consideradas de guerra aberta.
Ozment sabia que os Estados Unidos tinham de perceber
como os russos haviam montado a sua ofensiva. Afinal
tratava-se do primeiro ataque a redes elétricas publicamente
conhecido que chegara de facto ao ponto de apagar as luzes.
Com a ajuda do Departamento da Energia e da Casa Branca,
reuniu um grupo de peritos — alguns dos primeiros a reagir e
outros das maiores redes de distribuição elétrica — e em
conjunto negociaram com a Ucrânia o seu envio para Kiev. A
instrução que estes homens levavam era simples: tentar
descobrir o que acontecera e se os Estados Unidos seriam
vulneráveis a um ataque do mesmo tipo.
A equipa regressou com uma resposta ambígua. Embora
os ucranianos não tivessem defesas tão sofisticadas como
muitas das empresas americanas do mesmo tipo, havia uma
particularidade dos sistemas ucranianos que acabou por
salvá-los de um desastre de escala ainda maior. Ao que
parecia, a rede elétrica era tão antiga — ainda fora construída
no tempo da União Soviética — e antiquada que não
dependia inteiramente de computadores.
«Continuavam a ter aqueles grandes interruptores
metálicos das centrais elétricas anteriores ao tempo dos
computadores», explicou Ozment, como se admirasse a
simplicidade do motor do primeiro Ford Modelo A. Os
investigadores contaram que os engenheiros ucranianos se
meteram nos seus camiões e andaram de central em central à
procura de interruptores que permitissem contornar os
computadores e voltaram a ligar a eletricidade.
Pode dizer-se que foi uma vitória de um sistema antiquado
e a cair aos bocados, sobretudo porque os ucranianos
demoraram vários meses a recuperar o controlo sobre a sua
rede informática. Mas a resiliência ucraniana não
tranquilizou particularmente os americanos, que leram os
relatórios e se puseram a refletir nas suas próprias
vulnerabilidades. Já não havia muitos sistemas americanos
com os mesmos velhos interruptores — haviam sido
eliminados muitos anos antes. Mesmo que as empresas de
distribuição ainda os tivessem, os engenheiros que sabiam
como eles funcionavam há muito que se haviam reformado.
Seria, explicou-me um executivo de uma dessas empresas,
muito difícil encontrar quem quer que pudesse resolver o
problema dessa forma.
Mas havia outras lições a aprender com os relatórios. Os
investigadores de Ozment tinham descoberto um rasto de
provas que indicavam um trabalho muito profissional e
cuidadosamente planeado. Antes de atacarem, os hackers,
segundo Ozment, haviam estado no interior da rede elétrica
da Ucrânia mais de seis meses. Tinham roubado passwords,
conseguido privilégios de administrador e aprendido tudo o
que era necessário para se apoderarem do sistema e
desativarem os controlos dos operadores da rede.
Além disso tinham deixado aqui e ali malware à espera de
explodir, como minas no interior da rede. Tal como no ataque
à Sony, foi usado um programa que apagava discos rígidos
— transformando os computadores das grandes redes em
pilhas de metal, plástico, e ratos. Para rematar, uma espécie
de centro de apoio ao cliente para onde se podia ligar a
comunicar falhas de eletricidade foi inundado de chamadas
automáticas, para reforçar a frustração e a irritação dos
utilizadores.
Nas palavras secas de um relatório posterior ao
acontecimento, «as falhas de corrente foram causadas pelo
uso de sistemas de controlo e do seu software através de
interação direta pelo adversário». Trocando a explicação por
miúdos, os sistemas de computadores tinham não só sido
atacados, mas também controlados a partir de fora,
provavelmente do lado de lá das fronteiras da Ucrânia. Era
uma metáfora do que a Rússia queria fazer com todo o país.
Lidos com atenção, os relatórios sublinham que os russos
parecem ter aprendido muito com os Estados Unidos e Israel
na preparação do ataque com o Stuxnet ao programa nuclear
iraniano. Todos os passos parecem familiares — a paciência,
o cuidado com que os sistemas foram mapeados e os estragos
pensados para a recuperação ser difícil. Um dia pressionei
um antigo responsável que estivera envolvido no caso.
«Seguiram a receita americana», concordou ele. «E
perceberam de que maneira podiam usá-la contra nós.» Não
fora a primeira vez, disse ele, nem seria a última.
Não houve nada particularmente sofisticado no ataque à
Ucrânia, pelo menos de um ponto de vista técnico, observou
Ozment, «mas é perigoso confundir sofisticação com
eficácia». Era essa a mensagem que corria em Washington,
onde, como notaram as empresas privadas, algum do
malware encontrado na rede de distribuição elétrica da
Ucrânia era o mesmo código do Energia Negra que também
se encontrava na rede americana. Não fora o Energia Negra
que apagara as luzes na Ucrânia, mas ajudara sem dúvida a
preparar a operação.
Ozment parou por um momento. «Quando consideramos
realmente o que aconteceu», conclui, «foi francamente
assustador.»
*
Mas os russos ainda não estavam satisfeitos com o que
tinham conseguido na Ucrânia. Havia outros ataques em
preparação. A Rússia atacou repetidamente a Ucrânia em
2016 — um ano em que, segundo o presidente Poroshenko, o
governo ucraniano foi objeto de 6500 ciberataques em
apenas dois meses, embora se tenha tratado mais de um
assédio incómodo que de ataques sérios. A mensagem era
clara: os ciberataques faziam parte de um conflito contínuo,
de baixo nível, com a finalidade de manter o governo
Poroshenko em tensão. Era evidente que se tratava de um
teste. Os russos queriam perceber se havia limites. E não
descobriram nenhum.
O que aconteceu na Ucrânia confirmou o corolário da
doutrina Gerasimov: desde que uma paralisação provocada
por ciberataques fosse difícil de identificar, e deixasse pouco
sangue na sua peugada, era difícil para qualquer país
mobilizar uma resposta firme. O ataque seria objeto de um
grande número de notícias, mas não seria provável que
mobilizasse a ação das vítimas, sobretudo se durante algumas
semanas não se tornasse claro quem eram os responsáveis.
Entretanto o governo sob ataque ficaria associado a uma
imagem de impotência e incapacidade de resposta.
A jogada de Putin estava claramente a dar resultado.
Mostrara de forma clara que havia formas de levar o conflito
à capital da Ucrânia e de minar o governo do presidente
Poroshenko sem ter de enviar um único tanque para a cidade.
No palco internacional, estes ciberataques foram uma
demonstração das novas armas de Putin — que os outros
países não conseguiam destruir e a que não conseguiam
responder quando a dissuasão falhava.
Incapaz de ripostar contra a Rússia, a Ucrânia mantém-se
envolvida num estranho conflito que ocorre inteiramente
abaixo da capacidade de deteção dos radares, com a
finalidade de impedir o país de se aproximar demasiado da
Europa. Para Putin, o país continua a ter o mesmo papel que
teve ao longo de séculos, de tampão entre a Rússia e o
Ocidente. Os ciberataques diários têm a finalidade de o
manter numa instabilidade permanente — um massacre a que
todos acabaram por se habituar, tão permanente como a
imagem da Catedral de Santa Sofia no meio de Kiev.
Foi por isso que os ucranianos se limitaram a encolher os
ombros quando os russos voltaram a atacar a rede elétrica,
em dezembro de 2016. O ataque foi mais breve, mas atingiu
a capital. E mostrou que os russos estavam a aprender. Em
2015 atacaram o sistema de distribuição; quando voltaram
atacaram um dos principais meios de transmissão em Kiev. E
quando uma empresa chamada Dragos estudou o código
descobriu um novo tipo de malware, chamado Crash
Override, especificamente concebido para o equipamento da
rede. Em parte baseava-se em técnicas de inteligência
artificial, que permitiram, como escreveu Andy Greenberg,
da Wired, «ser lançado num momento previamente
determinado e abrir circuitos em resposta a estímulos sem
exigir sequer uma ligação à Internet e sem intervenção dos
hackers». Era o equivalente de um míssil autoguiado.
Com pequenas adaptações, poderia funcionar em qualquer
outro lugar.
Shymkiv menosprezou a sua importância quando falou
comigo no seu gabinete, sete meses mais tarde. No entanto,
admitiu que a Ucrânia foi «a placa de Petri de todos os
ataques que os russos tencionavam continuar a lançar». O
que lhe faltava era um plano para os impedir — Shymkiv
joga sempre na defesa.
Acontece que não era ele o único que não tinha qualquer
estratégia para lidar com uma Rússia ressurgida com uma
nova agressividade. Washington também não tinha nenhuma.
 Capítulo VIII
A DESORIENTAÇÃO
«Não consigo prever o que vai fazer a Rússia. É
um enigma envolvido num mistério escondido
num enigma. Mas talvez haja uma chave.»
— Winston Churchill, outubro de 1939

E meleições
meados de 2015, muito antes de as primárias para as
presidenciais de 2016 começarem a aquecer, a
Comissão Nacional Democrática pediu a Richard Clarke, um
dos responsáveis pela segurança nacional mais experientes
em Washington, que avaliasse as vulnerabilidades digitais
das organizações políticas.
Clarke era conhecido sobretudo como o chefe do
contraterrorismo dos conselhos de Segurança Nacional de
Clinton e de Bush, que avisara que Osama bin Laden estava
a preparar um ataque em grande escala contra os Estados
Unidos. Foi ele que, no rescaldo dos ataques do 11 de
setembro, pronunciou a frase que tão famosa ficou, dirigida
aos familiares das vítimas, de que «o vosso governo não vos
apoiou», e acusou a Casa Branca do presidente Bush de ter
ignorado os seus muitos avisos. Amargurado pela sua
experiência no governo, mas sendo inquestionavelmente uma
criatura de Washington, decidiu criar uma empresa de
cibersegurança, a Good Harbour International.
Clarke não ficou surpreendido quando recebeu uma
chamada da Comissão Nacional Democrática. «Eram um
alvo óbvio», disse-me mais tarde. Mas ficou surpreendido
quando a sua equipa descobriu a que ponto os sistemas da
comissão estavam desprotegidos. Para pôr as coisas com
clareza, a comissão — apesar do Watergate, apesar das tão
faladas intrusões chinesas e russas nos computadores da
campanha de Obama em 2008 e 2012 — estava a proteger os
seus dados com o tipo de técnicas mínimas que poderíamos
esperar numa cadeia de lojas de limpeza a seco.
 A comissão recorria a um serviço básico para filtrar o
spam normal, mas que não chegava sequer a ser tão
sofisticado como o que a Google usa com o Gmail normal.
Não serviria de grande coisa contra um ataque sofisticado.
Além disso, a Comissão Nacional Democrática quase não
dava formação aos empregados para descobrirem um spear
phishing, do tipo que enganara os operadores das redes de
distribuição elétrica ucranianas e os levara a clicar num link
que apenas servia para roubar todas as passwords que fossem
sendo introduzidas. Não tinha qualquer mecanismo para
prever ataques ou detetar atividade suspeita na rede — como
copiar todos os dados para um servidor num local distante.
Estava-se em 2015 e a comissão ainda pensava como em
1972.
A Good Harbour sugeriu por isso uma lista de medidas
urgentes com que a Comissão Nacional Democrática teria de
se proteger rapidamente.
Era demasiado caro, disse a comissão a Clarke quando a
empresa apresentou a lista. «Declararam que o dinheiro teria
de ir todo para a campanha presidencial», recorda, e
disseram-lhe que depois das eleições iam pensar na questão
da segurança. A resposta não surpreendeu ninguém que os
conhecesse. Trata-se afinal de uma organização colada com
cuspo e mantida em grande parte pelo trabalho de miúdos
dos primeiros anos da universidade e com um orçamento
mínimo.
Entre as muitas ideias desastrosas dos democratas para as
eleições de 2016, esta foi provavelmente a pior.
«Os tipos da Comissão Nacional Democrática eram como
o Bambi perdido na floresta e rodeado de caçadores
furtivos», disse-me mais tarde um responsável do FBI. «Não
tinham a menor hipótese de sobreviver a um ataque.
Nenhuma.»
*
Quando um relatório da Agência Nacional de Segurança
acerca de uma intrusão russa suspeita nas redes de
computadores da Comissão Nacional Democrática foi atirado
para a secretária do agente especial Adrian Hawkins no fim
do verão de 2015, ele já estava com excesso de trabalho.
Quando alguém chamava o FBI para investigar um
ciberataque de grande escala em Washington que tivesse
atingido um instituto político, um escritório de advogados,
um lobista ou uma organização política, o caso acabava
quase sempre por ir parar a Hawkins. O agente, a subir na
carreira do Washington Field Office, tinha o ar cansado de
um homem que já viu de tudo. E tinha visto de facto, de
casos de espionagem a roubos de identidade, passando por
tentativas de destruir dados.
Assim, quando o ataque à comissão se juntou aos outros
processos que tinha em mãos, não lhe ocorreu, nem a ele
nem aos seus superiores, que pudesse tratar-se de um caso de
grandes proporções.
«O que seria difícil seria encontrar uma organização
importante em Washington que os russos não estivessem a
atacar», disse-me mais tarde outro veterano da mesma
divisão do FBI. «Ao princípio parecia um caso de
espionagem simples. Espionagem corrente.» Supuseram que
a intrusão na Comissão Nacional Democrática era apenas
mais uma tentativa de um dos espiões russos hiperativos de
melhorar o seu currículo com meia dúzia de mexeriquices
políticas. Afinal a comissão não era um sítio onde se
pudessem encontrar os códigos das armas nucleares.
Em setembro Hawkins ligou para a comissão, para tentar
alertar a equipa de segurança para as provas obtidas pelo FBI
de que os hackers russos tinham penetrado na rede. Depressa
descobriu que não havia qualquer equipa de segurança.
Acabaram por transferir a chamada para a secção de
informações, que se mostrou pouco prestável. Depois, a certa
altura, alguém no outro lado da linha passou o telefone a um
funcionário temporário que trabalhava com os computadores
mas não tinha qualquer experiência com cibersegurança.
Chamava-se Yared Tamene.
 Hawkins identificou-se e explicou a Tamene que tinha
provas de que a Comissão Nacional Democrática tinha sido
invadida por um grupo que o governo federal (embora
apenas o governo federal) chamava «os duques», com
afiliação russa. Não entrou em pormenores em relação à
longa história deste grupo de penetrar em agências
governamentais e da sua eficácia a evitar ser detetado. Não
podia fazê-lo — grande parte dessa informação era
considerada confidencial, embora várias empresas privadas
de cibersegurança tivessem publicado muitas coisas acerca
do grupo, a que muitos chamavam «Cozy Bear».
Tamene tomou algumas notas acerca de formas de
identificar o malware. Mais tarde escreveu um email interno
que enviou aos colegas. «O FBI pensa que há pelo menos um
computador da rede informática da Comissão Nacional
Democrática comprometido e pergunta se já sabíamos e o
que estamos a fazer em relação a isso», escreveu Tamene.
Depois voltou às suas tarefas do dia a dia.
Como é evidente, a Comissão Nacional Democrática não
sabia, e além disso não estava a fazer o que quer que fosse
quanto ao assunto.
Talvez o sangue-frio de Tamene em relação à notícia dada
por Hawkins se devesse a ser demasiado jovem para se
lembrar do Watergate. Ou talvez a não ser empregado
permanente da comissão — o seu empregador era uma
empresa de trabalho temporário de Chicago que fora
contratada para manter os computadores a funcionar, e não
para a manter segura. Mas o mais importante é ter pensado
que tudo não passava de uma partida e a pessoa que
telefonara estava simplesmente a fazer-se passar por um
agente do FBI. Assim, quando Hawkins lhe deixou uma série
de mensagens no atendedor um mês mais tarde, Tamene nem
sequer devolveu a chamada. «Não lhe telefonei», escreveu
Tamene mais tarde aos colegas, «porque não tinha nada para
lhe dizer.»
Os dois só voltaram a falar em novembro de 2015, e dessa
vez Hawkins explicou-lhe que a situação se tinha agravado.
Um dos computadores da Comissão Nacional Democrática
— não foi claro qual — estava a transmitir informações para
fora da rede. Num memorando que Tamene mais tarde
escreveu dizia especificamente que Hawkins o avisara de que
a máquina estava a «falar para casa, o que significava para a
Rússia».
«O agente Hawkins acrescentou que o FBI pensa que este
comportamento pode estar a ser desencadeado por um
estado», escreveu igualmente Tamene. Estava implícito no
email que o FBI percebia que havia um fluxo de informação
do edifício-sede da Comissão Nacional Democrática, mas
não tinha a responsabilidade de proteger computadores ou
redes pertencentes a entidades privadas. Essa
responsabilidade cabia à própria comissão.
O segundo aviso devia ter feito soar os alarmes — embora
não haja provas de que isso aconteceu. A informação escrita
por Tamene nunca chegou à liderança da Comissão Nacional
Democrática — na altura era dirigida por Debbie Wasserman
Schultz —, ou pelo menos foi o que a comissão mais tarde
disse. E o FBI, pelo seu lado, estava concentrado noutras
coisas, incluindo os mistérios do servidor de Chappaqua de
Hillary Clinton. Uma vez que ninguém estava
verdadeiramente a ocupar-se do assunto, a dança ridícula de
pistas e contrapistas entre Hawkins e Tamene continuou,
desperdiçando-se assim a melhor oportunidade de
interromper o maior hack da história política de sempre.
*
Uma pessoa que queira descobrir um motivo para
Vladimir Putin andar a meter o nariz no mecanismo das
eleições nos Estados Unidos não tem de procurar muito: a
vingança.
Em dezembro de 2011, a Rússia acabara de sair de um
processo eleitoral do parlamento que todos os observadores,
na Rússia e noutros países, julgam ter estado rodeado de
fraudes. Pela primeira vez desde que Putin fora para o poder,
os manifestantes saíram à rua. As palavras de ordem dizem
tudo: «Putin é um ladrão» e «Rússia sem Putin!»
Putin, como é evidente, ganhara as eleições, mas por
pouco. O seu partido, o Rússia Unida, perdeu muito peso no
parlamento e só à justa conseguiu manter a maioria, depois
de três partidos mais pequenos terem absorvido uma parte do
seu eleitorado. O Rússia Unida teve uma subida súbita já
perto do fim da contagem, o que despertou a desconfiança de
todos. Golos, o único grupo independente do país a
monitorizar as eleições, descobriu que o seu site fora
atacado, de maneira que não pôde comunicar atividades
suspeitas, e isto já depois de um tribunal o ter multado por
violar a lei publicando denúncias de abusos durante a
campanha eleitoral. Os observadores da Organização para a
Segurança e Cooperação na Europa, que tinham sido
convidados, falaram de irregularidades evidentes, o que não
surpreendeu os russos, que tinham visto um vídeo do
YouTube com um membro de uma assembleia de voto a
meter boletins numa urna o mais depressa que conseguia. O
vídeo tornou-se viral e os russos voltaram a sair à rua.
Nessa altura Hillary Clinton, no seu terceiro ano como
secretária de Estado, percebeu que o seu esforço desastrado
para clarificar as relações com a Rússia ficou condenado no
momento em que entregou ao seu homólogo russo um botão
gigante com a palavra «reset» mal traduzida.
Alguns dias depois das eleições na Rússia, Hillary Clinton
fez uma declaração não muito firme em nome do
Departamento de Estado acerca das eleições, precisamente o
que seria de esperar numa situação desse tipo. «O povo
russo, tal como o povo de qualquer outro país, merece o
direito de ser ouvido e de os seus votos serem
convenientemente contados», afirmou, sem nunca mencionar
Putin ou o seu partido. Com uma linguagem cheia dos
lugares-comuns de muitas gerações de secretários de Estado,
mais tarde falou acerca do «forte empenho» dos Estados
Unidos «na democracia e nos direitos humanos», e em
particular dos «direitos e aspirações do povo russo ao
progresso e à construção de um futuro melhor». Não fez
qualquer ameaça de sanções.
Clinton e os seus assessores não acharam que estavam a
dizer nada muito invulgar — referir a Rússia a propósito de
comportamentos antidemocráticos era uma coisa do dia a dia.
Putin, no entanto, sentiu-se pessoalmente atingido. Ver os
manifestantes a gritarem o seu nome parece ter abalado um
homem conhecido pela contenção. No entanto, à sua boa
maneira, viu aqui uma oportunidade e afirmou que as
manifestações eram incitadas por países estrangeiros. E
numa reunião alargada que ele próprio convocou acusou
Hillary Clinton de estar por trás de «dinheiro de potências
estrangeiras» com a finalidade de minar a soberania russa.
«Analisei a primeira reação dos nossos parceiros dos
Estados Unidos», continuou, com raiva mal contida, «e a
primeira coisa que a secretária de Estado fez foi dizer que as
eleições não foram honestas nem justas, embora ainda nem
sequer tivesse tido oportunidade de analisar os relatórios dos
observadores.»
«Com isto preparou o terreno para alguns no nosso país»,
acrescentou Putin. «Estes ouviram o sinal e, com o apoio do
Departamento de Estado dos Estados Unidos, iniciaram a sua
intervenção ativa.» As implicações desta afirmação não eram
muito subtis: os Estados Unidos e os seus lacaios russos — e
não o próprio Putin — tinham viciado as eleições. As
acusações de Putin podem ter sido concebidas para desviar as
atenções da sua própria intervenção nas eleições, mas soube
tocar num ponto sensível na Rússia, a aversão ao
envolvimento dos Estados Unidos nas suas questões internas.
Os Estados Unidos, há que dizê-lo, não estão propriamente
inocentes no que diz respeito a influenciar eleições noutros
países. A Itália e o Irão foram alvos conhecidos da
manipulação de eleições pela CIA e de golpes nos anos 50, e
Putin podia ainda referir-se às tentativas dos americanos para
matar Fidel Castro em Cuba ou para montar campanhas de
influência sobre eleições no Vietname do Sul, no Chile, na
Nicarágua e no Panamá. Argumentou que as revoluções pró-
ocidentais na Geórgia, no Quirguistão e na Ucrânia depois do
ano 2000, bem como a Primavera Árabe, surgiram
igualmente em terreno preparado pelos Estados Unidos e
fertilizado com dinheiro americano. «Podemos apontar
qualquer ponto de um mapa-mundo», disse Putin em 2017,
«e em toda a parte ouvimos queixas quanto à interferência de
responsáveis americanos em processos eleitorais nacionais.»
A equivalência moral referida por Putin não é muito justa.
Enquanto nos velhos tempos a CIA levava sacos de dinheiro
a políticos italianos e a homens-fortes chilenos, influenciar
eleições passou entretanto para o território do Departamento
de Estado, cujas técnicas são significativamente mais tímidas
e transparentes. Quando os Estados Unidos intervêm em
eleições na atualidade, normalmente fazem-no para assegurar
que mais pessoas tenham acesso às urnas. Em vez de
dinheiro, encheram malas com «Internet numa caixa», ou
seja, meios de acesso a conteúdos da Web, para evitar a
manipulação de informação, ou enviaram consultores para
ensinar candidatos inexperientes a fazer campanhas, ou
ajudaram a formar tribunais independentes, além de, como é
evidente, terem monitorizado fraudes eleitorais.
A isto Putin poderia responder que os Estados Unidos
tentaram depor Hamid Karzai no Afeganistão, e teria razão.
Argumentou que os americanos têm simplesmente disfarçado
as suas operações de intervenção em eleições noutros países
com aquilo a que chamam cinicamente «promover a
democracia».
Não é por isso de surpreender que Putin depressa tenha
abafado os protestos de 2011 e se tenha assegurado de que
estes não se repetiriam na sequência de eleições posteriores.
No entanto, o misto de ressentimentos pessoais contra
Hillary Clinton e uma aversão geral àquilo a que chama a
hipocrisia americana nunca desapareceu realmente. Pelo
contrário, acabou por piorar.
*
 O paciente zero na nova campanha russa para ripostar
contra o Departamento de Estado e Hillary Clinton foi
Victoria Nuland.
Neta de judeus ortodoxos que emigraram para o bairro
nova-iorquino do Bronx depois de terem conseguido escapar
à ditadura de Estaline, Toria, como é conhecida por muitos,
nunca esqueceu a herança russa, nem as feridas que ela
deixou na sua família. De resto, nunca fez segredo da sua
perspetiva sobre a Rússia de Putin: a única coisa que o antigo
oficial do KGB percebia era a linguagem da violência e das
represálias.
«Não me importei de tentar um reset; todas as
administrações tentam fazê-lo», disse-me ela. «Mas tinha de
ser um reset sem disfarces.» Em sua opinião, Putin é um
especialista em tática. Sempre teve o sentido da oportunidade
que carateriza os espiões, em particular quando a
oportunidade em causa é a de prejudicar o adversário. Mas é
muito mais fraco no que diz respeito a estratégia de longo
prazo. Assim, quando provoca alguém — com uma ação
militar, um ciberataque, um gesto intimidatório —, é preciso
responder-lhe no mesmo tom. Se o deixam levar a melhor
com alguma coisa, volta de certeza para obter mais
resultados.
Victoria Nuland consolidou esta visão de Putin com a
subida ao topo do Departamento de Estado. Muitos membros
da diplomacia aprendem rapidamente a limar as arestas do
seu discurso quando descrevem os interesses americanos.
Victoria Nuland, no entanto, nunca procurou esconder a sua
visão pragmática do que os Estados Unidos tinham de fazer
para defender os seus interesses, e quando não estava em
missão oficial não hesitava em ornamentar a sua perspetiva
com meia dúzia de epítetos bem escolhidos. Se alguém
percorresse os corredores do Departamento de Estado em
busca de algum defensor do reforço dos meios diplomáticos
pelo uso da força, o seu gabinete era sempre um bom sítio
para começar.
 Putin tinha uma consciência clara do papel de Victoria. No
início da sua carreira, a diplomata trabalhara para Strobe
Talbott, vice-secretário de Estado de Bill Clinton e velho
amigo do casal. Talbott ocupava-se das questões ligadas à
Rússia, e a animosidade de Victoria Nuland proporcionava-
lhe muitas vezes uma espécie de contrapeso. Passados alguns
anos isto tornou-se claro: afinal não foram muitos os
responsáveis dos negócios estrangeiros da administração
Clinton que passaram para o círculo mais próximo de Dick
Cheney — Victoria Nuland foi a sua vice-conselheira de
Segurança Nacional — e acabou por se tornar uma das
favoritas de Barack Obama. Apesar da sua tendência para a
prudência, Obama ficou impressionado com a disposição de
Victoria Nuland para desafiar Putin.
Antes de Obama ser eleito, Victoria Nuland e Putin já
tinham uma história infeliz, embora distante. Como
embaixadora americana na NATO durante o segundo
mandato de Bush, Victoria pressionou os aliados para
resistirem ao esforço da Rússia para passar da cooperação
para o confronto. Tratou-se de um esforço pouco
esperançado. Muita gente na NATO acreditava na narrativa
de que a Rússia, com uma população envelhecida e uma
economia mais ou menos do tamanho da italiana, não podia
permitir-se defrontar a Europa e os Estados Unidos. «A Toria
anda a partir muita porcelana na NATO», disse-me um
embaixador de outro aliado da NATO durante uma visita à
sede da aliança no fim do mandato de Victoria Nuland. «Mas
a maior parte tem de ser partida.»
Por altura das eleições parlamentares russas de 2011,
Victoria Nuland já regressara a Washington e tornara-se
porta-voz do Departamento de Estado de Hillary Clinton. É
possível que Putin tenha pensado que foi Victoria que esteve
por trás da decisão de Hillary Clinton de afirmar que as
eleições russas haviam sido fraudulentas. E as suas
desconfianças tinham alguma razão de ser: foi Victoria que
denunciou a fraude eleitoral na sala de imprensa do
Departamento de Estado.
 No entanto, no início de 2014, quando a revolução da
Praça Maidan estava no auge na Ucrânia, Victoria Nuland
passara de porta-voz a secretária de Estado adjunta para os
assuntos europeus e eurasiáticos, e a responsabilidade de
tratar diretamente a crise ucraniana fora transferida para um
novo secretário de Estado, John Kerry. Depois de todos os
anos que já passara na área, Victoria conhecia todos os atores
envolvidos, mas também sabia o que estava em causa para
Putin e a Rússia se a Ucrânia se mostrasse capaz de resistir à
pressão russa.
«Se um país como a Ucrânia puder realmente eleger os
seus próprios dirigentes», afirmou, «se os jovens puderem
realmente dizer e fazer o que entenderem, se o país
enriquecer aproximando-se da Europa em vez de continuar
simplesmente a ser uma bomba de gasolina, o povo russo
pode pensar em erguer-se e dizer “também queremos ser
mais como eles”.»
Com o seu estilo tipicamente agressivo e competitivo,
Victoria Nuland passou o tempo que duraram os protestos a
tentar negociar uma saída pacífica que conseguisse tirar o
presidente Yanukovych do poder. Enquanto Yanukovych se
voltava para Paul Manafort numa tentativa desesperada de se
manter no poder, Victoria Nuland estava a tentar negociar a
realização de novas eleições. Para o conseguir teria de
formar um governo de coligação entre o partido de
Yanukovych e a oposição, mas os políticos que se opunham
ao presidente tinham uma desconfiança tal em relação ao
homem-forte da Ucrânia que não queriam negociar sem a
presença de um governo neutral. Victoria Nuland achou que
o papel devia ser desempenhado pela União Europeia. Os
russos, como é evidente, queriam travar o processo — que
deixaria inevitavelmente o seu fantoche, Yanukovych, numa
situação difícil.
A meio da crise na Ucrânia, Victoria Nuland passou um
fim de semana em casa, na Virgínia, a discutir por telefone o
problema da realização de eleições com Geoffrey Pyatt, o
embaixador dos Estados Unidos na Ucrânia. Discutiram a
questão de quem poderia formar um governo no país se
Yanukovych fosse deposto e de como poderiam influenciar
em privado alguns políticos da oposição de forma a
participarem num governo de coligação.
A certa altura a conversa voltou-se para a forma como a
União Europeia estava a vacilar no seu papel de observador
neutral, recusando propor alguém para o papel.
Victoria Nuland não é conhecida pela paciência com as
indecisões diplomáticas.
«A União Europeia que se foda», disse ela a Pyatt.
«Exatamente…», respondeu ele.
O erro de Victoria, claro, foi ter falado com Pyatt através
de uma linha aberta em vez de por uma linha encriptada. De
resto, não houve nada de surpreendente nisso — os telefones
seguros do Departamento de Estado estavam sempre
avariados. Victoria Nuland percebeu certamente o risco que
corria, e estava sem dúvida convencida de que os russos
estavam a escutar. No entanto, isso não bastou para a deter.
Ela e Pyatt estavam a falar em privado acerca de uma
estratégia que já tinham descrito em público. Talvez isso
fosse uma boa ideia, pensou ela, deixar os lacaios de Putin
explicar ao chefe que ela estava determinada.
A conversa terminou, uma de uma série de chamadas
telefónicas urgentes enquanto a crise se desenrolava nas ruas
de Kiev. Depois, duas semanas mais tarde, o áudio, editado,
apareceu de repente no YouTube, sublinhando a expressão «a
União Europeia que se foda». Tanto Victoria Nuland como
Pyatt, além de muitos outros, ficaram estarrecidos. «Há vinte
e cinco anos que não divulgavam assim uma chamada
telefónica», disse-me ela mais tarde. Era uma nova tática. Só
muito depois percebeu que fora usada como o canário da
mina de carvão. O vídeo do YouTube mostrava uma nova
Rússia, determinada a explorar novas técnicas.
Mais tarde Victoria afirmou ter expressado simplesmente
uma «frustração tática» com os aliados europeus. No entanto
o áudio foi editado de forma a produzir outra impressão. Pelo
contrário, as suas palavras pareciam sugerir uma divergência
entre os Estados Unidos e a Europa, exatamente o tipo de
desacordo que Putin gostava de explorar.
O estardalhaço que se seguiu era previsível. Pyatt, um
californiano que entrara no Foreign Service em 1989 vindo
da Universidade de Yale, chegou a pensar que a sua carreira
terminara (isso afinal não aconteceu — acabou por partir
para a Grécia como embaixador). Em Washington, Victoria
Nuland teve de passar bastante tempo a desculpar-se.
Embora fosse uma das principais diplomatas do
Departamento de Estado, também chegou a recear pelo seu
emprego, até que alguns dias depois do escândalo esteve
presente num jantar oficial na Casa Branca e, quando viu o
presidente Obama, pediu-lhe diretamente desculpa.
Quando ele lhe sorriu e lhe disse em voz baixa «que se
fodam», numa referência clara aos russos, é que Victoria
percebeu que não tinha nada a recear.
*
A divulgação do telefonema Nuland-Pyatt marcou um
ponto de viragem nas «medidas ativas» russas. A difusão
pública da chamada foi apenas o início. Ao longo do ano a
Rússia continuou a deslocar tropas não uniformizadas para
algumas regiões da Ucrânia, acompanhando este movimento
com o que o general Philip Breedlove, o comandante da
NATO, chamou «o Blitzkrieg informativo mais
surpreendente desde o início da história da guerra de
informação». A Ucrânia e outros estados, insistiu o general,
precisavam de lançar esforços de contrapropaganda, e talvez
contraciberataques.
Breedlove sabia que a NATO não estava de forma
nenhuma preparada. Hesitara demasiado em entrar na
ciberera. Embora alguns anos antes tivesse trabalhado
arduamente na elaboração de planos para usar armas
nucleares na defesa da Europa, chegando ao ponto de
armazenar algumas nas proximidades do seu quartel-general
em Bruxelas, nessa altura não tinha qualquer unidade de
contra-ataque digital, nem experiência em «guerra da
informação». Os visitantes eram em geral levados a visitar
um centro de segurança gigantesco, rodeado de ecrãs, mas o
seu objetivo era apenas proteger as suas próprias redes. Além
disso, poucos anos antes, segundo informações de um
responsável sénior da organização, fazia-o apenas durante os
dias de semana.
«Ninguém se lembrara de aprovar um orçamento que
assegurasse uma monitorização 24 horas por dia, sete dias
por semana, mesmo das redes mais sensíveis da aliança»,
contou-me, abanando a cabeça reprovadoramente. «Só lhes
faltou mandar um postal para o Kremlin a avisar que seria
muito mais fácil atacarem a NATO durante a noite ou ao fim
de semana.»
*
A única vez que me encontrei com Yevgeny Prigozhin, o
homem que viria a trabalhar para alterar as eleições de 2016,
não estava rodeado de trolls e os seus empregados não
estavam a criar bots. Foi em maio de 2002, num rio em
Sampetersburgo, e ele estava a servir um jantar a George W.
Bush e a Vladimir Putin.
Vendo as coisas retrospetivamente, a viagem de Bush foi o
momento alto das relações entre Washington e Moscovo. Foi
a primeira viagem do político do Texas à Rússia como
presidente. Em Moscovo, a primeira paragem, os dois
homens tinham assinado um tratado para a redução de armas
nucleares. Bush referiu-se a esse momento como aquele «em
que pusemos de lado velhas desconfianças e iniciámos uma
nova era», e isso de facto ainda parecia possível.
Apenas vi de relance o «chefe de Putin», como se tornou
conhecido, durante uns poucos minutos em que um grupo de
correspondentes que viajaram na comitiva de Bush foram
levados a bordo do restaurante flutuante de Prigozhin, um
dos mais reputados da cidade, para depois poderem descrever
a cena aos leitores. Na altura pensei que ele era um mero
cozinheiro. Como estava enganado!
Cerca de quinze anos mais tarde, Prigozhin voltou a
aparecer, desta vez no papel de oligarca. Não estava mal para
um tipo que passou a juventude na prisão e começou a
carreira na gastronomia com um estaminé de cachorros-
quentes. Antes de as eleições de 2016 terem aquecido já ele
fora acusado de cozinhar um projeto bastante mais ambicioso
às ordens de Putin, um centro de propaganda chamado
Agência de Investigação da Internet, sedeado num edifício de
quatro andares em Sampetersburgo, a cidade de onde
Prigozhin era originário. Nesse edifício tiveram origem
dezenas de milhares de tweets, posts no Facebook e anúncios
com a finalidade de desencadear o caos nos Estados Unidos
e, no final do processo, ajudar Donald Trump — um homem
que gostava de oligarcas — a entrar na Sala Oval.
Estaline ter-se-ia sentido orgulhoso da Agência de
Investigação da Internet. Existia à vista de todos, mas não era
o que parecia. Não era uma agência de informações, mas
usava algumas das mesmas técnicas que estas usam. Não
tinha um aspeto sofisticado: era um prédio onde muitos
jovens passavam 12 horas por dia a escrever ficção, parte
destinada ao mercado russo, parte à Europa. Os melhores
estavam na secção americana, onde se encontravam os
redatores com mais imaginação e mais bem pagos da
agência. As fake news não são tão baratas como se pensa.
Estaline recorreu à propaganda soviética para recrutar
americanos, minar o capitalismo e semear o medo e a
desconfiança. A Agência de Investigação da Internet fez o
mesmo, mas o Facebook e outras redes sociais deram-lhe um
alcance com que Estaline nunca poderia sequer ter sonhado.
Ainda não se sabe se a ideia por trás da agência foi de
Prigozhin, de Putin, ou de alguém entre um e outro. Mas a
sua criação marcou uma transição profunda na forma como a
Internet era usada. Ao longo de uma década foi considerada
uma grande força democrática: a comunicação entre pessoas
de diferentes culturas fazia as melhores ideias triunfarem e
minava o poder dos autocratas. A agência baseava-se na
ideia oposta: as redes sociais podiam igualmente servir para
incitar discórdias, desgastar laços sociais e afastar as pessoas.
Embora a Agência de Investigação da Internet tenha saltado
para a atenção do público por causa do seu papel em torno
das eleições de 2016, o seu verdadeiro impacto foi mais
profundo — sujeitou a uma tensão anormal os fios de um
tecido social numa sociedade cada vez mais voltada para o
dia a dia no espaço social. O seu efeito mais poderoso foi
sobretudo psicológico.
Mas a Agência de Investigação da Internet teve o
benefício político adicional de degradar o poder mobilizador
dos media, tornando-os uma arma de agressão. A facilidade
com que os seus «redatores de notícias» personificaram
verdadeiros americanos — ou verdadeiros europeus, ou
quem quer que fosse — significou que, com o tempo, as
pessoas acabaram por perder a confiança na plataforma em
si. Para Putin, que observou o poder das redes sociais no
incitamento à revolta no Médio Oriente e na organização da
oposição à Rússia na Ucrânia, a noção de pôr em causa o que
ou quem estava do outro lado de um tweet ou de um post no
Facebook — de fazer os revolucionários pensarem duas
vezes antes de pegarem nos seus smartphones para organizar
o que quer que fosse — foi um efeito adicional maravilhoso.
Proporcionou-lhe duas formas de minar a força dos
adversários pelo preço de uma.
Talvez sejam precisos vários anos, se é que isso alguma
vez vai acontecer, para percebermos com clareza a que ponto
Putin desempenhou um papel no desenvolvimento e na
execução de «medidas ativas» para a era da Internet. Ele
próprio não é conhecido como utilizador das redes sociais,
mas tem um apreço pelo seu poder próprio de alguém que
começou a sua carreira no KGB.
Em comparação com outras start-ups, a Agência de
Investigação da Internet (que os russos conhecem como
Glavset) cresceu bastante depressa. Por volta de 2013 estava
bem instalada em Sampetersburgo e começou a contratar
pessoal. Em breve o seu orçamento passou para vários
milhões de dólares, estes com uma origem que ainda hoje é
pouco clara. Depressa começou a dar trabalho não só a
redatores mas também a designers e peritos em otimização
para os motores de busca, para assegurar um máximo de
alcance às suas mensagens russas. E soube tirar partido de a
Facebook fazer muito pouco, pelo menos na altura, para
determinar se um perfil correspondia realmente a uma pessoa
ou apenas a um bot. A sua estratégia dependia inteiramente
de convencer os outros de que um perfil falso correspondia
de facto a uma pessoa verdadeira. Os hackers da agência
estavam basicamente a desempenhar o mesmo papel que os
soldados sem uniforme que ocupavam partes da Ucrânia.
Foi assim que os homenzinhos verdes digitais levaram a
batalha da propaganda ao território inimigo. A campanha
americana começou em setembro de 2014, com mensagens
de texto como a que foi dirigida aos residentes da paróquia
de St. Mary, no Louisiana, a avisar que uma fábrica de
produtos químicos lançara fumos tóxicos para a atmosfera.
Acontece que a «Columbia Chemical», a dita fábrica, que
correra ter tido um acidente, não existia. Ainda assim, o
medo que o boato provocou foi palpável. Depois vieram os
rumores de que o ébola estava a espalhar-se nalgumas
regiões dos Estados Unidos, incentivados por trolls russos
que se encarregaram de dar amplitude aos boatos nas redes
sociais — com o hashtag #EbolaInAtlanta, fake news e
reportagens em vídeo do incidente.
Na sua primeira sede, no prédio de quatro andares no
número 55 da Rua Savushkina em Sampetersburgo, as
dezenas de funcionários na casa dos 20 anos aprenderam a
atacar com comentários provocadores os críticos de Putin e
os jornalistas que iam demasiado longe na investigação do
que a agência andava a fazer. Não precisaram de muito
tempo para aperfeiçoar a estratégia e torná-la uma verdadeira
arte. Como Putin e o seu cozinheiro haviam aprendido, é
fácil enxovalhar um crítico na era do Twitter. E a Agência de
Investigação da Internet fazia-o muito bem — em pouco
tempo o seu número de empregados passou para 80, com
uma influência online desmedida.
No fim de 2014 a agência mergulhou na sua campanha
nas redes sociais para perturbar as eleições americanas. O
grupo criou centenas de perfis falsos no Facebook e milhares
no Twitter para alcançar populações já divididas por questões
como a imigração, o controlo da venda de armas e os direitos
das minorias. Foram tentativas preliminares, versões beta de
um esforço de propaganda barata. Tudo o que era necessário
era perceber a melhor forma de manipular os algoritmos que
alimentam o feed do Facebook ou determinam os retweets no
Twitter.
Depois os seus promotores passaram para a fase da
publicidade. Entre junho de 2015 e agosto de 2017, como os
investigadores mais tarde descobriram, a agência e vários
grupos relacionados gastaram milhares de dólares em
anúncios do Facebook todos os meses — um custo mínimo
em comparação com o da publicidade numa rede de televisão
local americana. O alcance foi surpreendentemente grande.
Durante esse período, os trolls de Putin chegaram a 126
milhões de utilizadores do Facebook, enquanto no Twitter
conseguiram 288 milhões de impressões — números
particularmente perturbadores quando consideramos que há
cerca de 200 milhões de eleitores recenseados nos Estados
Unidos e apenas 139 milhões votaram em 2016. No entanto,
não é possível saber se tiveram um impacto significativo.
Os trolls de Putin fizeram-se passar por americanos, ou
por falsos grupos americanos, e promoveram mensagens
claras. Nos seus posts de Facebook podia ver-se uma
fotomontagem de Hillary Clinton a apertar a mão a Osama
bin Laden ou uma caricatura do Diabo num braço de ferro
com Jesus. «Se eu ganhar, ganha a Hillary», diz o Diabo. «Só
se eu não puder evitá-lo», responde a figura de Jesus (os
utilizadores eram encorajados a fazer Like na imagem para
ajudar Jesus a triunfar, o que por seu lado gerava algum buzz
na Internet, necessário para aumentar a visibilidade do post
de acordo com o algoritmo do Facebook). A finalidade de
centenas de posts deste tipo, como sugere a reportagem de
Ryan Lizza publicada na New Yorker, era «invadir as redes
sociais com uma vaga de conteúdos falsos, semeando a
dúvida e gerando paranoia, e com isso destruir a
possibilidade de usar a Internet como plataforma
democrática». Ainda assim, estas habilidades com as redes
sociais não conseguiram levar os russos tão longe como
queriam. Para interferirem na política dos Estados Unidos
tinham de perceber melhor o sistema eleitoral americano. A
agência enviou duas das suas peritas — uma analista de
dados e uma das responsáveis da fábrica de trolls,
Aleksandra Krylova e Anna Bogacheva — aos Estados
Unidos, onde as duas passaram três semanas em viagem
pelos estados igualmente divididos entre democratas e
republicanos: a Califórnia, o Colorado, o Illinois, o
Louisiana, o Michigan, o Nevada, o Novo México, Nova
Iorque e o Texas —, enquanto outro operacional visitava
Atlanta. Pelo caminho fizeram algum trabalho de
investigação rudimentar e começaram a perceber como
funcionavam os swing states — aqueles em que os votantes
se dividem de forma próxima entre os democratas e os
republicanos e cujas oscilações muitas vezes decidem o
resultado das eleições —, um conceito que não tem paralelo
na política russa. A informação que estes investigadores ao
serviço da agência reuniram durante as semanas que
passaram nos Estados Unidos ajudou os russos a
desenvolverem uma estratégia de envolvimento nas eleições
russas com base no peso dos estados deste tipo no mapa
eleitoral. Isto permitiu que a agência russa dirigisse a sua
ação a populações específicas dentro destes estados, que
pudessem ser vulneráveis à sua influência através de
campanhas nas redes sociais dirigidas por trolls profissionais
do outro lado do Atlântico.
Em meados de 2015 — depois de terem dominado o
ofício de manipular as redes sociais —, os trolls testaram
uma nova tática organizando um evento ao vivo nos Estados
Unidos, de acordo com uma investigação da revista de
negócios russa RBC. Recorrendo a contas de Facebook
sedeadas em Sampetersburgo, fizeram-se passar por
americanos e atraíram os utilizadores a um evento em Nova
Iorque onde eram oferecidos cachorros-quentes. Como é
evidente, os trolls em Sampetersburgo não ofereceram os
cachorros-quentes que tinham prometido aos nova-iorquinos,
e ficaram a vê-los juntar-se através de uma câmara web
publicamente acessível em Times Square. Foi uma
experiência bem-sucedida, já que mostrou que a partir dos
seus ecrãs na Rússia conseguiam orquestrar eventos no
mundo físico a uma distância de milhares de quilómetros.
Este triunfo aparentemente insignificante em breve foi muito
além dos cachorros-quentes, e entrou no domínio da
incitação aos recontros violentos entre grupos rivais
americanos em manifestações nos estados que os russos
andavam a estudar. Segundo a revista, «Neste dia, quase um
ano e meio antes da eleição do novo presidente dos Estados
Unidos, os trolls começaram a desenvolver a sério o trabalho
na sociedade americana».
O uso de eventos organizados através do Facebook
evoluiu com grande rapidez. No ano seguinte os trolls
recrutaram uma atriz para participar numa manifestação de
apoio a Trump em West Palm Beach vestida como Hillary
Clinton com um uniforme de presa. A atriz foi passeada
numa gaiola construída por outros americanos. Ao que tudo
indica, nenhum sabia que tudo estava a ser pago por russos
que se encontravam em Sampetersburgo.
*
A Agência de Investigação da Internet não é a única força
a participar por procuração neste jogo contra os Estados
Unidos. O mesmo acontecia com os vários, e muitas vezes
concorrentes, serviços de informações dentro da Rússia.
Antes de ter penetrado nos computadores da Comissão
Nacional Democrática, a equipa mais sofisticada, a que
trabalhava para o SVR — um descendente do velho KGB —,
tinha-se centrado em dois alvos especialmente suculentos: o
Departamento de Estado e a Casa Branca.
 O primeiro ataque foi contra o sistema de email não
confidencial do Departamento de Estado (tal como a maior
parte das agências governamentais, o departamento tinha
uma rede confidencial e outra, menos protegida, para
comunicar com o mundo exterior). O que sucedeu foi uma
operação clássica, em que os russos introduziram malware na
rede que criou um link para o seu próprio servidor noutro
país. Quando os funcionários do Departamento de Estado
clicaram nos emails de phishing que os russos tinham criado,
alguns supostamente de universidades americanas, os
hackers penetraram no sistema. Isto permitiu-lhes copiar
emails à sua vontade, na esperança de apanhar algum
mexerico, talvez um pouco de discussão política ou um caso
amoroso que pudesse ser usado para fazer chantagem.
Com sorte, também podem ter descoberto pistas acerca de
como penetrar nos sistemas mais protegidos — os
confidenciais. Na altura em que Kevin Mandia e os
especialistas da sua empresa apareceram para estudar o que
se passava, «os russos estavam por toda a parte», recorda
aquele. Tinham acima de tudo procurado informações
relativas a pessoas altamente colocadas, incluindo, como é
evidente, Toria Nuland. O que Mandia observou no sistema
do Departamento de Estado foi um ataque muito mais ousado
que qualquer dos que os russos já haviam tentado. «Só que
dessa vez foram muito mais discretos», considera o
especialista em segurança.
Os rumores acerca de uma intrusão nos sistemas do
Departamento de Estado correram por Foggy Bottom, em
Washington, semanas a fio. A primeira vez que apanhei uma
sugestão de que o ataque russo podia ter sido mais grave do
que se pensava foi durante uma viagem a Viena na terceira
semana de novembro de 2014. Um grupo de jornalistas em
que me incluí fora na comitiva do secretário de Estado John
Kerry para acompanhar mais uma ronda de conversações
com o Irão acerca do seu programa nuclear. Quando telefonei
ou tentei comunicar por email com algum dos responsáveis
americanos, recebi sempre uma mensagem aparentemente
inocente do Departamento de Estado. Avisava os jornalistas
de que durante esse fim de semana não valia a pena tentarem
comunicar por email com os funcionários do departamento, e
muito menos com a equipa negocial de John Kerry. O
sistema do Departamento de Estado estaria em baixo para
manutenção durante todo esse período.
Ficámos todos a revirar os olhos. Quem quer que tivesse
ouvido os boatos acerca de uma intrusão russa achou que
estava ali matéria para um título de primeira página. A
verdadeira questão, como é evidente, não era a manutenção,
embora o sistema que ligava os diplomatas americanos entre
si parecesse por vezes pouco melhor que dois copos de papel
ligados por um cordel. O que parecia era uma operação para
controlo de danos: para fazer um exorcismo digital e
expulsar intrusos, a primeira coisa a fazer costuma ser
desativar o sistema.
O processo não ia ser fácil. Até ao momento, expulsar os
russos dos sistemas do Departamento de Estado já se revelara
demasiado difícil para o Departamento de Segurança Interna.
Este pedira reforços à Agência Nacional de Segurança, com
base na ideia de que é preciso um ciberladrão para apanhar
outro.
Rick Ledgett, o homem que conduzira a investigação
Snowden, viu-se de súbito a supervisionar a operação para
correr com os russos das redes do Departamento de Estado. E
Ledgett avisou que isso teria de ser bem feito. Sabia por
experiência própria que, embora fosse sempre tentador correr
rapidamente com um ciberinvasor, era geralmente assim que
se cometiam os grandes erros (a Marinha também aprendeu
isto à própria custa quando o almirante Rogers era chefe da
ciberfrota e os hackers iranianos penetraram nas suas redes;
os hackers foram expulsos antes de todos os implantes que
tinham deixado na rede serem descobertos e pouco tempo
depois estavam de regresso). Os peritos da NSA começaram
portanto por identificar os lugares onde os russos estavam
presentes no sistema e onde tinham deixado os implantes e o
centro de comando e controlo. Só depois de isso ter sido feito
o sistema pôde ser desativado, os invasores desligados e um
novo sistema posto no lugar do anterior, na esperança de que
este estivesse mais protegido.
«Os tipos estavam mesmo por toda a parte», disse-me
mais tarde Kevin Mandia, «e não estavam a pensar sair. Em
geral basta apontar uma lanterna ao malware para os hackers
do outro lado fugirem em todas as direções como baratas.
Mas os russos não. Os russos queriam mostrar-nos como
eram as coisas.»
Com algum esforço, uma equipa do Departamento de
Estado, com a ajuda da Mandiant, do FBI e da NSA, acabou
por conseguir expulsar os russos do sistema. Acontece que
estes se tinham apenas mudado.
Ainda a batalha no sistema do Departamento de Estado
mal tinha começado e já os russos tinham reaparecido um ou
dois quilómetros mais adiante — nos servidores da Casa
Branca. «O Departamento de Estado ainda estava a
desacelerar», disse Ledgett, «e a Casa Branca já estava a
ganhar ímpeto.» Os atacantes voltaram a atacar o lado não
confidencial, e não os sistemas mais protegidos, que correm
em computadores diferentes.
O processo de exorcismo teve de recomeçar. Como
acontecera no Departamento de Estado, os russos deixaram
claro que, uma vez que tinham começado a visita à Casa
Branca, não tinham qualquer intenção de partir. No sistema
da Casa Branca, ao que parece, a Agência Nacional de
Segurança e os seus parceiros haviam sido apanhados numa
espécie de emboscada digital. Os russos estavam a montar o
ataque a partir de centros de comando e controlo que tinham
montado por todo o mundo, para ajudar a ocultar as suas
identidades. Sempre que as equipas de hackers da NSA
cortavam as ligações, percebiam que os computadores da
Casa Branca tinham começado a comunicar com novos
servidores. Nunca ninguém vira nada semelhante — dois
grupos de hackers ligados a estados num duelo digital.
 Para a equipa da NSA, o processo era como um jogo de
computador com consequências reais. «Pareciam estar a
divertir-se, assim instalados no sistema da Casa Branca»,
observou um dos responsáveis americanos com o humor
possível nas circunstâncias.
Mais tarde Ledgett descreveu o processo de dirigir a
batalha, sem nunca mencionar que os hackers eram de
Moscovo. «Vimos pela primeira vez», disse ele, que, «em
vez de desaparecerem, os hackers ripostaram. E o combate
foi de tal maneira um duelo na rede que mal tomávamos uma
medida eles tomavam uma contramedida.»
A NSA, contou Ledgett, «removia o canal de comando e
controlo deles para o malware, o código que eles estavam a
correr», e os russos «contrapunham com a introdução de um
novo canal de controlo e comando».
Se considerarmos a questão retrospetivamente, foi
igualmente uma novidade no campo de batalha tático do
ciberespaço, disse ainda, «um novo nível de interação entre
um ciberatacante e um ciberdefensor».
Ledgett aludiu ao facto de a NSA ter uma arma secreta
própria, que permitia vê-los «preparar novas ações. Assim, se
estamos à defesa mas podemos ver o que o adversário se está
a preparar para fazer…», acrescentou, sem sublinhar
suficientemente a importância do que estava a dizer, «isso é
realmente útil».
O responsável pela operação parecia referir-se a uma
ajuda discreta dos holandeses. As agências de informações
do pequeno país europeu, de acordo com a investigação de
dois órgãos de comunicação social dos Países Baixos, tinham
penetrado no edifício de uma universidade perto da Praça
Vermelha, em Moscovo, a partir do qual o grupo de hackers
russos conhecido como «Cozy Bear» operava. Mas os
holandeses não se tinham limitado a penetrar nos sistemas de
computadores, tinham igualmente acedido às câmaras de
segurança do edifício. «Agora o serviço de informações pode
ver não apenas o que os russos estão a fazer», dizia o
relatório da agência dos Países Baixos, «mas também quem
está a fazê-lo.»
Os holandeses alertaram Haia, e em breve fora criada uma
ligação através da qual as agências de informações
americanas podiam ver o que se passava em tempo real. As
imagens assim obtidas foram analisadas por software de
reconhecimento facial, de maneira que foi possível saber
quem estava a operar os computadores.
De súbito toda a gente — da NSA ao FBI e à agência de
comunicações da Casa Branca — foi apanhada no dilema
habitual quando se identificam invasores nas redes. Ficam a
observá-los, a acompanhar as suas atividades, talvez até a
transmitir-lhes falsas informações? Ou correm rapidamente
com eles? E estariam os russos de facto à cata de
informações, ou queriam antes ser apanhados para perceber
até onde ia a capacidade de deteção dos americanos?
Mas o mais importante de tudo, pelo menos para os
russos, era se Obama estaria na disposição de permitir uma
escalada do confronto, ou se preferiria deixar o que
acontecera transformar-se em apenas mais um episódio no
jogo de espiões em que ambos os lados participavam.
*
Por fim os americanos ganharam a ciberbatalha nos
sistemas do Departamento de Estado e da Casa Branca,
apesar de se ter tornado claro, com o desenvolvimento dos
acontecimentos, que não perceberam que na realidade o
episódio representara uma escalada numa longa guerra.
A batalha pelo controlo das redes de computadores no
Departamento de Estado e na Casa Branca levantava duas
questões importantes. Em primeiro lugar, por que razão
haviam os russos decidido atacar os Estados Unidos de forma
tão direta? Em segundo lugar, porque tentou a administração
Obama manter toda esta série de incidentes secreta, incluindo
os ciberataques ao Pentágono e ao Congresso?
 A resposta à primeira pergunta parece simples: os hackers
russos usavam os seus instrumentos pela mesma razão por
que os generais russos mostram os seus tanques e os seus
mísseis junto da fronteira com a Lituânia. É o equivalente de
2014 do que os pilotos de caças faziam durante a Guerra
Fria, voar nos limites do espaço aéreo controlado pelos
soviéticos para verem o que acontecia do lado russo.
«Deixaram claro que estavam ali para ficar, e tinham
meios para defrontar mesmo o melhor que havia do nosso
lado», disse-me um responsável sénior dos serviços de
informações. «Nessa altura ainda não tinham mostrado muito
do que estavam a fazer — como o ciberataque a propósito
das eleições —, mas queriam que soubéssemos que eles
estavam na primeira liga.»
No entanto, o maior mistério é o próprio Obama. Mais
uma vez, o presidente decidiu não fazer nada em relação aos
russos. Numa reunião na sala de crise, disse aos responsáveis
pelos serviços de informações que isto era «apenas
espionagem». E se os Estados Unidos eram suficientemente
descuidados para permitir que isso acontecesse, a resposta
era reforçar a nossa defesa, e não retaliar.
Quando este jogo de computadores terminou, os russos já
se tinham retirado — embora apenas se tratasse de uma
retirada tática, e não muito prolongada. Tinham aprendido
depressa. Não se pode dizer que o mesmo tenha acontecido
com a administração Obama.
*
O mais surpreendente em todo o processo é que, mesmo
com os ataques recentes ao Departamento de Estado e à Casa
Branca, no fim de 2015, ninguém informou os responsáveis
hierarquicamente mais bem posicionados acerca da intrusão
conduzida pelos russos na Comissão Nacional Democrática.
De resto, o mesmo se pode dizer da liderança da própria
comissão: o agente Hawkins disse mais tarde aos
responsáveis do FBI que hesitou em avisar quem quer que
fosse na própria comissão, por receio de chamar a atenção
dos russos. Nos primeiros meses, os das conversas
telefónicas com Tamene, nunca se deu ao trabalho de
percorrer os 20 minutos à hora de almoço entre o escritório
em Washington Field e o quartel-general da Comissão
Nacional Democrática, que pouco antes se mudara de um dos
edifícios Watergate para um local mais discreto em Capitol
Hill. «Não estamos a falar de um local no meio de uma
floresta no Montana», disse-me Shawn Henry, antigo chefe
da ciberunidade do FBI, cuja empresa acabou por ser
chamada para ajudar na investigação. «Estamos a falar de um
escritório a menos de um quilómetro do escritório do FBI.»
Do princípio ao fim, tratou-se de uma completa falta de
bom senso — incapacidade de apreender a gravidade de uma
velha ameaça por vir envolvida numa nova tecnologia. Foi
igualmente o início de uma série de trapalhadas que acabou
por reduzir a capacidade dos Estados Unidos de reagir num
momento crucial e que podia ter feito muita diferença.
*
Enquanto os americanos hesitavam, os russos festejavam.
As falhas de comunicação entre a Comissão Nacional
Democrática e o FBI deram aos hackers de Putin aquilo de
que eles mais precisavam, que era tempo. Expostos mas
ainda não repelidos, puderam dar-se ao luxo de explorar
todos os recantos do principal servidor da comissão, que era
pouco maior que um computador portátil. Quando acabaram,
passaram para outros alvos fora da comissão.
Por fim, por volta de março de 2016, seis meses depois
das primeiras chamadas, Tamene e os colegas encontraram-
se duas vezes com membros do FBI e então já pareceram
convencidos de que Hawkins era de facto um agente.
Por essa altura já era tarde de mais. Os russos já tinham
avançado para os emails da própria campanha de Hillary
Clinton.
Hillary Clinton instalara-se em Brooklyn e tinha muito
mais dinheiro que a comissão. A sua equipa ainda não se
esquecera de que os hackers chineses tinham penetrado nos
computadores das campanhas tanto de Obama como de John
McCain, em 2008, por isso levaram a segurança dos seus
servidores a sério. Foi assim que as suas próprias redes
repeliram vários ataques, nenhum deles muito sofisticado.
No entanto, os hackers russos tinham um alvo mais
interessante em mente, que eram as contas pessoais de email,
onde as pessoas escrevem acerca das suas queixas quanto aos
chefes, das suas preocupações e também dos seus planos de
futuro, além de enviarem documentos que não querem na
rede da empresa ou instituição onde trabalham.
No topo da lista estava o presidente da campanha de
Hillary Clinton, John Podesta. Não havia ninguém mais bem
relacionado em Washington. Podesta fora chefe de gabinete
de Bill Clinton, organizara muitas campanhas e tinha um
conhecimento profundo de todas as questões, da mudança
climática à proteção da privacidade na era digital — um
tópico acerca do qual escreveu um relatório antes de sair da
Casa Branca de Obama, em 2015.
A sua familiaridade com as questões digitais não lhe
serviu de muito no dia 19 de março de 2016. Foi nesse dia
que uma mensagem falsa, aparentemente da Google,
apareceu na sua caixa de email. Segundo a mensagem,
alguém tentara entrar na sua conta pessoal. Mais tarde soube-
se que este email de phishing veio, não dos «duques», mas de
uma nova equipa de hackers ligados à Rússia. Com uma
mensagem do mesmo tipo, o grupo conseguiu igualmente
enganar o assessor de campanha Billy Rinehart, embora John
Podesta fosse um alvo que oferecia muito mais
possibilidades.
Podesta estava tão concentrado na recolha de fundos para
a campanha e em melhorar a qualidade da comunicação de
Hillary Clinton que havia várias pessoas a tratar-lhe do
email. Quando esta mensagem de phishing chegou, a avisá-lo
de que tinha de mudar a password, foi reenviada a um
técnico de computadores para este avaliar se era legítimo.
«O email é legítimo», respondeu Charles Delavan, um
assessor da campanha de Hillary Clinton, a um colega, o que
fizera soar o primeiro alarme para a possibilidade de o email
ser falso. «O John tem de mudar já a password.» Mais tarde
Delavan disse aos meus colegas do New York Times que este
mau conselho resultara de uma gralha: ele sabia que se
tratava de phishing porque andavam a receber emails desses
às dezenas. O que queria dizer é que se tratava de um email
«ilegítimo», um erro que (segundo) diz nunca deixou de o
atormentar.
Foi assim que a password foi imediatamente alterada. De
um dia para o outro, os russos conseguiram aceder a 60 mil
emails trocados ao longo da década anterior.
 Capítulo IX
UM AVISO CHEGADO DE INGLATERRA
«Esta conversa acerca da Rússia não passa de
FAKE NEWS postas a circular pelos democratas
e repetidas pela comunicação social com a
finalidade de disfarçar uma grande derrota nas
eleições e as fugas de informações ilegais!»
— @realDonaldTrump, 26 de fevereiro de 2017
«Eu nunca disse que a Rússia não se envolveu
nas eleições, eu disse que “pode ser a Rússia, a
China ou outro país ou grupo, ou pode ser um
génio qualquer com 200 quilos que passa o dia
na cama a brincar com o computador”.
A intriga russa foi que a campanha de Trump
esteve de conluio com a Rússia — e nunca
esteve!»
— @realDonaldTrump, 18 de fevereiro de 2018

N ameses»
primavera de 2016, Robert Hannigan era «havia 18
diretor do GCHQ, ou Government
Communications Headquarters, equivalente britânico da
NSA, onde começava a estar habituado aos rituais do ofício.
Os serviços que anteriormente prestara ao Estado haviam
sido radicalmente diferentes: negociar a paz na Irlanda do
Norte no tempo em que Tony Blair era primeiro-ministro e
gerir as disputas ferozes entre as várias agências de
informações britânicas no número 10 de Downing Street.
Mas depois fora ele próprio colocado numa dessas agências,
o GCHQ, uma estrutura burocrática com um nome discreto
que continuava a viver da reputação que conquistara com os
excêntricos brilhantes que haviam decifrado os códigos
alemães com a Enigma durante a segunda guerra mundial, e
com isso tinham salvo o Reino Unido.
A missão de Hannigan era levar o GCHQ para o século
XXI, a era dos ciberconflitos. Os chefes anteriores da
instituição quase não comunicavam com o público, mas no
seu primeiro dia em funções Hannigan disparou um tiro
certeiro na direção das empresas de Silicon Valley numa
coluna no Financial Times. «Por muito que lhes custe»,
escreveu, «tornaram-se as redes de comando e controlo
preferidas de terroristas e criminosos», e concluiu que
deviam aprender a cooperar com as agências de informações
das democracias ocidentais. No entanto, quando se instalou
nas suas funções, encontrou alguém que lhe causou mais
preocupações que a Facebook e a Google, e que foi Vladimir
Putin.
Hannigan achou que Putin estava a causar uma
«quantidade desproporcionada de tumultos no ciberespaço».
A sua equipa de milhares de especialistas em descodificação,
agentes de serviços de informações e técnicos de proteção de
redes depressa aprendeu a selecionar as provas na pilha de
informações recebida todos os dias, recolhidas na própria
pilha de mensagens de Hannigan entre computadores e
chamadas telefónicas intercetadas.
Nesse dia particular, mais ou menos por altura da Páscoa
de 2016, houve uma série de mensagens captadas nas redes
russas que se destacou.
Na terminologia pouco elegante do mundo digital, tratou-
se sobretudo de «metadados», segundo os colaboradores de
Hannigan. Para sua enorme frustração, não percebeu qual era
o conteúdo das mensagens, mas era claro que o tráfego era
controlado por uma das principais agências russas de
informações, a GRU, uma unidade militar especialmente
agressiva cuja atividade o GCHQ procurava monitorizar 24
horas por dia e sete dias por semana.
Mas o que chamou a atenção de Hannigan foi o lugar
onde as mensagens pareciam ter origem: os servidores do
computador da Comissão Nacional Democrática.
Quando Hannigan começou a perceber o que se passava
com o tráfego de mensagens, e parou para examinar o que
acabou por se revelar uma intercetação histórica, estava no
Doughnut, o nome carinhoso que os ingleses dão ao quartel-
general do GCHQ, com a sua forma bizarra, em Cheltenham.
Visto do ar, o edifício parece na realidade uma nave espacial,
como se os extraterrestres tivessem decidido descer para
beber uma cerveja num pub patusco das Cotswolds, em
Stow-on-the-Wold ou Bourton-on-the-Water, as aldeias da
época de Shakespeare não muito distantes. A conceção do
Doughnut lembrava Silicon Valley; depois de passada a
segurança, toda a gente trabalhava em áreas amplas, onde era
mais fácil cruzar ideias que entre múltiplos gabinetes
pequenos.
Entre os milhares de comunicações que o GCHQ
intercetava havia cada vez mais com origem na Rússia, que
eram diariamente separadas e postas no topo da pilha na
secretária de Hannigan. Tal como a CIA e a Agência
Nacional de Segurança, os serviços britânicos de
informações tinham sido surpreendidos pela rapidez e pela
eficácia da anexação da Crimeia por Putin em 2014. Os
países da NATO estavam suficientemente preocupados para
dedicar cada vez mais recursos a acompanhar o movimento
acrescido de bombardeiros e submarinos russos ao longo da
costa norte da Europa — com uma intensidade que ainda não
fora observada desde os tempos da União Soviética.
«Acho que nos tínhamos tornado um tanto complacentes
com a Rússia», disse-me um dos colegas de Hannigan.
«Ainda havia aquela ideia que tinha ficado dos anos 90, de
que os russos tinham caído neles e se tinham juntado ao
Ocidente para se tornarem nossos parceiros económicos.
Levámos muito tempo a perceber o que estava a passar-se.»
Os países do Báltico, próximos da Rússia, já pareciam
«uma zona cinzenta e vulnerável» que Putin procurava
desestabilizar. Pouco depois da sua chegada ao GCHQ, no
fim de 2014, Hannigan começou a fazer pressão para que
fossem intercetadas mais mensagens, mais implantes nas
redes a que o Reino Unido tinha um acesso único, um dos
últimos benefícios deixados por um Império Britânico já
desmantelado.
 Para Hannigan tudo isto era novo e fascinante. A sua
formação não tinha nada a ver com espionagem — era antes
numa área em que se cruzavam política e segurança nacional.
À primeira vista, podia-se tomar Hannigan por um burocrata
britânico típico com boas maneiras: muito bem composto,
com o pedigree perfeito para um trabalho em que a discrição
era fundamental. De acordo com um dos seus assistentes no
Doughnut, o melhor atributo de Hannigan era «o sentido de
humor e a noção do ridículo de muito do que fazemos nos
serviços de informações».
Embora Hannigan não fosse um profissional dos serviços
de espionagem, foi posto à cabeça do GCHQ porque David
Cameron, o primeiro-ministro, começara a confiar na sua
capacidade de avaliar as coisas ao fim de vários anos no
número 10 de Downing Street. Nessa altura já Hannigan
partira muita porcelana na agência, profundamente imobilista
e presa à tradição. O serviço nasceu depois da primeira
guerra mundial com o nome de Escola Governamental de
Códigos e Cifras (ou GCCS, de Government Code and
Cypher School), que descreve de forma perfeita o seu papel
no século XX. Hannigan nasceu vinte anos depois do fim da
segunda guerra mundial e a sua função era levar o GCHQ a
encontrar um papel adequado na nova era. A agência
sobrevivera aos tempos gloriosos da Enigma em Bletchley
Park e continuava a descodificar mensagens e a intercetar
chamadas, mas numa época em que defesa e agressão se
tinham mesclado inextricavelmente intercetar chamadas
telefónicas não bastava.
Hannigan começou assim a reorganizar a estrutura do
GCHQ e a forçá-lo a avançar para lá das suas funções
originais. Percebeu que, tal como a Agência Nacional de
Segurança, o GCHQ tinha de reforçar as suas capacidades
digitais — mais especificamente a «exploração de redes» e o
«ataque a redes». Mês a mês, Hannigan ia fazendo avançar a
agência em direção ao futuro. Enquanto ali estava, a agência
conseguiu desencantar um enorme número de mensagens de
recrutamento do Estado Islâmico nos seus servidores por
todo o mundo. Hannigan gostava em particular de ler as
comunicações dos ciberguerrilheiros furiosos por não
conseguirem entrar nos seus próprios canais de transmissões
e recrutamento.
Cheltenham, no limite dos Cotswolds, é um lugar
magnificamente isolado, e com a família em Londres
Hannigan teve tempo suficiente para estudar com atenção as
mensagens russas intercetadas. As que tinham dados da
Comissão Nacional Democrática eram particularmente
misteriosas.
«Não nos diziam muito», recorda o antigo dirigente da
agência. «Diziam-nos que havia uma intrusão e que alguma
informação tinha sido retirada dos servidores da comissão.
Só que eu não tinha maneira de descobrir o quê.»
Quando estudava as comunicações que os russos haviam
intercetado na Comissão Nacional Democrática, foi o seu
sentido da história que prevaleceu. Hannigan tinha apenas 7
anos quando se deu o escândalo Watergate, e mal prestara
atenção às manchetes do outro lado do Atlântico. Mas na
universidade estudara História e Ciência Política e isso
bastara-lhe para perceber a importância do que os russos
pareciam estar a fazer. «A Comissão Nacional Democrática
tinha algum significado para mim», disse-me ele, «e era um
alvo invulgar.»
Aquilo de que os russos andavam à procura não era claro.
A Comissão Nacional Democrática não era um lugar onde
pudessem encontrar segredos militares, ou mesmo políticos.
Era sobretudo uma organização que servia para redistribuir o
dinheiro das campanhas. O objetivo era um mistério.
Hannigan achou que os seus equivalentes americanos
deviam ver aquelas mensagens, e quanto mais cedo melhor.
Estudou-as mais uma vez e pediu aos colaboradores que não
se esquecessem de as assinalar quando as enviassem à NSA.
A ideia era não poderem ficar esquecidas na pilha diária de
documentos, explicou-lhes. Eram questões sensíveis e o seu
homólogo americano, o almirante Rogers, e os seus colegas
da Agência Nacional de Segurança tinham de saber o que se
passava ali.
Algumas semanas mais tarde, recorda Hannigan, recebeu
uma mensagem a assinalar a receção, vinda de um
responsável sénior do gabinete de Rogers na Agência
Nacional de Segurança. Agradeciam a chamada de atenção.
Foi a última vez que ouviu falar do assunto.
No interior da NSA diz-se que já tinham uma ideia do que
os russos andavam a fazer na Comissão Nacional
Democrática, e também que os britânicos não foram os
únicos entre os serviços de informações estrangeiros a
encontrar provas do ciberataque. No entanto, foram os mais
importantes, e isso não tem nada de surpreendente. Por
motivos históricos, geográficos, e em razão da memória do
velho império, o acesso do GCHQ às redes que entram na
Rússia e saem de lá é dos melhores entre os Cinco Olhos —
os países vencedores da segunda guerra mundial onde se fala
inglês, e que partilham tanto o fardo da recolha de
informações como uma boa parte da que recolhem6.
Hannigan descreve os Cinco Olhos mais como um clube
que como uma organização bem gerida. Foi, considera, «uma
criação da segunda guerra mundial, a altura em que
Roosevelt e Churchill tomaram a decisão política de partilhar
os seus segredos mais sensíveis em matéria de encriptação».
«Acho que os americanos teriam ficado surpreendidos
com o número de peritos britânicos que mantemos na
Agência Nacional de Segurança», disse-me um responsável
britânico com uma longa experiência alguns anos antes de a
investigação dos ciberataques russos ter começado. «E sei
que os britânicos ficariam surpreendidos se soubessem
quantos americanos estão profundamente envolvidos no
nosso sistema.»
De facto, a ligação entre a NSA e o GCHQ é tão estreita
que cada uma das organizações coloca os seus próprios
funcionários no quartel-general da outra, de maneira a serem
de facto parceiros, em vez de analistas anónimos de dois
lados de uma linha. Os documentos de Snowden revelaram
que em Bude, na costa sudoeste do Reino Unido, havia 300
analistas do GCHQ e 250 americanos em 2012, a trabalhar
em dois projetos — «Dominar a Internet» e «Exploração das
Telecoms Globais» — que recolhem muitos terabytes de
posts do Facebook, emails, chamadas telefónicas, pesquisas
no Google Maps e as histórias de quem visita certos websites
e quando. Tudo isso era legal, asseguraram os britânicos
depois de a operação ter sido revelada, mas a razão de a
secção de análise estar baseada no Reino Unido era haver
maior margem legal de manobra que nos Estados Unidos.
Por razões óbvias, ninguém quer ser muito preciso quanto
à forma como os britânicos chegaram ao tráfego que os
conduziu à Comissão Nacional Democrática, mas há várias
pistas. Os documentos de Snowden revelam que o CGHQ
tinha acesso a 200 cabos de fibra ótica e capacidade para
processar 46 em simultâneo. Pode considerar-se que se trata
de um feito invulgar, uma vez que os cabos deste tipo têm
uma capacidade de transmissão de dez gigabits por segundo.
O conteúdo desse tráfego é na maior parte encriptado, mas os
britânicos conseguiam interpretar os metadados.
O acesso dos britânicos aos cabos deve-se a dois líderes
de uma época definitivamente pré-digital: a rainha Vitória e o
presidente James Buchanan. Quando o HMS Agamemnon e o
USS Niagara se encontraram a meio do Atlântico, em 1858,
para unir o primeiro cabo de cobre, a rainha e o presidente
então em grandes dificuldades usaram a nova linha
submarina para transmitir telegramas um ao outro. Com isto
o Reino Unido tornou-se o polo crítico — o «ponto de
terminação» — de ainda mais cabos, os que ligavam toda a
Europa e a Rússia. «Pontos de terminação» são aqueles em
que os cabos chegam à costa. E tanto nos Estados Unidos
como no Reino Unido os serviços de informações pagaram a
«parceiros de interceção» — como a AT&T e a British
Telecom — para manter equipas de técnicos nesses lugares a
intercetar e retransmitir os dados. Este arranjo exige
autorizações dos tribunais de ambos os lados do Atlântico,
mantidas em segredo para evitar repercussões para as
empresas. Na época pós-Snowden, as regras que governam o
sistema tornaram-se muito mais rigorosas, mas as
informações também estavam a tornar-se mais valiosas.
Cento e sessenta anos mais tarde os cabos de cobre foram
substituídos por cabos de fibra ótica, que duram mais, têm
mais capacidade e são mais difíceis de intercetar, e
atualmente mais de 95 por cento de todo o tráfego passa
através deles. Um dos pontos de terminação, em Chipre, tem
sido uma fonte inesgotável de informações para os serviços
secretos. O mesmo acontece com outro na Ásia,
relativamente perto da Coreia do Norte. Quando o general
Keith Alexander, na altura chefe da NSA, visitou a Menwith
Hill Station, no Yorkshire, em 2008, fez uma pergunta:
«Porque não recolhem todos os sinais, sempre? Parece-me
um bom projeto de verão para Menwith.»
Esta ou uma observação semelhante podia ter sido feita
noutros pontos por todo o mundo cuja monitorização
estivesse dividida entre os Cinco Olhos. Enquanto os
britânicos se centram na Europa, no Médio Oriente e na
Rússia ocidental, os australianos monitorizam o Leste e o Sul
da Ásia — a razão por que as operações no Afeganistão são
muitas vezes dirigidas a partir de Pine Gap, no deserto da
Austrália. A Nova Zelândia tem o tráfego digital do Pacífico
Sul e do Sudeste da Ásia e o Canadá cobre o interior da
Rússia e a América Latina. Os Estados Unidos, com
orçamentos enormes, observam pontos quentes, a começar
pela China e pela Rússia, mas também África e partes do
Médio Oriente. Como é natural, esta monitorização está
sujeita às autoridades de cada um destes países, que não a
discutem de forma aberta, mesmo passados vários anos sobre
as revelações de Snowden.
Uma das razões desta realidade é esses pontos de
terminação já não serem apenas lugares onde se podem ligar
headphones. Tornaram-se igualmente sítios onde é possível
injetar implantes — malware — em redes de outros países.
«Em tempos tudo isto tinha apenas a ver com a defesa»,
explicou-me um especialista de telecomunicações, «mas hoje
também são usados em operações ofensivas.»
Representam igualmente um risco enorme, uma vez que o
fluxo das comunicações globais depende deles. Se meia
dúzia desses pontos fossem destruídos ou ocupados, o fluxo
de informações nos Estados Unidos tornar-se-ia
incrivelmente lento. As conversas telefónicas seriam
impossíveis, os mercados ficariam suspensos, as notícias
deixariam de correr. «É uma vulnerabilidade tremenda»,
disse-me um responsável britânico, «e uma grande
oportunidade.»
Não é por isso de surpreender que a Facebook e a Google
tenham começado a estender os seus próprios cabos.
O facto de os hackers russos não se terem precipitado a
tornar públicos os emails roubados a Podesta quando os
obtiveram, em março de 2016, é um sinal do seu
profissionalismo. Pelo contrário, demoraram o tempo de que
precisaram a estudar o material, procurando com o maior
cuidado as informações que podiam ser mais valiosas, como
os discursos de Hillary Clinton à Goldman Sachs. Hillary
Clinton recusara-se a divulgar esses textos, mas de repente
eles apareceram no conjunto de informações roubadas (na
realidade os ditos discursos revelaram-se muito semelhantes
aos que costumava fazer gratuitamente quando era secretária
de Estado). A estratégia russa era a paciência — o momento
de revelar o conteúdo dos emails seria aquele em que
pudessem fazer mais estragos.
Na Comissão Nacional Democrática, Yared Tamene
continuava a não ver razões para alarme. Num relatório de 18
de abril escreveu que por fim fora instalado «um conjunto
robusto de ferramentas de monitorização» — por outras
palavras, tinham decidido montar um alarme.
Só mais tarde, ainda em abril, Tamene, usando as novas
ferramentas, encontrou provas de que alguém roubara
credenciais que davam acesso a todos os documentos dos
ficheiros da Comissão Nacional Democrática. Ligou a Amy
Dacey, diretora-executiva da comissão, para lhe dizer que
houvera uma intrusão, recente e em grande escala, nos
servidores e provavelmente a maior parte dos ficheiros tinha
sido roubada — muito mais do que haviam sido roubados no
assalto ao edifício Watergate.
Embora tardiamente, o pânico instalou-se por fim.
*
Longe de Washington, um outro elemento da operação
russa estava a desenrolar-se no Texas, na Florida e em Nova
Iorque — à vista de todos.
Enquanto os serviços de informações russos contratavam
hackers para penetrar nos servidores da Comissão Nacional
Democrática, os trolls e os que criavam os bots na Agência
de Investigação da Internet em Sampetersburgo trabalhavam
a todo o vapor. Os salários já iam em 1400 dólares por
semana, uma pequena fortuna pelo padrão russo,
especialmente para jovens de 20 e poucos anos. Em troca,
estes tinham de fazer turnos de 12 horas, a postar no
Facebook sem parar acerca de temas que lhes eram
transmitidos por email. Num dos pisos, os trolls de língua
russa atacavam a oposição de Vladimir Putin. Noutro,
procuravam questões fraturantes na sociedade americana que
pudessem ser exploradas através da Internet, de maneira a
alargar ainda mais as divisões políticas da sociedade
americana.
O Texas parecia particularmente maduro para este tipo de
intervenção. Poucos dos trolls e dos bot makers alguma vez
lá tinham estado, mas tinham lido acerca do assunto na
Internet e visto a maneira como era representado nos filmes.
Não foi necessária muita imaginação para criar um grupo
chamado «Heart of Texas», que parecia estar sedeado em
Houston, embora na realidade operasse nas proximidades da
Praça Vermelha. O grupo promoveu uma manifestação para
«travar a islamização do Texas», como se houvesse tal coisa
no estado americano. Depois, num golpe de génio, os russos
criaram um grupo oposto, o «United Muslims of America»,
que marcou uma contramanifestação, com a finalidade de
«salvar o conhecimento islâmico». A ideia era motivar
americanos verdadeiros — que se tinham juntado a ambos os
grupos — e levá-los a enfrentar-se, a insultar-se, e com sorte
desencadear alguma violência.
Foi uma demonstração da facilidade com que era possível
manipular alguns grupos de cidadãos americanos na Internet
com meia dúzia de bots baratos e pessoas que imitavam
residentes verdadeiros. Mas ninguém ficou mais
surpreendido que os jovens russos em Sampetersburgo, que,
como os seus próprios emails mais tarde mostraram, nem
queriam acreditar que os seus alvos pudessem ser crédulos
àquele ponto.
*
Se quisermos apanhar um russo numa das nossas redes,
talvez não seja má ideia contratar um russo que pense da
mesma maneira que os atacantes. De acordo com este
critério, Dmitri Alperovitch era perfeito para a função.
Com 30 e poucos anos, cabelo alourado e um sorriso
rasgado, Alperovitch começava a ser uma peça do mobiliário
de Washington: um ciberespecialista que participa
regularmente em fóruns de política internacional e parece tão
interessado na geopolítica dos negócios como em bits e
bytes. No entanto, não se pode dizer que o percurso de
Alperovitch tenha sido previsível.
Dmitri Alperovitch é filho do cientista nuclear Michael
Alperovitch e viveu até aos primeiros anos da adolescência
em Moscovo, nos últimos tempos da União Soviética. Em
1986, quando Dmitri tinha mais ou menos 5 anos, Michael
escapou por pouco a uma colocação que teria deixado o filho
órfão. Havia um incêndio na central nuclear de Chernobyl e
os responsáveis soviéticos, em pânico, queriam que Michael
e os colegas fossem verificar do que se tratava. Michael teve
um mau pressentimento e recusou. Todos os cientistas que
foram morreram de cancro pouco tempo mais tarde.
 Depois de ter sido salvo por pouco, Michael começou a
achar que estava na altura de partir. A sua oportunidade não
tardou a surgir, com a desintegração da União Soviética. A
família Alperovitch partiu de Moscovo em 1994, primeiro
para Toronto e depois para Chattanooga, quando Michael
arranjou emprego na Autoridade do Vale do Tennessee.
Dmitri acabou por se matricular na Georgia Tech, de onde
saiu com um diploma no que na altura era uma área pouco
conhecida, a cibersegurança.
Depois de concluir o curso na faculdade passou por uma
série de empregos, até que entrou para a McAfee, conhecida
pelos seus antivírus, que estiveram entre os primeiros
comercializados. O seu trabalho era analisar vírus
promovidos por países, e fê-lo bem. Com o que ali aprendeu
publicou um longo artigo acerca de um grupo baseado na
China, chamado «Shady Rat», que esteve por trás de roubos
de propriedade intelectual a empresas americanas. A McAfee
tinha sido comprada pela Intel, o principal fabricante de
chips do país, e o artigo começou a espalhar-se e foi
considerado um dos trabalhos mais bem fundamentados
acerca da ligação entre o governo chinês e o que Keith
Alexander, então à cabeça da Agência Nacional de
Segurança, costumava chamar «a maior transferência de
riqueza da história».
Como seria de esperar, os chineses não gostaram muito da
investigação de Alperovitch. De um dia para o outro
começaram a aparecer nas instalações da Intel em Pequim, a
inspecionar licenças e outros documentos — sem a menor
relação com o trabalho de Alperovitch, claro. Um dia, ainda
hoje recorda, recebeu uma chamada de um dos principais
executivos da empresa. «Sabe que 60 por cento das nossas
vendas são feitas para a China?», ainda se lembra de ele ter
perguntado.
Na realidade não fazia ideia. Despediu-se na semana
seguinte e em 2011 criou a sua própria empresa de
cibersegurança, a CrowdStrike, com o empresário George
Kurtz. Se havia coisa que Alperovitch sabia fazer bem era
seguir o rasto a bits. O sócio sabia mover-se no meio da
estrutura legal dos Estados Unidos.
O negócio surgiu na melhor altura: os russos estavam a
chegar.
*
«Porque é que não aparece e fazemos um pequeno check-
up?»
Foi assim, desta forma aparentemente inocente, que
Shawn Henry fez um convite a Michael Sussmann naquele
dia de abril. Shawn Henry era um antigo especialista na área
digital do FBI que a CrowdStrike recrutara para chefe da
área de segurança e presidente da equipa de informação e
segurança. Sussmann já preparara processos de cibercrimes
para o Departamento da Justiça, depois passara para a
Perkins Coie, um escritório de advogados que tinha a
campanha de Hillary Clinton e a Comissão Nacional
Democrática entre os seus clientes.
A CrowdStrike estava habituada a este tipo de chamadas,
e passado pouco tempo os seus engenheiros forenses estavam
ligados aos computadores da Comissão Nacional
Democrática à procura de impressões digitais dos maus do
ciberespaço. Os dados começaram a chegar em grande
quantidade aos servidores de Henry e de Alperovitch.
Não chegaram a precisar de um dia inteiro para encontrar
aquilo de que andavam à procura, mas o resultado completo
foi surpreendente. Foi nesse momento que perceberam que a
Comissão Nacional Democrática fora atacada não por um
serviço de segurança russo, mas por dois. E ambos tinham
deixado muitas pistas.
Alperovitch e os colegas tinham dado o nome de Cozy
Bear ao primeiro grupo, a que o FBI chamava «os duques».
O nome era uma brincadeira com as alcunhas de Bears
(ursos) da Guerra Fria (havia outros que davam ao grupo a
designação de «APT 29», de advanced persistent threat). O
Cozy Bear fora o primeiro grupo a infiltrar-se na Comissão
Nacional Democrática, aquele que Hawkins vira a primeira
vez que ligara para a comissão, ou pelo menos era isso que
sugeriam as pistas.
Só em março de 2016 o Fancy Bear, um grupo
concorrente russo associado à GRU, a unidade do serviço de
informações militar, penetrou igualmente nos computadores
da campanha democrata para o Congresso, antes de avançar
igualmente para as redes da Comissão Nacional
Democrática. Fora esse o hack que Robert Hannigan e os
espiões do GCHQ haviam detetado. O Fancy Bear
provavelmente não sabia que o Cozy Bear, ligado ao SVR, já
lá estava. Pelo menos é essa a teoria de Alperovitch.
«Estes tipos são muito competitivos, mesmo entre eles»,
disse-me o russo. «Querem a aprovação de Putin, querem
chegar ao pé dele e dizer “Olha o que eu fiz!”» E os hackers
do Fancy Bear andavam claramente muito ocupados. Foram
eles que ficaram com os emails de Podesta.
Quando se tornou claro de onde vinham os invasores,
Alperovitch atirou-se ao trabalho de investigação. O mistério
era o que os grupos russos tencionavam fazer com as
informações roubadas. Como Alperovitch me disse um dia
secamente, «ninguém esperava que acontecesse o que
aconteceu».
*
Alperovitch sabia o que tinha de fazer na Comissão
Nacional Democrática: substituir toda a infraestrutura
informática. Se não o fizessem, nunca saberiam exatamente
em que pontos do sistema os russos haviam deixado os
implantes.
Durante as primeiras seis semanas que a CrowdStrike
passou na sede da Comissão Nacional Democrática,
trabalhou tranquilamente na substituição total do hardware,
com a desculpa habitual de que estavam a fazer a
manutenção dos computadores. Depois, durante um fim de
semana no final da primavera, deitaram todo o sistema
abaixo. Os funcionários receberam instruções para entregar
os computadores portáteis e os telemóveis para se fazer um
upgrade do sistema.
«Houve quem achasse que estavam a preparar-se para
despedir pessoal», até porque a Comissão Nacional
Democrática estava sempre com problemas de orçamento,
recorda Alperovitch. Quando descobriram que os empregos
se mantinham ficaram aliviados, mas os discos rígidos do
novo equipamento não tinham informação e tinha sido
instalado novo software.
Por essa altura já a liderança da comissão passara da
ignorância completa para o pânico total. Os responsáveis
começaram a reunir-se com os responsáveis do FBI em
meados de junho, nove meses depois de a chamada do agente
Hawkins ter sido transferida para a linha de informações da
comissão. O tempo que a Comissão Nacional Democrática e
o governo dos Estados Unidos levaram a reagir chegara para
muitos bebés terem sido concebidos e nascido. Nesse
momento a única coisa que estava em discussão era se o que
acontecera devia ou não ser tornado público.
A motivação da Comissão Nacional Democrática e da sua
presidente, Debbie Wasserman Schultz, parecia clara:
queriam conquistar alguma simpatia para os democratas, que
haviam sido atacados pelos russos, e chamar a atenção para
Donald Trump, já que até ao momento este apenas tivera
elogios para Putin. Em meados de junho a liderança da
Comissão Nacional Democrática decidiu contar a história do
ciberataque ao Washington Post. Fosse como fosse, acabaria
por rebentar, pensaram todos.
O Washington Post publicou a reportagem, mas até isso
foi um sinal da pouca atenção que na altura estava a ser dada
à manipulação russa. Nesse dia, na redação do New York
Times, procurámos acompanhar a história do Washington
Post, mas não foi fácil conseguir a atenção de editores que
cobriam a campanha eleitoral para as eleições presidenciais
mais estranhas do nosso tempo. Numa altura como aquela,
meia dúzia de russos metidos nos servidores da Comissão
Nacional Democrática não pareciam propriamente um novo
Watergate. A história saiu, mas enterrada nas páginas da
política nacional do New York Times.
A administração Obama também não parecia muito
entusiamada. Os colaboradores do presidente resistiram aos
pedidos da Comissão Nacional Democrática de que a
administração fizesse uma espécie de «atribuição», como
acontecera no caso da Sony, e de que os serviços de
informações falassem publicamente do caso associando-o
aos russos. O FBI disse que a sua investigação estava a ser
boicotada pela comissão, que continuava a considerar pouco
colaborativa; a Comissão Nacional Democrática impediu o
FBI de aceder aos seus servidores principais, de maneira que
a agência federal apenas obtinha informações em segunda
mão, através da CrowdStrike.
A relutância dos organismos oficiais em «atribuir» o
ciberataque aos russos não era tão invulgar como se possa
supor. Nos serviços de informações sempre houve resistência
a revelar fontes e métodos de trabalho. E uma coisa era uma
empresa privada de cibersegurança como a CrowdStrike
nomear os russos, outra era o governo dos Estados Unidos,
que tinha de ter um grau de certeza muito superior. «Se o
fizermos, por outro lado», disse-me um dos responsáveis do
caso, «temos de estar preparados para responder a outra
pergunta: “E o que tencionam fazer quanto a isso?”»
Sussmann, o advogado da comissão, achou o argumento
do governo ridículo. A CrowdStrike não precisara de fontes
secretas para perceber o que acontecera, e os russos também
não se tinham preocupado muito com esconder o seu rasto.
«Estamos a meio do processo de eleição de um novo
presidente e percebemos que os russos entraram nos sistemas
da Comissão Nacional Democrática», recorda-se de ter dito
numa reunião entre os líderes da comissão e o seu advogado.
«Temos de dar isto a conhecer aos americanos. E quanto
mais cedo melhor.»
Contudo, no dia seguinte ao da publicação da história no
Washington Post e no New York Times tornou-se claro que os
russos tinham um plano mais vasto.
 Alguém com o nome de código Guccifer 2.0 surgiu vindo
do nada na Internet e anunciou que fora ele — e não um
grupo russo qualquer — que entrara nos sistemas da
Comissão Nacional Democrática. O seu inglês estranho, que
se tornou uma imagem de marca dos russos, deixou claro que
não se tratava de um falante nativo da língua. Segundo ele
próprio, era apenas um hacker cheio de recursos:
*
A empresa de cibersegurança conhecida em todo o
mundo CrowdStrike anunciou que os servidores da
Comissão Nacional Democrática foram atacados por mais
de um grupo de hackers «sofisticados».
Estou muito orgulhoso por a empresa ter apreciado
desta maneira as minhas capacidades))) Mas a verdade é
que foi fácil, muito fácil.
Guccifer pode ter sido o primeiro a penetrar nos
servidores de Hillary Clinton e outros democratas, mas
não foi de certeza o último. Não admira que qualquer
hacker consiga entrar tão facilmente nos servidores da
comissão.
Que vergonha para a CrowdStrike: acham que estive
nos servidores da Comissão Nacional Democrática
durante quase um ano e levei apenas dois documentos?
Acreditam mesmo nisso?
*
Guccifer 2.0 apresentou alguns documentos, que anunciou
serem apenas uma amostra do que obtivera. Entre eles
incluía-se um longo texto preparado para a comissão com o
objetivo de ajudar os seus membros a perceberem Trump,
com capítulos que tinham títulos do tipo «Trump apenas é
leal a si mesmo» e «Trump tem revelado não fazer a menor
ideia acerca de temas-chave da política externa». Havia ainda
uma tabela com alguns dos maiores contribuintes para a
campanha de Hillary Clinton, os seus endereços e os valores
que tinham oferecido.
 «Mas isto é apenas uma pequeníssima parte dos
documentos que descarreguei das redes dos democratas»,
escreveu o hacker, e rematou com a observação de que
«milhares de ficheiros e emails» estavam já nas mãos da
WikiLeaks.
«Em breve serão publicados», previa Guccifer 2.0.
Nessa manhã tornou-se claro que o ciberataque não
servira apenas para recolher informações acerca da
campanha. Pretendia ser o equivalente de tornar pública a
conversa entre Victoria Nuland e Geoffrey Pyatt acerca da
Ucrânia. Havia apenas uma explicação para a divulgação dos
documentos da Comissão Nacional Democrática: acelerar a
discórdia entre as campanhas de Hillary Clinton e de Bernie
Sanders e embaraçar a liderança dos democratas. Foi nessa
altura que a expressão weaponizing, usar como arma,
começou a ser muito usada. Não era precisamente uma ideia
nova. A Internet limitou-se a espalhá-la mais depressa do que
as gerações anteriores alguma vez haviam imaginado.
Quem quer que tivesse seguido os grupos de hackers
russos sabia que não havia grande possibilidade de Guccifer
2.0 ser apenas um hacker solitário especialmente hábil. O
nome «Guccifer» era inspirado na alcunha de um hacker
romeno que na altura estava na prisão, depois de ter ficado
famoso por entrar nas contas de email do antigo secretário de
Estado Colin Powell e do antigo presidente George W. Bush.
Os detetives digitais não demoraram muito tempo a
desmontar a história e a mostrar as provas de que o Guccifer
2.0 era muito provavelmente uma equipa de hackers, de
alguma maneira ligada à GRU, a unidade dos serviços de
informações militares russa. Lorenzo Franceschi-Bicchierai,
que escrevia para a Vice, teve a ideia inspirada de enviar uma
mensagem direta ao Guccifer 2.0. Recebeu uma resposta
imediata: a personagem disse que era da Roménia.
Assim, Franceschi-Bicchierai usou o Google Translate
para fazer algumas perguntas a Guccifer 2.0 num romeno
bastante peculiar. As respostas vieram num romeno
igualmente estranho. Depressa se tornou claro que Gucciver
2.0 nem sequer falava a língua, que também ele estava a
recorrer ao Google Translate. Uma observação mais atenta
dos documentos que o hacker estava a publicar mostrou que
tinham sido escritos numa versão russa do Microsoft Word e
haviam sido editados por alguém que se identificou a si
mesmo como Felix Edmundovich. O nome parecia um piscar
de olho ao fundador da polícia secreta soviética, Felix
Edmundovich Dzerzhinsky (a Praça Dzerzhinsky, em
Moscovo, onde ficava o quartel-general do KGB, mudou de
nome depois da queda da União Soviética, mas a
personagem em breve seria objeto de um culto revivalista).
Quanto mais Franceschi-Bicchierai conversava online
com Guccifer 2.0, mais se convencia de que estava a lidar
com «um grupo de pessoas» que não tinham grande perícia a
cobrir os próprios rastos. Na verdade, não queriam realmente
cobri-los. E de repente apareceu um novo site para divulgar
os documentos, o DC Leaks, criado poucos meses antes, mas
onde não havia atividade desde junho. Era mais uma
indicação de que divulgar alguns documentos selecionados
era apenas uma parte de um plano mais alargado, que fora
formulado vários meses antes.
Na altura em que Donald Trump chegou a Cleveland, no
Ohio, na terceira semana de julho de 2016, para aceitar a
nomeação de um Partido Republicano ainda incrédulo com a
sua ascensão, as questões relativas à ligação da sua
campanha com a Rússia já andavam no ar. Os milhões de
dólares que Paul Manafort, o presidente da campanha de
Trump, fez na Ucrânia em nome do então exilado ex-
presidente pró-Putin estavam a ser escrutinados com cada
vez mais atenção — o que acabaria por conduzir à sua
demissão e por fim a uma acusação em tribunal. O ataque
aos servidores da Comissão Nacional Democrática só por si
já era estranho, mas a insistência de Trump de que não
podiam ter sido os russos era ainda mais estranha.
Quando cheguei a Cleveland, no entanto, o maior mistério
parecia ser a recusa de Trump de fazer o menor comentário
crítico acerca da Rússia, mas em particular de Vladimir
Putin. Todos os outros candidatos republicanos à presidência
que eu alguma vez cobrira — Bob Dole, George W. Bush,
John McCain, Mitt Romney — haviam feito esforços claros
para sublinhar as suas suspeitas quanto aos motivos da
Rússia, e em particular de Putin.
No entanto, Trump continuava a assegurar que admirava
«a força» de Putin, como se a força fosse a única qualidade
caraterística de um líder nacional. Numa entrevista com a
Fox News, recusou-se a responder se alguma fez falara com
Putin. Isto pareceu estranho, porque ao mesmo tempo estava
a tentar mostrar que seria capaz de lidar de forma mais hábil
com os líderes estrangeiros que o seu opositor, um antigo
secretário de Estado. Nunca criticou as medidas de Putin
contra a Ucrânia, a sua anexação da Crimeia ou o seu apoio a
Bashar al-Assad, na Síria. Em vez disso, pôs todos esses
assuntos de parte com uma simples declaração: «Não seria
bom que na verdade conseguíssemos entender-nos com a
Rússia? Não seria bom?»
Assim, quando eu e Maggie Haberman estávamos a
preparar-nos para a segunda entrevista acerca de política
externa com Trump, a 20 de julho — no dia anterior à sua
aceitação da nomeação do Partido Republicano —, a Rússia
era um dos nossos temas principais. Fomos conduzidos ao
seu quarto de hotel em Cleveland quando ele estava a
terminar uma reunião com Manafort, que nos cumprimentou
e saiu rapidamente da sala antes que lhe pudéssemos fazer
qualquer pergunta.
Trump estava perturbado e um pouco irritado com
qualquer coisa que acabara de ouvir acerca dele mesmo na
televisão, mas instalou-se para responder às nossas
perguntas, ansioso por mostrar que estava familiarizado com
todas as questões internacionais acesas do momento. Mais ou
menos a meio da entrevista aproveitei uma oportunidade para
lhe dizer «Tem sido muito elogioso em relação ao próprio
Putin».
«Não! Não, não tenho», insistiu ele.
 SANGER: Mas disse que respeitava a força dele.
TRUMP: Ele tem sido elogioso em relação a mim. Estou
convencido de que eu e Putin nos vamos dar muito bem.
*
Continuámos com esta conversa absurda mais um bocado.
Por mim tentei levá-lo a explicar por que razão o facto de
Putin ter sido elogioso em relação a um homem prestes a ser
nomeado candidato estava a afetar o seu juízo em relação à
forma de lidar com um adversário cada vez mais agressivo.
Quando isso não levou a nada, tentei outra abordagem,
procurando perceber se Trump defenderia os membros mais
recentes da NATO.
«Estive há pouco tempo nos estados bálticos», disse-lhe
eu, «e eles estão a observar submarinos perto das costas
deles, a ver aviões que não viam desde a Guerra Fria,
bombardeiros em missões de treino… Se a Rússia atravessar
a fronteira da Estónia, da Letónia ou da Lituânia, lugares em
que os americanos não pensam muito, iria imediatamente em
seu socorro, militarmente?»
A questão pareceu-me na realidade o ponto fundamental:
se Putin queria que fosse Trump a ganhar as eleições, tinha
de ser por achar que a vitória do candidato republicano
acabaria por minar a confiança dos aliados ocidentais de que
os Estados Unidos defenderiam a aliança. Trump procurou
evitar uma resposta direta:
TRUMP: Não quero dizer-lhe o que faria porque não quero
que Putin saiba o que eu faria. Tenho uma possibilidade
real de vir a ser presidente e não sou como Obama, que
cada vez que manda tropas para o Iraque ou para outro
sítio qualquer marca uma conferência de imprensa para o
anunciar.
*
Assim que eu e a Maggie insistimos na questão, Trump
refugiou-se noutro dos seus argumentos preferidos: os
membros da NATO pensam que podem contar connosco e
«não estão a pagar as contas deles». Nessa altura decidi ser
um pouco mais específico:
SANGER: O que eu quero saber é se os membros da NATO,
incluindo os novos membros do Báltico, podem contar
que os Estados Unidos venham em seu socorro
militarmente se forem atacados pela Rússia. Se podem
contar que cumpramos as nossas obrigações…
TRUMP: E eles? Cumpriram as obrigações deles em relação
a nós? Se cumprirem as obrigações deles em relação a
nós, a resposta é sim.
HABERMAN: E se não cumprirem?
TRUMP: Não estou a falar do que aconteceria se não
cumprirem. O que estou a dizer é que há muitos países que
não cumpriram as suas obrigações em relação a nós.
*
E foi essa a nossa história para a noite anterior à sua
nomeação oficial como candidato do Partido Republicano: o
primeiro candidato presidencial a deixar na dúvida se os
Estados Unidos sairiam em defesa dos aliados da NATO.
Mas havia outra linha de perguntas que eu queria tentar:
como responderia Trump aos ciberataques do exterior? E
referi-me em particular àqueles que «eram praticamente atos
de guerra» e «pareciam claramente vindos da Rússia».
TRUMP: Bom, nós estamos sujeitos a ciberataques.
SANGER: Sim, estamos sujeitos a ciberataques regulares.
Pensaria recorrer a ciberarmas antes de recorrer à força
militar?
TRUMP: A guerra digital é absolutamente uma coisa do
futuro e do presente. É simplesmente assim, ponto final.
Estamos sujeitos a ciberataques, por isso não vale a pena
pensar mais no assunto. E nem sequer sabemos de onde
eles vêm.
SANGER: Há quem diga que sabemos e quem diga que não
sabemos.
 TRUMP: Porque nos tornámos obsoletos. Neste momento, a
Rússia e a China, em particular, e outros sítios.
SANGER: É favorável a os Estados Unidos não só
desenvolverem mas usarem ciberarmas como alternativa a
outras formas de defesa?
TRUMP: Sim. Eu sou fã do futuro, e o digital é o futuro.
*
Foi tudo o que conseguimos saber sobre o que o candidato
nomeado pelos republicanos pensava da arma mais recente
que a Rússia e os Estados Unidos estavam a usar na luta
global pelo poder: «o digital é o futuro». Mas o pior é que
Trump confirmou as nossas suspeitas de que no mínimo
estava absolutamente à vontade com o que era claramente
uma interferência russa nas eleições. E levou-nos a pensar se,
consciente ou inconscientemente, não se teria tornado um
agente de influência de Putin.
*
Mas os emails roubados não pareciam estar a dar tanto
que falar como os hackers ligados ao GRU esperavam.
Assim, o nível seguinte do plano entrou em linha: ativar o
WikiLeaks.
A primeira fornada a sair foi enorme: 44 mil emails, mais
de 17 mil anexos. E não foi coincidência o dilúvio ter
começado poucos dias depois da nossa entrevista a Trump, e
pouco antes do início da convenção nacional democrática em
Filadélfia. O email politicamente mais significativo deixava
claro que a direção da Comissão Nacional Democrática
estava a fazer todos os possíveis para a nomeação ir para
Hillary Clinton em vez de para Bernie Sanders.
Ninguém que estivesse atento ao processo de nomeação
ficaria surpreendido com isto: embora a Comissão Nacional
Democrática seja supostamente neutral, sempre houvera a
ideia na liderança do Partido Democrático de que chegara a
vez de Hillary Clinton. A candidata era mais conhecida e
tinha o dinheiro e a experiência, e muita gente no partido
ficara com a impressão de que quando Obama aparecera, em
2008, lhe negara a sua oportunidade. A inevitabilidade a que
a sua candidatura apareceu associada acabou por ser uma das
suas fraquezas.
Acontece que os emails que foram divulgados eram tão
crus e insultuosos que acabaram por instigar as divisões
dentro do partido, precisamente na altura em que os
delegados de Sanders estavam a aparecer no meio do calor
escaldante de Filadélfia. Uma das grandes questões era se os
russos sabiam o suficiente para incentivar essas divisões, ou
se tinham tido ajuda de americanos com interesse em
prejudicar o Partido Democrático.
Se o objetivo dos russos era apenas lançar o caos, pode
dizer-se que o alcançaram. Debbie Wasserman Schultz, a
congressista da Florida, teve de se demitir de presidente da
Comissão Nacional Democrática precisamente antes da
convenção que se esperava que dirigisse.
Por fim o país — ou pelo menos quem estivesse a
observar de perto o que acontecia nesse momento — estava a
acordar. A meio da convenção dos democratas, no fim de
julho, escrevi com a minha colega Nicole Perlroth: «Há uma
questão invulgar a captar a atenção dos ciberespecialistas, os
peritos russos e os líderes do Partido Democrático em
Filadélfia. Será que Vladimir V. Putin está a tentar imiscuir-
se na eleição do presidente dos Estados Unidos?»
O gestor de campanha de Hillary Clinton, Robby Mook,
acusou os russos de terem divulgado os dados «com a
finalidade de ajudar Donald Trump», embora não tenha
mencionado provas.
Mook sugeriu que as respostas que Trump nos dera na
semana anterior, acerca da ajuda da NATO aos países do
Báltico, haviam representado um momento de viragem. Uma
afirmação deste tipo não tinha precedentes. Mesmo no meio
da Guerra Fria, escreveu Robby Mook, «seria difícil um
candidato presidencial acusar o seu rival de estar
secretamente a fazer o jogo de um adversário importante dos
Estados Unidos». Pela primeira vez, foi levantada a questão
de o próprio Putin estar por trás da divulgação dos
documentos.
Esse problema já estava a ser discutido na CIA e na
Agência Nacional de Segurança. Dois dias mais tarde, em
Washington, começou a espalhar-se que uma avaliação
preliminar da questão pela CIA que já circulava na Casa
Branca — altamente confidencial — concluía, com «elevado
grau de confiança», que era o governo russo que estava por
trás do roubo de emails e documentos da Comissão Nacional
Democrática. Era a primeira vez que o governo dava uma
indicação de que podia haver uma conspiração mais
ambiciosa em ação.
Ainda assim, publicamente, a Casa Branca manteve o
silêncio. As provas obtidas pela CIA, escrevi com o meu
colega do New York Times Eric Schmitt, «deixam o
presidente Obama e os seus conselheiros para a Segurança
Nacional perante uma decisão política e diplomática difícil:
acusar publicamente o governo do presidente Vladimir V.
Putin de estar por trás dos ataques».
Na realidade, no interior da administração começava a
surgir uma disputa precisamente acerca deste ponto. O que
na altura ainda não sabíamos era que havia um desacordo
entre as duas maiores agências de segurança. O «elevado
grau de confiança» da CIA baseava-se em parte em fontes
humanas no interior da Rússia, mas a NSA não estava na
disposição de subscrever a conclusão. Ainda não tinha dados
suficientes nem intercetara conversas que permitissem fazer
a mesma afirmação com mais que um modesto «grau
moderado de confiança» de que o ciberataque fora uma
operação da GRU e de que fora ordenado por Putin.
«Estava aqui em causa o fundamental do papel e das
intenções reais da Rússia», disse-me um responsável sénior
que participou no debate no início de agosto, logo a seguir às
convenções. «E por fim Obama, que em geral é bastante
tranquilo em relação a estas coisas, pareceu ficar muito
animado. O que ele disse foi “preciso de clareza”, e não
havia clareza» em relação a quem ordenara o ataque ou aos
seus verdadeiros objetivos.
O próprio Trump parecia também perceber o que estava
ali em causa. «A última anedota que corre por aí», escreveu
no Twitter, «é que foi a Rússia que divulgou os desastrosos
emails da Comissão Nacional Democrática, que nunca
deviam ter sido escritos (estúpido), porque Putin gosta de
mim.»
Em breve isto deixaria de ser uma anedota.

6 Além dos Estados Unidos e do Reino Unido, os outros

países são, naturalmente, o Canadá, a Austrália e a Nova
Zelândia.
 Capítulo X
UM DESPERTAR LENTO
«Nesta nova era digital, vamos ter de nos
assegurar de que trabalhamos ininterruptamente
para encontrar o equilíbrio entre
responsabilidade e abertura e transparência que
é a marca da democracia.»
— Barack Obama, na sua última conferência de
imprensa na Casa Branca, 18 de janeiro de
2017

N ohackers
final de julho de 2016, com os emails roubados pelos
afiliados ao GRU a aparecerem dia sim dia não
no site da WikiLeaks, Victoria Nuland, instalada no seu
gabinete no Departamento de Estado, rodeada por carpetes e
muitas outras recordações de viagens por países distantes,
começou a fazer uma lista das medidas que gostaria que o
governo dos Estados Unidos tomasse para dificultar a vida a
Vladimir Putin.
O rol era longo, e um dos colegas de Victoria Nuland
disse mais tarde que «estava mais orientado para a punição
que para a dissuasão». No entanto a lista circulou entre um
pequeno grupo de responsáveis do Departamento de Estado e
do Conselho Nacional de Segurança, e este apelo à ação de
Victoria sublinhou que os Estados Unidos tinham muitas
opções.
A lista começava com o óbvio: se Putin queria jogar o
jogo de divulgar informações embaraçosas, porque não fazê-
lo sentir o que era ser vítima de uma coisa semelhante? (Ela
própria tinha experiência disso, depois da divulgação do
famoso telefonema entre ela e o embaixador americano na
Ucrânia.) Os serviços secretos americanos tinham
conseguido um bom retrato do vasto império financeiro de
Putin, espalhado por todo o mundo em contas secretas fora
da Rússia. Muitas estavam em nome dos seus amigos
oligarcas. Não seria justo, perguntava Victoria aos colegas,
fazer algumas revelações em momentos adequados acerca
das centenas de milhões de dólares, ou talvez milhares de
milhões, que Putin acumulara?
Além disso havia muito a revelar acerca dos próprios
oligarcas, que tinham retirado muitos milhares de milhões de
dólares da economia russa — uma das razões por que
atualmente se encontra moribunda — e usado parte desse
dinheiro para comprar apartamentos de 100 milhões de
dólares em Londres. Se se juntassem a isso algumas
revelações acerca dos seus negócios mais escuros, muitas
dessas fortunas poderiam ser congeladas, o que ameaçaria
não só os próprios oligarcas mas também o estilo de vida que
proporcionavam aos filhos.
Havia outras opções que iam muito para além do
embaraço. Celeste Wallander, especialista em questões russas
no Conselho Nacional de Segurança, e Michael Daniel, o
chefe da ciberpolícia da Casa Branca, que estava a dirigir a
equipa que tentava mitigar os estragos, queriam saber como
se poderia preparar uma resposta deste género. Daniel,
normalmente um homem polido, especialista em questões
orçamentais, era um veterano em matéria de ciberataques da
Rússia, o suficiente para defender que Putin só recuaria se
recebesse um bom murro no nariz. Se não lho dessem,
«continuaria simplesmente a fazer o que sempre fez». Seria
possível, perguntaram, tanto ele como Celeste Wallander,
queimar os servidores usados pelo DCLeaks e por Guccifer
2.0 para espalhar os emails roubados, ou mesmo atacar
diretamente o WikiLeaks? Uma das ideias era realizar
ataques eletrónicos ao GRU, para deixar claro que a Agência
Nacional de Segurança sabia como os seus sistemas de
comando e controlo funcionavam e como podiam ser
danificados ou mesmo destruídos.
No entanto, a NSA fez um aviso: fossem quais fossem os
danos causados aos russos por Washington, teriam um
impacto meramente temporário, e o seu custo seria
gigantesco. Os russos perceberiam que as suas redes tinham
sido invadidas pela NSA, e de que maneira. «Não me parece
boa ideia», disse um dos ciberguerreiros que se opunham a
estas ideias, «com tão pouco impacto a longo prazo.»
Havia uma opção mais radical que não deixaria de receber
toda a atenção de Putin: paralisar a economia russa com um
ataque frontal ao seu sistema bancário e um corte da sua
ligação ao SWIFT, a câmara de compensações internacional
de todas as transações bancárias.
«Parecia uma ideia maravilhosa», observou mais tarde um
dos colegas de Victoria Nuland com um sorriso, «até
começarmos a pensar no que isso faria aos europeus», que
continuam a precisar do gás natural russo para o aquecimento
no inverno. Como disse um dos principais conselheiros do
presidente Obama: «Ninguém estava com vontade de
telefonar aos alemães e de lhes dizer que o inverno ia ser
especialmente longo e frio porque os russos estavam a meter-
se na campanha de Hillary Clinton.»
Segundo três das principais conselheiras de Obama para
questões de segurança nacional, nenhuma destas
recomendações chegou ao presidente antes das eleições de
2016 (informalmente, várias foram discutidas com ele). Estas
conselheiras, no topo da pirâmide da segurança nacional —
Susan Rice, conselheira para a Segurança Nacional, Avril
Haines, vice de Susan Rice, e Lisa Monaco, conselheira para
a Segurança Interna —, foram todas de opinião que era
importante ripostar contra os russos, e de que assegurar a
segurança do processo eleitoral devia ser prioritário.
«Essa foi a nossa preocupação principal», afirmou Denis
McDonough, chefe de gabinete de Obama, que concordou
com esta abordagem cautelosa. «O presidente deixou claro
que a integridade das eleições vinha em primeiro lugar.» Era
importante fazer os russos pagarem um preço, mas isso podia
esperar até os votos terem sido contados.
E assim começou a espera.
*
 Quando o GRU — através de Guccifer 2.0, DCLeaks e do
WikiLeaks — começou a divulgar os emails, cada revelação
acerca das divergências internas na Comissão Nacional
Democrática ou dos discursos de Hillary Clinton em eventos
para recolha de fundos foi um acepipe para os repórteres
políticos. O conteúdo das informações divulgadas
sobrepunha-se à questão mais relevante de saber se alguém
— a começar pelas organizações noticiosas que divulgavam
os conteúdos dos emails — estava a servir os interesses de
Putin.
Desde o momento, no início de agosto, em que John
Brennan, diretor da CIA, começou a enviar relatórios em
envelopes fechados para a Casa Branca, a administração
começou a preocupar-se com a possibilidade de uma
conspiração mais vasta. Talvez, receavam os responsáveis, o
ciberataque à Comissão Nacional Democrática tivesse sido
apenas uma salva de abertura, ou uma manobra de distração.
Na altura já iam aparecendo relatórios acerca de «sondas»
introduzidas nos sistemas eleitorais no Arizona e no Illinois,
todas elas relacionadas com os hackers russos. Seria possível
que Putin tivesse um plano mais alargado para atacar o
sistema eleitoral a 8 de novembro? E seria fácil desmontar
um ataque desse tipo?
Em parte, a preocupação de Obama com a possibilidade
de um ciberataque no dia das eleições resultava do alarme
com que um pequeno grupo dos seus assistentes via as
missivas confidenciais enviadas por Brennan. Os envelopes
continham relatórios de um pequeno grupo de informadores
russos altamente colocados na órbita de Putin — incluindo
pelo menos uma fonte tão sensível que Brennan não queria
que os relatórios fossem mencionados no memorando da
reunião diária com o presidente, que circulava entre muitas
pessoas na Casa Branca, no Departamento de Estado e no
Pentágono. Foi em grande parte com base nestas fontes
relativas às intenções e às ordens de Putin que a CIA afirmou
com «grande grau de confiança» que o ciberataque à
Comissão Nacional Democrática fora da iniciativa do
governo russo, numa altura em que a Agência Nacional de
Segurança e outros serviços de informações ainda tinham
dúvidas em relação ao assunto. As fontes falavam de uma
campanha coordenada às ordens do próprio Putin, um
ciberataque à maneira mais moderna — subtil, passível de
ser negado e lançado em simultâneo em várias frentes —,
incongruentemente organizado por trás dos muros com mais
de 600 anos do Kremlin. Putin não achava que Trump
pudesse ganhar as eleições, concluiu a CIA. Tal como quase
toda a gente, estava persuadido de que seria Hillary Clinton,
a sua arqui-inimiga, a vencer. No entanto, esperava
enfraquecê-la preparando o terreno pós-eleitoral para a ideia
de que ela vencera graças à fraude eleitoral.
Mais tarde Brennan argumentou que Putin e o seu pessoal
sénior tinham dois objetivos: «O primeiro era minar a
credibilidade e a integridade do processo eleitoral nos
Estados Unidos. Queriam prejudicar Hillary Clinton. A ideia
era que ela seria eleita, e queriam que a sua imagem estivesse
manchada na altura da tomada de posse», afirmou em
conversa em Aspen, no Colorado, no verão de 2017, seis
meses depois de ter deixado a CIA. Mas Putin não queria
excluir nenhuma possibilidade, concluiu Brennan, de
maneira que «continuou a tentar promover as hipóteses de
Trump».
A possibilidade de a Rússia interferir no processo
dependia da resiliência da infraestrutura eleitoral americana.
Essa infraestrutura era administrada por funcionários dos
estados, que não gostavam que o governo federal se
envolvesse muito de perto. Algumas das fraquezas do
sistema em estados críticos eram conhecidas de todos. Na
Pensilvânia, em particular, não havia quase boletins de
segurança de papel para as máquinas de voto. Mesmo que
fosse decidida uma auditoria pós-eleitoral à votação, não
havia nenhuma forma viável de confirmar que a contagem
correspondia de facto aos votos reais. Havia outros estados
com vulnerabilidades semelhantes, mas ninguém fizera um
apanhado de pormenor do problema em todo o país. De
início «ninguém percebeu realmente quais eram as fraquezas
do sistema de votação — se era ou não possível um
ciberataque», disse-me mais tarde Avril Haines.
Para perceber as vulnerabilidades, Obama ordenou
secretamente uma avaliação nacional de informação. A
avaliação nacional de informação é normalmente um
documento secreto elaborado por um grupo independente,
chamado Conselho Nacional de Informação, que analisa
tópicos vastos e prepara um relatório das vulnerabilidades e
das capacidades dos Estados Unidos na matéria em questão.
Este conselho sempre foi conhecido pela independência e
pela disposição para desafiar ocasionalmente as ideias
correntes sobre a realidade. Até à altura já analisara, entre
outras questões, a capacidade nuclear do Irão, a estabilidade
da liderança chinesa e até as implicações das alterações
climáticas para a segurança nacional. No entanto nunca
ninguém solicitara a este grupo uma avaliação sistemática da
suscetibilidade do sistema de votação americano a uma
influência externa.
Enquanto a administração aguardava o relatório, Trump
começou a falar da possibilidade de manipulação das
máquinas de votos, aparentemente a abrir terreno para o
argumento, que seria apresentado em 9 de novembro, de que
Hillary Clinton ganhara graças à fraude eleitoral. Começou a
falar do assunto no ambiente acolhedor do programa de Sean
Hannity na Fox News, no dia 1 de agosto, e subiu de tom
numa manifestação onde surgiu o que viria a ser uma das
palavras de ordem da sua campanha: «Estou convencido de
que as eleições vão ser fraudulentas.» Nunca falou de
quaisquer provas, nem de quem iria ser responsável pela
fraude. Não era preciso: esta retórica ecoava na convicção
dos seus apoiantes de que o «estado profundo» ia manipular
os acontecimentos de forma a impedir que ele acedesse à
presidência. Mais tarde haveria de dirigir-se a um grupo de
manifestantes no Wisconsin com as seguintes palavras:
«Lembrem-se de que estamos a concorrer a eleições
fraudulentas. (…) Eles querem chegar ao ponto de manipular
as câmaras de votos, que em muitas cidades são corruptas e
onde a fraude eleitoral é habitual.»
Tudo isto obedecia a um padrão perturbador. A publicação
dos documentos da Comissão Nacional Democrática parecia
estar a ser altamente coordenada. A propaganda russa estava
a ser lançada a alta velocidade. Embora ainda ninguém
tivesse percebido a extensão do problema, dizia-se que
haviam aparecido notícias falsas acerca do estado de saúde
de Hillary Clinton, que normalmente ficavam limitadas a
uma câmara de eco que as fazia saltar do canal de televisão
russo Russia Today para a Breitbart News, porta-voz de
Steve Bannon. «Na altura não percebi que dois terços dos
adultos nos Estados Unidos recebem as notícias através das
redes sociais», afirmou Avril Haines, uma das pessoas da
equipa de Obama que mais refletiram acerca do impacto dos
movimentos sociais nos processos democráticos. «Foi por
isso que, temos de confessar, embora soubéssemos alguma
coisa dos esforços dos russos para manipular as redes sociais,
não reconhecemos logo a extensão da nossa
vulnerabilidade.»
As férias de Obama em Martha’s Vineyard criaram um
prazo-limite informal para a sua equipa de segurança
nacional. Na altura em que o presidente regressou a
Washington, na última semana de agosto, já todos tinham
percebido que precisavam de procurar opções, a começar por
formas de proteger a infraestrutura de votação.
Jeh Johnson, o antigo conselheiro-geral do Departamento
da Defesa, que na altura era secretário para a Defesa Interna,
começou a defender, em privado e em público, que o sistema
eleitoral dos Estados Unidos era uma «infraestrutura crítica»
e justificava uma proteção especial — da mesma maneira
que a rede de distribuição elétrica ou o Monumento a
Lincoln. O argumento pareceu convincente: se o suporte da
democracia americana, a sua capacidade de realizar eleições
livres e justas, não fosse considerado uma «infraestrutura
crítica», o que poderia sê-lo? Mas quando Johnson organizou
uma videochamada com os responsáveis estatais pela
votação, as discrepâncias entre estes tornaram-se evidentes.
Falou dos «relatórios perturbadores» que se encontravam
sobre a sua secretária, acerca de amostragens e avaliações do
sistema no Arizona e noutros estados, mas defrontou-se com
um verdadeiro muro de desconfianças. Se esperava encontrar
apoio para uma iniciativa de emergência para ajudar as
comissões eleitorais de cada estado a enfrentar as suas
cibervulnerabilidades, estava completamente enganado.
«Digamos que não encontrei muita recetividade», disse-
me quando fui vê-lo com o meu colega Charlie Savage à
velha base naval onde está instalado o quartel-geral do
departamento e o centro de operações de emergência. O
secretário de Estado da Geórgia, Brian Kemp, disse a
Johnson que estava certo de que as chamadas provas de
ciberataques não passavam de um pretexto para o governo
federal tentar dominar os sistemas eleitorais sedeados em
cada estado (mais tarde Kemp acusou o Departamento de
Segurança Interna de ter penetrado nos sistemas informáticos
do estado e deixou a impressão de que estava mais
preocupado com Washington que com Moscovo).
Durante a nossa entrevista Johnson nunca pronunciou a
palavra «Rússia», embora todos soubéssemos quem eram os
responsáveis pelo esforço de penetrar nos cadernos eleitorais.
Nessa altura ainda estava proibido de dizer o óbvio, porque o
óbvio ainda era confidencial. Mesmo assim, as provas
reunidas por Johnson iam-se acumulando. Em junho alguns
responsáveis do Arizona descobriram que as passwords de
um dos funcionários ligados ao processo de votação tinham
sido roubadas, o que criou o receio de que um hacker que se
tivesse apoderado delas entrasse no sistema de
recenseamento. A base de dados esteve dez dias offline para
ser feita uma análise forense dos dados que permitisse
perceber se houvera alterações não justificadas. No Illinois a
situação aproximou-se mais do pânico: o sistema de
recenseamento foi atacado e as informações acerca dos
eleitores roubadas. Os analistas forenses sugeriram que o
ciberataque fora conduzido por grupos russos conhecidos.
No quartel-general da segurança interna, de Johnson, as
equipas informáticas estavam preocupadas com a
possibilidade de, uma vez no interior das bases de dados do
recenseamento, os hackers alterarem números da Segurança
Social ou apagarem eleitores dos cadernos.
«Isto bastaria para criar um verdadeiro caos no dia das
eleições», disse-me um responsável sénior da Casa Branca.
«Não era preciso mexer muito na base de dados.» Na altura
não houve muitos a dizê-lo, mas poucos meses depois das
eleições a segurança interna afirmou que tinha provas de
intrusões semelhantes nos sistemas de outros trinta estados,
aproximadamente. Ninguém explicou porque não fora esta
informação divulgada na altura.
Os receios, embora cada vez maiores, continuavam
baseados numa conjetura: os hackers russos haviam
basicamente sido apanhados a sondar os sistemas, mas não a
mudar o que quer que fosse. E uma vez que nenhum dos
funcionários envolvidos tinha autorizações do nível de
segurança apropriado, o telefonema de Johnson, feito do
lugar onde passava férias, nos Adirondacks, não levara a
nada. Johnson fora proibido de dar quaisquer informações
específicas aos funcionários dos estados. As regras de
confidencialidade — supostamente com a intenção de
impedir que os russos soubessem que as suas atividades
estavam a ser observadas — não permitiram que fizesse o
seu trabalho. Mais uma vez, a suposição, que é quase um
reflexo de defesa, de que todas as informações relacionadas
com ciberataques têm de ser mantidas altamente
confidenciais teve um custo elevado para os Estados Unidos.
Para agravar ainda mais as coisas, Johnson nunca chegou
a especificar quais eram as provas de que era a Rússia que
estava por trás das intrusões no sistema de votação. Um aviso
escrito do FBI aos diferentes estados afirmava apenas que a
informação fora «exfiltrada» do sistema do Arizona, mas não
indicava para onde fora encaminhada. Como as dúvidas dos
outros serviços de informações ainda não tinham sido
resolvidas, a posição oficial do governo dos Estados Unidos
era não fazer acusações quanto a quem estava por trás dos
ataques. «Foi o pior memorando, e o mais vago, que já li
vindo de um funcionário do Estado», ouvi a outro
responsável. «A culpa não foi do Jeh. Ele limitou-se a
respeitar as regras. Só que não pôde apresentar provas.»
James Clapper enfrentou um problema semelhante: vira
todas as provas mas disse-me nesse verão que não podia
«fazer atribuições» até as diferentes avaliações dos serviços
de informações estarem de acordo. A sua prudência é
compreensível, mas saiu cara. A paranoia dos serviços de
informações com a proteção das fontes e dos métodos
impediu-os de prevenir os alvos dos ciberataques — as
comissões eleitorais de 50 estados — de que um dos países
mais hábeis do mundo em matéria de cibersegurança os tinha
na sua mira.
Entretanto, Brennan reunira discretamente uma equipa de
intervenção formada por elementos da CIA, da Agência
Nacional de Segurança e do FBI para estudar as provas.
Quando começou a ficar seriamente alarmado, decidiu avisar
pessoalmente a liderança do Senado e do Congresso quando
às infiltrações dos russos. Não foi uma tarefa fácil: a maior
parte destas pessoas estava espalhada por todo o país, sem
ligações telefónicas seguras. Ainda assim conseguiu
contactá-las a todas. Os senadores e os congressistas com
quem falou tinham autorizações de níveis de
confidencialidade que lhe permitiram descrever os esforços
dos russos com pormenores que Johnson estava proibido de
mencionar.
Depois de Harry Reid, o líder democrático do Senado, ter
recebido a informação através de uma ligação segura em Las
Vegas, ficou agitado e receoso de que o governo não
estivesse a responder devidamente à ameaça. Talvez por eu
ter andado a escrever acerca do assunto ao longo desse verão,
telefonou-me para o Vermont, onde o meu esforço de tirar
mais alguns dias de férias antes de as eleições entrarem na
fase final estava a fracassar. Reid acabara de receber uma
comunicação pormenorizada de um «responsável sénior dos
serviços de informações», contou-me. Não tive grandes
dúvidas de que fora Brennan, que nas últimas semanas
andara seriamente concentrado na questão russa. Reid não
me contou pormenores do que soubera, por serem
confidenciais, mas a sua frustração era evidente. Ainda assim
sugeriu-me uma pista: «Putin está a tentar meter-se nestas
eleições», contou-me. Sempre atento à contabilidade dos
votos, defendeu que bastava a Rússia concentrar-se em
«menos de seis» estados críticos para poder alterar os
resultados.
*
Vladimir Putin teria sem dúvida de ser confrontado com
as provas da Comissão Nacional Democrática e com as
amostragens à condição dos sistemas de votação dos estados.
A verdadeira questão estava em como fazê-lo.
A regra máxima de Obama para a política externa,
explicada ao meu colega Mark Landler e a outros a bordo do
Air Force One durante uma viagem à Ásia, era muito clara:
«Não fazer cretinices» (obrigou os jornalistas a repeti-la em
uníssono). Como precaução, não estava mal; muitas das
piores decisões da política externa dos Estados Unidos nas
duas últimas décadas haviam começado dessa maneira. No
entanto, como princípio orientador no que dizia respeito a
lidar com Vladimir Putin, não era muito específica. Antony
Blinken, o vice-secretário de Estado, apresentou as coisas de
forma sucinta: uma vez que ninguém tinha realmente
percebido se os russos haviam plantado código no sistema de
votação — uma espécie de bomba que pudesse ser detonada
a 8 de novembro —, a abordagem cautelosa neste caso era ir
devagar. «Nunca é bom começar uma disputa destas sem
uma ideia clara do que pode resultar daí», disse-me Blinken.
Brennan formulou a questão de forma apenas ligeiramente
diferente: ninguém quer «uma escalada deste tipo a meio de
uma campanha presidencial».
Obama estava especialmente preocupado com a
possibilidade de parecer estar a tomar partido — ou, ao fazer
uma declaração pública sobre as ações da Rússia, de ficar nas
mãos de Putin ao admitir, antes de um único boletim entrar
nas urnas, que as eleições estavam comprometidas. Assim, a
Casa Branca desenvolveu um plano em duas partes:
conseguir que os líderes do Congresso, democratas e
republicanos, fizessem uma declaração conjunta de
condenação das ações da Rússia, e depois Obama confrontar
Putin numa cimeira em que ambos planeavam participar no
início de setembro.
Obama enviou Lisa Monaco, juntamente com James
Comey, o diretor do FBI, e Jeh Johnson, a Capitol Hill para
explicar como o governo federal pensava ajudar os estados.
Assim que iniciaram a sessão com doze líderes do
Congresso, conduzida por Mitch McConnell, as coisas
começaram a correr mal. «A discussão transformou-se numa
disputa partidária», contou-me mais tarde Lisa Monaco.
«McConnell pura e simplesmente não acreditou no que lhe
estávamos a dizer.» Entre outras coisas, repreendeu os
responsáveis dos serviços de informações por estarem a
entrar naquilo a que chamou a deriva da administração
Obama, recorda um dos outros senadores presentes. Comey
ainda tentou argumentar que a Rússia já antes se envolvera
em atividades deste tipo, embora dessa vez isso estivesse a
acontecer numa escala muito mais vasta. Isto não levou a
nada. Depressa se tornou evidente que McConnell não
aceitaria nenhuma acusação aos russos.
«Foi um dos dias mais desanimadores que vivi enquanto
trabalhei para o governo federal», concluiu Lisa Monaco.
Uma sessão posterior, com menos pessoas presentes, que
Obama organizou na sala oval, não acabou melhor.
O encontro de Obama com Putin na cimeira, a 5 de
setembro, estava planeado como o desenlace. Quando
iniciaram a sessão de trabalho de 90 minutos em Hangzhou
não houve nenhuma das piadas forçadas que em geral abrem
estas reuniões. Conscientes de que havia câmaras preparadas
apontadas a ambos, os dois, como os lutadores de sumo,
ficaram à espera do sinal para iniciar o combate. Nessa altura
atacaram-se mutuamente. A avaliação da firmeza com que
Obama ameaçou Putin varia com os testemunhos. No
entanto, o seu aviso essencial foi que os Estados Unidos
tinham poder para destruir a economia russa cortando todas
as suas transações — e que usariam esse poder caso
estivessem convencidos de que a Rússia estava a interferir
nas eleições.
Obama terminou a sessão interrogando-se em voz alta
sobre se Putin não se importaria de viver com «um conflito
constante de baixa intensidade». Referia-se especificamente
à Ucrânia, mas podia estar a falar de uma das muitas arenas
em que o líder russo gostava de intervir como
desestabilizador. Da perspetiva de Putin, um conflito
perpétuo de baixa intensidade era perfeito; na verdade, era a
única maneira de restabelecer a relevância política da Rússia
na arena global. «Não me parece que haja nisto nada de
chocante», afirmou James Clapper, um dos poucos veteranos
da Guerra Fria na equipa de Obama, depois do encontro com
Putin. «Acho que só se tornou mais dramático agora porque
eles começaram a ter ciberarmas.»
A administração continuou a envolver os seus debates em
secretismo. Não houve acesso aos vídeos dos encontros no
Conselho Nacional de Segurança, tal como aconteceu por
ocasião do ataque para matar Bin Laden. Susan Rice
manteve um controlo apertado de quem era informado da
realização das reuniões; sempre preocupada com fugas de
informação, receava que neste caso elas viessem a pressionar
Obama.
Só muito depois das eleições alguns responsáveis se
mostraram na disposição de explicar a razão do secretismo e
de a transmissão do vídeo ter sido impedida. Na realidade, os
principais conselheiros do presidente tinham recebido um
plano de pormenor da Agência Nacional de Segurança e do
Cibercomando acerca de possíveis retaliações contra a
Rússia. Alguns teriam inutilizado os servidores usados para
montar os ataques russos a alvos americanos, outros teriam
desativado a Agência de Investigação da Internet, e muitos
mais estavam inclinados para embaraçar Putin ou fazer o seu
dinheiro desaparecer. «O plano era muito pormenorizado»,
disse-me um antigo responsável.
As ideias estavam limitadas a meia dúzia de responsáveis
de topo: muitos dos responsáveis máximos da Casa Branca e
do Departamento de Estado com pastas ligadas à Rússia não
foram ouvidos no respeitante aos pormenores. No entanto, os
principais conselheiros de Obama voltaram a hesitar. Já era
visível que os russos estavam a recuar e as tentativas com os
sistemas de votação estatais tinham abrandado de forma
dramática depois do encontro entre o presidente americano e
Putin. Atingir os russos precisamente nesse momento,
quando parecia que tinham percebido a mensagem, parecia-
lhes contraproducente.
Mais ou menos pela mesma altura, os resultados da
avaliação nacional de informação acerca da vulnerabilidade
do sistema de votação começaram a circular. Por uma vez as
notícias eram boas. O Conselho Nacional de Informação
concluía que um ciberataque em grande escala às próprias
máquinas, embora não fosse impossível, era suficientemente
difícil para ser muito pouco provável. A maior parte das
máquinas não estava ligada à Internet, o que significava que
os hackers teriam de estar fisicamente presentes em lugares-
chave para poderem interferir nos resultados. Teoricamente,
seria possível entrar no software das máquinas antes das
eleições, mas uma vez que cada localidade tinha um sistema
diferente, e muitas vezes várias máquinas de tipo diferente,
seria muito difícil que isto acontecesse. Na Casa Branca o
alívio foi visível.
Pelo menos até Clapper ter falado. Quando isso aconteceu
avisou que, se os russos quisessem mesmo insistir, tinham
outro caminho, mais fácil: os implantes deles já estavam
profundamente instalados na rede elétrica americana. Não
valia a pena os Estados Unidos estarem preocupados com as
máquinas de voto — a forma mais eficiente de transformar o
dia das eleições numa trapalhada, em que todos acusariam
todos, seria mergulhar as principais cidades na escuridão,
ainda que apenas por algumas horas.
 Houve uma «espécie de silêncio momentâneo», recordou
um dos participantes na reunião, «em que percebemos que
toda a gente estava a absorver a informação».
*
Mas houve outra coisa a ser absorvida em Fort Meade:
não só os russos estavam dentro da infraestrutura eleitoral,
como podiam estar no interior da unidade de operações de
acesso a alvos específicos, a Tailored Access Operations, o
centro de operações de ciberguerra dos Estados Unidos.
Em meados de agosto, quando os democratas ainda
estavam a tentar perceber o que os hackers russos andavam a
fazer-lhes, a NSA descobriu que não eram apenas os
memorandos da campanha que estavam a aparecer na
Internet. Também havia amostras das ferramentas que a
unidade de operações de acesso a alvos específicos tinha
usado para penetrar nas redes de computadores da Rússia, da
China e do Irão, entre outras.
Estas ferramentas — de código concebido para explorar
vulnerabilidades nos sistemas da Microsoft a manuais com
instruções para fazer os próprios ciberataques — estavam a
ser divulgadas por um grupo que se chamava a si próprio
Shadow Brokers. Os ciberguerreiros da agência sabiam que o
código que estava a ser divulgado era malware que eles
próprios haviam escrito. Era o código que permitira à NSA
colocar implantes em sistemas estrangeiros, onde poderiam
ficar inativos anos a fio — a não ser que o alvo soubesse do
que andava à procura. O que os Shadow Brokers estavam a
fazer era como publicar um catálogo de produtos.
Na NSA, esta fuga de informações foi considerada muito
mais grave que o caso Snowden. Apesar de toda a
publicidade e atenção da comunicação social a Snowden,
uma personalidade sombria, apesar de atraente, que
continuava a fazer manchetes a partir do seu exílio na Rússia,
os Shadow Brokers estavam a fazer estragos muito maiores.
Snowden divulgou senhas e documentos de PowerPoint a
descrever o equivalente a planos de batalha. Os Shadow
Brokers tinham deitado as mãos ao código, ou seja, às
próprias armas. Estas haviam custado dezenas de milhões de
dólares a criar, implantar e explorar. E nesse momento
tinham sido publicadas onde todos as podiam ver — e onde
todos os outros elementos ativos da ciberguerra, da Coreia do
Norte ao Irão, podiam ir buscá-las para uso próprio.
«Toda a gente ficou boquiaberta», disse um antigo
funcionário da TAO, a unidade de operações de acesso a
alvos específicos. «Era como trabalhar na Coca-Cola e um
dia ver que alguém tinha acabado de pôr a fórmula secreta na
Internet.»
A divulgação inicial foi seguida por muitas outras,
acompanhadas de insultos em mau inglês, muitos palavrões e
bastantes referências ao caos da política americana. Os
Shadow Brokers prometeram um «serviço mensal de
limpeza» de bens roubados e deixaram várias sugestões —
talvez com a intenção de induzir em erro — de que por trás
de tudo havia hackers russos. «As pessoas de seguranças
russas», dizia uma das missivas, «está a tornar-se hackers da
Rússia nas noites, mas só de luas cheias.»
Os posts levantaram muitas questões. Teriam sido russos a
levar a cabo a divulgação dos documentos, e, se assim fosse,
teria sido o GRU, que estava a atacar a NSA como atacara os
democratas? Os hackers do GRU teriam penetrado no cofre
digital da TAO, a unidade de operações de acesso a alvos
específicos — o que não parecia provável —, ou haveria um
informador interno, ou talvez vários? E este ciberataque
estaria relacionado com outra perda de ciberferramentas,
igualmente embaraçosa, pelo Centro de Ciberinformações da
CIA, que andava a aparecer havia vários meses no site da
WikiLeaks com a assinatura Vault 7?
Mas o mais importante era saber se havia uma mensagem
implícita na publicação destas ferramentas — a ameaça de
que, se Obama perseguisse os russos com demasiado
empenho a propósito das eleições presidenciais, mais código
da autoria da NSA acabaria por se tornar público?
 No interior da Agência Nacional de Segurança estas
questões eram cada vez mais discutidas. No entanto não
houve qualquer referência pública ao assunto. Os
investigadores da NSA para a contraespionagem, o Grupo Q,
partiram para uma caça alargada a «Snowdens ainda por
descobrir», como disse um responsável sénior. A agência,
que se vira forçada a uma certa abertura depois de Snowden,
e a explicar a sua missão e a base legal para o que poderia e
não poderia espiar, voltou a fechar-se como antes. De súbito
os funcionários viram-se forçados a fazer testes de polígrafo
e vários foram suspensos. Alguns foram-se embora. Um
hacker de topo da unidade de operações de acesso a alvos
específicos não podia ganhar muito mais de 80 mil dólares
por ano na NSA mas no setor privado ganharia
significativamente mais. Muitos haviam optado por fazer
menos dinheiro para penetrar em sistemas estrangeiros em
defesa dos interesses americanos, no entanto nessa altura
reconsideraram: esse sacrifício valeria a pena se depois era
compensado com atitudes de desconfiança e testes com
detetores de mentiras?
«O Snowden deixou o moral muito em baixo», disse-nos
um analista da unidade de operações de acesso a alvos
específicos quando eu, Scott Shane e Nicole Perlroth
começámos a investigar o Shadow Brokers. «Mas pelo
menos sabíamos quem ele era. Nessa altura a situação era a
agência andar a interrogar pessoas inteiramente dedicadas a
uma missão, que eram acusadas de mentir.»
A parte pior era o medo resultante de não se saber se a
hemorragia já parara. Com os seus implantes em sistemas
estrangeiros expostos, a NSA ficou temporariamente às
escuras. Numa altura em que a Casa Branca e o Pentágono
estavam a exigir mais opções contra a Rússia e uma
campanha mais intensa contra o Estado Islâmico, a agência
andava a perder tempo a construir novas ferramentas porque
as anteriores haviam sido denunciadas.
O almirante Rogers e outros líderes da agência
suspeitavam que os russos estavam por trás do ataque, ou
pelo menos eram os seus beneficiários. A Agência Nacional
de Segurança já fora atingida por Moscovo em 2015, duas
vezes. Primeiro, a Kaspersky Lab, o grupo russo de
cibersegurança mais famoso, e o fabricante do conhecido
software antivírus, publicara um relatório acerca do que
chamara o Grupo Equação, com uma lista de malware
implantado em dezenas de países. Não era precisa muita
subtileza a ler entre as linhas para perceber que o Grupo
Equação era na realidade a unidade de operações de acesso a
alvos específicos — algum do malware que a Kaspersky
sublinhou como trabalho do grupo incluía código do ataque
ao Irão com a Operação Jogos Olímpicos. Depois, para
provocar ainda mais a NSA, a Kaspersky lançou novas
versões do seu software antivírus, usado por 400 milhões de
pessoas em todo o mundo, que detetava e neutralizava parte
do malware da unidade de operações de acesso a alvos
específicos.
Depois o Shadow Brokers começou a vangloriar-se: «Nós
atacar Grupo Equação», escreveram. «Nós encontrar muitas
ciberarmas do Grupo Equação.»
Não era muito claro se tinham realmente atacado o Grupo
Equação, mas houve dois incidentes que envolveram
empresas que trabalhavam com a Agência Nacional de
Segurança que parecem ter alguma relação com a forma
como os segredos mais negros da unidade de operações de
acesso a alvos específicos foram divulgados — e, pelo
menos de acordo com a opinião da maior parte dos
responsáveis, acabaram nas mãos dos russos.
O primeiro ocorreu no final de 2014 ou princípio de 2015,
quando um funcionário da NSA de 67 anos, Nghia H. Pho,
levou para casa alguns documentos confidenciais. Pho
nasceu no Vietname e naturalizou-se americano. A partir de
2006, e durante uma década, trabalhou com as questões mais
confidenciais da unidade de operações de acesso a alvos
específicos. No entanto, ao fim de cerca de quatro anos, de
acordo com provas apresentadas em tribunal, começou a
levar documentos confidenciais para casa, muitos deles em
forma digital.
Acontece que Pho usava o antivírus Kaspersky, que
alguém, provavelmente num dos serviços de informações
russos, manipulara brilhantemente de forma a procurar
palavras de código da NSA — e Pho, ao que tudo indica,
levara para casa documentos que continham algumas dessas
palavras. De facto, os antivírus Kaspersky parecem
proporcionar às agências secretas russas uma porta das
traseiras para qualquer computador em que sejam instalados.
Para Rogers, o caso Pho foi um desastre: fora chamado
para arrumar a casa depois do problema com Snowden, e não
para criar outras vulnerabilidades. Depois, no início de
outubro de 2016, as coisas agravaram-se ainda mais. Os
investigadores que estavam a tentar perceber o que se
passava com os Shadow Brokers prenderam outro
empregado da Booz Allen Hamilton, Harold Martin III, que
tinha a casa e o carro, numa zona suburbana de Glen Burnie,
no Maryland, cheios de documentos confidenciais, muitos
deles da unidade de operações de acesso a alvos específicos.
Martin mantinha grande parte dos documentos roubados em
forma eletrónica, e no total tratava-se de «muitos terabytes»
de informação, de acordo com o FBI. Mas estes documentos
não se limitavam à NSA: os processos do tribunal afirmam
que este material havia sido igualmente roubado, em lugares
onde Martin estivera previamente colocado, à CIA, ao
Cibercomando e ao Pentágono.
Martin não parecia estar a trabalhar para os russos, mas o
material em seu poder incluía algumas das ferramentas da
unidade de operações de acesso a alvos específicos que
tinham acabado por ser postas à venda pelos Shadow
Brokers. No entanto, o facto de Martin possuir os materiais
não significava que os Shadow Brokers os tivessem
adquirido através dele, o que deixava aberta a possibilidade
de haver ainda mais fugas de informações nos sistemas da
Agência Nacional de Segurança.
 Rogers nunca estivera sujeito a tanta pressão. O
Pentágono já estava a pressioná-lo para saber de onde
vinham todas as fugas. O almirante recebeu uma repreensão
oficial, segundo alguns colaboradores da altura, embora a
NSA não aceite discutir o assunto. Nem Rogers. E o
momento não podia ser pior: o almirante estava sob ataque
precisamente quando a Casa Branca lhe pedia
ciberalternativas para lidar com a Rússia, medidas que
dissuadissem Putin de novas ações contra os Estados Unidos.
Mas e se os hackers de Putin já tivessem armas do arsenal
da NSA?
*
Os materiais divulgados pelos Shadow Brokers alarmaram
as agências de informações, porque sugeriam que o caso
Snowden não era único; os ciberguerreiros dos Estados
Unidos haviam sido repetida e profundamente
comprometidos. No entanto, Obama e a sua equipa não
tinham tempo para o assunto. O debate na sala de crise era
acerca da forma de lidar com a Rússia, e isso não tinha
qualquer semelhança com o que andava a ser discutido na
campanha presidencial.
Trump, por seu lado, ia fazendo tudo para lançar dúvidas
sobre a fiabilidade das informações acerca da interferência
russa. Era «impossível» encontrar a origem dos ciberataques
em geral, garantia ele, o que é claramente falso. Difícil sim,
impossível não. No primeiro debate com Hillary Clinton,
defendeu que não havia provas de que a responsabilidade
fosse da Rússia, e acrescentou, o que ficou famoso, que
podiam ter sido os chineses ou «alguém sentado na sua cama
e que pesava 200 quilos». Por ridículo que isto parecesse, era
um lembrete de como esta questão tinha um aspeto
misterioso aos olhos do público em geral. A questão dos
ciberataques parecia tão complexa e enigmática que o
assunto por si só já se prestava à mistificação política e às
declarações falsas.
 As afirmações de Trump aumentaram a pressão sobre a
administração para acusar os russos — e mostrar provas.
Estava longe de ser claro que isso pudesse acontecer. Obama
evitara nomeá-los depois das intrusões na Casa Branca e no
Departamento de Estado, bem como de um ciberataque
posterior e especialmente ousado aos computadores dos
chefes de Estado-Maior das forças armadas — por isso era
perfeitamente possível que a sua prudência excessiva
voltasse a prevalecer. No entanto, por volta de outubro,
Obama já concluíra que os ataques à campanha eram
diferentes. Não se tratava apenas de espionagem, constituíam
um ataque aos valores e às instituições americanas —
estavam mais próximos dos ataques à Sony, que Obama
considerou uma ofensiva contra a liberdade de expressão.
Obama ainda assim hesitou em fazer uma comunicação em
que os russos fossem especificamente nomeados. Ia parecer
demasiado político, explicou aos assessores.
Assim, a 7 de outubro, Clapper fez uma declaração a
partir do gabinete do diretor nacional dos serviços de
informações, também assinada por Jeh Johnson, que
continuava a tentar convencer as comissões eleitorais dos
diferentes estados a analisarem os seus sistemas em busca de
malware (curiosamente, Comey, com receio de envolver
ainda mais o FBI na campanha política, não quis assinar a
declaração; três semanas mais tarde voltou a deixar-se
apanhar no remoinho reabrindo, e fechando logo a seguir, a
investigação aos emails de Hillary Clinton). A declaração
confirmava o que o país já sabia — pelo menos os que
tinham prestado atenção ou não tinham simplesmente posto o
assunto de lado por acharem que se tratava de simples
manipulação política: «A comunidade dos serviços de
informações dos Estados Unidos está convencida de que o
governo russo se encontra por trás da recente divulgação de
emails de pessoas e instituições, incluindo de organizações
políticas.» O documento afirmava ainda que «alguns estados
penetraram em sistemas relacionados com as eleições em
busca de informações» a partir da Rússia, mas não chegou ao
ponto de acusar o governo russo.
 No interior da Casa Branca houvera um debate vigoroso
em torno da possibilidade de acusar Putin diretamente e de
perceber se, no caso de ser diretamente acusado, isso o
levaria a intensificar a ação. O resultado acabou por ser uma
declaração muito moderada: «Estamos convictos, com base
na amplitude e no caráter sensível destes esforços, de que
apenas um alto responsável russo poderia ter autorizado estas
atividades.» Para evitar lançar o pânico — e a vitória fácil
que isso proporcionaria a Putin —, a declaração incluía uma
conclusão, cuidadosamente formulada, de que «seria
extremamente difícil alguém, mesmo um Estado-nação,
alterar a contagem dos sufrágios ou os resultados das
eleições através de ciberataques ou outro tipo de intrusões».
A declaração tinha apenas três parágrafos. Não oferecia
qualquer prova, embora houvesse muitas, uma omissão que
acabou por beneficiar Trump, porque sem provas podia
continuar a proclamar que não era certo que a Rússia tivesse
alguma coisa a ver com o assunto. Foi a primeira vez na
História dos Estados Unidos que uma potência estrangeira
foi acusada de procurar manipular eleições presidenciais em
grande escala.
Podia ter sido uma grande notícia, não fosse a péssima
ocasião em que aconteceu.
Precisamente quando a declaração do governo acerca da
interferência da Rússia começava a circular, o Washington
Post publicou a notícia da gravação áudio de Trump, de
2005, do Access Hollywood, que dizia «quando és uma
estrela deixam-te fazer o que quiseres, podes fazer tudo»,
incluindo atos claramente de violência sexual. Por momentos
pareceu que os dois golpes iam pôr fim às suas
possibilidades — a intervenção dos russos a seu favor e a
gravação sub-reptícia.
No entanto, como a própria Hillary Clinton escreveu, os
acontecimentos vieram dar razão «ao velho lugar-comum de
Washington de que os pequenos escândalos contínuos podem
acabar por ser mais prejudiciais que uma história única
realmente grave. A gravação de Trump era como o
rebentamento de uma bomba, e os estragos foram grandes e
imediatos, mas não apareceram novas gravações, de maneira
que a história não se desenvolveu». Por outro lado, a
gravação e o que se seguiu amorteceram em grande parte a
discussão das informações divulgadas pelas agências. Uma
hora depois, o WikiLeaks começou a divulgar os emails de
John Podesta, que já haviam sido roubados em março. De
súbito, toda a gente se concentrou no que Hillary Clinton
dissera nos discursos na Goldman Sachs, e nas discussões
internas acerca das suas deficiências como candidata. Putin
voltara a ter sorte. Os emails de Podesta dominaram a
atualidade no último mês de campanha, em vez da maneira
como haviam sido tornados públicos. E Obama decidiu que
as sanções contra a Rússia só avançariam se parecesse que os
seus avisos a Putin — reiterados numa carta secreta ao líder
russo que os antigos membros da administração não querem
discutir — não tinham resultado.
Tanto o FBI como Brennan comunicaram que havia um
decréscimo contínuo de intrusões nos sistemas de votos dos
estados. Ninguém sabia muito bem como interpretar o facto
— era possível que os russos simplesmente já tivessem
deixado os implantes nos seus alvos. No entanto, como disse
um responsável sénior, «não faria sentido impor sanções»
precisamente quando os russos estavam a recuar.
A administração decidiu adiar a questão da dissuasão —
ou da punição — algumas semanas, para depois das eleições.
*
O dia das eleições passou sem quaisquer penalizações
contra Putin, quase sem indicações de ciberatividade suspeita
nas câmaras de voto, e com a eleição de um candidato que
afirmava que provavelmente não houvera ciberataques, e que
se tivesse havido provavelmente não teriam sido os russos.
De repente todas as decisões que haviam sido tomadas em
relação aos russos tinham de ser reexaminadas. «Supusera-se
que Hillary Clinton ganharia e que teríamos tempo de pensar
numa série de ações que pudessem ser levadas a cabo pela
administração seguinte», disse-me um responsável sénior da
Casa Branca. «De um dia para o outro fomos confrontados
com decisões em relação às quais já não podíamos recuar.»
A equipa de Obama ficou estarrecida. John Kerry sugeriu
que se criasse uma comissão à imagem da que fora criada
para o 11 de setembro para lidar com as questões relativas à
intrusão russa: a ideia foi rejeitada. O mesmo aconteceu com
as propostas de Victoria Nuland de divulgar informações
embaraçosas acerca do próprio Putin.
Mesmo então, no rescaldo da vitória assombrosa de
Trump, Obama não estava convencido a tomar medidas
imediatas contra Putin, os oligarcas ou o GRU. A sua
preocupação era que os Estados Unidos perdessem a
superioridade moral. Ainda assim, o arrependimento na voz
de Obama foi claro quando falou com os jornalistas em
meados de dezembro. Expôs os factos, incluindo a admissão,
reveladora, de que apenas soubera do ciberataque à
Comissão Nacional Democrática no «princípio do verão» de
2016, sem mencionar que isso aconteceu nove meses depois
de o FBI ter feito o primeiro telefonema para o quartel-
general da comissão. «A minha esperança é que o presidente
eleito tenha igualmente a preocupação de se assegurar de que
não pode haver influências de outros países no nosso
processo eleitoral. Não me parece que os americanos
queiram que uma coisa dessas aconteça. E a questão não
deve sequer ser passível de discussão.»
Como é evidente, foi precisamente o que aconteceu.
Obama parecia determinado a não apontar para o contexto
muito mais amplo em que Putin incluíra o ciberataque, um
contexto que acabara por ensombrar o segundo mandato do
presidente cessante: os ataques à Ucrânia, as intrusões na
rede de distribuição elétrica americana, a batalha digital com
os hackers russos pelo controlo da rede não confidencial na
própria Casa Branca de Barack Obama. «Não se tratou de
nenhum esquema complexo e elaborado de espionagem»,
afirmou o presidente, que menosprezou os emails que os
russos haviam publicado como «coisas de rotina, algumas
delas embaraçosas ou desconfortáveis». A grande
preocupação, sugeriu, era a forma como toda a gente — a
comunicação social e os eleitores — se havia fixado no
assunto.
E defendeu assim a sua decisão de não falar no assunto
antes desse momento. «O meu objetivo principal no período
anterior às eleições foi assegurar que estas decorriam sem o
menor sobressalto, que não iam ficar manchadas ou
alimentar no público a impressão de que houvera
manipulação do processo de votação.» Contudo, disse ainda,
«isso não significa que não vamos responder».
Quando a resposta veio, pareceu saída de um manual de
diplomacia. Trinta e cinco «diplomatas» russos foram
expulsos do país, a maior parte deles espiões, alguns
suspeitos de estar na origem de ciberataques à infraestrutura
americana. Algumas instalações russas foram encerradas,
incluindo o consulado em São Francisco, onde foram visíveis
resquícios de fumo negro dos documentos que os russos
queimavam. A Casa Branca anunciou igualmente o
encerramento de duas propriedades diplomáticas russas, em
Long Island e no Maryland. O que a administração não disse
foi que uma delas estava a ser usada pelos russos para
penetrar no subsolo, onde se ligavam a uma linha importante,
que provavelmente lhes daria acesso tanto a conversas
telefónicas como a mensagens eletrónicas — e talvez um
novo acesso livre a redes informáticas dos Estados Unidos.
No entanto, acima de tudo, como disse um dos assessores de
Obama, «foi uma perfeita resposta do século XIX a um
problema do século XXI».
À despedida, Obama ordenou que algum código — fácil
de descobrir — fosse introduzido em sistemas russos, a
mensagem «Kilroy esteve aqui», que mais tarde foi
interpretada por alguns como uma espécie de bomba-relógio
deixada nas redes do adversário. Se assim foi, não chegou a
ser detonada. Como dissuasor não teve grande êxito. Na
verdade, os russos em grande medida tinham ganho. Como
afirmou Michael Hayden, o antigo diretor da CIA e da NSA,
fora a «operação secreta mais bem-sucedida da história».
 *
As sanções com que a administração Obama se despediu
desencadearam o primeiro escândalo da transição Trump: o
general Michael Flynn, nomeado para a segurança nacional,
informou tranquilamente o embaixador russo de que
estudaria a questão das sanções assim que o novo presidente
tomasse posse. Mais tarde mentiu em relação à conversa, foi
apanhado, demitiu-se, e admitiu a culpa em relação a ter
mentido ao FBI.
Entretanto, numa reunião um tanto bizarra na Torre Trump
conduzida por Clapper, Brennan, Comey e Rogers, as provas
confidenciais do papel de Putin nos ciberataques
relacionados com as eleições foram apresentadas a Trump.
Mais tarde o presidente considerou Clapper e Brennan,
oficiais de carreira, «hacks políticos», e despediu Comey, em
grande parte por ter prosseguido com a investigação da
questão russa e por ter recusado declarar a sua lealdade ao
novo presidente.
O despedimento de Comey conduziu à nomeação de um
conselheiro especial, Robert Mueller, que foi descobrindo
camada após camada de provas do envolvimento dos russos
na campanha de Trump. Nessa altura Comey compareceu
perante o Congresso e afirmou que os russos não só tinham
interferido, mas além disso voltariam a fazê-lo. «Não tem a
ver com serem democratas ou republicanos (…)», afirmou.
«Vão voltar seja qual for o partido que escolham e vão tentar
defendê-lo. E não é que sejam fiéis a algum deles, pelo
menos de acordo com a minha experiência. Isto tem apenas a
ver com a vantagem deles. E hão de voltar.»
Trump, segundo admitiram os seus próprios conselheiros,
recusava discutir o assunto: considerava toda a investigação
do tema um esforço para enfraquecer a sua legitimidade. Por
essa razão, nunca pareceu capaz de conceber uma estratégia
para lidar com Moscovo — o que deixou Putin em vantagem.
Só a 7 de julho de 2017, seis meses depois de ter iniciado
a sua presidência, Donald Trump se encontrou por fim com
Vladimir Putin. Havia anos que se observavam mutuamente,
cada um a pensar em formas de manipular o outro, antes de
se sentarem finalmente frente a frente, em Hamburgo, na
Alemanha, à margem de uma cimeira do G20.
Por essa altura estava a tornar-se claro para Putin que a
sua aposta de que Trump ia pôr fim às sanções que estavam a
sufocar a Rússia estava a falhar de forma espetacular. Mesmo
o Congresso republicano, normalmente leal a Trump de
forma quase exagerada, estava prestes a aprovar novas
sanções contra a Rússia devido à intervenção do país nas
eleições americanas. Trump não pôde vetá-las. E a corrida às
armas estava a acelerar.
Putin e Trump conferenciaram à porta fechada durante
duas horas e um quarto. Trump foi apenas acompanhado de
Rex Tillerson, o infeliz secretário de Estado que seria
despedido sem cerimónia por Twitter oito meses mais tarde.
De acordo com o que Tillerson nos relatou, a um grupo de
jornalistas, depois do encontro, falaram de assuntos que
foram da Síria ao futuro da Ucrânia. No entanto Tillerson
também disse que «houvera uma troca de impressões robusta
e demorada» acerca do ciberataque às eleições e fora
acordado um encontro entre responsáveis russos e
americanos para criar «uma plataforma em que houvesse
alguma capacidade de ajuizar o que estava a acontecer no
mundo digital e como responsabilizar os seus autores».
Pouco depois do fim da cimeira, Trump dirigiu-se ao Air
Force One e ligou-me quando já estava no ar. Queria
descrever o seu encontro com Putin. A maior parte do que
Trump me disse foi a título particular, mas acabou por repetir
várias vezes parte das coisas ditas nessa tarde ao longo dos
dias seguintes ao falar acerca da reunião.
Segundo me contou, levantou três vezes a questão do
ciberataque e Putin negou sempre o seu envolvimento. No
entanto, o mais notável é a explicação que ele deu. Trump
perguntou-lhe se estivera metido na trapalhada com as
eleições. Putin negou, e disse: «E se tivéssemos estado não
tínhamos sido apanhados, porque somos profissionais.»
 Trump disse-me que acreditava nessa explicação. «Achei
que era um bom argumento, porque eles estão entre os
melhores do mundo», disse-me ele, uma afirmação que
repetiria quase palavra por palavra dois dias mais tarde.
Perguntei ao novo presidente se acreditava no desmentido de
Putin apesar das provas que Clapper, Brennan, Comey e
Rogers lhe haviam apresentado seis meses antes — algumas
delas retiradas de comunicações russas intercetadas. Trump
respondeu que Clapper e Brennan eram duas das pessoas
«politicamente menos independentes» que ele conhecia e que
Comey era responsável por fugas de informações.
Tornou-se claro que Trump considerava a questão da
interferência da Rússia nas eleições um assunto encerrado.
Depois o Air Force One afastou-se e a nossa linha foi
cortada.
*
Mais de dois anos depois, com o benefício de algum
distanciamento, a sequência de sinais ignorados e de decisões
precipitadas que permitiu que a Rússia interferisse nas
eleições americanas parece-nos incompreensível e
imperdoável — e ainda assim inteiramente previsível num
país que ainda não percebeu bem as muitas variedades de
ciberconflitos possíveis.
Muitos dos erros iniciais nasceram da inércia burocrática e
da falta de imaginação: o FBI embrulhou a investigação e o
pessoal da Comissão Nacional Democrática estava a dormir
ao volante. Esta combinação mortal permitiu que os hackers
russos se passeassem com toda a liberdade entre os ficheiros
da comissão antes que a liderança do partido e o presidente
dos Estados Unidos fossem avisados do que estava a
acontecer. O tempo que entretanto se perdera foi desastroso.
Se os russos tivessem atacado o sistema eleitoral de uma
maneira mais óbvia — envenenando candidatos, por
exemplo, da mesma maneira que envenenaram dissidentes
—, qualquer presidente teria tomado medidas. Obama apenas
hesitou porque os russos se movimentaram na zona cinzenta
do ciberconflito. Na altura em que por fim respondeu, já
depois das eleições, era demasiado tarde.
É provável que tenhamos de pagar este erro ainda por
muitos anos. Como James Comey disse acerca dos russos:
«Eles vão voltar.»
Alguns dos que atualmente analisam as decisões tomadas
no verão e no outono de 2016 — políticos e pessoal dos
serviços de segurança e de informações, especialistas em
questões russas e jornalistas — descrevem a sequência de
eventos como uma falha em grande escala na recolha e no
tratamento da informação. No entanto, não foi uma falha no
sentido clássico da palavra. Não precipitou os Estados
Unidos numa guerra com falsos pretextos e não menosprezou
o progresso do programa nuclear russo, ou o da Coreia do
Norte. Pelo contrário, a falha teve a ver com o fracasso no
confronto com o nível de perícia e criatividade que os russos
estavam a investir em novas capacidades em todo o mundo e
com o seu poder quando se trata de reforçar as fraturas
políticas e sociais da sociedade americana. A nossa fixação
no tipo de ciberataques que achávamos que percebíamos —
contra as redes de distribuição de energia, os bancos ou as
centrifugadoras nucleares — não nos permitiu prestar
atenção ao esforço de manipulação dos eleitores.
«Terá sido um ciber-11 de setembro?», perguntava Susan
Gordon, vice-diretora dos serviços de informações nacionais
e antiga analista da CIA, um ano depois das eleições. «Não
sei. Talvez tenha sido, porque afetou coisas mais
fundamentais que a nossa rede elétrica — afetou o
funcionamento da nossa democracia. Só que na altura não foi
fácil apercebermo-nos disso.»
Ainda assim, o que aconteceu não se assemelhou muito a
um ataque como o do 11 de setembro. Esse foi concebido
como um acontecimento singular e espetacular. O ataque ao
sistema eleitoral americano foi o oposto. Prolongou-se por
muitos meses. De início foi difícil de detetar, e depois de
detetado era por natureza fácil de negar. Em parte foi
descoberto antes de os americanos irem às urnas, mas a
campanha nas redes sociais só se tornou evidente vários
meses depois de Donald Trump ter sido eleito. E até hoje
ninguém conseguiu provar que realmente afetou o resultado
das eleições. Na realidade, a discussão em torno dos seus
efeitos acabou por contribuir para acentuar as divisões
políticas, como pretendiam os russos.
Todo o fenómeno tirou partido de uma verdadeira
tempestade tecnológica. Precisamente na altura em que os
russos estavam a concentrar o seu esforço, havia empresas,
como a Facebook a fazer alterações que acabaram por
beneficiar os adversários dos Estados Unidos. A transição
consciente do Facebook para o papel de potência global de
transmissão de notícias, e da adaptação destas ao gosto de
cada um, combinou na perfeição com o desejo da Rússia de
acentuar as divisões na sociedade americana. Mas o pior é a
Facebook, e a Twitter não se terem mostrado suficientemente
empenhadas em perceber de que forma os seus sistemas
estavam a ser usados por jovens trolls russos e bot makers
que sabiam tirar partido dos algoritmos que fazem funcionar
os seus sistemas. É impossível saber se a campanha russa
conseguiu modificar as opiniões e as ideias das pessoas. No
entanto, a verdade é que essas empresas, que tanto detestam
Donald Trump, inventaram um sistema que pode ter ajudado
a elegê-lo.
Não há dúvida de que a decisão dos russos de passar de
uma operação de espionagem com o objetivo de perturbar as
eleições para um esforço direto para eleger Donald Trump
empurrou o país numa direção inesperada. Hoje pensamos
nos efeitos dos ciberataques de uma forma completamente
diferente. Há apenas cinco anos, a nossa preocupação
principal era o roubo de propriedade intelectual pela China.
Depois vieram os esforços de vingança da Coreia do Norte e
as ameaças do Irão ao sistema financeiro.
Contudo, os ataques russos expuseram mais do que as
normas da administração Obama para o ciberconflito, apesar
dos muitos anos de ataques em escalada cada vez mais
engenhosos. A abordagem multifacetada da Rússia, inspirada
na teoria Gerasimov, sublinha o fracasso da administração
em prever que os ciberataques podem ser usados para
boicotar mais do que bancos, bases de dados e redes de
distribuição elétrica — podem ser usados para enfraquecer o
próprio tecido da democracia.
 Capítulo XI
TRÊS CRISES NO VALE
«Se me tivessem perguntado, quando comecei
com o Facebook, se uma das coisas com que
teria de me preocupar mais seria impedir os
governos de interferirem em eleições noutros
países, nunca, mas nunca, teria posto essa
possibilidade, pelo menos se me tivessem
perguntado no meu dormitório em 2004.»
— Mark Zuckerberg, acerca do uso dos dados
da Facebook nas eleições presidenciais, março
de 2018

A bomba do ataque-suicida explodiu em frente do Stade de

France, em Saint-Denis, às 21.20 do dia 13 de novembro
de 2015. Foi a primeira de três. Nove minutos mais tarde
iniciaram-se os tiroteios nas ruas de Paris, desencadeando o
pânico entre as pessoas que jantavam em restaurantes, e que
fugiram pelas suas traseiras tentando evitar ser as últimas
vítimas do Estado Islâmico.
Vinte minutos depois do primeiro ataque, os agressores
entraram no Bataclan, na altura em que a canção Kiss the
Devil saía dos altifalantes. Algumas das pessoas que se
encontravam ao fundo da sala ouviram o grito de «Allahu
Akbar». E depois rebentou o tiroteio. Primeiro veio do
balcão, depois das alas, e entretanto os terroristas iam
percorrendo a sala a atirar sobre tudo o que mexia. Na altura
em que os ataques de Paris terminaram, um pouco depois da
meia-noite, 130 pessoas tinham morrido, dois terços presas
na ratoeira do teatro e das ruas mais próximas.
O que aconteceu a seguir era previsível: o Estado Islâmico
reivindicou os ataques e começaram as recriminações sobre
quem deixou os jihadistas moverem-se livremente através
das fronteiras da França e da Bélgica (onde é possível entrar
sem controlo de passaportes se se vier de outros países da
União Europeia) e a promessa do presidente François
Hollande de «ser impiedoso com os bárbaros do Daesh».
Mas depois surgiu uma aliança quase militar, silenciosa mas
fascinante, entre a Facebook, o FBI e as autoridades
francesas para apanhar o resto da célula do Estado Islâmico.
Quando os corpos de alguns dos nove terroristas foram
fotografados, os investigadores da polícia recorreram ao
Facebook para a identificação destes e dos seus amigos no
resto da Europa e do mundo. Procuraram assim membros do
Estado Islâmico que tivessem ajudado a preparar os ataques
ou que estivessem na altura a preparar ataques futuros.
Depressa se tornou claro que vários destes terroristas tinham
mais de uma conta de Facebook, um reflexo das suas
múltiplas personalidades. Alguns pareciam ter estilos de vida
europeus normais, mas outros, sob nomes falsos, tinham
vidas que eram claramente de luta contra o Ocidente. Os
franceses e o FBI obtiveram ordens do tribunal ao fim de
poucas horas ou até minutos, passadas por juízes em Nova
Iorque que estavam de turno. Assim a Facebook pôde
partilhar legalmente dados acerca dos suspeitos de
terrorismo. O que apareceu foi um verdadeiro tesouro de
ligações entre perfis de utilizador e números de telefone
associados. Nalguns casos a polícia chegou mesmo aos
endereços de IP dos últimos lugares de onde os terroristas
tinham acedido às suas contas.
«Assim que obtivemos um número de telemóvel», disse
uma das pessoas envolvidas na investigação, «eles ficaram
sem qualquer hipótese de escapar.»
A polícia francesa e a polícia belga, com a ajuda dos
serviços de informações da União Europeia e do Centro
Nacional de Luta Antiterrorista na Virgínia, nos Estados
Unidos, começaram a triangular os telemóveis dos terroristas
até descobrirem onde eles estavam escondidos. A 15 de
novembro, a polícia fez raides em centenas de lugares.
Alguns dias mais tarde vários agentes envolveram-se numa
troca de tiros com membros do Estado Islâmico em Saint-
Denis. Seguiram-se ainda vários raides na Bélgica.
À primeira vista, a rapidez e o êxito da caça ao homem
oferecem uma prova clara de como as redes sociais, usadas
com prudência, podem tornar-se armas contra organizações
que lançam o terror, e que de resto usaram as mesmas armas
para recrutar, organizar e comunicar com os seus membros.
As ligações estabelecidas com tanta rapidez entre a
comunidade do Facebook e os apoiantes do Estado Islâmico
ajudaram a desmantelar a rede de suporte da célula. Nunca
saberemos a quantas pessoas esta ação terá salvado a vida.
No entanto, a lição a retirar do que aconteceu em Paris
não é assim tão simples. A única questão que anima mais os
europeus que a caça aos membros do Estado Islâmico é o
instinto de competição na proteção da privacidade dos seus
cidadãos de gigantes como a Facebook. Pouco tempo depois
deste ataque, os executivos da Facebook encontraram-se com
responsáveis da União Europeia para discutir as novas regras
que iriam entrar em vigor para proteger a privacidade dos
seus cidadãos — regras que limitam o tipo de informações
que as empresas proprietárias de redes sociais e de
armazenamento de dados na cloud podem reter. Quando
reviram a lista dos tipos de dados que não poderiam
continuar a guardar, avisaram os representantes da União
Europeia de que se tratava precisamente do tipo de dados —
números de telefone e endereços de IP — que lhes haviam
permitido ajudar a polícia a encontrar os autores do atentado
de Paris. Se não pudessem retê-los, não poderiam ajudar
quando acontecessem novos ataques.
«Não quiseram saber», disse-me um dos executivos da
Facebook. «Disseram que esse problema era dos serviços de
informações e não dos reguladores. E tornou-se evidente que
estes não andavam a discutir estas questões entre eles.»
*
A haver uma lição a retirar de todos os anos já passados a
tentar localizar, seguir e destruir redes terroristas, é que os
países que descobriram como destruir centrifugadoras a
grande distância e perturbar o funcionamento de redes
energéticas e sistemas de mísseis eram os mesmos que teriam
de lidar com o que veio a chamar-se o uso das redes sociais
como armas políticas. A designação em si já é objeto de
debate. Uma mensagem de recrutamento com um apelo às
armas faz parte de uma weaponization das redes sociais, a
sua transformação em armas de agressão política, ou será
apenas o que em tempos se chamava propaganda, só que
divulgado com mais rapidez e mais amplamente? E um vídeo
de uma decapitação com o objetivo de produzir medo, ou a
transmissão de mensagens mais subtis, do tipo das que Putin
usou para intensificar divisões sociais ou religiosas?
Se considerarmos os milhares de milhões de dólares que
os governos gastam a construir forças ciberofensivas, e os
recursos que as empresas tecnológicas dedicam à proteção
das suas plataformas para impedir que estas se transformem
em santuários digitais de jihadistas, parece fácil prever
vitórias rápidas e satisfatórias na ciberbatalha contra
inúmeros bandos de terroristas mal financiados. Acontece
que parece ser o contrário que está a acontecer. «É a luta
mais difícil em que já estivemos envolvidos», disse-me um
responsável militar sénior. Se fizermos uma casa segura no
Paquistão ou uma base de mísseis na Síria ir pelos ares, o
resultado é um monte de escombros. Se apontarmos aos
servidores que divulgam vídeos com decapitações ou
mensagens de recrutamento, os mesmos vídeos e as mesmas
mensagens reaparecem noutro sítio poucos dias mais tarde.
«Raramente acontece limitarmo-nos a penetrar num
sistema e vermos as coisas desaparecerem de uma vez por
todas», disse-me Joshua Geltzer, diretor sénior de
contraterrorismo do Conselho Nacional de Segurança de
Obama. Na altura em que Obama saiu da Casa Branca, a
questão de se saber se o Cibercomando perseguira o Estado
Islâmico com energia suficiente tornou-se tão fraturante que
se criou um núcleo no interior da administração favorável a
despedir o almirante Rogers.
Contudo, enquanto Washington se esforçava por perceber
como prosseguir a luta contra os grupos que recorriam às
redes sociais para organizar ataques, Silicon Valley
continuava incapaz de enfrentar a extensão do problema, ou
sem desejo de o fazer. Ao longo de vários anos, os
especialistas em tecnologia mais brilhantes convenceram-se
a si mesmos de que, se pusessem todo o mundo em contacto,
contribuiriam para a emergência de uma democracia mais
verdadeira e global. Congratularam-se quando o Twitter e o
WhatsApp tornaram a Primavera Árabe possível, e ficaram
convencidos de que haviam construído a arma que haveria de
destituir autocratas e fazer nascer novas democracias mais
transparentes.
Só que a realidade que emergiu com o tempo revelou-se
mais dura. Essas mesmas redes tornaram-se a ferramenta
mais poderosa do Estado Islâmico. Foram exploradas pelos
trolls russos e pelos especialistas da Cambridge Analytica
para manipular os eleitores. E o apelo posterior a um novo
tipo de ciberespaço — onde as identidades de todos aqueles
com quem lidamos na Web sejam compreendidas —
encantou chineses e russos. Haverá melhor maneira de
perseguir dissidentes e esmagar a oposição política?
Entretanto as grandes empresas tecnológicas foram-se
tornando gradualmente mais conscientes de outra ameaça
internacional ao seu futuro: o plano cuidadosamente
delineado da China para se tornar a potência económica e
tecnológica dominante até 2049, o centenário da revolução
de Mao. Para alcançar este objetivo, Pequim desenvolveu
uma nova estratégia — de acordo com a qual os investidores
chineses, e não as empresas de capital de risco de Sand Hill
Road, estavam a tornar-se uma fonte de liquidez crítica para
toda uma nova linha de start-ups.
De um dia para o outro, os multimilionários de Silicon
Valley descobriram que precisavam de algo em que nunca
haviam pensado até então: uma política externa.
*
Na primavera de 2016, pressionado para travar a expansão
do Estado Islâmico na Síria e no Iraque, o Pentágono
anunciou pela primeira vez que ia declarar uma ciberguerra a
uma entidade externa.
 «Estamos a lançar ciberbombas», disse Robert Work, o
vice-secretário de Estado da Defesa, habitualmente uma
pessoa contida, numa espécie de hipérbole que fez erguer as
sobrancelhas de alguns dos seus colegas do Pentágono. «Até
hoje nunca fizemos nada assim.»
É claro que tinham feito, mas nunca o tinham anunciado
publicamente. O trabalho fora entregue ao general Paul
Nakasone, que depois do Nitro Zeus passara a dirigir a
unidade de ciberoperações do Exército e que já se anunciava
como o seguinte na linha para chefiar a Agência Nacional de
Segurança e o Cibercomando. Em breve foi criada na
Florida, no Comando Central, que dirige as operações
militares dos Estados Unidos no Médio Oriente, uma Joint
Task Forces Ares — uma combinação de forças para
perseguir as redes do Estado Islâmico. As equipas do
comando de cibermissões instalaram-se na base da Força
Aérea de MacDill e noutros postos do Comando Central,
unindo forças às unidades militares mais tradicionais que já
estavam a operar contra a organização islamita.
A finalidade da nova campanha, como foi dito aos
jornalistas numa série de dossiês de imprensa, era perturbar a
capacidade do Estado Islâmico de divulgar a sua mensagem,
atrair novos aderentes, fazer circular ordens de comandantes
e executar as funções do dia a dia, incluindo pagar aos seus
guerrilheiros. Mesmo Obama entrou na refrega, emergindo
de uma reunião demorada na CIA acerca das operações
contra o Estado Islâmico e declarando, como parte da
descrição da estratégia, que «as ciberoperações dos Estados
Unidos estão a perturbar a sua cadeia de comando e controlo
e as suas comunicações». A administração apenas se
pronunciou publicamente para incomodar os comandantes do
Estado Islâmico e aumentar a sua paranoia em relação à
possibilidade de alguém estar no interior das suas
comunicações e talvez manipular os seus dados. A teoria era
que a preocupação com a segurança das comunicações seria
dissuasora para os potenciais recrutas.
 No entanto, por mais impressionantes que estas
declarações parecessem, os resultados obtidos não o foram.
Os assessores de topo de Obama estavam cada vez mais
impacientes com a lentidão do Cibercomando a descobrir os
recantos da Internet onde o Estado Islâmico escondia os seus
tesouros digitais de material relativo a recrutamento e treino
e com a rapidez com que tudo reaparecia depois de ser
destruído. «A Internet é um sítio muito grande», disse-me
James Clapper, «e o Estado Islâmico é muito astuto e
sofisticado a usá-la» — e muitas vezes oculta o seu material
na cloud, em servidores situados na Alemanha ou noutros
sítios.
Ninguém estava mais impaciente com a lentidão dos
progressos que Ashton B. Carter, o secretário da Defesa, com
uma grande formação tecnológica, que trabalhava
afincadamente na estratégia do Estado Islâmico. Carter era
físico e fora uma força relevante na passagem do Pentágono
para o desenvolvimento de novas capacidades digitais e da
doutrina que as acompanhou. No entanto, tinha cada vez
menos paciência para o almirante Rogers, que considerava
não estar a usar recursos suficientes de criatividade na
tentativa de pôr o grupo terrorista offline — e de o manter
offline.
«Ash organizava reuniões constantes, ao ponto de se
deslocar a Fort Meade, onde insistia com eles para que
fizessem mais», contou-me um oficial sénior que esteve
envolvido no longo processo. No verão de 2016, a tensão
entre Carter e Rogers tornara-se tão intensa que o secretário
da Defesa começou a considerar a possibilidade de o
substituir — sobretudo devido às constantes fugas de
informações relativas a ciberarmas da unidade de operações
de acesso especial da NSA, mas também devido à falta de
progressos na guerra digital contra o Estado Islâmico.
Clapper concordou, de acordo com o Pentágono e vários
oficiais dos serviços de informações, mas faltava-lhe o
entusiasmo de Carter.
 «Foi discutido», contou-me mais tarde um responsável de
topo da Casa Branca a propósito da ideia de substituir
Rogers. «Mas acabámos por concluir que tínhamos tão pouco
tempo que provavelmente nem isso íamos poder fazer.»
Carter continuava a pressionar para o Estado Islâmico ser
posto offline, e, depois de vários adiamentos, a última grande
operação da era Obama começou, já atrasada três meses, em
novembro de 2016, numa altura em que as questões acerca
da Rússia e da sua influência eleitoral começavam a dominar
as manchetes pós-eleições. A Operação Sinfonia Brilhante, o
seu nome de código, seria o maior esforço de combate digital
contra o Estado Islâmico e uma das últimas grandes
ciberoperações que Obama aprovou na sala de crise.
A ideia era combinar as melhores competências da NSA e
do Cibercomando, roubar as passwords de vários
administradores de sistemas do Estado Islâmico e depois usá-
las para lançar o caos nas redes — bloquear alguns
combatentes, apagar alguns conteúdos, alterar dados e enviar
comboios militares para lugares errados. Não parecia uma
operação que exigisse um grande esforço tecnológico. E no
início pareceu bem-sucedida, pois alguns vídeos de campos
de combate desapareceram. Era evidente que os combatentes
do Estado Islâmico estavam perturbados e tensos.
No entanto, os efeitos foram passageiros e os vídeos
começaram a reaparecer noutros lugares. Os comandantes do
Estado Islâmico tinham cópias de segurança e mudaram
rapidamente de redes, recorrendo a servidores espalhados por
cerca de trinta países. Um responsável sénior recorda que o
Cibercomando aparecia «com PowerPoints acerca de todos
os estragos que tinha causado, mas ninguém conseguia
responder a uma questão simples, que era qual o efeito
duradouro que tudo aquilo teria».
Isto desencadeou um novo debate: seria o Cibercomando
capaz de perseguir servidores em trinta países diferentes —
incluindo a Alemanha — sem informar os aliados de que
estavam prestes a conduzir operações ofensivas contra o
Estado Islâmico nas suas redes nacionais? «Queriam usar
infraestruturas de outros países, e a questão era se teríamos
de informar primeiro as autoridades desses países — e, no
caso de o fazermos, se a informação se espalharia», contou-
me o mesmo responsável. O debate arrastou-se por várias
semanas e Obama acabou por decidir que as agências de
informações teriam de pedir autorizações aos aliados, porque
os Estados Unidos também ficariam indignados se
descobrissem que os britânicos, os franceses ou os sul-
coreanos estavam a usar redes americanas na sua atividade
militar.
Mas o tempo acabou por se esgotar e a operação foi
entregue à equipa de Trump. Em 2017 o Estado Islâmico
estava a ser expulso da Síria e do Iraque, e Carter e a sua
equipa merecem uma grande parte do crédito por isso: o
plano fora deles. No entanto, depois de sair do Pentágono,
Carter escreveu uma avaliação impiedosa da forma como as
ciberoperações se haviam desenrolado.
«Fiquei muito desapontado com a eficácia do
Cibercomando no combate ao Estado Islâmico», escreveu no
fim de 2017 num relato franco e direto. «Nunca chegou
realmente a produzir quaisquer armas ou técnicas eficazes. E
quando fez alguma coisa útil os serviços secretos tentaram
sempre retardar ou impedir o seu uso, com a justificação de
que as ciberoperações iriam prejudicar a recolha de
informações. Isto seria compreensível se estivéssemos a
receber constantemente informações úteis, mas não
estávamos.»
«Em resumo», acrescentou Carter, «nenhuma das nossas
agências tem muito de que se vangloriar em matéria de
ciberguerra.»
A crítica de Carter não foi apenas à forma como o
Cibercomando se comportou na luta contra o Estado
Islâmico: muita gente no Pentágono, e sem dúvida também
na Agência Nacional de Segurança, questionou o
desempenho geral da nova unidade de combate americana.
«Não têm simplesmente grande capacidade», disse-me um
responsável sénior do Pentágono em 2017, procurando
explicar por que razão os ataques ao Estado Islâmico haviam
decorrido com tanta lentidão.
Na realidade, oito anos depois da sua criação, o
Cibercomando continuava claramente dependente da
tecnologia e das ferramentas da NSA. Como me disse uma
vez um elemento-chave da equipa de cibermissões, «usámos
quase sempre as coisas deles». Em parte isto seria de esperar
de uma nova unidade, mas por outro lado aconteceu porque
os militares não sabiam exatamente como armar e treinar
soldados que trabalhavam todo o dia sentados em frente de
computadores.
Isto tornou-se evidente no modo como foi feito o
recrutamento para o Cibercomando. Ao princípio centenas, e
depois milhares de homens e mulheres, soldados e oficiais,
passaram dois anos nas forças de cibermissões, onde
aprenderam a defender os ativos do Pentágono no
ciberespaço ou como apoiar os militares subordinados ao
Comando do Pacífico ou ao Comando Central quando
tinham pela frente os chineses ou os iranianos. Mas dois anos
não são, de maneira nenhuma, suficientes para aprender a
penetrar numa rede de computadores de outro país e a
executar aí operações sofisticadas. Essa aprendizagem pode
levar vários anos de trabalho paciente, e muitas vezes os
membros das 133 forças de cibermissões eram transferidos
antes de as suas operações terem sido completadas. O pior é
que quando regressavam à Força Aérea, ao Exército ou à
Marinha eram-lhes muitas vezes atribuídas funções em que
estas competências recentemente adquiridas pouco ou
nenhum interesse tinham.
Pelo contrário, os civis que trabalhavam para a NSA por
trás da porta ao lado passavam anos a desenvolver
ferramentas, a aprender a conhecer as redes informáticas
russas, norte-coreanas ou iranianas e a implantar aí o seu
malware. Muitas vezes estes implantes são tratados como
bonsai preciosos, que têm de ser regados, alimentados,
enfim, ser objeto de cuidados especiais. A cultura da Agência
Nacional de Segurança era muito mais avessa ao risco, e da
sua perspetiva as unidades ofensivas do Cibercomando
estavam sobretudo interessadas em fazer coisas ir pelos ares,
o que expunha e tornava inúteis os implantes que a NSA tão
cuidadosamente escondera.
Por outro lado, as esperanças iniciais de que o
Cibercomando se revelaria a nova unidade de operações
especiais militares revelou-se distante da realidade. «Eles
simplesmente não funcionam com um ritmo semelhante ao
das forças especiais — não passam o tempo a tentar atingir
redes estrangeiras como as forças especiais atacam casas no
Afeganistão», observou um oficial sénior que conhece tanto
a NSA como o Cibercomando. «E por isso não têm tantas
oportunidades de aprender com os próprios erros.»
A questão é que os Estados Unidos não estavam
simplesmente a conduzir ciberoperações em grande escala
contra adversários estrangeiros a um ritmo que se
assemelhasse, a esse nem que fosse de longe. Na melhor das
hipóteses, a força de cibermissões encarregada de missões
defensivas realizava apenas meia dúzia por ano, e todas elas
requeriam autorização presidencial. O resultado foi o
Cibercomando ter-se tornado semelhante ao pai, o Comando
Estratégico, responsável pelas armas atómicas americanas.
Passam muito tempo a treinar, a discutir a teoria, a
estabelecer procedimentos para operações e a preparar-se
para situações hipotéticas.
Nenhuma dessas situações, ao que parece, envolve o que
aconteceria se uma potência estrangeira tentasse manipular
as eleições americanas.
Alex Stamos, o chefe da segurança da Facebook —
barbudo, educado, mas cheio de presença de espírito —, tem
uma explicação simples de a principal fonte de notícias e
comunicações do mundo não ter visto a propaganda que a
Agência de Investigação da Internet e outros grupos russos
estavam a espalhar com a finalidade de influenciar o
resultado das eleições de 2016: não estavam, pura e
simplesmente, a prestar atenção.
 «A verdade é que não faz parte das funções de ninguém
procurar propaganda direta no Facebook», disse-me Stamos
em fevereiro de 2018, quando o mundo começou a voltar-se
contra a empresa que em tempos se vira a si mesma — com
uma parte de orgulho e outra de cegueira — como uma força
na propagação da democracia e na queda de ditadores.
«Andávamos à procura das habituais agressões na
plataforma», afirmou na Conferência de Segurança de
Munique, uma reunião anual de ministros dos Negócios
Estrangeiros, de responsáveis por serviços nacionais de
segurança e membros de institutos políticos, que em 2018 foi
dominada pelas novas armas em uso no mundo digital e em
especial nas redes sociais. «Não vimos porque não estávamos
a olhar.»
Stamos conhece bem as vulnerabilidades dos sistemas
complexos, e tem pouco tempo e pouca paciência para
executivos que não gostam de ouvir de forma direta por que
razão as suas ideias não resultaram. O almirante Michael
Rogers está entre os que descobriram como Stamos é pronto
a dizer diretamente o que pensa, o que no caso dele
aconteceu logo nos primeiros dias que passou na Agência
Nacional de Segurança. Em fevereiro de 2015 estive numa
conferência de cibersegurança em que Rogers falou, com a
ponderação habitual, acerca de equilibrar a necessidade de
encriptar as comunicações com a necessidade do governo de
decifrar conversas entre terroristas, espiões e criminosos.
Stamos, na altura o responsável pela segurança na Yahoo!,
pegou no microfone e repetiu o argumento de que criar uma
porta das traseiras nos sistemas de comunicações era mais ou
menos o mesmo que «abrir um buraco no para-brisas». Toda
a estrutura ficaria de tal maneira enfraquecida, sugeriu, que o
próprio conceito de comunicações seguras seria destruído.
Quando Rogers voltou ao discurso do equilíbrio entre
interesses, Stamos insistiu. O vídeo do evento depressa se
tornou viral.
Com o tempo, no entanto, a voz insistente de Stamos
acabou por ser ouvida pelos administradores da Yahoo!,
sobretudo quando chegou ao extremo de insistir num tipo de
encriptação tal que nem a própria Yahoo! pudesse
desencriptá-la na sua própria plataforma, à semelhança do
que a Apple fizera com o iPhone. Como é evidente, se a
Yahoo! não conseguisse recolher as palavras-chave das
pesquisas e das comunicações dos clientes, não poderia fazer
dinheiro com a venda de publicidade e serviços que
dependessem delas. Não era possível convencer Marissa
Mayer, a administradora-executiva da empresa, já de si cheia
de dificuldades, a preferir esse tipo de proteção da
privacidade às receitas resultantes do conhecimento dos
hábitos dos utilizadores da Yahoo!. Stamos não tardou a
deixar a Yahoo! para se tornar responsável pela segurança da
Facebook — onde ao fim de pouco tempo também teve de
enfrentar a liderança da empresa.
A Facebook para onde Stamos entrou em 2015 — 11 anos
depois da fundação da empresa — ainda se considerava um
enorme canal de transmissão de conteúdos, mas não um
editor. O seu plano de negócios baseava-se na suposição de
que não lhe cabia fazer juízos editoriais; pelo contrário, tal
como uma companhia telefónica, transmitia conteúdos mas
não interferia neles. Como é evidente, tratava-se de uma falsa
analogia. Desde o início que a Facebook faz dinheiro não a
vender a conectividade, mas comportando-se como uma
máquina aparentemente benevolente de vigilância, que
depois vende o que descobriu acerca dos utilizadores,
individual e coletivamente. As velhas companhias telefónicas
nunca fizeram isso. Como escreveu o meu colega Kevin
Roose, «o Facebook não pode deixar de rentabilizar os
nossos dados pessoais, pela mesma razão por que o
Starbucks não pode deixar de vender café — é o negócio
deles».
No entanto, a ideia de que a Facebook e os seus
concorrentes podem obedecer a essa estratégia e ignorar o
conteúdo que aparece nas suas plataformas — evitando
portanto um trabalho de edição em grande escala — fica
algures a meio caminho entre a ingenuidade e a alucinação.
As companhias telefónicas tinham de tomar medidas contra
as fraudes telefónicas e as cadeias de televisão estavam
proibidas de transmitir filmes pornográficos. Mesmo a
Netflix enfrentou limitações. Assim, com o tempo a
Facebook foi tendo de rever as suas «condições de prestação
de serviço», definindo atividades de exploração, racistas ou
ilegais (como vender drogas, jogo ou prostituição, por
exemplo), que não seriam permitidas. No entanto a empresa
nunca se referiu a estas atividades como tendo caráter
editorial; pelo contrário, chamou-lhes «valores
comunitários» que a forçariam a desativar contas ou a alertar
as autoridades caso houvesse um «risco genuíno de causar
danos físicos ou ameaçar a segurança do público».
Tudo isto parecia bastante sensato e benevolente — até a
Facebook ter tentado definir o que estes princípios
representavam na vida real. Começou tudo com coisas muito
simples, mas pouco depois tudo se tornou muito complicado.
O caso da pornografia infantil era fácil, foi banida logo
nos primeiros tempos do Facebook. Depois os pais de recém-
nascidos descobriram que o site estava a retirar as fotos dos
seus próprios bebés no banho que eles tinham partilhado.
Quando insistiam, as suas contas eram desativadas. Mais
tarde, em 2016, pela primeira vez os executivos da empresa
tiveram de aplicar o seu próprio julgamento a uma questão
noticiosa, porque, como se percebeu, os algoritmos não têm
sentido da história. O principal jornal diário da Noruega, o
Aftenposten, publicou um artigo sobre uma exposição de
fotografia e fez um post da foto icónica da Guerra do
Vietname de uma menina a correr por uma estrada, nua, para
fugir ao napalm e à violência. A foto ganhara o Prémio
Pulitzer de 1973. Como é natural, os algoritmos do Facebook
eliminaram-na imediatamente. O Aftenposten chamou a
atenção da empresa e, em menos de um dia, a decisão
ridícula foi revertida, depois de uma série de
videoconferências apressadas entre os executivos. Não foi
uma decisão difícil.
 No entanto, essa videoconferência foi o momento em que
pela primeira vez os administradores da empresa tiveram de
pensar como editores noticiosos, medindo as suas regras de
acordo com a história, a sensibilidade artística e, o mais
importante de tudo, a avaliação das notícias. Foi o momento
em que perceberam que nenhum algoritmo poderia fazer este
trabalho. Quando disse isto a um responsável sénior da
empresa, ele fez uma careta e perguntou-me se eu achava que
ainda ia haver mais.
Esta pergunta refletiu o ponto a que a Facebook estava
alheada do que aí vinha. Os executivos da empresa, tal como
os seus colegas da Google, congratularam-se quando as suas
criações ajudaram a organizar os estudantes na Praça Tahrir a
expulsar o presidente Hosni Mubarak e os líbios a depor
Muammar Gaddafi, na Líbia. «A Primavera Árabe foi
ótima», disse-me Alex Stamos. «Foram os dias de glória.»
Mas os tempos não estavam de feição para a democracia.
Ninguém pensou muito no que aconteceria quando os
autocratas e os terroristas apanhassem o mesmo comboio, e o
grau com que as mesmas plataformas iriam permitir o
controlo social, a brutalidade e a repressão.
Tudo começou com os vídeos das decapitações no início
da década de 2000. E com o piloto capturado queimado vivo
numa jaula. No Twitter, os operacionais criaram a app The
Dawn of Glad Tidings para os seus seguidores fazerem
download, o que lhes permitia divulgar mensagens para um
grande número de pessoas com pormenores dos ataques mais
recentes, incluindo imagens coordenadas e hashtags. As
empresas com redes sociais concluíram que as novas contas
surgiam com mais rapidez que aquela com que se conseguia
descobrir e apagar as anteriores.
Como é evidente, a decisão de retirar os vídeos das
decapitações foi fácil: estes violavam claramente as «normas
de utilização». No entanto, estas empresas depressa se
depararam com o mesmo problema que a Agência Nacional
de Segurança: a Internet está cheia de esconderijos. O Estado
Islâmico tinha colocado cópias digitais perfeitas da sua
mediateca de horrores e vídeos de recrutamento por todo o
mundo. A corrida às armas que se seguiu era previsível. O
YouTube automatizou os seus sistemas de revisão para
apressar o processo de retirar conteúdos da sua rede.
Todo o processo se transformou num jogo repetitivo e
interminável. Como afirmou Lisa Monaco, conselheira de
Obama para a Segurança Interna, «não vamos resolver este
conflito a matar, e também não o vamos resolver a apagar
ficheiros».
Em 2017, a Facebook e outras empresas criaram uma
solução tecnológica impressionante, uma «impressão digital»
para imagens, que transforma cada fotografia de
decapitações ou de exploração sexual de crianças numa
imagem a preto-e-branco e depois atribui a cada pixel um
valor numérico baseado no seu contraste.
«Suponhamos que alguém faz upload de um vídeo de
propaganda do Estado Islâmico», explicou Monika Bickert,
uma antiga procuradora que se tornou a representante da
Facebook junto de governos de todo o mundo. «Com esta
impressão digital, se alguém tentar fazer de novo upload do
vídeo reconhecemo-lo ainda antes de ele chegar ao site.» No
entanto, descobrir o motivo de cada imagem, reconhece
Monika Bickert, exige uma revisão humana. «Se for
propaganda de terroristas, retiramo-la», disse-me ela. «Se
alguém o tiver partilhado pelo valor noticioso ou para
condenar a violência, a situação é diferente.»
Entretanto a Google tentou uma abordagem diferente: o
«Google Redirect» é um esforço para reencaminhar as
pessoas que fizeram pesquisas por propaganda do Estado
Islâmico ou de conteúdo de suprematistas brancos para sites
alternativos que podem fazê-las pensar duas vezes. Para isto
funcionar, a Jigsaw, um instituto e unidade experimental
pertencente à empresa e sedeado em Nova Iorque,
entrevistou um grande número de pessoas que haviam sido
radicalizadas e tentou perceber traços das suas
personalidades, a começar pela sua desconfiança em relação
à comunicação social.
 O mais importante era apanhá-las no momento certo», diz
Yasmin Green, que ajudou a liderar o movimento. Acontece
que existe uma janela de oportunidade entre o momento em
que um potencial recruta desenvolve o interesse por se juntar
a um grupo extremista e aquele em que toma de facto a
decisão, mas é muito pequena. Uma exposição rápida a
testemunhos pessoais de antigos recrutas que escaparam à
brutalidade da vida no interior do Estado Islâmico e a
descrevem com pormenor cruel tinha uma probabilidade
muito mais elevada de dissuadir os novos recrutas que
qualquer sermão acerca dos benefícios proporcionados por
uma visão liberal do mundo. O mesmo acontecia com os
relatos de líderes religiosos capazes de desmontar o
argumento do grupo de que estava simplesmente a seguir o
Alcorão.
«A nossa função é obter mais e melhor informação e levá-
la às pessoas vulneráveis», pensa Yasmin Green.
No entanto essa tarefa exige que os que fazem essas
informações chegar ao seu destino criem, apaguem e
escolham. Em resumo, que se tornem editores de conteúdos.
Só que não com rapidez suficiente para se manterem à frente
dos russos.
*
Mark Zuckerberg depressa começou a lamentar as
palavras com que, seis dias depois da eleição de Donald
Trump, negou que o Facebook tivesse o que quer que fosse a
ver com isso.
«Pessoalmente, estou convencido de que a ideia de que as
fake news no Facebook, que são uma parte muito pequena do
conteúdo aí publicado, influenciaram o resultado das eleições
fosse em que sentido fosse, é perfeitamente louca», escreveu
Zuckerberg. «Os eleitores tomam a sua decisão com base
numa experiência de vida. Penso que há uma profunda falta
de empatia em afirmar que a única razão por que alguém
pode ter votado como votou é ter visto meia dúzia de fake
news. Se alguém estiver convencido disso, não me parece
que tenha interiorizado a mensagem que os apoiantes de
Trump estão a tentar transmitir com estas eleições.»
Nove dias mais tarde Zuckerberg estava no Peru, numa
cimeira em que o presidente Obama também esteve presente.
O presidente levou-o para uma sala privada e fez-lhe um
apelo direto: tinha de começar a levar mais a sério a ameaça
da desinformação ou isso acabaria por criar problemas à
empresa, e ao país, nas eleições seguintes. Zuckerberg
contra-argumentou, segundo os assessores de Obama me
disseram mais tarde. As fake news podiam ser um problema,
mas não era fácil resolvê-lo, e o negócio da Facebook não
era verificar todos os posts apregoados na praça global.
Ambos saíram da reunião descontentes.
No entanto, mais ou menos pela altura em que Zuckerberg
se pronunciou, Alex Stamos e a sua equipa estavam a
terminar uma investigação à história da rede social e a
estudar os relatórios acerca da forma como os russos haviam
usado anúncios e posts para manipular os eleitores. Ao fazer
este trabalho, Stamos começou a encontrar uma certa
resistência dentro da empresa em relação a aprofundar mais a
pesquisa. O seu estudo foi entregue à liderança da Facebook
a 9 de dezembro de 2016, com um apanhado da atividade dos
russos que o seu grupo encontrara. Quando o relatório por
fim foi publicado, quatro meses mais tarde, com o título um
tanto anódino «As operações de informações e o Facebook»,
fora reduzido ao essencial e todas as questões específicas
haviam sido cortadas. A Rússia nem sequer era mencionada.
Em vez disso, o estudo referia «agentes maliciosos»
anónimos e que nunca eram nomeados. Além disso, o
relatório menosprezava os efeitos destas ações, confundindo
volume com impacto. «O alcance das operações conhecidas
que decorreram durante a campanha para as eleições de 2016
foi estatisticamente muito pequeno em comparação com o
envolvimento geral em questões políticas.»
Depois concluía: «O Facebook não está em posição de
fazer uma atribuição definitiva dos agentes que patrocinaram
esta atividade.»
 Na realidade, em abril já tinham uma ideia bastante clara
de que era o Fancy Bear, o grupo russo dirigido pela GRU,
que estava por trás de alguma da atividade no Facebook. A
empresa entregou uma grande parte das provas relativas aos
anúncios a investigadores do Senado em setembro. No
entanto, só quando o Senado publicou alguns dos exemplos
mais suculentos — de anúncios concebidos para parecer
integrados no movimento Black Lives Matter a outros em
que o Diabo é mostrado num braço de ferro com Jesus e a
dizer «Se eu ganhar a Hillary Clinton ganha!» —, a empresa
foi forçada a admitir a dimensão da propaganda que passara
na sua rede.
«A questão era como fora possível aquilo passar-nos
despercebido», disse-me um executivo da Facebook. Os
anúncios tinham representado um valor monetário muito
pequeno — algumas centenas de milhares de dólares — e
não era óbvio que tivesse vindo da Rússia. Mais tarde, depois
de os anúncios terem sido descobertos, os advogados da
Facebook começaram a ficar preocupados com a
possibilidade de, no caso de os anúncios e os posts de
utilizadores privados serem tornados públicos — mesmo que
tivessem sido criados por trolls russos —, isso violar as
próprias regras do Facebook.
Em setembro de 2017, dez meses depois das eleições, a
empresa começou por fim a admitir o óbvio. Disse que
aqueles que tinham manipulado o Facebook «operavam
provavelmente a partir da Rússia» e entregou 3 mil destes
anúncios ao Congresso. Tinha encontrado provas de que a
Agência de Investigação da Internet criara 80 mil posts no
Facebook que podem ter sido vistos por 126 milhões de
pessoas — embora seja outra questão saber se estas
absorveram a sua mensagem. Ainda assim, a Facebook
continuava a insistir que não tinha qualquer obrigação de
notificar os seus utilizadores de que haviam sido expostos a
este material.
«Devo dizer que me parece que ainda não percebeu o que
está em causa», disse a senadora Dianne Feinstein, da
Califórnia, sempre uma grande defensora dos campeões da
economia do seu estado, na audiência final. «Aquilo de que
estamos aqui a falar é de uma mudança cataclísmica.
Estamos a falar do início de uma ciberguerra.» No entanto
isto não era muito rigoroso: ser ou não uma ciberguerra
dependia da forma como se definisse o termo. E se era de
facto uma ciberguerra, pelo menos não era o início, nem de
perto nem de longe.
Na primavera de 2018 a Facebook estava a começar a
vacilar. A divulgação adicional de que a empresa dera acesso
aos perfis dos seus utilizadores a um académico em 2014,
que por seu turno tratou os dados e os usou para ajudar a
Cambridge Analytica, uma empresa de Londres que colocou
anúncios políticos para a campanha de Trump, forçou
Zuckerberg a um novo nível de contrição. O problema é que
os utilizadores do Facebook nunca tinham criado contas para
as suas vidas e predileções serem examinadas, e depois
vendidas, para finalidades deste tipo. «Temos a
responsabilidade de proteger a vossa informação», declarou
Zuckerberg em anúncios e numa série cuidadosamente
preparada de entrevistas na televisão. «Se não conseguirmos,
não o merecemos.»
A admissão mais expressiva veio de França, onde a
empresa anunciou por essa altura uma experiência radical. Ia
começar a verificar a veracidade de fotos e vídeos
relacionados com as eleições, anunciou — exatamente como
as agências noticiosas e os órgãos de comunicação fazem há
décadas. Sheryl Sandberg, uma das administradoras-
executivas da empresa e uma das poucas com experiência
séria de Washington, deu uma explicação mais franca e
direta: «Nós acreditávamos realmente em experiências
sociais», afirmou. «Acreditávamos na proteção da
privacidade. Mas éramos demasiado idealistas. Nunca
pensámos o suficiente nos casos extremos de abuso.» Sim,
foi ingenuidade. Mas foi uma ingenuidade que ajudou a
produzir lucros imensos — e cegou os executivos de topo da
empresa às consequências da forma como as informações
que lhe eram confiadas pelos utilizadores podiam ser
manipuladas.
*
Antes de se ter tornado olheiro do Pentágono para novas
tecnologias e investidor de capital de risco em Silicon Valley,
Raj Shah passou 12 anos a pilotar um F-16 no Afeganistão e
no Iraque. Durante grande parte desse tempo tentou perceber
por que razão uma aeronave de 30 milhões de dólares tinha
um sistema de navegação pior que um Volkswagen.
A tecnologia de localização era tão antiquada que os
pilotos não conseguiam perceber com um simples relance de
olhos a que distância se encontravam das fronteiras nacionais
ou o aspeto das cidades e vilas por baixo deles. O pior, disse-
me Shah um dia em que andámos pelas instalações da sua
start-up criada pelo Pentágono — chamada DIUx, de
Defense Innovation Unit, Experimental —, «era que eu não
sabia se tinha entrado no Irão» por engano, um erro que
poderia ser fatal.
Quando Shah voltava a casa de licença, alugava muitas
vezes um Cessna e passeava-se com um iPad mini de 350
dólares preso à coxa. Com uma app chamada ForeFlight
instalada no tablet, conseguia ver precisamente onde se
encontrava e todos os pormenores da paisagem por baixo do
aparelho. Podia escolher entre a imagem de mapa e a
fotografia de satélite. A app localizava-o com uma precisão
quase total. «Sabia sempre precisamente onde estava.»
Enquanto ia tentando perceber por que razão tinha um
software de localização melhor num velho iPad que num
caça americano, chegou a uma conclusão simples: «Isto está
tudo errado de raiz.»
Na opinião de Shah, a experiência exemplifica o que há de
incorreto na forma como o Pentágono equipa os seus caças.
Não é fácil melhorar sistemas concebidos com tecnologia
dos anos 70, porque o processo de teste para perceber se se
adequam às exigências militares demora vários anos — e
quando está concluído já a tecnologia está antiquada. «É por
essa razão que temos porta-aviões com 50 anos», explica
Shah, «com um software com 30.»
Quando a sua carreira de piloto estava a chegar ao fim,
Shah voltou a aterrar em Silicon Valley, «onde tudo anda a
grande velocidade». A partir do novo posto de observação, o
modo de operação do Pentágono pareceu-lhe ainda mais
ridículo. «Para que é que alguém quer um telefone já com
quatro anos?», perguntou-me um dia.
Shah tinha alguns aliados no que respeitava a este assunto,
incluindo Ashton Carter, que passara vários meses em
Silicon Valley entre a altura em que fora vice-secretário da
Defesa e aquela em que Obama o chamara para secretário,
em fevereiro de 2015. Carter e o seu chefe de gabinete, Eric
Rosenbach, outro dos arquitetos dos ciberesforços do
Pentágono, estavam determinados a usar os seus dois anos
para mudar a cultura do Pentágono. Lançaram o desafio
«hack the Pentagon», com prémios para hackers que
conseguissem encontrar buracos nos programas que
asseguravam a proteção da sede do Departamento da Defesa
(a estrela da competição, como seria de esperar, foi um
miúdo de 18 anos ainda na escola secundária que a mãe
levou de carro ao Pentágono para ir levantar o prémio).
Tentaram convencer alguns especialistas em tecnologia de
Silicon Valley a passar um ano a trabalhar para o governo,
mas com um êxito apenas parcial. Um ano, como disse uma
das pessoas que aceitaram o desafio, «chegava à justa para
um choque de culturas em grande escala, mas não era
suficiente para fazer grande coisa».
Mas a experiência mais importante foi a criação do DIUx
por Carter e Rosenbach. Isto acabou por colocar cerca de 50
oficiais e civis no coração de Silicon Valley com a missão
explícita de descobrir tecnologias de ponta já existentes que
pudessem equipar imediatamente caças, membros das forças
especiais, comandos ou oficiais do Exército.
Shah e Christopher Kirchhoff, um veterano da Casa
Branca de Obama e do gabinete do secretário da Defesa,
foram chamados como «parceiros» — a palavra significa que
o Pentágono estava decidido a mesclar-se com os nativos de
Silicon Valley. Era uma boa equipa, mas Shah sabia por
experiência própria como seria difícil fazer qualquer empresa
de Silicon Valley participar num esforço patrocinado pelo
Pentágono. Para começar havia a ressaca de Snowden, mas
depois havia também um receio muito prático de ficarem
presos na burocracia altamente regulamentada do Pentágono.
«Quando comecei a pôr a minha start-up a andar, os meus
investidores não me deixavam sequer falar com os
militares», assegurou-me Shah. «Queixavam-se de que eram
precisos anos para fechar algum negócio e ainda mais tempo
para finalmente receber o dinheiro. Pode-se ir à falência
enquanto se espera que tomem alguma decisão.»
Como qualquer empresa nova, Shah precisava de um
escritório com bom aspeto, mas embora o Pentágono
estivesse na disposição de tentar a aliança com Silicon Valley
não estava de maneira nenhuma com vontade de pagar as
rendas escandalosas na área. Assim, a DIUx arranjou um
espaço num velho edifício militar em Mountain View, junto
do campus da Google. O besouro dos carros autónomos da
Google era ininterrupto.
Mas do que o DIUx precisava mesmo era de alguns êxitos
rápidos — produtos já existentes que pudessem salvar a vida
a alguém e mostrar ao Pentágono que os seus velhos e lentos
métodos de aquisição deixavam as tropas vulneráveis e
dificultavam o combate. «A chave de tudo está em usar
tecnologias já existentes», disse-me Shah, «e em fazer as
modificações necessárias para finalidades militares
específicas.»
Pouco tempo depois os escritórios da empresa estavam
cheios de modelos e protótipos cheios de possibilidades.
Entre os primeiros achados prometedores encontrava-se um
quad-copter — um helicóptero minúsculo autónomo que fora
desenvolvido para ajudar empresas de construção. Os
dispositivos podem voar dentro de edifícios e subir escadas
para confirmar, com medições laser, que todas as paredes
foram construídas de acordo com especificações precisas.
Assim que viu o aparelho, Shah desconfiou que ele poderia
ter utilidade imediata no Iraque e no Afeganistão. Quando as
forças especiais se preparam para inspecionar uma casa cheia
de suspeitos, têm de saber onde se encontra cada um — e se
o edifício está armadilhado. Embora isso tivesse levado mais
tempo do que devia, Shah conseguiu pôr alguns protótipos
nas mãos dos militares no terreno.
Mas o projeto mais urgente — e aquele que representava
um maior desafio ao Pentágono e aos seus fornecedores mais
poderosos — envolvia lançar um novo tipo de satélite
minúsculo sobre a Coreia do Norte para manter debaixo de
olho os mísseis que Kim Jong-un estava a colocar em
plataformas móveis e difíceis de localizar. Os satélites-
espiões gigantes em que os Estados Unidos se apoiavam
havia décadas eram um exemplo claro da forma como o
Pentágono dependia de tecnologia que já era anacrónica no
dia em que eram lançados pela primeira vez: custavam
milhares de milhões, demoravam vários anos a conceber e a
produzir, e depois eram mantidos em órbita anos a fio, até
caírem de velhos.
Shah e Kirchhoff pensaram numa coisa completamente
diferente: satélites pequenos, do tamanho de mochilas, de
baixo custo, que haviam sido desenvolvidos para contar
automóveis em parques de estacionamento e monitorizar o
crescimento de colheitas. Eram lançados em grupo e
mantidos em órbita apenas um ou dois anos. No entanto eram
tão baratos que quando caíam o Pentágono podia
simplesmente lançar outro novo e com uma resolução maior.
Isto poderia proporcionar o tipo de cobertura necessária num
novo plano militar de contingência chamado Kill Chain, em
que os satélites identificariam lançamentos da Coreia do
Norte, ou instalações militares, e comunicariam os dados
necessários para os destruir se um conflito parecesse
iminente.
A urgência da questão estava em que a cobertura da
Coreia do Norte pelos Estados Unidos a partir do espaço era
(e continua a ser) péssima — os Estados Unidos observavam
o país apenas cerca de 30 por cento do tempo (a percentagem
real é secreta). William Perry, o antigo secretário da Defesa,
disse-me que se os norte-coreanos lançassem um dos seus
novos mísseis havia uma probabilidade alta de nunca chegar
a ser visto.
«Kim Jong-un está lançado numa corrida — literalmente
uma competição — para obter esta capacidade», disse-me em
meados de 2017 Robert Cardillo, o diretor da Agência
Nacional Geoespacial. «A aceleração dele também nos levou
a nós a acelerar.»
Ainda assim, o Pentágono não estava a correr
suficientemente depressa. A Coreia do Norte tinha cada vez
mais mísseis e rampas de lançamento, muitas vezes
escondidas em túneis e deslocadas apenas alguns minutos
antes do lançamento, mais depressa do que a burocracia da
Defesa consegue sequer conceber a ideia de deixar pequenas
empresas como a Capella Space Corporation, uma start-up
com o nome de uma estrela brilhante, ameaçar os
fornecedores tradicionais do Pentágono. A Capella era uma
de várias pequenas empresas que fabricavam satélites e
haviam conseguido reduzir de forma drástica o custo de
radares com capacidade de observar através de nuvens,
chuva, neve, camuflagem e vegetação, e de identificar
alterações em elevações no terreno que apontem para
possíveis túneis escondidos. Há apenas dez anos, o custo de
produzir uma constelação de satélites deste tipo era estimado
em 94 mil milhões. Atualmente, Shah estava convencido de
que isso poderia ser feito com dezenas ou centenas de
milhões. A questão parecia simples, especialmente com os
avisos de que a Coreia do Norte estava a investir em mísseis
de combustível sólido que podiam ser escondidos em túneis
ou grutas e lançados em horas ou até minutos. A deteção
antecipada era a chave da questão.
Ainda assim, enquanto viajava sem parar entre Silicon
Valley e Washington a tentar que os satélites fossem
rapidamente lançados, Shah ia-se defrontando com obstáculo
atrás de obstáculo. Os membros do Congresso não gostavam
da forma como a DIUx estava a usar um mecanismo nas
regras de aquisição para atalhar o habitual processo tortuoso
de aprovar projetos de investigação e desenvolvimento. Os
grandes construtores de satélites, embora simulassem
entusiasmo, sentiam os seus contratos de milhares de milhões
de dólares ameaçados por start-ups de que ainda mal tinham
ouvido falar. E formavam um lóbi poderoso.
«Estamos a tentar fazer uma coisa muito diferente», disse-
me Shah, com moderação notável, «e isso incomoda sempre
algumas pessoas.»
A relutância dos burocratas de Washington em moverem-
se a velocidades empresariais já era má, mas quando Shah e
Kirchhoff andavam pelo vale a explorar possíveis novas
tecnologias deparavam-se constantemente com um
concorrente com a mesma ideia, mas menos relutância e um
orçamento muito maior: os chineses já tinham uma espécie
de DIUx informal em funcionamento — em solo americano.
«Estou convencido de que ainda ninguém percebeu a
extensão do problema», disse-me um dia Kirchhoff.
«Antigamente os chineses compravam empresas», até que os
Estados Unidos começaram a rejeitar muitos desses negócios
por razões ligadas à segurança nacional. E os chineses
começaram a seguir outro caminho para chegar ao mesmo
destino. Abriram a sua própria empresa de capital de risco
em Silicon Valley, e também fundos de investimento que
podiam assumir posições minoritárias em novas empresas —
não suficientemente grandes para terem de ser sujeitas a
validação, mas o suficiente para ficarem com uma
compreensão precoce da tecnologia envolvida.
No entanto, ninguém estava em posição de quantificar o
envolvimento da China — não havia números concretos que
proporcionassem uma imagem de conjunto da estratégia de
investimento dos chineses. Foi por essa razão que Shah e
Kirchhoff procuraram um executivo com sentido prático que
percebesse Silicon Valley — Michael Brown, que dirigira a
Symantec, a empresa que identificara um grande número de
particularidades do Stuxnet — e lhe pediram um relatório
não confidencial acerca da questão. Esperavam que isto
acordasse Washington para as novas estratégias dos chineses
para identificar as tecnologias mais críticas, tanto para as
suas empresas estatais como para os seus militares. Brown
juntou forças com Pavneet Singh, um antigo funcionário do
Conselho Nacional de Segurança e do Conselho Económico
Nacional que preparara o presidente Obama para as reuniões
com o presidente Xi.
«A primeira coisa que percebi foi que os chineses fizeram
um belo trabalho a replicar Silicon Valley», disse-me Brown.
O Baidu é a resposta ao Google, o Alibaba é o Amazon
chinês, a Tencent é conhecida pelas apps usadas por dois
terços de todos os chineses para comunicar através de
mensagens e para transferir dinheiro, apps como o WeChat e
o QQ. Pelas contas de uma empresa de capital de risco, os
chineses gastam 1,7 mil milhões de horas por dia em apps da
Tencent.
Mas a segunda coisa que Brown descobriu foi que os
chineses estavam essencialmente a fazer o mesmo que a
DIUx — a investir em empresas que se encontravam na
primeira fase de desenvolvimento de algum produto
tecnológico. Só que estavam a fazê-lo numa escala muito
maior que aquela que o Pentágono tinha em mente.
O que tornava a estratégia tão brilhante era os chineses
andarem a voar abaixo dos radares. Quando compravam uma
empresa inteira, isso desencadeava de forma automática uma
avaliação em Washington por um grupo pouco conhecido e
mal compreendido chamado Comissão para o Investimento
Estrangeiro nos Estados Unidos. Esta comissão pode
recomendar que a compra seja bloqueada pelo presidente
com base em razões ligadas à segurança nacional. E tanto
Obama como Trump o fizeram, várias vezes.
Acontece que em relação a assumir uma posição
minoritária numa empresa não havia impedimentos, e isso
permitia aos investidores ficarem com uma imagem
privilegiada das novas tecnologias. Isto deixou Brown um
tanto alarmado, porque sabia que os investidores chineses
estavam a observar em pormenor mesmo as empresas e as
tecnologias em que não queriam investir. Quando as regras
relativas ao investimento estrangeiro foram escritas, há
várias décadas, ninguém imaginou uma situação destas: na
altura quase não havia capital de risco e não era sequer
imaginável que os chineses pudessem vir a ser competidores
nesta matéria.
«As pessoas continuavam a dizer-me “Olha que estás a
exagerar, lembra-te do Japão”», conta Brown, referindo-se à
época, no fim dos anos 80 e princípio dos anos 90, em que
alguns recearam que os Estados Unidos viessem a tornar-se
«tecnocolónias» dos japoneses. Mas Brown acha que a
situação não é igual. «O Japão era um aliado seguro. Na
altura não era um rival militar. Nunca teve hipótese de
desafiar os Estados Unidos economicamente. E tínhamos
valores comuns.» No caso da China nada disto se aplica (um
dos sinais de mudança da fortuna económica do Japão, o país
que mais preocupava os Estados Unidos nos anos 80 e 90, é
ter contribuído com apenas 13 mil milhões de capital de
risco, de acordo com os cálculos da DIUx — apenas um
pouco mais de metade do que os chineses estavam a gastar).
As conclusões do relatório do DIUx, que começou a
circular confidencialmente por Washington na primavera de
2017, eram surpreendentes. Demonstravam que, embora os
chineses estivessem a recuar no roubo dos produtos da
indústria americana — o acordo de Obama com Xi começara
a produzir algum efeito —, tinham encontrado uma forma
perfeitamente legal de investir nela. Um governo que
continuava a louvar o comunismo tinha descoberto o negócio
do capital de risco — e concluíra que se tratava do atalho
mais curto para obter a tecnologia de que o país precisava.
Os números reunidos por Brown e Singh, todos retirados
de fontes públicas, contam a história por si sós. A China
participou em mais de 10 por cento de todos os negócios
deste tipo em 2015, segundo o relatório, tendo-se
concentrado em empresas na primeira fase da introdução de
inovações tecnológicas críticas tanto para uso comercial
como militar: inteligência artificial, veículos autónomos,
realidade virtual, tecnologia financeira e manipulação de
genes. Quando avaliaram quem estava a investir em
empresas com capital de risco sedeadas nos Estados Unidos
entre 2015 e 2017, os investidores americanos vinham em
primeiro lugar, com 59 mil milhões de dólares de
investimento, a Europa vinha em segundo lugar, com 36 mil
milhões, e a China vinha logo a seguir, com 24 mil milhões.
Algum do investimento direto de maiores proporções veio
da Baidu e da Tencent, mas havia também um número
surpreendente de empresas de capital de risco com nomes
ocidentais — West Summit Capital e Westlake Ventures —
que estavam inteiramente na mão de chineses. «São atores
privados», disse-me Brown, «mas atuam sempre com a
aprovação do governo chinês.»
Xi Jinping deixou claro que estava inteiramente por trás
da estratégia, através de algumas mensagens subtis. No
outono de 2017, no 19.º congresso do partido, Xi declarou
que tinha estas áreas estratégicas como objetivo. No discurso
de ano novo de 2018, surgiu com livros acerca de
inteligência artificial estrategicamente colocados atrás dele,
de maneira a serem apanhados pela câmara. Os investidores
chineses em Silicon Valley não precisavam de assistir ao
discurso para entender a mensagem: os chineses fizeram 81
negócios com empresas americanas de inteligência artificial
entre 2010 e 2017, no valor de 1,3 mil milhões de dólares.
Mais de um terço desse valor — acima de 500 milhões — foi
gasto só em 2017.
O relatório de Brown e Singh para a DIUx depressa
chegou às mãos do general Paul Selva, que ocupava o posto
de vice-presidente no grupo dos chefes de Estado-Maior, que
em tempos fora ocupado por James Cartwright. O general
Selva encorajara o estudo e usara-o para fazer soar os
alarmes no Pentágono. No entanto, o relatório acabou por
chegar nos primeiros dias da presidência de Trump, e em vez
de ter servido para os Estados Unidos pensarem em termos
chineses nas melhores formas de investir em investigação e
desenvolvimento — e em como integrar esses investimentos
nos projetos da Defesa —, apenas constituiu mais uma
desculpa para os apelos de Trump ao protecionismo. A
equipa económica do novo presidente acabou por se
convencer de que podia impedir completamente os chineses
de investir em novas tecnologias sensíveis nos Estados
Unidos — embora a China tivesse um crédito de 1,2 biliões
de dólares de dívida norte-americana.
No início de 2018 Trump andava à procura de novas
formas de bloquear o investimento chinês, e mesmo não
chinês, que pudesse ajudar Pequim. Impediu uma empresa de
Singapura, a Broadcom, de comprar a Qualcomm, um
fabricante de chips vitais mas muito especializados usados
pelas forças especiais americanas, entre outras unidades
militares. O pretexto foi o receio de que a Broadcom, embora
não fosse chinesa, viesse a investir em grande escala em
investigação e a Huawei e outras empresas chinesas viessem
a beneficiar disso.
Anthony Balloon, um advogado internacional que trabalha
sobretudo com a China, disse aos meus colegas do New York
Times que se tratava de um ponto de viragem numa guerra
tecnológica cada vez mais clara: «Atualmente o governo já
reconheceu que os investidores estrangeiros, em particular a
China, estão a ficar cada vez mais sofisticados na maneira
como acedem à tecnologia nos Estados Unidos.» A
mensagem era clara: os Estados Unidos passariam a analisar
de outra maneira mesmo um investimento minoritário e
outras formas de intervenção de capital chinês.
Os responsáveis americanos foram igualmente explícitos
em banir tecnologia chinesa que achassem que podia
oferecer a Pequim uma porta das traseiras para as redes
norte-americanas. Em março de 2018, quando Paul Nakasone
foi finalmente nomeado para dirigir a NSA e o
Cibercomando, disse com um sorriso perante o Congresso
que nunca usaria um telefone da Huawei — mais ou menos
pela mesma altura, a Best Buy deixou de os vender. O que
Nakasone não disse é que, embora a Huawei se tivesse
tornado o maior fabricante do mundo de equipamento de
rede — e estivesse a ligar quase toda a Ásia e parte da
Europa —, a NSA tinha discretamente proibido a AT&T e a
Verizon de permitirem que a Huawei concorresse à
construção ou viesse a construir partes da rede de 5G dos
Estados Unidos. As empresas, e mesmo algumas pessoas nos
serviços de informações, defenderam que isto mostrava falta
de visão: se a Huawei concorresse, acentuaram, isso
permitiria que os Estados Unidos estudassem em pormenor a
forma como as suas redes são construídas. Os responsáveis
americanos encolheram os ombros e disseram que não.
Foi um progresso notável. O que começara no início da
administração Obama como receio de que a China estivesse a
usar cibertecnologia para roubar tecnologia americana em
benefício das suas empresas estatais transformara-se numa
guerra fria tecnológica muito mais vasta. Os chineses não
pareciam estar a roubar assim tanto. Pelo contrário, estavam
a comprar nos Estados Unidos, de forma perfeitamente legal.
E os Estados Unidos estavam com dificuldade em perceber
como travá-los sem abandonar os princípios de um mercado
livre global.
*
O verdadeiro aviso contido no documento da DIUx não
era acerca do que os chineses estavam a fazer em Silicon
Valley, mas acerca do que estavam a fazer na China.
As batalhas da era Obama em relação ao roubo de
propriedade intelectual conquistaram as manchetes, e na
primavera de 2018 o presidente Trump ressuscitou a questão
como parte da sua justificação da ameaça de criar tarifas em
grande escala para os bens chineses. Embora o ritmo dos
roubos tivesse abrandado, muitas pequenas e grandes
empresas da China continuavam a tentar adquirir
investigação, desenvolvimento e conceção de produtos por
quaisquer meios, legais ou ilegais. Mas o objetivo da China
de se tornar líder mundial em inteligência artificial em 2030,
e os investimentos gigantescos em tecnologia que terá de
fazer para o conseguir, é uma preocupação igualmente
grande. Há um campus colossal em Hefei, na província de
Anhui, que constitui uma amostra do âmbito desse esforço: a
China está ali a construir um centro de investigação de 10
mil milhões de dólares, chamado Laboratório Nacional de
Ciências Quânticas da Informação, a peça central do seu
esforço em matéria de computação quântica.
A computação quântica — a capacidade de fazer cálculos
a velocidades alucinantes com recurso a fotões em vez de à
tradicional manipulação de zeros e uns à maneira antiga — é
a chave da desencriptação de qualquer informação com
recurso à força bruta. Se for bem-sucedida, pode resultar no
desenvolvimento de links de comunicações seguras e de
sistemas de navegação sem recurso a satélites de
posicionamento global, que podem ser bloqueados por um
adversário ou usados para localizar um submarino. Os
chineses já testaram satélites quânticos.
«A questão é a forma como os Estados Unidos devem
responder a este desafio», disse Robert Work, o antigo vice-
secretário de Estado que levou o Pentágono a competir nesta
área, ao meu colega Cade Metz. «É um momento com
analogias com o do lançamento do Sputnik.»
A analogia de Work capta uma verdade crítica: quaisquer
grandes descobertas obtidas pela concentração de esforços
dos chineses refletir-se-á diretamente no seu poderio militar.
Na China não existe nenhuma divisão semelhante à que
observamos nos Estados Unidos entre Silicon Valley e
Washington, que aflorou aquando das revelações de
Snowden e voltou a ser visível nas batalhas do governo para
conseguir uma porta das traseiras em sistemas encriptados.
Já nos Estados Unidos esta divisão está a aumentar. O
modelo da Guerra Fria, em que as descobertas da tecnologia
militar e do programa espacial americano fluíam para o setor
comercial, desapareceu para sempre. O modelo inverso —
usar as competências de Silicon Valley para fazer as armas
da próxima geração — tem enfrentado uma oposição política
e cultural significativa.
 «Embora os Estados Unidos tenham as melhores empresas
de inteligência artificial, não é claro que estas venham a estar
envolvidas de forma considerável na defesa nacional»,
observou Gregory Allen, do Centro para Uma Nova
Segurança Americana. Os efeitos já são visíveis: a vantagem
militar a que os Estados Unidos se habituaram desde a
segunda guerra mundial está a desaparecer.
A oposição pós-Snowden à cooperação com os militares
voltou a revelar-se no início da primavera de 2018 no
campus da Google, apenas a meia dúzia de quarteirões do
quartel-general da DIUx. As notícias da participação da
Google no Projeto Maven, um programa-piloto do Pentágono
que usa técnicas de inteligência artificial para detetar
veículos e armas em movimento, desencadeou um motim na
empresa. Quando a notícia se espalhou na gigante da
tecnologia, milhares de empregados assinaram uma carta que
abria com a seguinte declaração: «Achamos que a Google
não deve envolver-se no negócio da guerra.» A carta rejeita
as garantias da empresa de que o trabalho não será ajudar o
Pentágono a «operar drones» ou a lançar mísseis. Os
empregados da Google não se deixaram enganar por esta
desculpa — o projeto pode não envolver armas já existentes,
mas não há dúvida de que o Pentágono pretende que os
resultados sejam incorporados em armas futuras.
«A tecnologia está a ser desenvolvida para os militares»,
escreveram os empregados, «e depois de ser entregue pode
facilmente ser usada para assistir nestas tarefas.» A seguir
veio a conclusão: «Ao participar neste contrato, a Google vai
juntar-se a empresas como a Palantir, a Raytheon e a General
Dynamics.» A declaração terminava incentivando a empresa
a adotar «uma política clara de não participação, nem da
Google nem das empresas associadas, na construção de
tecnologia militar».
A rebelião não se limitou à Google. Nesse mesmo
momento, a Microsoft estava discretamente a levar dezenas
de outras empresas a assinarem um acordo de não
participação fosse de que forma fosse, pelo menos tendo o
conhecimento de que o faziam, na ajuda a qualquer governo
— os Estados Unidos ou os seus adversários — no fabrico de
ciberarmas para uso contra «civis inocentes». E
comprometiam-se a ajudar qualquer país que fosse atacado.
No cerne destas rebeliões está uma conceção de
identidade corporativa que é o oposto da que existia durante
a Guerra Fria. A Raytheon e a General Dynamics cresceram
porque faziam parte do establishment americano da Defesa
que armou a aliança atlântica. Trabalhavam para governos, e
não para os consumidores, e por isso foi fácil escolherem um
lado.
A Google e a Microsoft não partilham esta visão. Os seus
clientes são globais, e o grosso das suas receitas vem de fora
dos Estados Unidos. É por isso compreensível que se
considerem essencialmente neutrais — leais em primeiro
lugar à sua base de clientes e apenas em segundo lugar a
qualquer governo.
Washington, pelo contrário, continua a vê-las como
«empresas americanas», que beneficiam das liberdades
americanas. De acordo com a visão do Pentágono, a sua
capacidade técnica e a sua tecnologia deviam estar em
primeiro lugar ao serviço da defesa da nação que lhes
permitiu formar-se e florescer. São duas visões do mundo
completamente distintas que, pelo menos em tempo de paz,
nunca estarão alinhadas.
 Capítulo XII
LANÇAMENTOS FRUSTRADOS
«MARY LOUISE KELLY (NPR): Existe um Stuxnet
para a Coreia do Norte?
JOHN BRENNAN (DIRETOR DA CIA DURANTE A
ADMINISTRAÇÃO OBAMA): [Risos] Pergunta
seguinte.»
— Dezembro de 2016
a primavera de 2016, os mísseis da Coreia do Norte
N começaram a cair do céu — isto nos casos em que
chegaram a subir.
Em teste após teste, o míssil Musudan de Kim Jong-un —
o orgulho das suas forças armadas — começou a explodir na
rampa de lançamento, a cair segundos depois de iniciar a
ascensão ou a percorrer pouco mais de 100 quilómetros antes
de se despenhar prematuramente no mar do Japão. Para um
míssil que Kim imaginara que lhe permitiria ameaçar a base
aérea americana em Guam e formar a base tecnológica de um
míssil maior, capaz de chegar ao Havai ou a Los Angeles,
estes fracassos eram desastrosos.
Em resumo, Kim Jong-un ordenou oito testes com o
Musudan entre meados de abril e meados de outubro de
2016. Sete falharam, alguns de forma espetacular, antes de o
líder norte-coreano ordenar a suspensão do esforço. Uma
taxa de fracasso de 88 por cento é inaudita, sobretudo para
um míssil já testado. O Musudan baseava-se num míssil
compacto de longo alcance que os soviéticos tinham
construído nos anos 60 para ser lançado de submarinos. A
sua pequena dimensão, associada à sua enorme potência,
tornava-o perfeito para a nova estratégia de Kim: transportar
mísseis para todo o país em rampas móveis e armazená-los
em túneis em montanhas, onde os satélites americanos teriam
dificuldade em localizá-los.
Para aumentar o alcance e a letalidade dos seus mísseis,
Kim investiu fortemente na modificação dos engenhos
soviéticos. O Musudan era muito mais complexo que o Scud,
o míssil de curto alcance com que a Coreia do Norte fizera
fortunas, a vendê-lo ao Egito, ao Paquistão, à Síria, à Líbia e
ao Iémen, entre outros países. Para Kim era essencial
desenvolver a tecnologia Musudan. Esperava com isso abrir
caminho a uma nova geração de mísseis de estágio único e
multiestágios. Com esses mísseis no seu arsenal poderia
concretizar a ameaça de que nenhuma base americana no
Pacífico — e por fim nenhuma cidade americana — estaria
fora do seu alcance.
A Coreia do Norte está metida no negócio do lançamento
de mísseis há muito tempo e até conquistou uma certa
reputação na matéria. Assim, a série de fracassos do
Musudan em 2016 — três em abril, dois em maio e em junho
e mais dois em outubro, depois de a Coreia do Norte ter feito
uma pausa para refletir no que lhes estava a acontecer — era
digna de perplexidade. A história dos testes aos mísseis
sugeria que há sempre muitos fracassos ao princípio, mas
depois percebe-se qual é o problema e tudo começa a
funcionar. Foi o que aconteceu durante a corrida entre os
Estados Unidos e a União Soviética para construir mísseis
balísticos intercontinentais nos anos 50 e 60, uma era
marcada por muitos despenhamentos espetaculares antes de
os engenheiros perceberem bem a tecnologia. A experiência
com os Musudan inverteu a tendência normal. Ao fim de
muitos anos de testes bem-sucedidos com outros mísseis, foi
como se os engenheiros da Coreia do Norte tivessem
esquecido tudo o que já haviam aprendido.
Kim e os seus cientistas estavam muito conscientes do que
os Estados Unidos e Israel tinham feito ao programa nuclear
iraniano, e tinham tentado isolar-se para evitar um ataque
semelhante. No entanto, o número de fracassos com os
lançamentos dos mísseis forçou o líder norte-coreano a
reavaliar a possibilidade de alguém — talvez os americanos,
talvez os sul-coreanos — estar a sabotar o seu sistema. Em
outubro de 2016 surgiram notícias segundo as quais Kim
Jong-un ordenara uma investigação à possibilidade de os
Estados Unidos terem incapacitado os sistemas eletrónicos
dos mísseis, talvez através dos seus sistemas de comando e
controlo. E havia sempre a possibilidade de uma pessoa de
dentro estar envolvida, ou até várias.
Sempre que havia mais um fracasso norte-coreano, o
Pentágono anunciava que detetara um teste, e muitas vezes
até celebrava o seu fracasso. «Foi uma tentativa catastrófica
de lançamento que não foi bem-sucedida», declarou um
porta-voz do Pentágono aos jornalistas em abril de 2016,
depois do primeiro teste completo com o Musudana,
marcado para celebrar o aniversário do nascimento do
fundador do país, Kim Il-sung. Quando as tentativas
posteriores também falharam, o comunicado oficial do
Pentágono incluiu a habitual observação: «O Comando de
Defesa Aeroespacial Norte-Americano determinou que o
lançamento do míssil da Coreia do Norte não representa uma
ameaça para os Estados Unidos.» Estes anúncios nunca
especulavam acerca do que correra mal com as experiências.
No entanto, dentro do Pentágono, da NSA e da Casa
Branca, entre o pequeno grupo que estava a par do programa
secreto dos Estados Unidos para reforçar os ciberataques
contra a Coreia do Norte, com especial atenção aos testes de
mísseis, corriam muitas especulações. Cada explosão, cada
novo míssil que se desviava do rumo previsto e se
despenhava no mar, levantava a mesma questão urgente:
«Fomos nós que fizemos isto?»
Havia mais de dois anos que Obama, alarmado com os
progressos da Coreia do Norte, tinha pressionado o
Pentágono, no início de 2014, para acelerar de forma drástica
o esforço para sabotar os mísseis da Coreia do Norte — e
mais uma vez a cibersabotagem pareceu a melhor solução
para as tensões geopolíticas. Desde então muitas coisas
haviam acontecido. As negociações com o Irão — que
levaram a um acordo no verão de 2015 para enviar 97 por
cento do combustível nuclear iraniano para fora do país, o
que retardou os seus esforços cerca de dez anos, talvez mais
— ocuparam as atenções dos peritos nucleares de
Washington. A Rússia tornou-se mais agressiva e a China
mostrou, com vigor surpreendente, que estava a esforçar-se
por aumentar a sua influência, o seu domínio económico e a
sua presença militar em muitos lugares onde até então nunca
estivera. A emergência de Donald Trump, a sua passagem de
piada de programa de televisão a candidato sério, criou
momentos de entretenimento absorventes.
Com tudo isto, o esforço de sabotagem da Coreia do Norte
foi avançando em silêncio.
Como é evidente, a administração Obama esperava que ao
fim de dois anos a tentar arranjar maneira de penetrar no
programa de mísseis da Coreia do Norte os Estados Unidos
tivessem desenvolvido um sucessor digno da Operação Jogos
Olímpicos: uma forma de retardar vários anos o dia em que o
país asiático pudesse ameaçar cidades americanas com armas
nucleares. «Agora já é demasiado tarde para fazer recuar o
programa de armas nucleares em si», disse-me William
Perry, o antigo secretário da Defesa. «Mas boicotar os testes
seria uma forma muito eficaz de travar o programa de
mísseis balísticos intercontinentais deles.» Na verdade era a
única esperança dos Estados Unidos. A estratégia pública —
a que a Casa Branca chamou brevemente a «paciência
estratégica» — era um fracasso. Não havia esforços
diplomáticos em curso. Um ataque militar era muito
arriscado. Isto deixava apenas a possibilidade de uma ação
secreta. E contra um processo de proliferação, como me disse
num tom desgastado um dos veteranos da questão norte-
coreana, «o melhor que se consegue é ganhar tempo».
Os ataques digitais e eletrónicos que os Estados Unidos
dirigiram contra a Coreia do Norte foram muito mais
complicados que o plano para atacar as centrifugadoras
iranianas alguns anos atrás. A central nuclear de Natanz era
um alvo comparativamente fácil: estava num local fixo,
numa sociedade altamente conectada, onde engenheiros,
diplomatas, executivos de empresas e académicos entravam e
saíam constantemente — todos eles candidatos potenciais a
transportar malware para o país. E quando a NSA e a Mossad
escreviam o código tinham o privilégio de dispor de tempo.
Como observou um veterano da ciberguerra, se o código
tiver erros podemos levá-lo outra vez para a oficina,
consertá-lo e tentar de novo ao fim de uma semana, um mês
ou até seis meses. Se as centrifugadoras se pusessem a girar
depressa de mais e se autodestruíssem isso era um sinal
bastante seguro de que o código funcionara.
Já atacar os mísseis da Coreia do Norte era um desafio
completamente diferente. O acesso era péssimo. Os mísseis
eram disparados de vários pontos do país, e cada vez mais de
rampas móveis, num jogo de prestidigitação complexo com o
objetivo de ocultar a altura e o local dos lançamentos. E
acertar com o momento era o mais importante. Havia uma
janela de oportunidade mínima em que se podia interferir
com um lançamento: o momento em que o míssil era
abastecido de combustível e preparado para o lançamento ou
os primeiros segundos no ar.
Mesmo quando os mísseis da Coreia do Norte explodiam
ou caíam no mar, era terrivelmente difícil perceber
exatamente porquê. Que proporção, se é que alguma, dos
problemas do adversário resultava da iniciativa de Obama? E
que proporção resultava de outras causas? Na verdade, tanto
no Pentágono como na NSA e no Cibercomando, o projeto
com o programa de mísseis da Coreia do Norte criara
bastante ceticismo. Muitos duvidavam que tivesse sido um
primo da Operação Jogos Olímpicos a criar os problemas de
Kim.
Sempre que um Musudan era lançado, os dados acerca do
seu desempenho — velocidade, trajetória, funcionamento do
motor — eram apanhados por um dos satélites e radares
americanos. As informações eram imediatamente
transmitidas ao Comando do Pacífico, no Havai, ao
Comando Estratégico em Omaha e às equipas do almirante
Rogers no Cibercomando e na NSA. Os dados eram aí
analisados em todos os sentidos pelos especialistas coreanos
da CIA em armas de destruição em massa e introduzidos nos
computadores da Agência de Informações Aeroespaciais da
Defesa, em Huntsville, no Alabama. «Aposto que a NASA
não passou tanto tempo a estudar os lançamentos das Apollo
como nós passámos a estudar os lançamentos dos mísseis de
Kim», disse-me mais tarde um responsável americano.
Ainda assim, ninguém conseguiu determinar com
segurança se o programa que Obama ordenou estava a
resultar. Quando os mísseis falhavam ou se despenhavam,
levavam com eles os dados mais interessantes acerca da sua
condição exata no momento da falha. As centrifugadoras
abrandam, mas os mísseis desaparecem. As equipas de
ciberespecialistas e engenheiros eletrotécnicos que andavam
a atacar os sistemas norte-coreanos havia anos apareciam no
Pentágono e defendiam um efeito direto do programa de
ciberguerra sobre os problemas de Kim Jong-un com os
mísseis. Queriam mostrar resultados do gigantesco
investimento secreto americano em ciberarmas, pelo menos
em parte para assegurar o financiamento de novas iniciativas
do Cibercomando. Mas a verdade é que, pelo menos de
acordo com o que dizem vários responsáveis, nunca
conseguiram provar que a falha de qualquer dos mísseis
resultara da interferência americana.
Depois vinham os analistas de mísseis com explicações
alternativas. Sim, admitiam, a elevada taxa de fracassos
podia ter sido acelerada pelo esforço concentrado para
penetrar no sistema da Coreia do Norte, mas não era possível
dizê-lo com certeza absoluta. Havia outras explicações
possíveis. Os fracassos podiam dever-se a peças defeituosas
— sobretudo porque os Estados Unidos e os seus aliados
tinham desenvolvido vários programas na década anterior
para penetrar na cadeia de fornecimentos da Coreia do Norte.
Ou então os engenheiros norte-coreanos não eram tão
espertos como se julgava. Ou então tinham soldado mal as
peças.
«Temos de ser cautelosos quando os entusiastas dos
ciberataques aparecem todos satisfeitos a proclamar vitória»,
aconselhou-me um antigo responsável de um dos programas.
 Seja qual for a verdadeira razão, o plano americano para
desviar os mísseis da finalidade pretendida conseguiu um
objetivo: deixou Kim Jong-un e o seu quarteto de
construtores de mísseis paranoico. Os quatro membros da
liderança que apareciam nas fotografias a rodear o jovem
líder durante os lançamentos andavam claramente a tentar
perceber se a origem dos seus infortúnios estava na
sabotagem, na incompetência ou numa série de acidentes
infelizes. Nesse sentido, o esforço de cibersabotagem
iniciado nos Estados Unidos desencadeara na Coreia do
Norte o mesmo tipo de ansiedades que o Stuxnet causara no
Irão, onde as centrifugadoras pareciam estar a girar
normalmente, até que aconteceu um desastre inexplicável. Os
efeitos psicológicos podem ter sido tão importantes como os
físicos.
Ainda assim, o claramente volátil e jovem líder norte-
coreano — conhecido por ter executado o tio e montado um
ataque com gás de nervos que matou o meio-irmão —
revelou-se notavelmente tolerante quanto às fraquezas da sua
equipa. «Nunca ouvimos dizer que tivesse matado
cientistas», diz Choi Hyun-kyoo, um investigador da Coreia
do Sul que dirige o NK Tech, que administra uma base de
dados de publicações científicas norte-coreanas. «É uma
pessoa que percebe que o processo de tentativa e erro faz
parte da ciência.»
Os especialistas em mísseis só esperavam que a sua
tolerância se mantivesse.
*
Antes de os mísseis norte-coreanos terem começado a
explodir, apenas me lembro vagamente de ouvir a expressão
«left of launch», que designa lançamentos frustrados.
Sabia o básico: que significava travar os mísseis antes de
serem disparados, a altura em que, em princípio, é mais fácil
acertar-lhes. A expressão trazia com ela uma espécie de eco
da guerra do Iraque, em que os militares usavam muitas
vezes a expressão abreviada «left of boom» para descrever o
esforço para encontrar e desmantelar bombas plantadas à
beira de estradas antes que causassem estragos.
No entanto, enquanto matéria para o direito internacional
e a geopolítica, frustrar um lançamento em território
estrangeiro era muito mais polémico. No seu cerne estava a
ideia de que os Estados Unidos se prepararavam para atacar
outro país em tempo de paz, penetrando nas suas
infraestruturas para atacar os seus mísseis e os seus sistemas
de comando e controlo antes que estes pudessem ser usados
contra o seu próprio território. Como é evidente, se um
presidente ordenasse um ataque deste tipo da forma
tradicional — por exemplo, enviando bombardeiros para
destruir uma base de mísseis em tempo de paz —, isso
provavelmente desencadearia uma guerra. A esperança era
que ao recorrerem em vez disso a ciberarmas ou a outras
formas de sabotagem, os Estados Unidos pudessem agir de
forma mais subtil e negar qualquer envolvimento no que
acontecera, escapando assim à responsabilidade.
Não é por isso de surpreender que, nas raras ocasiões em
que o Pentágono falou de frustrar o lançamento de mísseis
em público — e isso não aconteceu muitas vezes —, fez o
acontecimento parecer muito mais benigno. Os responsáveis
nunca usaram a palavra «preventivo», por saberem que a
questão levantaria uma série de problemas legais e políticos,
a começar pelo óbvio: que apenas o Congresso pode declarar
guerras. Os responsáveis nem sequer falam de frustrar
lançamentos como uma das opções do presidente para ações
encobertas, algo que ele poderia iniciar com a assinatura de
um memorando com uma autorização dada aos serviços de
informações para agirem em defesa dos Estados Unidos.
Em vez disso, a possibilidade de frustrar um lançamento
foi tratada apenas como mais uma forma de defesa
antimísseis — os sistemas antimísseis que supostamente
servem para atingir uma ogiva nuclear antes de esta atingir as
costas dos Estados Unidos.
Estes sistemas tradicionais exigiam todo o apoio possível.
Os Estados Unidos começaram a trabalhar nas defesas
antimísseis depois de a União Soviética ter disparado o
primeiro míssil balístico intercontinental, em 1957. Esse
lançamento levou o presidente Dwight Eisenhower a iniciar
um programa de emergência em que estiveram envolvidos
muitos dos melhores cientistas do país. Sessenta anos e mais
de 300 mil milhões de dólares mais tarde, a conceção
tradicional de sistemas de defesa antimísseis não mudara
muito. A finalidade continuava a ser «atingir um projétil com
outro projétil» — por outras palavras, intercetar uma ogiva
em voo com um sistema antimíssil de alta precisão lançado,
muitas vezes para o espaço, do Alasca, da Califórnia ou de
um navio.
Se tivermos em conta o número de mísseis soviéticos que
podiam ser lançados ao mesmo tempo, nenhum sistema
americano teria capacidade de resposta suficiente. Mais
tarde, depois da queda da União Soviética, o presidente
George Bush concentrou-se na Coreia do Norte, que na altura
não tinha capacidade de disparar um grande número de
mísseis na direção dos Estados Unidos. No final de 2002,
Bush anunciou que a sua administração ia ativar intercetores
de mísseis de longo alcance numa base gigantesca e
enlameada a sul de Fairbanks, com uma instalação
coordenada com esta na Califórnia.
Mais uma vez, o otimismo foi desmentido pela
experiência. O número de intercetações em testes foi
embaraçoso — aproximadamente 50 por cento, e isto em
testes conduzidos em condições ideais. Em breve o
Pentágono parou de tornar estes resultados públicos. A
verdade era demasiado dolorosa. Sempre que algum senador
procurava informar-se acerca de mais pormenores, alguém
lhe dizia que poderia conhecê-los numa reunião à porta
fechada.
Devido a estes desapontamentos, não só no Pentágono
mas até entre as empresas que trabalhavam para a Defesa e
dependiam de contratos de muitos milhares de milhões de
dólares em intercetores de mísseis tradicionais, a importância
de frustrar lançamentos foi aumentando. Se os mísseis
pudessem ser travados ainda no solo, ou nos primeiros
segundos de voo, os intercetores não seriam sequer lançados
— tornar-se-iam parte de uma segunda linha de defesa, e não
de uma defesa primária. A empresa mais hábil nesta matéria,
ansiosa por apresentar a sua proposta para o novo negócio,
começou a falar de programas de «derrota de mísseis», e não
de programas de «defesa antimíssil». Mas as maiores destas
empresas receavam no fundo que, se os cibermétodos e os
métodos eletrónicos para esquivar ataques com mísseis
fossem demasiado bem-sucedidos, os seus tradicionais
programas antimísseis de milhares de milhões de dólares
fossem postos de lado. O que dava dinheiro continuava a ser
sobretudo a serralharia e a construção de intercetores — e
não escrever código.
«Isto é uma faca de dois gumes», disse-me um
colaborador de uma dessas grandes empresas de material de
guerra. «Todos querem que funcione, mas não querem que
funcione bem de mais.»
*
Washington escondeu muitos dos pormenores do esforço à
vista de todos.
Quando eu e Bill Broad, em 2016, começámos a fazer
perguntas em torno do Pentágono e da Casa Branca acerca do
número surpreendente de fracassos nos testes com mísseis da
Coreia do Norte, não ficámos surpreendidos por se nos ter
deparado um silêncio tão profundo. Depois das fugas de
informações a propósito do Stuxnet, ninguém queria ser
acusado de falar de programas de cibersabotagem —
sobretudo de algum que pudesse nem sequer estar a resultar.
Mas houve sugestões ocasionais de que as respostas podiam
estar no programa com a finalidade de frustrar lançamentos.
O Bill pôs-se a estudar os documentos públicos. Pouco
depois apareceu-me em Washington com um monte de
testemunhos e documentos públicos do Pentágono. Para um
programa secreto, observou, tinham falado muito dele, na
maior parte dos casos porque andavam a fazer lóbi para
receber dinheiro.
O rasto começava no general Martin E. Dempsey,
presidente do grupo dos chefes de Estado-Maior na altura em
que Obama estava a pressionar para os ataques serem
reforçados. Pouco tempo depois de os norte-coreanos terem
realizado um teste nuclear em fevereiro de 2013, Dempsey
anunciou publicamente que um novo esforço de frustrar
lançamentos se centraria na «ciberguerra, em energia dirigida
e ataques eletrónicos». Tudo isto fazia parte de uma
apresentação mais geral no Pentágono acerca de tecnologias
que tinham de ser criadas ao longo dos sete anos seguintes, e
quase ninguém reparou na parte sobre frustrar lançamentos.
Mas a verdade é que o militar mais responsável do país
explicara que o malware, os lasers e o bloqueamento de
sinais estavam a tornar-se ferramentas importantes a juntar
aos métodos tradicionais de intercetar ataques inimigos.
O general Dempsey nunca mencionou a Coreia do Norte
na sua declaração, mas isso não era necessário. O mapa que
acompanhava o artigo do Pentágono acerca do assunto
mostrava um míssil norte-coreano a dirigir-se para os
Estados Unidos. Isso permitiu que a comunicação social
usasse imagens semelhantes.
Pouco tempo depois, a Raytheon, o maior fornecedor de
mísseis do Pentágono, começou a falar abertamente em
conferências acerca de novas oportunidades na indústria de
frustrar lançamentos, em particular de ataques digitais ou
eletrónicos executados no momento do lançamento. Um
documento da Raytheon, divulgado numa das suas
conferências e que foi postado num site público até que nós
próprios começámos a fazer perguntas acerca do assunto, não
foi propriamente subtil. Um dos seus slides mostrava um
grupo de adversários contra os quais o método de frustrar
lançamentos era especialmente adequado, com uma foto de
um Kim Jong-un ensanduichado entre Vladimir Putin e Xi
Jinping. Um quadro a ilustrar a forma como o programa
funcionava mostrava uma faixa brilhante a separar os passos
que a tecnologia da Raytheon conseguiria alcançar para
neutralizar os mísseis antes e depois do lançamento. A parte
mais interessante era a própria faixa — que representava o
tempo em minutos em torno do lançamento. Nessa faixa a
Raytheon introduzira as palavras «ciber» e «GE», ou seja, as
iniciais de «guerra eletrónica», indicando que eram esses os
momentos para ativar o processo, os seus pontos mais
vulneráveis.
O quadro mostrava que os ciberataques e os ataques
eletrónicos também podiam ter como alvos as fábricas do
inimigo — o último esforço no recurso à sabotagem
industrial para travar a Coreia do Norte. O programa requeria
um esforço complexo e de grande escala, que teria de
envolver os laboratórios nacionais dos Estados Unidos, o
Departamento da Energia e a CIA e teria também o Irão
como alvo. Contudo, esta abordagem estava longe de ser um
tiro seguro. Os norte-coreanos estavam a aprender como
construir cada vez mais sistemas localmente, e estavam até a
começar a produzir algum do combustível de foguetes
altamente volátil que poderia alimentar os seus mísseis de
longo alcance.
O progresso tornou ainda mais urgente a entrada da
Agência Nacional de Segurança e da unidade de operações
de acesso a alvos específicos nos sistemas da Coreia do
Norte. Como é natural, estas operações estão entre as mais
secretas, mas Oren J. Falkowitz, um antigo operador da NSA
que criou uma empresa de cibersegurança especialmente
inovadora em Silicon Valley chamada Area 1, deixou escapar
uma alusão subtil interessante. Numa entrevista ao New York
Times acerca da sua start-up, dada à minha colega Nicole
Perlroth, descreveu a forma como algumas das abordagens
da empresa à previsão de ciberataques eram inspiradas em
trabalho feito no interior da NSA para penetrar em sistemas
de computadores ligados ao programa de mísseis da Coreia
do Norte, no que caraterizou como um esforço para perceber
o seu ritmo de lançamento de mísseis.
 Falkowitz não disse nada acerca do que os Estados Unidos
estavam a fazer com a informação que obtinham desta
maneira, o que deixou em aberto a questão de saber se
estávamos apenas envolvidos em espionagem acerca do
programa de lançamentos ou se estávamos ativamente a
procurar introduzir implantes nos sistemas norte-coreanos.
Mas havia outras indicações — algumas públicas, outras
apenas sussurradas em privado — de êxitos americanos na
invasão de sistemas de comando e controlo. Segundo
informações de antigos operadores americanos e sul-
coreanos, é muito difícil entrar nas redes fechadas de
computadores da Coreia do Norte. No entanto, uma vez lá
dentro, as defesas caem muito depressa. Os militares da
Coreia do Norte, garantiu uma destas fontes, são tão
paranoicos como os do Irão, mas menos competentes.
A análise de um encontro de especialistas de topo em
tecnologia antimísseis no Centro de Estudos Estratégicos
Internacionais em 2015 permitiu-nos descobrir ainda mais
pormenores. Archer Macy Jr., um contra-almirante na
reserva, explicou de que modo o Pentágono estava a
desenvolver formas não apenas de impedir lançamentos bem-
sucedidos de mísseis mas também de interferir nos seus
planos de voo e nos seus sistemas de navegação. Isto foi
seguido por um testemunho perante o Congresso durante o
qual James Syring, o diretor da Agência de Defesa
Antimíssil do Pentágono, descreveu os ataques com a
finalidade de frustrar lançamentos como uma mudança
radical, uma vez que reduziam a necessidade de «confiar
exclusivamente em intercetores caros».
De vez em quando durante estas conferências e audições
alguém tocava na questão mais profunda no centro deste
programa. Isto aconteceu, por exemplo, num dia em que
Kenneth Todorov, um brigadeiro-general da Força Aérea
aposentado, perguntou de que forma os Estados Unidos
justificariam algo que perante a legislação internacional
equivale a uma guerra preventiva: atacar os mísseis da
Coreia do Norte antes de qualquer ataque deste país para
obter uma vantagem estratégica. «Estaremos, como militares
e como país», perguntou o general, preparados para «atacar
antecipadamente alvos potenciais?» E, se assim for,
estaremos preparados para que os outros países nos façam o
mesmo?
Todorov tocou num ponto crítico, que havia sido
periodicamente discutido desde que o presidente Bush, em
2002, declarou que a prevenção voltara a ser um princípio
central dos Estados Unidos para lidar com um mundo hostil.
Se os Estados Unidos vissem um míssil numa rampa de
lançamento norte-coreana a ser abastecido de combustível,
carregado com uma ogiva nuclear e aparentemente apontado
para o território dos Estados Unidos ou de um dos seus
aliados, seria provavelmente admissível de acordo com o
direito internacional retirar esse míssil da rampa de
lançamento.
No entanto, já a expressão «frustrar lançamentos» sugeria
uma situação diferente: um ataque preventivo, do tipo dos
que um estado realiza contra outro estado na ausência de
ameaças iminentes. Podemos pensar em Pearl Harbor, ou
num estado forte que ataca um estado mais fraco mas que
constitui um competidor em crescimento enquanto ainda é
possível fazê-lo. No entanto, isto é claramente proibido pelo
direito internacional.
Com um ciberataque — invisível e passível de ser negado
—, a tentação de conduzir uma guerra preventiva pode ser
maior do que alguma vez foi. Não é por isso surpreendente
que poucos responsáveis do governo estejam interessados em
discutir em grande profundidade, pelo menos em público, a
forma como as leis da guerra se aplicam a ciberataques
ofensivos.
Em privado, estes assuntos são constantemente discutidos,
mas, como me disse um dia Robert Litt, o general e antigo
conselheiro do diretor de Segurança Nacional da
administração Obama, «não há assunto com que os
advogados do governo já tenham perdido mais tempo, e com
menos resultados, que a aplicação das leis da guerra ao
mundo digital».
*
Em março de 2016, na altura em que a Coreia do Norte se
preparava para começar a testar os seus preciosos mísseis
Musudan, tentei falar com Donald Trump sobre as suas
ideias acerca do novo ciberarsenal dos Estados Unidos — e
da maneira como poderia usá-lo se fosse eleito. Trump estava
no seu clube de golfe na Florida, em Mar-a-Lago, e eu e a
minha colega Maggie Haberman íamos falar com ele como
parte de uma entrevista mais pormenorizada que ele
concordara dar ao New York Times acerca de questões de
segurança nacional.
O meu objetivo ao falar com ele sobre ciberarmas nesse
dia era simples: queria ver se um candidato que se referia ao
poder militar como se ainda estivéssemos em 1959 —
tanques, porta-aviões e bombas atómicas — tinha alguma
ideia acerca das novas tecnologias. O primeiro passo de uma
pessoa nova no mundo da diplomacia, da coerção e do
planeamento militar seria perceber as ferramentas de que
dispunha.
A guerra digital era um campo novo para ele; com o
decorrer da conversa, não fiquei sequer certo de que já
tivesse ouvido falar das ciberoperações dos Estados Unidos
contra o Irão. O seu interesse principal estava em mostrar, no
campo digital e em todos os outros, que era mais duro e
determinado que Barack Obama, embora nem sequer
soubesse muito bem o que o presidente anterior fizera em
matéria digital. Defendeu a ideia de que, como em muitas
outras áreas da sua visão do mundo, a América estava a
perder a dianteira:
*
Nós somos aqueles que, quer dizer, estivemos muito
envolvidos na criação, mas estamos tão obsoletos, quer
dizer, parece que já há muitos países a brincar connosco. E
não sabemos quem está a fazer isso. Não sabemos quem
 tem esse poder, quem tem essa capacidade. Há quem diga
que é a China, há quem diga que é a Rússia. Mas o digital
tem de ser, quer dizer, o digital tem de estar no nosso
processo de pensamento. É inconcebível que,
inconcebível, o poder do digital. Mas, como diz, pode
anular, podem anular-se, podemos fazer certos países
deixarem de funcionar com um uso forte do digital. Não
acho que já estejamos aí. Não acho que estejamos tão
avançados como outros países, e penso que provavelmente
concorda comigo. Não acho que estejamos avançados,
acho que estamos atrasados em muitas coisas. Acho que
estamos a andar para trás com os nossos militares (…)
andamos para a frente com o digital, mas há outros países
que estão a andar para a frente muito mais depressa.
*
Tudo o que ele disse foi mais afirmação que análise, mais
declaração que doutrina. Estávamos a tentar levá-lo a discutir
em que circunstâncias se justifica usar ciberarmas e ele levou
a conversa para a questão de quem é mais forte e quem é
mais fraco, sem prestar a menor atenção aos factos.
Depois, apenas para reforçar os pontos fortes da sua
campanha, concluiu: «Francamente, não estamos a ser muito
bem conduzidos em termos de proteção deste país.»
Dez meses mais tarde, Trump tomou posse como
presidente dos Estados Unidos, o quadragésimo quinto, e
herdou uma ciberoperação complexa contra um Estado hostil
que mal compreendia. Entretanto, eu e Bill Broad tínhamos
reunido argumentos fortes a favor da ideia de que a Coreia
do Norte era o alvo de um esforço intensivo e sofisticado dos
Estados Unidos para desmantelar os seus mísseis. Com mais
algum trabalho de investigação, chegámos a meia dúzia de
conclusões sólidas acerca da forma como os ataques
funcionavam.
Depois veio a parte sensível: dizer ao governo o que nos
estávamos a preparar para publicar, pedir os seus
comentários e saber se achavam que alguma das nossas
revelações poderia comprometer operações em curso ou
fazer alguém correr risco de vida. Durante as últimas
semanas da administração Obama reunimo-nos com
responsáveis dos serviços de informações, inteiramente
convencidos de que a sua primeira reação seria tentar
convencer-nos a não publicar qualquer reportagem acerca de
um assunto tão sensível como aquele. Quando não disseram
nada disso, saímos convencidos de que ainda tínhamos
trabalho a fazer antes de publicar.
Esse trabalho acabou por coincidir com o caos da tomada
de posse de Trump e o seu tumultuoso primeiro mês na Casa
Branca — a chuva de decisões executivas, a sua paranoia em
relação à investigação da questão russa e a sua suspeita em
relação a um «estado profundo» que ia procurar boicotar o
seu trabalho e os seus planos. Antes do fim de fevereiro não
conseguimos concluir a reportagem. Foi nessa altura que
telefonei a K. T. McFarland, que então era a vice-conselheira
para a Segurança Nacional, e lhe expliquei que precisava de
falar com ela e saber se a nova administração estava a par de
uma história acerca de um programa de grandes dimensões
que ia herdar da administração de Obama.
No dia seguinte apareci no gabinete minúsculo de K. T.
McFarland na ala oeste. O chefe dela, o general Michael
Flynn, fora corrido poucos dias antes por ter induzido o vice-
presidente Michael Pence em erro em relação às suas
conversas com o embaixador russo nos Estados Unidos,
Sergey Kislyak. O general negara ter falado com Kislyak
acerca da remoção das sanções contra a Rússia que Obama
impusera nas últimas semanas da sua presidência, mas na
realidade, o tópico fora mencionado durante as conversas
entre os dois.
Quando passei pelo gabinete do conselheiro para a
segurança nacional a porta abriu-se. Alguém enrolara a
carpete, retirara todos os livros das prateleiras e voltara a
cadeira de Flynn sobre a secretária. Pareciam os preparativos
de um estudante para deixar o dormitório na universidade.
Não era de maneira nenhuma uma coisa que esperássemos
ver pouco mais de um mês depois da tomada de posse de
uma nova administração. Na verdade era apenas um símbolo
do caos ainda maior que se ia instalando.
Embora soubesse que as equipas de transição de Obama
tinham deixado muitas pastas com material acerca da Coreia
do Norte à nova administração, desconfiava que poucas
pessoas tinham as autorizações de segurança — ou o tempo
— necessárias para as estudar a todas. Flynn, o antigo diretor
da Agência de Informações da Defesa, era provavelmente a
pessoa mais ao corrente da ameaça norte-coreana. Acontece
que, não só ele próprio acabava de ser demitido, como os
seus colaboradores, escolhidos a dedo — e desdenhosamente
chamados «Flynnstones» —, também começavam a ir às
vidas deles.
Quando me sentei em frente da secretária de McFarland,
que fora uma colaboradora júnior de Henry Kissinger na
Casa Branca havia quarenta anos, ela disse-me que a
administração levara a sério o aviso de Barack Obama de que
a Coreia do Norte seria o problema mais imediato de
segurança nacional. A função de McFarland — que não
manteve muito tempo — era reunir um grupo de trabalho
formado por responsáveis de segundo e terceiro nível dos
departamentos de Estado, da Defesa, da Energia, do Tesouro
e dos serviços de informações, para conceberem estratégias
para o presidente e o seu gabinete. Não é de surpreender que
as reuniões iniciais tenham sido relativas à Coreia do Norte.
No entanto, quando comecei a descrever a McFarland o
que havíamos descoberto acerca do programa para frustrar
lançamentos e da forma como estava a ser usado contra a
Coreia do Norte, percebi, pela expressão do rosto dela, que
era a primeira vez que ouvia falar do assunto. Isto pareceu-
me surpreendente — se havia questão que a equipa de
segurança nacional precisava de dominar rapidamente era
toda a gama de esforços dos Estados Unidos para
neutralizarem a ameaça norte-coreana. Também era possível
que ela fosse apenas uma boa jogadora de póquer, mas a
discussão não sugeriu que a administração tivesse uma ideia
clara do que estava prestes a enfrentar.
Ao fim de meia hora, McFarland disse-me que tinha de
falar com o presidente acerca de outro assunto, mas não via
inconveniente em que publicássemos o que tínhamos a
publicar.
«Parece-me que vai correr tudo bem», disse-me enquanto
se encaminhava para a Sala Oval.
No entanto, o seu otimismo revelou-se prematuro. Depois
de ter corrido na administração, que não tinha experiência
em lidar com questões sensíveis de segurança nacional, que
tencionávamos publicar o artigo, o New York Times recebeu
uma carta um tanto agressiva de Donald McGahn,
conselheiro jurídico da Casa Branca, a acusar-nos de nos
prepararmos para violar a segurança nacional dos Estados
Unidos — e dando a entender que o governo poderia tomar
medidas a esse respeito.
Poucos dias depois, H. R. McMaster, o substituto de Flynn
como conselheiro nacional de segurança, convidou-nos para
uma reunião no seu gabinete para ouvir pessoalmente o que
tencionávamos publicar. Isto aconteceu no primeiro dia em
que ocupou o cargo. McMaster é um estratego com um
doutoramento em História Militar, e autor de uma história
incisiva da forma como os militares americanos mentiram a
si mesmos acerca da Guerra do Vietname, e por isso a
primeira coisa que lhe ocorreu foi uma analogia histórica.
«Isto são os códigos da Enigma?», perguntou-nos, numa
referência às comunicações alemãs encriptadas que os
britânicos descodificaram — um segredo que foi guardado
ao longo de várias décadas. Eu e Broad explicámos-lhe que
não nos parecia que assim fosse: havia indicações sólidas de
que Kim Jong-un já percebera o que estava em questão e
interrompera os testes com os mísseis Musudan depois da
série de fracassos sofridos pela Coreia do Norte.
McMaster nunca tivera de lidar com questões ligadas à
Coreia nem à ciberguerra; a sua especialidade era o golfo
Pérsico e subira na hierarquia graças a sucessivas promoções
de iniciativa do general Petraeus. Os seus últimos trabalhos
haviam sido a direção do Centro de Integração de
Capacidades do Exército, onde a sua função era refletir
acerca de conflitos futuros. No entanto, era evidente que
ainda tinha muito que estudar em relação à crise da Coreia do
Norte.
Depois desta conversa, o novo conselheiro pediu-nos que
nos reuníssemos outra vez com alguns responsáveis pelos
serviços de informações para discutir os pormenores da
reportagem. No dia seguinte apresentámo-nos na sala de
crise para estudar as nossas conclusões com eles. Com base
nas nossas discussões anteriores, já tínhamos decidido omitir
alguns pormenores técnicos, incluindo vários que poderiam
dar à Coreia do Norte algumas indicações sobre os pontos
em que os seus sistemas eram mais vulneráveis. Tudo isto
era uma prática habitual. No entanto, parecia-nos vital
explicar o que os Estados Unidos estavam a fazer. Como o
nosso editor-executivo, Dean Baquet, observou, não era
possível os americanos terem uma discussão pública
informada acerca da resposta do seu país à crise da Coreia do
Norte sem perceberem as nossas dificuldades anteriores em
lidar com o mesmo problema. «Estamos a falar de uma das
ameaças mais urgentes aos Estados Unidos», disse ele, e isso
significava cobrir o uso de ciberarmas pelo país «da mesma
maneira que os Artigos do Pentágono, a WikiLeaks, os
ataques com drones, o contraterrorismo e as armas
nucleares.»
Visto que a publicação estava iminente, McMaster falou
com Trump do que nós íamos revelar — e do que não íamos.
Trump já subira de tom na sua crítica ao New York Times e
McMaster avisou-me que o novo presidente poderia usar o
Twitter para denunciar o jornal — o que de resto não seria
uma novidade. Na realidade, na manhã em que a história foi
publicada, Trump iniciou um ataque através do Twitter, só
que não contra nós.
 «A que ponto teve o presidente Obama de descer para pôr
os meus telefones sob escuto [sic] durante o processo
sagrado da eleição?», escreveu nessa manhã. «Isto é um
Nixon/Watergate.» A acusação não se baseava em quaisquer
factos.
O tweet de Trump cristalizava a forma como as suas
obsessões, e o caos da transição nas primeiras seis semanas
da nova presidência, impediram a nova administração de se
concentrar no que Obama avisara ser a principal ameaça à
segurança do país. Tinham sido deixadas centenas de páginas
de relatórios acerca da Coreia do Norte, mas a maior parte
parece não ter sido assimilada. As questões em torno do êxito
ou do fracasso do primeiro programa secreto para neutralizar
os lançamentos de mísseis não foram respondidas por
McFarland, que foi corrida ao fim de poucas semanas, e
eram inteiramente novas para McMaster, que também só se
manteve no lugar um pouco mais de um ano.
Era evidente que Trump ainda não estava voltado para a
questão do ditador a que em breve chamaria Rocket Man, ou
para o país que ameaçou destruir com «fogo e fúria». Mas as
suas posições começavam a endurecer. Dezanove dias antes
da tomada de posse de Trump, Kim Jong-un provocara o
presidente eleito com a declaração de que estava «na fase
final dos preparativos» para o teste inaugural dos seus
mísseis balísticos intercontinentais — maiores e mais
sofisticados que o Musudan. Trump respondera, com a
habitual bazófia do Twitter, «não vai conseguir».
Parecia inevitável que em breve o novo presidente tivesse
de enfrentar o mesmo desafio que os seus predecessores:
como lidar com a Coreia do Norte sem desencadear uma
guerra alargada. Seria confrontado com questões que já
haviam sido muitas vezes debatidas na sala de crise: ordenar
a escalada do esforço de ciberguerra e de guerra eletrónica,
voltar a esmagar o comércio com sanções económicas
drásticas, abrir negociações para congelarem o programa
nuclear ou preparar ataques diretos com mísseis às suas
instalações nucleares.
 Pareceu-me claro que, uma vez que o presidente ainda não
tinha definido uma estratégia, a resposta de Trump seria
provavelmente tentar as quatro possibilidades.
*
Enquanto os Estados Unidos continuavam a esforçar-se
por sabotar o programa de mísseis de Kim, os hackers da
Coreia do Norte iam procurando novos alvos no Ocidente.
Nos dois anos que se seguiram ao ataque à Sony, as suas
ciberunidades tinham aprendido muito e a sua área de
intervenção tornara-se mais global. Como me disse o
responsável de cibersegurança de um dos gigantes de Silicon
Valley: «Se houvesse um prémio para os Estados que mais
progressos haviam feito na transformação da Internet num
campo de batalha, a Coreia do Norte ganhá-lo-ia. Ponto
final.»
E enquanto os americanos iam refletindo na maneira de
usar as ciberarmas para neutralizar os mísseis, a Coreia do
Norte ia pensando na melhor maneira de as usar para os
pagar — um desafio imenso para um país sujeito a sanções
económicas de todos os tipos. Foi assim que os seus hackers
congeminaram um plano para roubar mil milhões de dólares
ao banco central do Bangladesh, em 2016.
Com o seu faro requintado para identificar instituições
vulneráveis, os hackers da Coreia do Norte concentraram-se
no Bangladesh em janeiro, por terem percebido que as suas
ciberproteções eram mínimas. Foi uma boa aposta. Ao fim de
poucas semanas de observação digital tranquila do banco, os
hackers conseguiram tudo aquilo de que precisavam: os
procedimentos para transferências internacionais de fundos,
algumas credenciais, e perceberam que o banco ia encerrar
durante um fim de semana prolongado. Os dias extra
proporcionaram-lhes o tempo necessário para executar as
transferências antes que alguém tivesse a oportunidade de os
impedir.
No conjunto, deram ordens de transferência de perto de
mil milhões de dólares, incluindo para a Foundation Shalika,
no Sri Lanka. Foi o erro que se revelou fatal. Nas instruções
dadas à Reserva Federal de Nova Iorque, através da qual
estas transferências eram processadas, alguém escreveu
«fandation» em vez de «Foundation». O erro despertou
desconfianças e as transferências foram suspensas — embora
apenas depois de os hackers de Kim Jong-un terem
conseguido levar 81 milhões. Se tivessem feito um assalto
tradicional a um banco, teria sido considerado um dos
maiores e mais brilhantes dos tempos modernos
(comparativamente, o grande roubo do Brinks de 1950, no
North End de Boston, levou apenas 2,7 milhões, embora em
moeda atual valessem cerca de dez vezes mais).
Depois dos ciberataques à Sony, a Coreia do Norte tinha
boas razões para acreditar que a retaliação contra os seus
feitos seria mínima, e tinha razão. Não houve qualquer
penalização em resultado do ataque ao banco do Bangladesh,
ou aos roubos de criptomoeda que se seguiram.
«Os ciberataques parecem ter sido feitos à medida para
lhes servirem de instrumento de poder», diz Chris Inglis,
antigo vice-diretor da Agência Nacional de Segurança. «O
custo inicial é muito baixo, é muito assimétrico, e há um
enorme grau de anonimato e discrição no seu uso. Pode pôr
em risco infraestruturas de grande escala de Estados-nações e
do setor privado. É uma fonte de receitas.»
Antes a Coreia do Norte já produzira notas falsificadas de
má qualidade para financiar as operações do país. No entanto
isso tornou-se mais difícil porque os Estados Unidos foram
tornando as notas cada vez mais difíceis de falsificar. No
entanto, as exigências de dinheiro para desbloquear software,
os roubos digitais a bancos e os ciberataques às operações da
Coreia do Sul em bitcoins compensaram a perda de receitas
com a falsificação de notas. Atualmente é provável que a
Coreia do Norte seja o principal Estado a usar o cibercrime
para financiar as suas operações.
O Bangladesh não foi, de maneira nenhuma, a única
vítima, nem sequer a primeira. Em 2015 houve uma intrusão
nas Filipinas e depois no Banco Tien Phong, no Vietname.
Em fevereiro de 2016, os hackers penetraram no site do
regulador financeiro da Polónia e contaminaram visitantes —
dos bancos centrais da Venezuela, da Estónia, do Chile, do
Brasil e do México —, na esperança de também penetrarem
nesses bancos.
Depois ocorreram dois dos ataques mais ousados — um à
Coreia do Sul e o outro mundial.
Não havia documento militar que mais interessasse à
Coreia do Norte que os planos americanos para a península
coreana. Por volta do outono de 2016, numa altura em que a
maior parte do mundo estava distraída com a eleição
presidencial nos Estados Unidos, a Coreia do Norte penetrou
no Centro de Dados Integrado da Defesa, segundo Rhee
Cheol-hee, membro da comissão de Defesa Nacional do
Parlamento da Coreia do Sul, e roubou 182 gigabytes de
dados — incluindo o OpPlan 5015, um plano de pormenor
do que os militares americanos designaram de forma
delicada «ataque de decapitação». Os pormenores não são
conhecidos, mas os documentos que a Coreia do Norte
copiou parecem ter incluído estratégias para encontrar e
matar os principais líderes civis e militares do país, e depois
aniquilar o arsenal de mísseis móveis e tantas armas
nucleares quanto possível. O OpPlan 5015 não se ficaria por
aqui — a estratégia incluía formas de ataque aos comandos
de elite da Coreia do Norte, que quase de certeza atacariam a
Coreia do Sul.
Existe alguma especulação em torno da possibilidade de a
Coreia do Norte ter tido a intenção deliberada de ser
apanhada a roubar o plano, para perturbar os adversários e
forçá-los a elaborar um novo de raiz. Provavelmente nunca
saberemos se assim é, mas o roubo é apenas mais um sinal da
profundidade com que a Coreia do Norte comprometeu redes
sensíveis da Coreia do Sul. Há igualmente provas de que
Pyongyang plantou «células digitais adormecidas» em
infraestruturas críticas da Coreia do Sul, para o caso de ser
necessário paralisar redes de abastecimento de energia ou
sistemas de comando e controlo.
 Depois veio o WannaCry.
Ainda não se sabe bem quanto tempo as equipas de
hackers da Coreia do Norte passaram a planear o que os
Estados Unidos mais tarde chamaram um ataque
«indiscriminado» a centenas de milhares de computadores,
muitos deles de escolas e hospitais. Mas é óbvio como os
hackers o conseguiram: com algumas vulnerabilidades no
software da Microsoft roubado à Agência Nacional de
Segurança pelo grupo Shadow Brokers. Foi o exemplo
perfeito de um crime em cadeia: a NSA ficou sem as armas e
a Coreia do Norte usou-as para disparar contra os que as
haviam produzido.
Neste caso, a ferramenta roubada à NSA chamava-se Azul
Eterno. Era uma peça comum da caixa de ferramentas da
unidade de operações de acesso a alvos específicos, porque
explorava uma vulnerabilidade nos servidores da Microsoft
— um sistema operativo tão usado que permitia que o
malware se espalhasse por milhões de redes de
computadores. Ninguém vira nada que se parecesse em
praticamente uma década, desde que um vírus chamado
Conficker se espalhara como um incêndio.
Neste caso os hackers da Coreia do Norte casaram a
ferramenta da NSA com uma nova forma de extorquir
dinheiro em troca de desbloquear sistemas, depois de os
computadores serem trancados e o acesso aos dados ser
impedido aos seus utilizadores — a não ser que estes
pagassem para receber uma chave eletrónica. O ataque foi
espalhado através de emails de phishing, semelhantes aos
usados pelos hackers russos nos ataques à Comissão
Nacional Democrática e a outros alvos em 2016. Continha
um ficheiro comprimido encriptado que escapava à maior
parte dos softwares antivírus. E mal era ativado no interior de
um computador ou de uma rede os utilizadores recebiam um
pedido de 300 dólares para poderem recuperar os seus dados.
Os hackers calcularam, corretamente, que embora a
Microsoft tivesse corrigido esta falha do sistema — depois
de ter sido avisada pela NSA de que ela existia, cerca de dois
meses antes do ataque —, poucas pessoas que usavam o
antigo Microsoft Windows se tinham dado ao trabalho de
atualizar o software. E quando eles atacaram, ao fim da tarde
de 12 de maio de 2016, qualquer pessoa com um computador
antigo e um software a condizer — como o Sistema Nacional
de Saúde do Reino Unido — ficou à sua mercê.
«Muitos dos computadores mais afetados ainda tinham o
sistema operativo Windows XP», explicou-me mais tarde
Brad Smith, o presidente da Microsoft. «É um sistema
operativo que lançámos em 2001, e se pensarmos bem isso
foi seis anos antes do primeiro iPhone e seis meses antes do
primeiro iPod.» Smith não recordou o outro marcador
histórico óbvio: o sistema operativo foi entregue aos
fabricantes de computadores apenas 18 dias antes do 11 de
setembro, um momento que modificou a sensibilidade dos
norte-americanos às suas próprias vulnerabilidades.
O WannaCry, tal como os ataques russos à rede elétrica da
Ucrânia nos dois anos anteriores, estava entre uma nova
geração de ataques que pôs civis, e não militares, na linha de
fogo. Neste sentido, tem analogias com o terrorismo. «Se
tentarmos perceber por que razão estamos a ser alvo de
ataques mais frequentes», disse Jared Cohen, antigo
responsável do Departamento de Estado que atualmente
dirige a Alphabet’s Jigsaw, uma das partes da companhia-
mãe da Google que tem realizado algum trabalho pioneiro no
esforço de tornar a Internet mais segura para os utilizadores,
«é porque estamos a ser atingidos pelo equivalente de
estilhaços numa escalada da guerra entre estados que está a
decorrer no ciberespaço.»
Cohen tem razão: o WannaCry é um exemplo claro da
direção que as novas ciberbatalhas estão a seguir. Nos
primeiros anos das ciberguerras entre estados, os alvos dos
ataques mais perniciosos eram sobretudo estratégicos, e
muitas vezes estatais. A Operação Jogos Olímpicos teve
como alvo uma central subterrânea de enriquecimento de
urânio completamente isolada. Os ataques ao Estado
Islâmico tinham como alvo grupos terroristas
particularmente cruéis. Os ataques aos mísseis da Coreia do
Norte tiveram como alvo um programa que ameaçava de
forma direta os Estados Unidos e os seus aliados.
Já com o WannaCry os alvos pareceram mais aleatórios, e
os resultados mais imprevisíveis. Com os sistemas de
computadores de vários hospitais de grande dimensão no
Reino Unido, as ambulâncias foram desviadas das chamadas
mais urgentes, e várias cirurgias foram adiadas. Os bancos e
os sistemas de transporte através de dezenas de países
também foram afetados. No entanto, não é provável que os
norte-coreanos soubessem, ou quisessem saber, quais os
sistemas que iam ser atingidos.
«Desconfio que os atacantes não faziam ideia do que ia
ser atingido», disse-me um investigador americano. «O
objetivo era criar o caos», e o medo. A prova de que o
malware não tinha alvos específicos é ter atingido 74 países;
a seguir ao Reino Unido, o mais afetado foi a Rússia (no que
alguns podem considerar um sinal de justiça digital cósmica,
o Ministério do Interior da Rússia esteve entre as vítimas
mais preeminentes). Depois veio a Ucrânia e a seguir
Taiwan. Não podemos ver aqui um padrão político.
Além disso não houve qualquer aviso. O Centro Nacional
de Cibersegurança do Reino Unido não percebeu o que aí
vinha, disse Paul Chichester, o seu diretor operacional, aos
meus colegas do New York Times. Na verdade, os
investigadores do Reino Unido desconfiam que o ataque do
WannaCry pode ter sido um disparo prematuro de uma arma
que ainda estava em desenvolvimento — ou então um teste
tático e de vulnerabilidades.
«Isto fez parte de um esforço em evolução para descobrir
formas de inativar indústrias-chave», disse Brian Lord, um
antigo diretor-adjunto de ciberoperações e informações no
GCHQ britânico. «Basta atacar de forma moderadamente
perturbadora uma área-chave de uma infraestrutura social e
ficar a ver a comunicação social fazer o trabalho de a mostrar
de forma sensacionalista para deixar as pessoas em estado de
pânico.»
 Apesar dos milhares de milhões gastos em ciberdefesas, o
Centro de Cibersegurança, os serviços secretos britânicos e a
Microsoft não dispunham de grandes meios para travar o
ataque. Quem acabou por fazê-lo foi Marcus Hutchins, um
hacker autodidata que desistira da faculdade e vivia com os
pais no Sudoeste de Inglaterra. Descobriu o endereço de um
site algures no código do software e, em grande parte por
brincadeira, pagou 10,69 dólares para registar o domínio
enquanto o ataque ainda estava a decorrer. A ativação do
domínio acabou por funcionar como interruptor e impediu
que o malware continuasse a espalhar-se (Hutchins acabou
por ser preso em Las Vegas, acusado de ser o autor de
malware de outro tipo, com a finalidade de roubar
credenciais bancárias).
Só ao fim de vários meses — até dezembro de 2017, três
anos precisamente depois de Obama ter acusado a Coreia do
Norte dos ataques à Sony — os Estados Unidos e o Reino
Unido declararam formalmente que o governo de Kim Jong-
un era o responsável pelo WannaCry. Thomas Bossert, o
assessor para a Segurança Interna do presidente Trump,
afirmou estar em condições de afirmar que os hackers eram
«dirigidos pelo governo da Coreia do Norte», mas disse que
chegara a essa conclusão, «não só pela análise da
infraestrutura operacional, mas também pelo estilo e pelo
comportamento que os seus hackers haviam revelado em
ataques anteriores, e neste caso, além de estudar o código,
também é preciso analisar as pegadas».
Bossert foi honesto quando afirmou que, além de
identificar os norte-coreanos, não podia fazer muito mais. «O
presidente Trump usou praticamente todos os meios de
pressão que se possam imaginar, excluindo matar o povo da
Coreia à fome, para os levar a modificar o seu
comportamento», reconheceu, «de maneira que não temos
muito mais margem de manobra.»
A observação das pegadas, como é evidente, não chegou
para mostrar de que forma os Shadow Brokers permitiram
que os norte-coreanos deitassem a mão a ferramentas
desenvolvidas para o ciberarsenal dos Estados Unidos.
Descrever a maneira como a NSA ajudara os hackers norte-
coreanos era demasiado sensível, embaraçoso, ou ambas as
coisas. E essa foi uma das partes mais perturbadoras do
incidente.
Embora o governo dos Estados Unidos afirme que
comunica à indústria mais de 90 por cento das falhas que
encontra nos seus softwares, de maneira que possam ser
corrigidas, o Azul Eterno fazia claramente parte dos 10 por
cento que guarda para si com a finalidade de reforçar o poder
de fogo americano. A Microsoft nunca ouvira falar dessa
vulnerabilidade antes de a arma que se baseou nela ter sido
roubada. No entanto, o governo dos Estados Unidos
comportou-se como se não tivesse qualquer responsabilidade
neste ataque devastador. Quando perguntei a Bossert, e ao
seu adjunto, Rob Joyce, que dirigia a unidade de operações
de acesso a alvos específicos e sabia claramente alguma
coisa do que acontecera com este código roubado,
argumentaram que a falha era inteiramente dos que usavam
as armas — e não dos que haviam perdido o controlo delas.
O argumento é falacioso: se alguém se esquece de fechar o
armário das armas à chave, e uma arma que ali é roubada é
usada num tiroteio numa escola, o proprietário das armas tem
pelo menos alguma responsabilidade moral, ou até legal.
«Temos de facto um problema», disse-me Leon Panetta, o
antigo secretário da Defesa e diretor da CIA, num dia em que
discutimos os ataques do WannaCry, «se os Estados Unidos
não conseguirem proteger o seu arsenal. Não podemos ficar
nessa posição. E não podemos admitir explicações desse tipo
a outros países.»
Brad Smith, da Microsoft, comparou a perda das suas
armas pela NSA com a perda de um míssil Tomahawk que
depois fosse usado contra um aliado dos Estados Unidos. E
mencionou a prisão de «um fornecedor da NSA que tinha
armas destas na garagem. E as garagens não são para guardar
mísseis Tomahawk».
Na realidade, nessa altura eram.
 Apenas dois meses mais tarde a Ucrânia foi atingida pelo
ataque NotPetya, que interrompeu as férias de Dmytro
Shymkiv em Nova Iorque. Foi muito semelhante ao
WannaCry, embora o NotPetya tenha sido obra dos russos,
disse a administração Trump no início de 2017. Esses
hackers haviam claramente aprendido com os norte-
coreanos. Asseguraram-se de que nenhuma atualização de
segurança da Microsoft travaria o seu código, e de que
nenhum interruptor poderia ser casualmente ativado.
Em resumo, conceberam uma arma mais rigorosa, e
atacaram 2 mil alvos em todo o mundo, em mais de 65
países. A Maersk, empresa dinamarquesa de transporte
marítimo, esteve entre as mais atingidas: segundo
comunicaram, perderam 300 milhões em receitas e tiveram
de substituir 4 mil servidores e milhares de computadores em
todo o mundo. O NotPetya fez o ataque à Sony, apenas três
anos antes, parecer um trabalho de amadores.
*
Qualquer que tenha sido a causa dos problemas de Kim
Jong-un com os mísseis em 2016 — sabotagem,
incompetência, peças defeituosas ou mal montadas —, em
2017 resolveu-os.
Com uma rapidez que apanhou os responsáveis pelos
serviços de segurança desprevenidos — para não falar da
administração Trump, que acabava de tomar posse —, Kim
recorreu a uma tecnologia completamente nova. Tornou-se
claro que tinha um programa paralelo ao Musudan já em
curso, que se baseava noutro engenho soviético já com várias
décadas e que já fora usado com mísseis balísticos
intercontinentais.
Ao contrário do Musudan, este novo míssil funcionou, e
funcionou à primeira. Numa sucessão rápida, Kim mostrou
que os seus mísseis tinham alcance suficiente para Guam,
depois para a Costa Oeste, depois Chicago e Washington,
DC. Em nove lançamentos de mísseis de alcance intermédio
e longo realizados em 2017 apenas um falhou. Isto
representou uma taxa de êxito de 88 por cento, um
melhoramento impressionante em relação ao ano anterior.
No primeiro domingo de setembro, Kim fez detonar uma
sexta bomba nuclear, muito mais poderosa que qualquer das
que fizera detonar até então. Tinha 15 vezes mais potência
que a bomba atómica que destruiu Hiroxima. Kim entrara na
primeira liga das potências nucleares.
Houve muita gente que se apercebeu de que isto iria
acontecer. Ao longo de vinte anos, várias estimativas
públicas norte-americanas declararam que a Coreia do Norte
alcançaria esta capacidade antes de 2020, mas o que ninguém
previu é que este último progresso rápido aconteceria depois
de tantos fracassos seguidos no ano anterior. Tal como os
ciberataques russos durante a campanha eleitoral para as
presidenciais russas, a jogada estratégica de Kim apanhou os
serviços secretos mundiais desprevenidos.
Voltei a encontrar-me com o general McMaster em
dezembro de 2017. O general reconheceu prontamente que a
corrida de Kim na reta final — com o objetivo de estabelecer
a Coreia do Norte como potência nuclear antes que pudessem
ser iniciadas quaisquer negociações ou que as sanções se
tornassem ainda mais punitivas — «foi mais rápida e que
tudo decorreu em muito menos tempo do que toda a gente
contava».
A questão a que nem ele nem outros responsáveis pela
Defesa queriam responder, como é evidente, é se a sucessão
de êxitos da Coreia do Norte em 2017 indicava que tinham
percebido onde estavam as fraquezas do Musudan e as
resolveram. O que acontecera com o objetivo de frustrar o
lançamento? Os novos mísseis seriam menos vulneráveis a
ciberataques e a ataques eletrónicos? Ou a cadeia de
fornecimentos alterara-se e tornara-se mais difícil infiltrar
peças defeituosas no programa de mísseis? Ou teriam os
Estados Unidos concluído que estavam simplesmente a ser
demasiado óbvios nos ataques ao Musudan e agora preferiam
resguardar-se até estarem prontos para lançar um míssil mais
potente?
 Havia muitas indicações de que os Estados Unidos
continuavam a investir em ciberarmas, e a confiar nelas,
embora esse investimento se tivesse tornado mais discreto.
Em novembro de 2017 Trump pediu ao Congresso 4 mil
milhões de fundos de emergência para investir na defesa
antimísseis e em mais algumas medidas para conter a Coreia
do Norte. Os recursos dedicados ao que os documentos do
Orçamento chamaram esforços de «perturbação/derrota»
foram de centenas de milhões de dólares. Estes esforços,
segundo foi confirmado por vários responsáveis, incluíam
uma tentativa mais sofisticada de ciberataques e ataques
eletrónicos. E houve vários milhares de milhões de dólares
dedicados à defesa antimíssil tradicional — apesar das
dúvidas de que esta pudesse resultar.
O antigo diretor da CIA Mike Pompeo sugeria de vez em
quando que havia programas a decorrer e que os Estados
Unidos estavam a «trabalhar de forma diligente» para
retardar o progresso de Kim e adiar o momento em que este
estaria em condições de pôr uma ogiva nuclear num dos seus
mísseis. Pompeo sugeriu que faltavam apenas «alguns
meses» para esse dia, mas foi repetindo a mesma estimativa
ao longo dos primeiros 18 meses da presidência de Trump.
Jim Mattis, o secretário da Defesa, tinha uma visão mais
negra do assunto: depois do teste mais bem-sucedido da
Coreia do Norte, em novembro de 2017, afirmou que o país
já tinha a capacidade de atingir «basicamente qualquer ponto
do mundo».
 Capítulo XIII
BALANÇOS
«O Twitter é igual ao que o senhor faz?»
— Senador Lindsey Graham a Mark Zuckerberg
durante uma audiência no Senado acerca da
forma como o Facebook trata os dados dos
utilizadores, em abril de 2018

Q uando os chefes dos serviços de informações dos países

do grupo dos Cinco Olhos — esse clube de elite que
Robert Hannigan, o antigo chefe do GCHQ, descreveu como
o último vestígio da aliança do mundo de língua inglesa
durante a segunda guerra mundial — se reuniram num resort
na Nova Escócia para jantar em julho de 2018, houve uma
questão que dominou todas as conversas: haveria alguma
esperança de impedir a China de pôr todo o Ocidente sob
escuta?
Ao longo de vários anos durante a Guerra Fria, estes
encontros discretos dos Cinco Olhos centraram-se quase
sempre nas formas de conter a Rússia ou de coordenar as
redes de espiões. Nos anos que se seguiram ao 11 de
setembro tornaram-se sessões estratégicas para lidar com
gente como os talibãs e a Al-Qaeda. No entanto, com a
alvorada da era digital, foi havendo um reconhecimento cada
vez mais claro de que a competição entre as grandes
potências estava de volta, embora sob uma forma muito
diferente.
Moscovo e Pequim representavam desafios de tipo muito
diferente. A Rússia era uma potência beligerante e que criava
instabilidade, uma potência nuclear falida que procurava
dividir o Ocidente e causar perturbação. A China, pelo
contrário, era um competidor à mesma altura, mas menos
concentrado em causar problemas a curto prazo do que em
dominar a longo prazo. A liderança chinesa estava cada vez
mais persuadida de que a forma de o conseguir não era com
ogivas nucleares e porta-aviões, mas com servidores,
software e cabos. Nas palavras de um responsável sénior dos
serviços de informações, «eles têm de ser os donos da
infraestrutura». E é isto que está no centro dos receios de
Washington. Se a China ou um dos seus campeões nacionais
controlar o núcleo das redes de telecomunicações do
Ocidente, torna-se muito mais fácil intercetarem ou
desviarem o tráfego, inclusivamente para Pequim.
As táticas e a estratégia da China estiveram no topo das
preocupações dos Cinco Olhos ao longo desses dias de
meados de julho, primeiro durante o seu encontro formal em
Otava e depois ao longo de um jantar de lagosta na Nova
Escócia. Alguns dos participantes ouviam falar da questão
pela primeira vez, entre eles Gina Haspel, a recentemente
nomeada diretora da CIA e a primeira mulher a dirigir a
agência, e Mike Burgess, o amável chefe do serviço de
informações digitais da Austrália. Outros, como Alex
Younger, do MI6, lidavam com o problema havia vários
anos. Uma coisa, no entanto, era clara: o tempo não era
muito.
A Web estava prestes a ser transformada, graças ao 5G, ou
tecnologia de quinta geração, a nova rede sem fios que exige
uma transformação profunda de grande parte do sistema
nervoso central da Internet. Ao longo dos anos seguintes, da
Austrália aos Estados Unidos e à Europa, seriam assinados
contratos para a construção da coluna vertebral das redes
desse sistema: os switches e o software que o fará funcionar.
Embora os governos de todo o mundo tenham a última
palavra no que diz respeito a quem vai construir as redes,
essas decisões serão um misto de política, criação de
empregos, atenção aos custos e à segurança.
Os Cinco Olhos receavam que, se os chineses ganhassem
os contratos para construir o cerne das redes, ficassem em
condições de controlar a informação que há de circular por
ela, o que lhes permitiria roubar, manipular ou desviar dados
como entendessem. No que diz respeito ao 5G, as
preocupações com a China são preocupações com a Huawei.
O gigante chinês de equipamento de telecomunicações estava
prestes a destronar a Apple do lugar de segundo fabricante
do mundo de telemóveis, mas já estava concentrada nas
redes que queria construir, de Sydney a Varsóvia. Se
controlasse o hardware e o software desses switches
gigantes, ficaria com um acesso sem paralelo aos
mecanismos quotidianos das maiores economias do mundo e
da aliança militar que as defende.
A Huawei está bem posicionada para se tornar um
elemento-chave na construção das novas redes. O seu
equipamento está entre os melhores do mundo, rivalizando
com o da Nokia e o da Ericsson, os seus principais
concorrentes. Em meados de dezembro de 2018, a Huawei já
ganhara aproximadamente vinte contratos comerciais de
grandes dimensões para construção de redes de 5G, incluindo
no Médio Oriente e em África.
Como é compreensível, as grandes empresas de
telecomunicações estão impacientes por pôr essas redes a
funcionar. Depois de as redes de 5G se generalizarem, os
consumidores que ligarem os telefones a uma rede vulgar de
telemóvel verão os dados ser carregados para os seus ecrãs
com velocidades incríveis. A latência — aquele período de
espera aborrecido em que um ecrã fica parado e as páginas
parecem demorar uma eternidade a carregar — vai
desaparecer, pelo menos em teoria. E em princípio os lucros
vão acompanhar a velocidade: carregar um filme inteiro para
um telemóvel ou um tablet passará a demorar apenas um ou
dois segundos, sem necessidade de cabos, a partir da torre de
comunicações móveis mais próxima.
A rapidez e a ubiquidade são apenas o princípio. As redes
de 5G não estão, de maneira nenhuma, a ser construídas
apenas para smarthphones — foram concebidas para ligar
milhares de milhões de sensores, robôs, veículos autónomos
e outros dispositivos que irão produzir continuamente
quantidades gigantescas de dados nos próximos anos. Todos
apostam que esta capacidade vai desencadear a próxima
revolução industrial: fábricas, estaleiros, e mesmo cidades
inteiras, vão poder funcionar com cada vez menos
intervenção humana de pormenor. As ferramentas da
realidade virtual e da inteligência artificial vão tornar-se
vulgares, além de que vão poder trabalhar a partir de
qualquer sítio.
Neste caso, o que é bom para os consumidores também é
bom para os hackers. Os chefes dos Cinco Olhos estão
preocupados com a possibilidade de esta nova conectividade
ser um maná para o governo chinês. Tal como os seus
predecessores, o sistema 5G vai assentar numa rede física de
switches e routers, a canalização invisível que faz a Internet
funcionar. Mas como a informação na rede 5G vai ser
constantemente filtrada e manipulada na cloud, o 5G vai
depender de cada vez mais camadas de software complexo.
Esse software vai ser muito mais adaptável e constantemente
atualizado, um pouco como um iPhone se atualiza
automaticamente enquanto carrega durante a noite. As
implicações desta revolução são profundas: nenhuma
autoridade governamental ou utilizador da rede vai saber
com segurança se a última atualização do sistema é mais
segura que a anterior. Podem ser introduzidas portas das
traseiras que permitam que os dados sejam desviados com
mais facilidade.
Mas o que é mais importante é que os padrões técnicos de
funcionamento das redes que vão interagir por todo o mundo
ainda não estabilizaram, e os chineses continuam a tentar
impor as regras. «O problema é esse», afirma o senador
Mark Warner, o democrata da comissão do Senado para os
Serviços de Informações que numa vida anterior criou várias
empresas de telecomunicações. «Estamos habituados a um
mundo em que os Estados Unidos inventaram a Internet,
estabeleceram as normas e produziram todas as peças
importantes. E esse mundo está a desaparecer, e não vai
voltar. Isto quer dizer que vamos ter de nos adaptar a um
mundo diferente — um mundo em que todos os aparelhos da
Internet das Coisas acerca dos quais lemos são fabricados na
China, assim como muitas das redes em que funcionam.»
*
 Pouco depois de Donald Trump ter tomado posse, em
janeiro de 2017, uma pequena célula no interior do Conselho
Nacional de Segurança começou a analisar a ameaça
representada pela Huawei e pela ZTE, um concorrente chinês
mais pequeno, para as redes chinesas. No interior da Casa
Branca, a batalha com a China pelo controlo do 5G, que se
aproximava, parecia um jogo de soma zero: uma nova
corrida às armas em que apenas poderia haver um vencedor.
Algumas das primeiras ideias da administração para deter
as ambições dos chineses pareciam um tanto rebuscadas — e
caras. O brigadeiro-general Robert Spalding, um oficial de
carreira da Força Aérea que se concentrou na China como
adversário em crescimento, redigiu um memorando e fez
uma apresentação de PowerPoint em que defendia que o
governo dos Estados Unidos devia nacionalizar a rede de 5G.
Defendeu que Washington devia pura e simplesmente
contruí-la, da mesma forma que construiu autoestradas
durante o século XX. «Sem Eisenhower não haveria
Interstate, a rede de autoestradas federais», argumentou
Spalding. «Sem Kennedy não haveria programa espacial.»
Spalding fez a sua apresentação em vários sítios em
Washington, defendendo a ideia de que um programa federal
de emergência era a única forma de concorrer com os
chineses. Um dos slides da apresentação mostrava uma
cidade medieval amuralhada cercada por um exército, uma
analogia com a atual tecnologia arcaica americana. Do que
precisávamos, defendia Spalding, e apresentava uma imagem
vibrante da Lower Manhattan, era de assegurar que os
Estados Unidos mantinham a superioridade tecnológica
dando prioridade ao desenvolvimento do 5G. «De outra
forma, a China acabará por ganhar — política, económica e
militarmente.»
Como seria de esperar, o plano de Spalding espalhou-se, o
que o matou à nascença. Nenhuma administração
republicana acabada de se instalar ia cercear um
empreendimento privado à custa de milhares de milhões de
dólares dos contribuintes. O próprio presidente da Comissão
Federal das Comunicações de Trump achou a ideia ridícula.
A Casa Branca distanciou-se do relatório e Spalding
abandonou a NSC pouco tempo depois.
O receio maior, como é evidente, era que a China se
distanciasse no que respeitava à tecnologia 5G e usasse essa
vantagem para passar à frente também na inteligência
artificial e na computação quântica.
Nenhum destes receios era novo, mas estavam a
aproximar-se do paroxismo. Por um lado, havia cada vez
mais indicações de que a China estava de novo a penetrar nos
sistemas das empresas americanas, violando o acordo de
2015 assinado pelo presidente Obama e pelo presidente Xi
Jinping para banir o roubo de propriedade intelectual
patrocinado pelos estados. Na realidade, podia ficar-se com a
impressão de que a China aproveitara um certo cessar-fogo
posterior à assinatura do acordo para reconfigurar e
profissionalizar as suas unidades de hacking, com o
propósito de voltar a atacar as empresas americanas com
táticas mais sofisticadas. Desta vez, no entanto, os seus
hackers estavam a ser dirigidos pelo Ministério da Segurança
do Estado chinês, e não pelo Exército de Libertação Popular.
No outono de 2018, a liderança da comissão para os
serviços de informações do Senado começou a convocar os
administradores das empresas de telecomunicações para
reuniões em que também participaram o general Paul
Nakasone e outros chefes do cibercomando da Agência
Nacional de Segurança. Nestas sessões secretas realizaram-se
debates tensos acerca de quem ia à frente em matéria de
tecnologia 5G. Eram os americanos, que ainda tinham
melhores designs, melhores algoritmos e redes mais
flexíveis? Ou os chineses, que estavam a usar os seus planos
de ajuda e o seu peso político para atrair países, do Médio
Oriente à América Latina, para a órbita da Huawei?
O assunto era fascinante, mas no interior da Casa Branca
os conselheiros de Trump estavam cada vez mais inclinados
para o considerar irrelevante. Da sua perspetiva, a procura de
portas das traseiras em equipamento e software feitos por
empresas chinesas era demasiado limitada, e a sua visão da
necessidade de procurar ligações entre executivos específicos
e o governo chinês era igualmente insuficiente. De acordo
com os conselheiros de Trump, a questão mais relevante era
o governo autoritário da China e a linha cada vez mais ténue
entre as empresas privadas e o Estado. Dependendo de como
fossem interpretadas uma série de novas leis promulgadas
em Pequim, o governo chinês podia estar a reforçar o poder
legal para se imiscuir, ou até apoderar-se de redes que a
empresa Huawei ajudou a construir e manter — uma
variação da tese que os Estados Unidos defendem há vários
anos. As novas leis exigem que as empresas chinesas deem
«suporte técnico e assistência» ao governo chinês em
questões de segurança nacional. Não é claro que seja
necessário algum processo legal — é possível que um
telefonema do Ministério de Segurança do Estado baste. As
empresas chinesas já estão a ajudar o governo a perseguir
dissidentes, muitas vezes com a ajuda de software de
reconhecimento facial.
Mal o jantar na Nova Escócia terminou, alguns dos países
dos Cinco Olhos deram os primeiros passos para impedir que
a Huawei ou a ZTE construíssem as suas redes de 5G. Os
Estados Unidos começaram em agosto de 2018, altura em
que o presidente Trump assinou uma lei de autorização da
Defesa que bania o uso da maior parte do equipamento da
Huawei e da ZTE em redes usadas pelo governo,
essencialmente impedindo as maiores empresas de
telecomunicações americanas de usar equipamento chinês.
A Austrália foi o segundo país a tomar medidas. Em
agosto passou a ser impossível a Huawei e a ZTE fornecerem
tecnologia para as redes de 5G do país. Um executivo da
Huawei, Andy Purdy, que a empresa contratara como chefe
de segurança nos Estados Unidos porque tinha trabalhado em
questões digitais para o Departamento de Segurança Interna,
revelou-se surpreendido com a decisão. «Existe um acordo
entre nós e o governo australiano em relação à maneira de
lidar com o risco associado ao 5G», afirmou. «E depois, de
um dia para o outro, o primeiro-ministro diz que vai pôr fim
a esse acordo em resultado da pressão dos Estados Unidos.»
Em novembro, a Nova Zelândia rejeitou a proposta de
uma das suas empresas de telecomunicações de usar
equipamento da Huawei na construção das suas redes.
Depois o grupo britânico British Telecom começou a retirar
de uso algum equipamento antigo da empresa chinesa,
embora os seus responsáveis tenham insistido que fora
herdado de uma companhia que haviam comprado. No
entanto, o Reino Unido não chegou a banir completamente o
uso de equipamento da Huawei por várias razões —
incluindo as empresas de telecomunicações em todo o país
estarem a queixar-se de que excluir a Huawei ia retardar
perto de um ano a introdução do 5G. O facto de a Huawei ter
feito a corte à elite do poder em Londres também ajudou.
Entre outros, recrutou o antigo administrador-executivo da
BP John Browne para a sua administração no Reino Unido.
Enquanto os britânicos iam discutindo o assunto, a Casa
Branca ia alargando a campanha contra o gigante chinês.
Pressionou o governo polaco para rejeitar os esforços da
Huawei para construir as suas redes de 5G, sugerindo que
qualquer futuro recurso a tropas americanas — e a perspetiva
de uma base americana permanente a que os líderes polacos
já chamavam Forte Trump — ficaria em causa se os polacos
deixassem a empresa chinesa entrar no país. Uma delegação
de altos responsáveis americanos em visita a Berlim disse
aos seus homólogos alemães que qualquer negócio com os
chineses poderia comprometer a NATO (o argumento não
impressionou os alemães, que acharam que a maior ameaça à
NATO era o próprio presidente Trump).
Como é evidente, não havia quaisquer provas contra a
Huawei. Havia apenas suspeitas, e o pressentimento de que a
decisão a respeito do assunto poderia determinar com que
rapidez, e a que ponto, a China se tornaria proprietária de
redes estrangeiras. No debate político, a paranoia com a
segurança surgiu muitas vezes combinada com
ressentimentos de natureza económica contra Pequim. John
Bolton, o conselheiro de Trump para a Segurança Nacional,
afirmou que da perspetiva do presidente as ações dos Estados
Unidos nas áreas comercial e de segurança tinham o objetivo
de «impedir um desequilíbrio futuro em matéria política e
militar».
É interessante que tenha usado a palavra «impedir» em
vez de «gerir». A sua linguagem pareceu sugerir que era
possível bloquear completamente a China, em vez de aceitar
simplesmente a realidade de que o gigante asiático vai de
facto controlar uma boa parte das redes do globo.
A tensão entre os Estados Unidos e a China a respeito da
Huawei alcançou o ponto mais alto com a prisão, a 1 de
dezembro de 2018, da responsável financeira máxima da
empresa, Meng Wanzhou, em ligação com uma investigação
à violação pela empresa das sanções ao Irão. Meng não é
uma executiva qualquer: é filha de Ren Zhengfei, o fundador
da empresa (como disse a minha colega do New York Times
Jane Perlez, Meng é o «equivalente a uma pessoa como
Sheryl Sandberg, se esta fosse também a filha de um pioneiro
americano das empresas de tecnologia como Steve Jobs»).
Os chineses depressa contra-atacaram com a prisão de
mais de uma dezena de canadianos, que mantiveram reféns
com a finalidade de dissuadir o Canadá de extraditar Meng
para os Estados Unidos. A mensagem era clara: qualquer
país que quisesse hostilizar a Huawei teria de considerar os
riscos envolvidos para os seus próprios cidadãos, mesmo os
inocentes, a viver na China (o que não reforça propriamente
o argumento de que a Huawei e a China são entidades
diferentes). A liderança chinesa não estava na disposição de
aceitar a interferência de potências menores.
Ainda assim, tanto em público como em privado, os
responsáveis chineses tentaram separar a prisão de Meng das
negociações comerciais com os Estados Unidos, que se
aproximavam de um momento crítico. Como é natural,
Trump não viu a distinção. Politizou imediatamente a prisão,
afirmando que poderia «intervir» no caso de isso o ajudar a
obter um acordo favorável com Xi Jinping para pôr fim a
uma guerra comercial iminente. O que o presidente não
percebeu foi que os seus comentários fizeram o sistema
judicial dos Estados Unidos parecer politicamente tão
influenciado pelos interesses estratégicos e económicos
como o da China. Foi uma argolada das grandes, e um
exemplo perfeito de trumpologia.
Mas os golpes continuavam a cair sobre a Huawei. Em
janeiro de 2019, depois de ter recebido uma informação dos
Estados Unidos, o governo da Polónia mandou prender um
empregado da Huawei, Wang Weijing, acusado de trabalhar
secretamente para os serviços de informações da China.
A Huawei despediu imediatamente Wang, e os
responsáveis chineses fizeram notar, com razão, que a
mesma coisa acontecera em empresas de telecomunicações
americanas (para não falar da própria Agência Nacional de
Segurança). Neste caso, no entanto, Wang foi preso
juntamente com um antigo oficial dos serviços de segurança
polacos que parecia ter estado a ajudar os chineses a penetrar
na rede de comunicações estatal mais segura da Polónia.
Ainda assim, alguns europeus avisaram que a mescla de
pressões de tipo económico, diplomático e legal exercidas
pelos Estados Unidos lembrava um revivalismo em forma de
alta tecnologia do perigo vermelho. Em tempos o senador
Joe McCarthy procurou comunistas no Departamento de
Estado, enquanto agora a administração Trump procurava
bots adormecidos na rede 5G. Robert Hannigan disse recear
que todo o barulho em torno da tecnologia chinesa fosse
«uma espécie de histeria». O chefe do Gabinete Federal para
a Segurança da Informação alemão avisou que «para
decisões tão sérias como banir uma empresa são precisas
provas».
Como é evidente, a Huawei assumiu o papel de vítima.
Ren Zhengfei, o fundador da empresa, conhecido pela
discrição, rompeu o silêncio em janeiro de 2019 para afirmar
que, embora fosse membro do Partido Comunista, não era
nenhum instrumento do poder. Quando lhe perguntaram o
que faria se o Ministério da Segurança do Estado lhe pedisse
informações acerca de um país cujas redes fossem
administradas por ele, Ren respondeu que não entregaria
esses dados. «Provavelmente teria de encerrar a empresa»,
retorquiu. «Preferia ter de fechar a Huawei a fazer o que quer
que prejudicasse os interesses dos nossos clientes para
aumentar os nossos próprios ganhos.»
O problema de Ren é que fora da China quase ninguém
acreditou nele. Herb Lin, da Universidade de Stanford, que
passou vários anos a estudar a ciberameaça representada por
empresas como a Huawei, apresentou as suas suspeitas da
seguinte forma: «Quando vir o Partido Comunista Chinês
perder casos no tribunal, talvez ponha a hipótese de acreditar
na Huawei, mas não antes disso. Só que me parece que
vamos ter de esperar muito tempo até ver o Partido
Comunista obedecer a uma ordem do tribunal que o
prejudique.»
Houve igualmente indícios de que a China já estava a
testar os limites, a ver o que conseguiria fazer sem sofrer
represálias. Em 2016, vários responsáveis e académicos
americanos começaram a observar um fenómeno estranho. A
China Telecom — a empresa de telecomunicações estatal
chinesa — pareceu estar a desviar temporariamente algumas
mensagens transmitidas através da Internet. Em certos casos,
algum tráfego básico que devia ter passado diretamente dos
ou para os Estados Unidos ou um dos seus aliados estava,
pelo contrário, a ser reencaminhado por percursos com vários
milhares de quilómetros a mais que o esperado — e algumas
vezes durante vários meses — através da China.
O melhor estudo não secreto destes desvios, escrito por,
entre outros, Chris C. Demchak, professor da Escola da
Marinha de Guerra dos Estados Unidos em Rhode Island,
descrevia a forma como os chineses estavam a explorar uma
falha no ciberacordo entre os Estados Unidos e a China do
tempo de Obama para continuar os seus ataques a empresas
americanas e dos aliados dos Estados Unidos. Apesar de o
acordo proibir os ataques diretos a empresas americanas,
como escreveu Demchak, «não fez nada para impedir os
ataques a elementos vitais da coluna vertebral da Internet
noutros países ocidentais». Uma vez que a China Telecom
tem oito «pontos de presença» nos Estados Unidos — uma
expressão usada na indústria que significa os pontos de
ligação em que uma rede mais ampla se liga a uma rede
local, ou seja, uma entrada no espaço digital de um país —, a
empresa parece não ter grande dificuldade em desviá-lo
temporariamente para a China em vez de o entregar
diretamente no destino.
O fator secretismo neste processo significa que ninguém
teria notado a não ser que estivesse a prestar muita atenção
— e, infelizmente para os chineses, havia uma equipa de
investigadores que estava a fazê-lo. Demchak e o fundador
da equipa identificaram um grupo de padrões de cibertráfego
que desafiavam as regras básicas da Internet. No caso talvez
mais dramático, em outubro de 2016, algum tráfego que
devia ter atravessado o oceano Atlântico dos Estados Unidos
para um banco com sede em Milão, Itália, foi em vez disso
transferido pela China Telecom através do Pacífico para a
China. Como é evidente, alguma coisa correu mal do lado
chinês e, apesar dos esforços para o reenviar, nunca chegou a
Milão.
Este reencaminhamento de tráfego não causou grandes
danos, mas, como uma das pessoas que estudaram a
informação me disse, «não houve nisto nada de acidental».
Se o equipamento da Huawei estivesse instalado, estão
convencidos, «seria muito mais fácil acontecerem coisas
deste tipo». Imaginemos por outro lado que o tráfego
reencaminhado continha, não dados bancários, mas dados
militares. Além disso, isto só pode acontecer num dos
sentidos, uma vez que as empresas americanas não têm o
mesmo tipo de acesso à China (a não ser a Hong Kong) que
os chineses tinham aos Estados Unidos.
Todos estes incidentes contribuíram para minar a
confiança entre a China e a aliança atlântica. E com os
Estados Unidos a tentarem afastar a China das redes
ocidentais e a China a tentar afastar o Ocidente das suas, a
Internet está cada vez mais bifurcada. Já começam a ser
visíveis os esboços de uma Internet à parte para a China,
dominada por motores de busca chineses, uma versão
chinesa do Facebook e censura chinesa. A Rússia e outros
estados autoritários também estão a tentar criar as suas
próprias áreas de influência na Internet, embora não tenham
capacidade para o conseguir. Isso deixa a Internet original —
a Internet ocidental — livre, mas a esforçar-se por destrinçar
as muitas formas de a manipular.
A invenção em tempos celebrada como um grande
unificador, que permitiria que as pessoas comunicassem de
forma instantânea por cima de fronteiras e com um acesso
sem precedentes à informação, está a tornar-se cada vez mais
uma espécie de Muro de Berlim digital. Tal como o velho
muro, separa os livres dos assim-assim.
*
Enquanto Washington se debatia com a China, em Silicon
Valley as más notícias para Mark Zuckerberg e para o
Facebook estavam a tornar-se ainda piores.
Quanto mais os investigadores aprofundavam o que
acontecera no Facebook durante os ciberataques da Rússia,
mais claro se tornava que Sheryl Sandberg, a sua diretora de
operações, não estivera a prestar atenção enquanto a sua
plataforma com 2,2 mil milhões de utilizadores se tornava
um recreio para países em busca de influência política.
Sandberg entrara para a Facebook para contribuir com
uma certa experiência política para a gestão de uma empresa
dominada por engenheiros, mas o preço da sua desatenção à
intervenção russa estava a tornar-se claro. Os reguladores na
Europa e alguns membros do Congresso estavam a começar
a falar de alterar as normas de privacidade de uma forma que
prejudicaria claramente um plano de negócios baseado na
venda de dados pessoais e na busca de novas formas de fazer
dinheiro com esses dados. Pela primeira vez desde que
Zuckerberg criara a empresa no seu dormitório em Harvard,
estava a ser insistentemente pressionado para sair. As
sondagens mostravam que a Facebook, em tempos das
empresas mais admiradas dos Estados Unidos, caíra
claramente no apreço do público. E o pior é que os
adolescentes estavam a apagar a app do Facebook dos seus
telefones.
O problema de Zuckerberg resultou da sua incapacidade
de se antecipar às múltiplas vagas de revelações. A
Cambridge Analytica, acabou por se descobrir, tivera mais
acesso a informações sobre os utilizadores do Facebook do
que a empresa admitira inicialmente. Mas não era apenas a
Cambridge Analytica. Além disso, os russos tinham usado o
sistema de forma mais sistemática, e mais brilhante, do que
se julgou inicialmente.
«É verdade, a Sheryl Sandberg gritou comigo», contou-
me Alex Stamos, o diretor de segurança da empresa, em
novembro de 2018, depois de sair da Facebook, consciente
de que as divergências com a liderança da empresa se tinham
tornado demasiado grandes. Ao longo de 2016 e 2017,
escreveu, ele e os colegas «tinham descoberto uma rede de
falsos perfis que podíamos associar à Rússia com bastante
confiança», por outras palavras, bots e falsos perfis criados
para semear divisões no interior dos Estados Unidos durante
a campanha para as eleições de 2016.
Stamos revelou que em setembro de 2017 dissera à
administração da Facebook «a dura verdade: não tinha a
certeza que já tivéssemos descoberto tudo o que os russos
andavam a fazer, e que era muito possível que as coisas ainda
viessem a piorar» antes que a empresa desenvolvesse a
tecnologia necessária e contratasse revisores de conteúdos
para conter o problema. Sheryl Sandberg, contou ainda,
«sentiu-se atacada por isto».
Depois de sair da empresa, Stamos afirmou em público o
que já dissera muitas vezes em privado ao serviço da
Facebook: obcecada pela necessidade de crescimento rápido
e concentrada noutras questões, a liderança da empresa
mantivera demasiado tempo «uma estratégia de minimização
e negação». Os serviços de informações americanos tinham
agravado o problema por não haverem comunicado
quaisquer dados que permitissem ao Facebook tomar
medidas.
No entanto, depois de o âmbito do esforço russo ter sido
exposto, o desafio era encontrar a melhor forma de reagir. A
gravidade da crise da Cambridge Analytica proporcionou ao
Congresso a oportunidade de que precisava para convocar
uma audiência — oficialmente acerca da privacidade dos
dados — com Zuckerberg como testemunha-estrela.
No dia 10 de abril de 2018, quando Zuckerberg chegou a
Capitol Hill para a primeira maratona de depoimentos, a sala
de audiências estava a abarrotar. Assim que entrou foi
rodeado por um enxame de câmaras. Poucos meses antes,
Zuckerberg fora fotografado a visitar alguns recantos da
América rural no que alguns chegaram a pensar, por pouco
tempo, que podia tratar-se de um prelúdio a uma corrida
presidencial. E naquele momento estava a ser o alvo tanto de
democratas como de republicanos. Zuckerberg passara as
semanas anteriores encerrado com um grupo de consultores,
advogados e especialistas em imagem regiamente pagos para
praticar para a audiência. Tinham boas razões para se
preocupar. Zuckerberg tinha a reputação de ser desagradável
e ter pouca paciência para perguntas estúpidas, que eram
mais que certas na boca dos membros do Congresso, a maior
parte dos quais ainda não estava sequer à vontade a usar o
Word da Microsoft. «Sabíamos que se ele parecesse estar a
fugir às perguntas ia ser trucidado», disse-nos um membro da
equipa mais tarde. «E se não conseguisse habituar-se a
começar todas as respostas com um “Boa pergunta, senador”
ia ter problemas.» Zuckerberg foi treinado para se apresentar
como uma pessoa honesta e acessível. Chegou ao ponto de
substituir a sua habitual T-shirt cinzenta por um fato e uma
gravata. Com este treino para evitar armadilhas, preparou-se
para enfrentar o primeiro escândalo da história do Facebook
que não estava a desaparecer por si mesmo.
No discurso de abertura, o senador Chuck Grassley, na
altura com 84 anos e presidente da comissão judiciária,
observou que havia senadores de duas comissões à espera
para fazer perguntas ao administrador-executivo da
Facebook. Era claro que muitos membros do Congresso
sabiam que deviam mostrar-se indignados com as ações da
Facebook e a relutância de Zuckerberg em aceitar um
quinhão de responsabilidade. Mas muitos pareciam não saber
muito bem porque haviam de mostrar-se indignados. O
senador Brian Schatz, um democrata do Havai, pressionou
fortemente Zuckerberg para este responder se, no caso de ele
«enviar um email» através do WhatsApp acerca do filme de
super-heróis Black Panther, a Facebook seria capaz de
recolher estes dados e mostrar-lhe anúncios do filme.
«As informações estão completamente encriptadas», disse
Zuckerberg, que passou algum tempo a tentar explicar o que
isso significava.
O senador Lindsey Graham, um republicano da Carolina
do Sul, queria saber se «o Twitter é igual ao que o senhor
faz». E o senador Orrin Hatch queria perceber como é que o
Facebook fazia dinheiro se não cobrava serviços aos
utilizadores («Nós vendemos publicidade, senador»,
respondeu Zuckerberg, procurando não pestanejar nem
parecer condescendente).
Mas algumas perguntas acertaram no alvo, e em
princípios fundamentais da possibilidade de escolha dos
utilizadores, da privacidade e da responsabilidade da
empresa. No entanto, a impressão geral foi, segundo o
colunista do Guardian Jonathan Freedland, que Zuckerberg
era «um adolescente educado que visitara os avôs e passara a
tarde a mostrar-lhes como usar o Wi-Fi».
A audiência foi embaraçosa — mais para o Senado que
para a Facebook. Enquanto Xi Jinping fazia comunicações
firmes ao povo chinês acerca dos grandes objetivos do país
para 2025 — inteligência artificial, computação quântica,
veículos autónomos e muito mais —, os senadores
americanos estavam a contar a Zuckerberg como os filhos
gostavam do Instagram. O problema não era simplesmente a
audiência parecer falar do passado e não do futuro. O
problema era que os Estados Unidos precisavam de uma
estratégia coerente para lidar com as redes sociais ao longo
da década que se aproximava e os senadores continuavam a
achar que era politicamente aceitável comportarem-se como
se não fizessem ideia do que estava em causa. E a verdade é
que a maior parte não fazia.
A Facebook estava a esforçar-se por responder aos seus
próprios desafios. A empresa continuava a descobrir que os
seus problemas em 2016 eram maiores do que se esperava, e
as soluções em 2019 iam ser mais difíceis do que fora
imaginado. De momento tinham de decidir o que era um
discurso político legítimo — uma tarefa de edição que a
empresa nunca imaginara ter de enfrentar.
«O nosso problema», disse-me Monika Bickert, chefe de
relações com o governo, no início de 2019, «era descobrir a
fronteira entre um discurso político aceitável e uma tentativa
de fraude.»
A Facebook estava com dificuldade em identificar essa
linha — quanto mais em aplicar uma norma com base nela.
Os esforços anteriores da empresa para monitorizar
conteúdos haviam sido relativamente diretos: as pessoas
concordavam em grande medida no que constituía
pornografia infantil, bullying e terrorismo. E não era difícil
formar revisores de conteúdos ou criar algoritmos que
retirassem posts com vídeos de decapitações, por exemplo.
Já o discurso político é uma questão muito diferente. A
política tem menos a ver com o conteúdo que com a sua
fonte. Um dos anúncios de 2016 com a finalidade de dividir
os americanos incentivava os naturais do Texas a
abandonarem a União. A ideia pode parecer descabelada,
mas este tipo de mensagem é claramente protegido pela
Primeira Emenda — se for da autoria de um cidadão
americano. O problema é que o anúncio de 2016 resultava de
uma ação da Agência de Investigação da Internet e fora
congeminado pelos empregados russos de Putin com a
finalidade de parecer escrito e publicado por um texano. Os
seus criadores tinham a intenção de enganar, não em relação
ao conteúdo, mas à sua origem.
Em terminologia do Facebook, este anúncio era um
exemplo de «comportamento inautêntico coordenado», que
não é permitido pelas condições de utilização da rede social.
Esta descrição parecia relativamente simples, até a empresa
começar a tentar perceber o que significava «inautêntico» e o
que constituía um discurso político aceitável. E a questão
depressa se complicou.
Pouco antes do Dia da Independência de 2018, um grupo
noticioso do Texas chamado The Vindicator decidiu
encorajar os seus leitores a lerem a Declaração de
Independência do princípio ao fim. Para tornar a tarefa mais
fácil, foram sendo publicadas pequenas secções todos os dias
na sua página de Facebook. O plano resultou lindamente
durante nove dias, mas ao décimo dia o projeto foi
subitamente interrompido — pelo próprio Facebook, que
censurou o post como «discurso de ódio». Nunca se percebeu
precisamente o que desencadeou o problema, mas o
Vindicator pensa que foram as queixas em relação ao rei
Jorge III:
*
Tem estimulado insurreições internas entre nós, e tem
procurado incitar contra nós os habitantes das nossas
fronteiras, os implacáveis índios selvagens, cuja regra na
conduta da guerra é a destruição indiscriminada de
pessoas de todas as idades, sexos e condições.
*
A expressão «índios selvagens» deve ter ativado o
algoritmo, o que marcou a maior criação de Thomas
Jefferson como discurso de ódio (a Facebook, embaraçada,
depressa reverteu o bloqueio automático do post).
Mais ou menos pela mesma altura, uma banda do Texas
ficou indignada por descobrir que o Facebook impedira
temporariamente a sua tentativa de publicitar a sua nova
canção, I stand for the flag, de música country. O Facebook
considerou que se tratava de discurso político, e para
publicar um anúncio político a banda tinha de provar que
existia realmente e os seus membros residiam no Texas e não
eram um bot em Sampetersburgo, na Rússia.
Mas como era então o processo de verificação na
Facebook em 2018? Por correio, claro. Para provar que eram
anunciantes de boa-fé e cidadãos americanos, recebiam
cartões-postais por correio com um código de confirmação
nos seus endereços físicos. Só se respondessem a este postal
podiam pôr os seus anúncios online. Em resumo, para se
anunciar na plataforma revolucionária que Mark Zuckerberg
inventara 15 anos antes, tinha de se contar com o sistema
postal criado por Benjamin Franklin, e esperar que os
correios não se enganassem no endereço ou não deixassem o
postal à chuva.
O sistema era francamente ridículo (no caso da banda o
postal já não chegou a tempo de o anúncio ter qualquer
efeito). Depois a Fox News pegou na história e usou-a para
reforçar a sua narrativa de que as empresas de Silicon Valley
não eram patrióticas. «Se estes algoritmos estão programados
para rejeitar conteúdos do tipo I stand for the flag», disse um
elemento da banda à Fox News, «parece-me que isso dá a
muitos americanos o direito de se sentirem ofendidos pelo
nível de enviesamento político numa empresa que se diz
neutral nesta matéria.»
O Facebook voltou a recuar.
Zuckerberg, Sheryl Sandberg e as suas equipas de
advogados, lobistas e especialistas em imagem estavam a
descobrir por si mesmos o que a comunicação social e os
campus universitários sabem há anos: que a «neutralidade»
não é apolítica, e que há pessoas que interpretam como ódio
o que muitas outras acham tratar-se de discurso do dia a dia.
Ao longo do ano, a lista de decisões controversas que a
equipa do Facebook teve de tomar foi crescendo. De um dia
para o outro, a empresa que em tempos se vira como o
grande canal de comunicação mundial foi forçada a tomar
decisões em assuntos aparentemente sem fim no meio de um
ambiente político tenso. A liderança da Facebook viu-se
forçada a pensar como os editores dos jornais — e muitas
vezes como um governo. Depois em julho de 2018 houve o
artigo de opinião dos pais de uma das vítimas do tiroteio na
escola primária de Sandy Hook a exigir que a plataforma
tomasse medidas para banir o discurso de ódio e intoxicação,
além das ameaças de morte a grupos minoritários. Em
seguida saiu um relatório das Nações Unidas com bons
argumentos segundo os quais havia posts no Facebook com
notícias falsas acerca de supostos crimes dos Rohingya a ser
usados em Myanmar para desencadear um genocídio. «Isto é
muito pior que os anúncios falsos durante a campanha
presidencial dos Estados Unidos», disse-me um dos
executivos da Facebook quando fiz uma visita ao quartel-
general da empresa no fim de 2018. «Há pessoas a ser
mortas.»
O problema é que não havia nenhum manual que ajudasse
o Facebook a desenhar a fronteira entre monitorização
responsável do conteúdo e censura. Foi por isso que tiveram
de criar o seu próprio livro de estilo. O meu colega do New
York Times Max Fisher escreveu que vários funcionários em
posições-chave do Facebook se reuniam duas vezes por
semana para compilar um código global ad hoc acerca do
que constituía um discurso aceitável, sobretudo a partir de
exemplos recolhidos à medida que iam aparecendo. Na
realidade, acabaram por decidir assim à mesa do pequeno-
almoço o que 2 mil milhões de pessoas em todo o mundo
poderiam dizer na plataforma do Facebook, e reuniram as
suas linhas orientadoras em apresentações de PowerPoint e
folhas de cálculo que distribuíram entre milhares de revisores
de conteúdo do Facebook em todo o mundo. Muitos destes
revisores eram pessoas relativamente pouco qualificadas que
não iam muito além da capacidade de aprender de cor as
regras complexas que lhes foram distribuídas.
 E este livro de regras por vezes era quase bizarro. Incluía
explicações de pormenor sobre os emojis que poderiam ser
usados para desumanizar populações inteiras e em que
contexto era permitido usar a palavra «jihad».
O lado bom de tudo isto era que o Facebook estava por
fim a levar o assunto a sério. O mau é que Vladimir Putin
abrira a caixa de Pandora que começara por consumir
Washington e entretanto já ia em Silicon Valley. Os
resultados ultrapassaram tudo o que ele, ou qualquer outro
líder, poderia ter esperado.
*
As investigações à interferência russa nas eleições de
2016 durante a campanha não tiveram grande efeito
dissuasor sobre Putin. Os hackers russos, com intenções
desconhecidas, continuavam a introduzir implantes nas redes
de distribuição elétrica dos Estados Unidos. Atacaram grupos
como os NewGuard, uma das várias startups que
classificavam as fontes noticiosas de acordo com a
fidedignidade e forneciam o resultado da sua análise aos
grandes grupos de comunicação social, desesperados por
arbitragem independente.
No entanto, com a aproximação das eleições intercalares
tornou-se claro que Putin não tinha a intenção de usar o
mesmo livro de normas que usara quando interviera em favor
de Trump. A Agência Nacional de Segurança e o
Cibercomando também não tinham a intenção de renovar as
suas estratégias de 2016. «O mais importante», disse-me um
ciberguerreiro sénior dos Estados Unidos, «era não sermos
outra vez apanhados desprevenidos. Fizemos uma figura um
bocado triste sentados nas audiências do Congresso a
explicar como era possível não termos dado pelos russos, e
porque tínhamos feito tão pouco para responder aos ataques
deles.»
As eleições representaram um teste a uma nova
ferramenta: uma ordem presidencial, assinada em agosto de
2018, dava autorização ao general Nakasone e ao
Cibercomando para conduzirem ciberoperações ofensivas —
que não chegassem a ser ataques militares diretos — contra
adversários dos Estados Unidos sem necessidade de uma
autorização presidencial explícita. A ordem eliminava
quantidades de burocracia incríveis. Deixava de ser
necessário conduzir um processo de consulta a outros
departamentos do governo — do Departamento do Comércio
ao da Energia —, que fora necessário de acordo com uma
ordem anteriormente assinada pelo presidente Obama.
O próprio Trump nunca mencionou a nova ordem, o que
sugere que, ou não sabia o que assinara ou não queria
discutir por que razão ela era necessária. Depois de ter
sofrido uma humilhação, por sua própria culpa, numa
conferência de imprensa em Helsínquia em julho a seguir ao
seu segundo encontro com Putin, e em que mais uma vez
pareceu de acordo com o líder russo quando este negou que o
seu país tivesse fosse o que fosse a ver com os ciberataques
durante as eleições, apesar de os serviços de informações
americanos dizerem o contrário, não teria sido fácil a
administração explicar porque estava o presidente a lançar o
Cibercomando contra a interferência continuada de Moscovo
nas eleições.
Seja como for, a nova ordem de Trump não pode ser
interpretada, de maneira nenhuma, como uma carta branca ao
recurso indiscriminado a ciberarmas. O alvo tem de ser
específico e os objetivos da operação têm de ser claros (os
pormenores em relação à margem de manobra de Nakasone
ainda não são claros; a Casa Branca nunca tornou público o
texto da ordem, nem sequer um sumário, como fizera
Obama).
«Vamos tomar muitas iniciativas ofensivas e penso que os
nossos adversários devem sabê-lo», afirmou John Bolton um
mês depois de a ordem ter sido assinada. Numa
videoconferência com vários jornalistas, defendeu que,
embora a defesa estivesse no núcleo da nova abordagem, os
Estados Unidos iam «identificar, conter, perturbar e dificultar
ou deter comportamentos no ciberespaço que fossem
desestabilizadores e contrários aos interesses nacionais dos
Estados Unidos, sempre preservando a superioridade do país
no ciberespaço».
A linguagem de Bolton era vaga e o seu uso da palavra
«superioridade» — uma ideia dos tempos da Guerra Fria de
acordo com a qual as armas nucleares americanas deveriam
ser sempre em maior número e potência que as do adversário
— era talvez um sinal de que estava mais à vontade com o
arsenal do passado.
No entanto, em Fort Meade, poucos meses depois de ter
sido posto ao leme da Agência Nacional de Segurança e do
Cibercomando, o general Nakasone estava com dificuldade
em transformar a ordem de Trump numa realidade e em
enviar algumas mensagens aos russos que achava já deverem
ter sido enviadas em 2016.
Em julho de 2018 organizara um Pequeno Grupo da
Rússia, uma mescla de comandantes civis e militares que
procuravam formas de responder com firmeza suficiente para
isso ser sentido por Putin, mas não com tanta que fosse
forçado ele próprio a ripostar. Com as eleições intercalares a
aproximarem-se, Nakasone viu a sua oportunidade surgir.
Como revelou a reportagem do meu colega Julian Barnes no
mês anterior às eleições, o Cibercomando lançou as suas
primeiras operações contra campanhas de interferência de
países estrangeiros nos Estados Unidos, e fê-lo da forma
mais subtil possível. Identificou hackers russos individuais
— alguns da Agência de Investigação da Internet em
Sampetersburgo e outros que lhe pareceram ligados a
agências de informações russas — e enviou-lhes mensagens
diretas a avisar que o governo dos Estados Unidos sabia
quem eles eram e estava a acompanhar todos os seus
movimentos online. Era um pouco como uma cena de um
velho filme de gangsters, em que os agentes federais
aparecem para fazer um aviso mas não fazem logo prisões.
Depois veio o dia das eleições. Em vez de se sentar e
esperar, Nakasone lançou-se na ofensiva com um pequeno
ataque preventivo — exatamente o que os assessores de
Obama acabaram por concluir que deviam ter feito.
Nakasone pôs a Agência de Investigação da Internet offline,
segundo revelou num relatório posterior, que depressa se
espalhou, para dar a entender que havia um novo xerife em
ação e não estava a dormir. Um responsável sénior
vangloriou-se ao Washington Post de que os tinham posto
fora de combate.
Talvez durante algum tempo. Um dos aspetos destes
ataques é que nunca resultam por muito tempo. A certa altura
os alvos acabam por perceber a maneira como foram
atingidos e encontram uma forma de escapar ao cerco. No
entanto, neste caso a finalidade de Nakasone era enviar uma
mensagem clara. Como mais tarde esclareceu, as operações
que ordenou (embora nunca as tenha descrito publicamente)
eram uma parte da sua estratégia de «ataque persistente», ou
o que outros teriam chamado uma ciberguerra permanente.
Dois terços da estratégia, segundo disse, eram trabalhar
com agências nacionais, como o FBI e o Departamento de
Segurança Interna, «para prevenir operações de interferência
e influência dirigidas aos processos políticos dos Estados
Unidos».
O último terço, defendeu, envolvia «a forma como agimos
contra os nossos adversários no ciberespaço. Agir inclui
defender ativamente. Como é que avisamos, como é que
influenciamos os nossos adversários, como nos posicionamos
no caso de querermos obter resultados no futuro? Agir é
operar fora das nossas fronteiras, fora das nossas redes, para
nos assegurarmos de que os nossos adversários percebem o
que estamos a fazer».
«Se dermos por nós a defender-nos já dentro das nossas
próprias redes», avisou, «é porque perdemos a iniciativa e a
vantagem.»
Para Nakasone a lição era clara. As ciberoperações davam
a Putin, a Xi, a Kim e aos mullahs «novas formas de montar
operações contínuas não violentas» que com o tempo
causavam uma erosão do poder dos Estados Unidos — «sem
alcançar o limiar a partir do qual a resposta passa a ser
armada». Avisou ainda que o resultado era que «atualmente
as relações de poder podem modificar-se sem conflito
armado». Significava isto que a ideia de ter um arsenal mas
não o usar — deixá-las ficar de reserva — era a receita do
declínio para os Estados Unidos.
A sua análise é absolutamente rigorosa, mas a sua solução
exige que os Estados Unidos estejam permanentemente na
ofensiva, a trabalhar 24 horas por dia no interior de redes
estrangeiras. Não há dúvida de que vamos ser apanhados —
e nem sequer sabemos como os adversários dos Estados
Unidos, que estão a fazer-lhes o mesmo, vão responder, ou
como os Estados Unidos vão gerir o risco de um conflito
constante de baixo nível sofrer uma escalada num momento
de tensão para algo muito pior.
Também não é claro se os Estados Unidos optaram por
uma estratégia de ofensiva constante. A maior parte das
pessoas não faz ideia do que está a acontecer em seu nome. E
é precisamente por os pormenores dessas operações se
manterem tão secretos que o debate limitado acerca da
razoabilidade da «defesa ofensiva» se restringe a uma
pequena elite com preparação técnica. Com o tempo, isso
pode ser uma receita para o desastre.
Será que os Estados Unidos foram bem-sucedidos na
tentativa de impedir os ataques por ocasião das eleições
intercalares? É praticamente impossível saber. Não há provas
de que os russos tenham atacado sistemas de votação de
estados individuais, ou sistemas de recenseamento em 2018,
mas isso pode ter acontecido apenas porque manipular uma
eleição intercalar é um desafio demasiado grande. Em vez de
uma meia dúzia de candidatos, como nas eleições
presidenciais, há cerca de 470 para o Congresso e um terço
do Senado. Perceber quais são melhores para a Rússia, quais
são piores, e como disputar eleições ao nível local pode
representar demasiado esforço para tão pouco resultado. E
como me disse um dia Dmitri Alperovitch, o fundador da
CrowdStrike, «os russos são demasiado espertos para
jogarem duas vezes com a mesma estratégia». Embora
estejam sem dúvida a produzir novas técnicas, parecem estar
à espera das próximas eleições presidenciais, quando
poderão voltar a ter hipótese de conseguir um verdadeiro
impacto.
O que é mais notável é que têm possibilidades muito
decentes de o conseguir. Os estados, que ofereceram alvos
perfeitos em 2016, não parecem ter aprendido grande coisa
entretanto. Os que não tinham a segurança de poder
substituir as máquinas de votos por papel durante as eleições
presidenciais continuam a não a ter. Alguns, incluindo a
Pensilvânia, criaram grupos de trabalho para propor
soluções, mas estes grupos moveram-se com a rapidez
habitual, enquanto os russos, e outros, estão a mover-se à
velocidade da Internet.
É por essa razão que as próximas eleições presidenciais —
e as outras a seguir a essas, e as outras depois dessas —
continuam a ser uma enorme fonte de preocupações. Os
russos mostraram ao mundo a vulnerabilidade do sistema
americano. Mas não estão sozinhos. Uma das surpresas das
eleições intercalares de 2018 foi os iranianos também terem
aparecido, com anúncios e posts falsos no Facebook. No
início de 2019, o Facebook ainda andava a purgar centenas
de páginas com ligação ao Irão depois de ter descoberto que
os iranianos se faziam passar por americanos liberais e
defendiam programas políticos pró-iranianos e anti-sauditas
em seu nome. E mais uma vez o Facebook foi apanhado com
as calças na mão: quase um terço das contas que foram
removidas num ataque-surpresa em janeiro de 2019 tinham
já cerca de cinco anos.
Quando os responsáveis máximos pelos serviços de
informações apresentaram o relatório anual de avaliação de
ameaças mundiais de 2019 ao Senado, as ciberameaças
voltaram a aparecer no topo da lista. Por esta altura o
documento já tinha uma longa secção acerca do combate aos
adversários dos Estados Unidos que procuram usar as redes
sociais em campanhas de influência. Mais uma vez, uma
ameaça que os responsáveis americanos mal tinham
reconhecido existir poucos anos antes transformou-se numa
preocupação central.
O mundo dos serviços de informações parecia estar
igualmente a acordar para possíveis ameaças futuras. «Duas
outras palavras do documento que me tenham chamado
realmente a atenção?», perguntou Amy Zegart, a especialista
em questões digitais da Universidade de Stanford. «“Deep
fakes.”» Referia-se às preocupações manifestadas no
relatório de que aparecessem na Internet fotos ou vídeos
aparentemente racistas ou polémicos com conteúdos falsos.
Se a falsificação for suficientemente boa — e hoje muitas já
o são —, pode ser praticamente impossível denunciá-las.
«Este tipo de coisas em tempos era usado por técnicos de
elite de governos que tentavam enganar outros em questões
como movimentos de tropas ou ataques de surpresa», disse-
me Amy Zegart. «Agora, com as novas tecnologias tão
divulgadas, vai passar a ser muito comum. As páginas falsas
dos russos durante a campanha eleitoral de 2016 vão parecer
os Flintstones em comparação com o que aí vem.»
 POSFÁCIO
«SENADOR DAN SULLIVAN (REPUBLICANO ELEITO
PELO ALASCA): O que acha que os nossos
adversários estão a pensar agora? Se
desencadearem um ciberataque aos Estados
Unidos, o que lhes vai acontecer?
GENERAL PAUL NAKASONE (COMANDANTE DO
CIBERCOMANDO DO EXÉRCITO DOS ESTADOS
UNIDOS): Bom, basicamente, eu diria que pensam
que não lhes vai acontecer grande coisa.
SULLIVAN: Não têm medo de nós.
NAKASONE: Não, não têm medo de nós.
SULLIVAN: E isso é bom?
NAKASONE: Não, não é bom, senador.»
— Audiência de tomada de posse do general
Paul Nakasone como comandante do
Cibercomando dos Estados Unidos, a 1 de
março de 2018

A ntes do início da ciberera, os dois oceanos que rodeiam

os Estados Unidos simbolizavam o mito persistente da
sua invulnerabilidade. A ameaça de um ataque militar
nuclear preocupou os americanos durante a Guerra Fria, mas
de maneira geral os Estados Unidos asseguraram que podiam
depor ditadores, fazer ataques com drones a terroristas e
destruir bases de mísseis em países distantes com
relativamente poucos receios de retaliação. Houve exceções,
como é evidente, momentos de terror: os britânicos
queimaram Washington durante a guerra de 1812, os
japoneses atacaram Pearl Harbor e a Al-Qaeda destruiu as
Torres Gémeas e atacou o Pentágono. Mas sabíamos que o
único ataque que podia ameaçar a existência do país seria um
míssil intercontinental soviético ou chinês, sob a forma de
terroristas com acesso a armas nucleares. E depois de alguns
sustos, como a crise dos mísseis de Cuba em 1962, chegámos
a um equilíbrio difícil com os nossos adversários primários
— a destruição mutuamente assegurada — para os dissuadir
do pior. Funcionou, ou tem funcionado até agora, sobretudo
por o custo do fracasso ser tão elevado.
Na ciberera ainda não encontrámos esse equilíbrio, e
provavelmente nunca encontraremos. As ciberarmas são
inteiramente diferentes das armas nucleares, e os seus efeitos
têm-se mantido relativamente modestos até agora. Mas supor
que isso continuará assim é partir do princípio de que
percebemos o poder destrutivo da tecnologia que criámos e
de que podemos controlá-la. A história, contudo, sugere que
se trata de uma aposta arriscada.
Sobre a minha secretária está um livro magnífico, Airships
in Peace and War, publicado em Londres em 1908 pelo
historiador militar R. P. Hearne, que tentou perceber de que
forma uma estranha invenção da época — os aviões —
mudaria o curso da história para as grandes potências
europeias. Um dos capítulos intitula-se «Poderá a Inglaterra
ser atacada?». A pergunta foi respondida em 1916 quando os
alemães, pela primeira vez, fizeram ataques por ar em vários
pontos do país. Um ano mais tarde as primeiras batalhas pelo
controlo do céu tinham-se tornado uma realidade. Em 1940 o
Blitz devastou Londres.
No mundo digital, ainda não assistimos a um equivalente
ao Blitz. Os primeiros danos têm sido limitados —
centrifugadoras no Irão, uma siderurgia na Alemanha, um
casino em Las Vegas, uma central petroquímica na Arábia
Saudita e alguns mísseis com um comportamento errático na
Coreia do Norte. No entanto, todas as semanas surgem
amostras do que está para vir, como serviços municipais
paralisados por pedidos de resgate em Atlanta e pacientes
não atendidos depois de um ciberataque ao Sistema Nacional
de Saúde britânico.
A aceleração no número de ataques, no entanto, e os seus
alvos em constante mudança, são uma de várias indicações
de que estamos a viver uma revolução, que está a processar-
se a uma velocidade digital.
 Nos primeiros tempos desta revolução, o uso de armas
digitais parecia praticamente isento de riscos. Neste
momento o cálculo associado à ideia está a mudar.
Ninguém pode recriminar o presidente americano por usar
uma arma remotamente controlada para destruir as
centrifugadoras nucleares do Irão ou desativar mísseis na
Coreia do Norte. Considerando a escolha entre arriscar a vida
de soldados americanos ou agentes dos serviços de
informações e penetrar num país sem ter de pôr um pé no seu
território, a decisão parece óbvia. A mesma lógica que tornou
os drones tão apelativos para George W. Bush e Barack
Obama — quase invisibilidade e baixo risco — tornou as
ciberarmas irresistíveis. E tanto no Irão como na Coreia do
Norte as ciberarmas proporcionam uma forma eficaz de
retardar programas militares perigosos sem ter de
desencadear guerras.
A questão mais difícil da próxima década vai ser perceber
se usar esse tipo de armas com frequência cada vez maior
continuará a ser uma escolha sensata. Ao introduzirem-se no
sistema de mísseis da Coreia do Norte, os Estados Unidos
estabeleceram um precedente, da mesma forma que
acontecera com a Operação Jogos Olímpicos, que outros
países seguirão, sem a menor dúvida. Embora os Estados
Unidos falem publicamente de estabelecer normas como
excluir certos alvos de quaisquer ciberataques — hospitais,
serviços de emergência, e agora igualmente sistemas
eleitorais —, o mundo de maneira geral considera este
discurso hipócrita. Sempre que os Estados Unidos atacam
infraestruturas críticas de outros países, tornam-se alvos
legítimos de ataques de retaliação.
Ainda assim, não estamos preparados para o dia em que
qualquer ação americana no ciberespaço desencadeie uma
escalada. Por agora, como as histórias contadas nas páginas
anteriores mostram com clareza, a dissuasão não está a
resultar no ciberespaço. É um facto que ainda não houve
nenhum ataque devastador à rede de distribuição elétrica, um
ciber-Pearl Harbor que pudesse tentar um presidente
americano a concretizar a ameaça prevista na Avaliação da
Posição Nuclear de 2018, segundo a qual alguns tipos de
ataques não nucleares — sobretudo ciberataques — podem
forçar o presidente a usar a arma mais poderosa.
O próprio facto de nos vermos constrangidos a fazer esta
ameaça sublinha os fracassos dos últimos anos. Quando o
almirante Michael Rogers passou a dirigir a Agência
Nacional de Segurança, disse-me no seu gabinete, em 2014,
que a sua passagem pelo lugar seria medida pelo êxito com
que conseguisse convencer os adversários dos Estados
Unidos de que havia um custo — um custo elevado — a
pagar por atacar as redes do país. «Neste momento, se
observarmos a maior parte dos grupos de Estados-nações e
os Estados-nações individuais, e a ciberatividade que estão a
desenvolver, de maneira muito geral, a maior parte parece ter
chegado à conclusão de que não há grande risco de terem de
pagar um preço real muito alto pela sua atividade», afirmou
em Stanford no final de 2018.
Quando o seu sucessor, o general Nakasone, concedeu
numa audiência que «eles não receiam os Estados Unidos»,
estava a admitir que, depois de terem gastado milhares de
milhões de dólares em novas defesas e novas armas
ofensivas, os Estados Unidos não tinham conseguido
dissuadir os atacantes de voltarem a tentar.
Talvez isto até seja compreensível. Durante a Guerra Fria,
a dissuasão nuclear nem sempre foi instantânea. Foram
precisos muitos anos de colaboração entre técnicos,
estrategos, generais e políticos. Envolveu um debate muito
público, que os Estados Unidos não parecem estar na
disposição de desenvolver no que diz respeito à área digital
— por receio de revelarem as suas próprias capacidades ou
de terem de renunciar a algumas.
Na era nuclear, a dissuasão resultou bem entre os Estados
Unidos e a União Soviética não apenas por o outro saber que
o adversário dispunha do mesmo poder destruidor total, mas
também porque ambos tinham confiança na integridade do
seu próprio sistema. E ambos os países estavam certos de que
se o presidente ordenasse um lançamento esse lançamento
aconteceria.
No entanto, ao longo dos últimos anos, observámos
repetidamente a forma como as ciberarmas podem minar
essa confiança. Os iranianos perderam completamente a
confiança na sua capacidade de controlo das centrifugadoras
nucleares e no interior do Pentágono há um receio crescente
de que num futuro não muito distante um comandante
americano possa ordenar um lançamento sem que se siga
qualquer disparo.
Em 2016 já sofremos uma perda de confiança, embora
menos mortal, quando receámos que os russos estivessem a
tentar penetrar no nosso sistema de votação, em busca de
formas de alterar os dados do recenseamento. Embora isso
não tenha acontecido, sugerir que houve uma tentativa bastou
para abalar a confiança no resultado da votação. Imagine-se
que um grupo com essa capacidade penetrava nos sistemas
de alarme de ataque nuclear dos Estados Unidos e
desencadeava um falso aviso de que o país estava a ser
atacado. Isso podia levar o presidente a ordenar o lançamento
das nossas próprias armas antes que os mísseis imaginários
tivessem sequer tempo de se aproximar.
Tudo isto pode parecer matéria para um mau thriller, mas
foi praticamente o que aconteceu — sem a parte da
cibermanipulação — em 1979, quando um oficial de guarda
acordou William Perry, na altura subsecretário da Defesa,
para avisar que um desses sistemas mostrava a aproximação
de 200 mísseis balísticos intercontinentais. As forças
armadas depressa perceberam que se tratava de um falso
alarme: alguém pusera um programa de treino, que simulava
um ataque iminente, no verdadeiro sistema de alarme. No
entanto, avisou Perry mais tarde, se um inimigo tivesse
tentado a mesma coisa com malware de um tipo sofisticado,
ativado, por exemplo, por alguém de dentro, «podíamos não
ter a mesma sorte».
As implicações de o nosso próprio sistema de comando e
controlo ser comprometido mostram com clareza por que
razão é tão perigoso sabotar sistemas semelhantes noutros
países. Se os líderes dos Estados Unidos — ou da Rússia —
receassem que os seus mísseis ficassem impossibilitados de
responder em caso de ataque, ou pudessem ter sido
programados para se dirigir a alvos diferentes dos
pretendidos, o sistema de dissuasão que tem ajudado a
reduzir a probabilidade de ataques nucleares nas últimas
décadas seria profundamente enfraquecido. Isso poderia
igualmente encorajar outros países a construir mais mísseis,
como garantia de segurança, e talvez até a dispará-los mais
facilmente.
«Não é difícil imaginar a que ponto o risco de desencadear
um conflito aumenta com um acidente, uma ação inadvertida
ou até um logro deliberado», disse-me James Miller, um
antigo subsecretário da Defesa e um dos estrategos nucleares
mais experientes do país, depois de Richard Fontaine ter
completado um estudo do assunto. «É concebível que outros
estados, ou até protagonistas de outros tipos, empreendam
ciberataques que conduzam a uma escalada inadvertida do
conflito latente com a Rússia», concluiu Miller. A ideia de
que um presidente possa tomar uma decisão súbita de que
dependam as vidas de milhões de pessoas com base em
informações deliberadamente manipuladas parece-nos pura
loucura.
O aviso do general Nakasone de que os outros países não
nos receiam — feito poucas semanas depois de se ter tornado
diretor da Agência Nacional de Segurança e comandante do
Cibergrupo — centrou-se na questão de os Estados Unidos
estarem em condições de retaliar no caso de as suas redes
serem atingidas. Mas há outras maneiras de deter ataques —
acima de tudo convencendo os adversários de que as nossas
defesas são fortes e de que não têm possibilidade de ser bem-
sucedidos. No jargão dos estrategos, isto chama-se
«dissuasão pela negação». Se um ataque for inútil, para quê
fazê-lo?
No entanto, esta forma de dissuasão exige uma defesa
muito sofisticada. Embora os responsáveis pelos serviços de
segurança dos Estados Unidos não o reconheçam, há
avaliações internas do governo segundo as quais seria
necessária pelo menos uma década para os Estados Unidos
poderem defender de forma razoável as suas infraestruturas
mais críticas de um ciberataque devastador lançado pela
Rússia ou pela China, os seus dois adversários mais hábeis
neste campo. Há pura e simplesmente demasiadas redes
vitais, em crescimento acelerado, para os Estados Unidos
poderem montar uma defesa convincente. A ofensiva
continua muito à frente da defesa. Como diz Bruce Schneier,
um ciberespecialista cujo trabalho acerca do assunto é de
leitura indispensável, «estamos a melhorar, mas estamos a
piorar mais depressa».
Schneier quer dizer com isto que, mesmo que consigamos
montar defesas muito mais poderosas, as nossas
vulnerabilidades estão a aumentar de forma dramática. Com
investimentos gigantescos, as empresas no topo da indústria
financeira e dos serviços de distribuição de eletricidade
conseguiram salvaguardar as suas redes — o que significa
que um hacker norte-coreano que tenha essas indústrias
como alvo terá provavelmente melhores resultados a atacar
pequenos bancos ou empresas regionais de energia. Mas
quando começamos a pôr carros autónomos na estrada, a
ligar Alexas aos nossos candeeiros e aos nossos termóstatos,
a ligar câmaras de vídeo mal protegidas às nossas casas e a
conduzir as nossas vidas financeiras através dos telemóveis,
a nossa vulnerabilidade aumenta exponencialmente.
Durante a Guerra Fria aprendemos a viver, embora com
receios, com a ideia de que tanto a União Soviética como a
China tinham armas nucleares apontadas a nós. Não havia
defesas perfeitas. Num mundo de ciberconflitos
permanentes, teremos de nos ajustar de uma maneira
análoga.
Se de certa forma estamos mais vulneráveis que nunca,
porque está o Pentágono a discutir se se justifica uma
ciberestratégia mais agressiva? No depoimento perante o
Congresso no início de 2018, os líderes da Agência Nacional
de Segurança e do Cibercomando defenderam a ideia de que,
se os Estados Unidos quiserem prevalecer na era dos
ciberconflitos, as suas forças têm de ter mais liberdade de
ação. Atualmente, mesmo que vejamos os ataques
aumentarem, segundo eles, as regras impedem-nos de atacar
os atacantes. Mas está na altura, consideram, de começar a
fazê-lo.
A abordagem que o Cibercomando descreve em pormenor
nos seus documentos estratégicos envolve ataques quase
diários por trás das linhas inimigas, em busca de ameaças
que possam alcançar os Estados Unidos. «Os Estados Unidos
têm de aumentar a sua resiliência, defender-se aproximando-
se tanto quanto possível da origem da atividade do inimigo e
respondendo de forma persistente aos protagonistas do
ciberespaço para gerar vantagens táticas, operacionais e
estratégicas contínuas», afirma-se num desses documentos
— tudo isto em jargão militar que no fundo significa que
temos de levar a guerra ao terreno do inimigo.
Este instinto nasceu de mais de uma década de operações
de contraterrorismo em que os Estados Unidos aprenderam
que a melhor maneira de atacar a Al-Qaeda ou o Estado
Islâmico era destruí-los nas suas bases e nas suas salas de
estar. Mas em matéria de ciberguerra isto equivale a admitir
que as nossas defesas domésticas são absurdamente
insuficientes e que a única maneira de ganharmos é
responder a qualquer ameaça percebida como tal. Como
aconteceu com muitas das novas estratégias de Trump, levar
esta abordagem ao seu extremo lógico envolve enormes
riscos de erro de cálculo e de desencadear uma escalada dos
conflitos. Para o evitar, os Estados Unidos teriam de abolir a
necessidade de autorização para qualquer ciberataque
destrutivo. As ciberoperações teriam de se transformar em
raides diários mais semelhantes aos das forças de operações
especiais. O problema é que, quando os outros países
adotarem as mesmas estratégias, como acontecerá
inevitavelmente, o risco de os ciberataques aumentarem vai
subir de forma dramática e pode inclusivamente desencadear
uma guerra, ou pior.
*
Sendo assim, o que devemos fazer?
O primeiro passo é reconhecer a loucura que representa
uma iniciativa ofensiva a não ser que tenhamos uma boa
defesa. Já seria muito bom que conseguíssemos compensar
três quartos das vulnerabilidades gigantescas das redes atuais
dos Estados Unidos. Mas a melhor maneira de impedir um
ataque — ou contra-ataque — é a dissuasão pela negação.
Isto requer um enorme esforço nacional, muito para além dos
projetos de defesa civil dos anos 50, quando os Estados
Unidos construíram um sistema completo de autoestradas
que permitiriam evacuar localidades menores e abrigar civis
em grandes cidades. Tem-se discutido a possibilidade de um
esforço paralelo para defender a ciberinfraestrutura dos
Estados Unidos, mas isso até agora não aconteceu. Uma das
razões de ser tão difícil é os principais alvos de ataque
estarem em mãos privadas. Dada a complexidade da Internet,
o governo não pode regular a forma como bancos, empresas
de telecomunicações, de distribuição de gás, e a Google e a
Facebook concebem a sua cibersegurança. Todos estes
sistemas se distinguem uns dos outros de forma radical.
É por esta razão que, mesmo ao fim de uma década de
debate, ainda não é claro quem no governo federal é
responsável — isto no caso de alguém o ser — por defender
o país, e a economia, dos ciberataques mais sofisticados. A
Segurança Interna devia supostamente «coordenar», mas, da
mesma forma que esperamos que o Pentágono defenda os
Estados Unidos de um ataque com mísseis, supõe-se que
defenderá tanto as pessoas individualmente como as
empresas americanas contra ataques sofisticados
patrocinados por estados (embora não contra fraudes,
hackers adolescentes e trolls em Sampetersburgo). Está na
altura de nos tornarmos realistas. O governo não vai proteger
as instituições americanas, a não ser nos casos em que
estejam em causa as infraestruturas mais críticas: a rede de
distribuição elétrica, o sistema eleitoral, os sistemas de
esgotos e de distribuição de água potável, o sistema
financeiro e as armas nucleares. Depois de percebermos o
que está em questão precisamos de um Projeto Manhattan
que impermeabilize os nossos sistemas mais críticos. E isso
exige a liderança presidencial.
Ainda assim, a defesa civil não vai ser suficiente, nem de
longe. Uma das lições a retirar dos últimos anos é que a
dinâmica dos ciberataques é completamente diferente
daquilo a que nos habituámos durante os impasses entre as
superpotências do século XX. Temos de adaptar a nossa
estratégia de maneira a refletir a nossa vulnerabilidade real,
muito maior que a de qualquer outro grande país nos anos
mais próximos. Como observou Michael Sulmeyer, um
antigo responsável do Pentágono que atualmente dirige uma
ciberiniciativa em Harvard: «No que diz respeito ao
ciberespaço (…) os Estados Unidos têm mais a perder que os
seus adversários, porque foram mais longe na introdução de
inovações e de conectividade sem segurança adicional. No
entanto, embora as sociedades e as infraestruturas dos
adversários de Washington não estejam tão conectadas nem
sejam tão vulneráveis, os seus métodos de hacking ainda
podem causar grandes perturbações.»
Se os Estados Unidos querem ter esperança de ganhar»,
continuou, «têm de gastar menos tempo a tentar persuadir os
seus concorrentes de que não vale a pena perderem tempo a
atacá-los e mais tempo a atacá-los a eles preventivamente e a
diminuir a sua capacidade de o fazer. Está na altura de atacar
os seus meios, e não de calcular quais serão.»
O que significa isto no mundo real? Como é óbvio, os
Estados Unidos não vão responder a todos os ciberataques,
pois isso obrigar-nos-ia a manter uma guerra constante de
baixa intensidade. E nem todos os ciberataques exigem
resposta. Os ataques criminosos devem ser tratados como os
restantes crimes, com meios judiciais vigorosos. Os Estados
Unidos estão cada vez melhores a fazê-lo: as acusações aos
hackers iranianos e chineses — embora estes continuem em
liberdade — e a extradição de um importante cibercriminoso
russo em 2018 mostram que há formas de resposta possíveis
sem se chegar ao ponto de tratar qualquer hack como um
ciberataque.
Além disso, como em tudo o mais no mundo global, é
importante estabelecer fronteiras. Assim, se os trolls da
Agência de Investigação da Internet começarem a
bombardear os Estados Unidos com fake news a partir de
perfis falsos — com a intenção de interferir nas eleições
americanas —, têm de ser eliminados do Facebook (isso
acabou por acontecer, mas já depois das eleições). Se a
agência nem assim desistir, os seus servidores têm de ser
destruídos com as nossas ciberarmas. Os servidores seriam
substituídos, é um facto, talvez até muito rapidamente. Mas a
mensagem teria sido enviada e os russos saberiam que os
Estados Unidos têm capacidade de responder e estão na
disposição de o fazer.
Apesar da insistência dos serviços de informações em
manter o secretismo, isso acaba por ser contrário ao que
devem ser os verdadeiros objetivos: para a nossa resposta
deter os atacantes, tem de ser muito pública — tão pública
como um ataque americano a uma fábrica de armas químicas
na Síria, ou um ataque de Israel a um reator nuclear. Sempre
que respondermos a um ataque de forma discreta — ou não
respondermos sequer —, porque estamos preocupados com
esconder a qualidade dos nossos sistemas de deteção ou a
capacidade das nossas armas, estamos apenas a encorajar a
escalada do ataque ou até novos ataques dos nossos
adversários.
Pela mesma razão, os Estados Unidos têm de se abrir
quanto a algumas das suas próprias ciberofensivas,
especialmente se os seus pormenores já tiverem sido
revelados. Até hoje os Estados Unidos ainda não admitiram o
seu papel na Operação Jogos Olímpicos. É um facto que se
tratou de uma operação secreta — e as operações secretas
não são para discutir, por lei. E se quando o código começou
a correr mundo e toda a gente soube que o Stuxnet era uma
criação de americanos e israelitas tanto Washington como
Jerusalém tivessem admitido publicamente o seu papel? E se
tivessem admitido, da mesma forma que Israel admite,
implícita ou explicitamente, que bombardeou reatores no
Iraque e na Síria? Podíamos ter estabelecido uma das
seguintes fronteiras: se um país produzir combustível nuclear
em violação das resoluções das Nações Unidas, pode contar
que alguma coisa aconteça às suas centrifugadoras — a partir
do espaço ou do ciberespaço.
Mas o mais importante é que, da mesma forma que os
Estados Unidos devem mostrar aos outros países que há um
preço a pagar por ciberataques realmente sérios, têm de
mostrar que alguns alvos são inaceitáveis. E até os Estados
Unidos discutirem publicamente — a um nível presidencial
— o que não vão fazer no ciberespaço, não podem ter
grandes esperanças de que os outros países façam o mesmo.
*
Vai ser mais fácil administrar estas decisões quando o
governo reconhecer algumas realidades.
A primeira é que as nossas cibercapacidades já não são
únicas. A Rússia e a China já se equiparam praticamente aos
Estados Unidos nessa matéria e o mesmo acontecerá com o
Irão e a Coreia do Norte, se não tiver acontecido já. Estes
países não vão abandonar os seus ciberarsenais, da mesma
maneira que não vão abandonar os seus arsenais nucleares ou
as suas ambições políticas. O relógio não vai andar para trás,
por isso está na altura de criar um controlo do armamento.
Em segundo lugar, precisamos de um livro de normas para
a resposta a ataques, e temos de mostrar que o respeitamos.
Uma coisa é reunir um grupo de ciberação, como Obama fez
com alguma frequência, e discutir com ele se existem provas
suficientes e se o assunto é suficientemente importante para
recomendar uma «resposta proporcional». Outra coisa é
responder de forma rápida e eficaz quando esse ataque
ocorre.
 Em terceiro lugar, devemos desenvolver as nossas
capacidades para atribuir ataques e fazer um esforço para que
a norma seja pedir responsabilidades a qualquer adversário
por ciberagressões. A administração Trump, nos seus
primeiros 18 meses, começou a fazer precisamente isto:
denunciou a Coreia do Norte como responsável pelo ataque
WannaCry e a Rússia como a autora do NotPetya. Mas tem
de começar a fazê-lo com mais frequência, e mais depressa.
Em quarto lugar, temos de repensar a sensatez de manter o
secretismo, que já se tornou uma espécie de reflexo, em
torno das nossas cibercapacidades. Não há dúvida de que é
necessário algum segredo em torno do ciberarsenal dos
Estados Unidos — embora agora, depois de Snowden e dos
Shadow Brokers, já não haja grandes segredos a guardar. Os
adversários dos Estados Unidos têm uma imagem bastante
completa da forma como penetramos nos recantos mais
ocultos do ciberespaço.
No entanto, a insistência dos serviços de informações em
manter o secretismo — a recusa de discutir as ciberarmas
ofensivas com pormenor — torna impossível debater a
precisão com que essas armas podem ser orientadas e se
algumas deviam ser banidas devido à ameaça potencial que
representam para as populações civis. Não é razoável esperar
que os hackers russos e iranianos parem de plantar malware
nas nossas redes de distribuição de energia a não ser que
estejamos na disposição de discutir a possibilidade de
retirarmos os nossos próprios implantes das redes deles. Não
podemos insistir que o governo dos Estados Unidos tem o
direito a uma porta das traseiras nos iPhones da Apple e a
apps encriptadas a não ser que estejamos na disposição de
tornar a Internet mais segura para toda a gente, porque
qualquer porta das traseiras se torna um alvo dos hackers de
todo o mundo.
Nenhum país gosta de renunciar às suas capacidades
militares ou de penetração noutros países, mas já o fizemos.
Os americanos renunciaram às armas químicas e biológicas
quando perceberam que o custo de as legitimar para as
populações civis era maior que qualquer vantagem militar
que pudessem oferecer. Limitámos os tipos de armas
nucleares que podíamos construir, e banimos alguns.
Podemos fazer o mesmo no ciberespaço, mas apenas se
estivermos na disposição de discutir abertamente as nossas
capacidades e de ajudar a monitorizar o ciberespaço para
detetar as violações às normas.
Em quinto lugar, o mundo precisa de seguir em frente e
estabelecer estas normas, mesmo que os governos ainda não
estejam prontos para o fazer. Os tratados clássicos de
controlo de armas não funcionam: são precisos vários anos
para os negociar e ainda mais para os ratificar. Com a
velocidade alucinante das mudanças tecnológicas no
ciberespaço ficariam ultrapassados ainda antes de entrarem
em vigor. A melhor possibilidade é chegar a um consenso
com base em princípios que minimizem o perigo para civis, o
que é o objetivo político principal da maior parte das normas
da guerra. Há várias formas de alcançar este objetivo, todas
elas com inconvenientes significativos. No entanto a mais
estranha, em minha opinião, surgiu com a ideia de uma
convenção digital de Genebra, de acordo com a qual são as
empresas — e não os países — que devem assumir a
liderança a curto prazo. No entanto os países também devem
seguir normas.
O presidente da Microsoft, Brad Smith, é um dos
principais advogados da ideia. Imagina que possa haver um
ciberacordo entre empresas com base nas convenções
militares tradicionais como estas se têm desenvolvido ao
longo de mais de um século. Ao longo das décadas as regras
foram-se alargando e aprofundando, incluindo novos
elementos como o tratamento devido aos prisioneiros, a
proibição do uso de armas químicas, a proteção dos não-
combatentes e o tipo de ajuda que deve ser dada aos feridos,
seja qual for o lado por que combatam.
Não se pode dizer que a analogia com o ciberespaço seja
muito exata. A Convenção de Genebra aplica-se em tempo
de guerra; se houver esperança de estabelecer um grupo
análogo de regras no ciberespaço, terão de ser para aplicar
em tempo de paz. E têm de se aplicar tanto a empresas como
a países, uma vez que a Google, a Microsoft, a Facebook e a
Cisco formam o campo de batalha onde se desenrolam os
ciberconflitos da atualidade.
Na primavera de 2018, cerca de 30 empresas — entre elas
a Microsoft, a Facebook e a Intel — chegaram a acordo
quanto ao grupo mais básico de princípios, incluindo um
voto aparentemente inocente segundo o qual os signatários
recusariam ajudar qualquer governo, incluindo o dos Estados
Unidos, a montar ciberataques contra «civis inocentes e
empresas de qualquer país ou região». As empresas
comprometeram-se igualmente a ajudar qualquer país que
fosse vítima de ataques desse tipo, quer o motivo do ataque
fosse «criminoso quer geopolítico».
Era um princípio, embora pouco satisfatório. Nenhuma
empresa chinesa, russa ou iraniana fez parte do grupo que
subscreveu o acordo inicial, nem qualquer das grandes
empresas tecnológicas americanas, incluindo a Google e a
Amazon, ambas ainda divididas entre o desejo de fazer
negócio com as forças armadas dos Estados Unidos e o de
evitar alienar os seus clientes. A formulação do acordo
deixou um enorme espaço de manobra para as empresas
poderem participar em ataques contra grupos terroristas, ou
mesmo contra governos que reprimem os seus próprios
cidadãos. Além disso, os princípios não incluíam qualquer
menção a apoiar a democracia ou os direitos humanos, o que
significa que a Apple, se mais tarde assinar o acordo, pode
continuar a vergar-se aos desejos de Pequim mantendo os
dados dos clientes chineses em servidores no território da
China. Por outras palavras, os primeiros princípios foram de
certa forma como a Internet — desorganizados e confusos.
«Não tenho a ilusão de que virá a ser fácil», disse-me
Smith na Alemanha no início de 2018. «Vamos ter de
aprovar leis que deixem claro que há princípios que têm de
ser respeitados em todo o mundo, que os governos têm de se
conformar com não atacar infraestruturas nem em tempos de
guerra nem em tempos de paz, e mesmo quando não é sequer
claro se o estado é de guerra ou de paz.» Como é evidente, a
Convenção de Genebra tem sido regularmente violada, em
guerras civis e entre países, do Vietname à Síria.
Não é possível proteger completamente a população civil.
Os cidadãos individuais não têm a possibilidade de passar ao
ataque, e a maior parte não tem interesse em envolver-se no
ciberconflito global. No entanto, com o tempo, estes
princípios têm tornado o mundo mais humano.
Ainda assim há passos que cada um individualmente devia
dar para se proteger e para evitar tornar-se uma vítima não
intencional de outros conflitos. Estar informado — por
exemplo, em relação ao que são campanhas de phishing, ao
aspeto que podem assumir, em relação a proteger os routers
domésticos e a ativar a dupla autenticação — basta para
evitar 80 por cento das ameaças diárias. Da mesma forma
que não deixamos a porta de casa aberta quando saímos, ou
as chaves na ignição do carro, também não devemos expor
completamente a nossa vida nos nossos telefones.
Nada disso basta para deter um adversário determinado e
patrocinado por um Estado. As casas particulares também
podem ser protegidas contras os ladrões vulgares, mas não
contra mísseis balísticos intercontinentais.
A lição da década passada é que, a não ser que haja
tiroteios, nunca mais vamos perceber se estamos em paz ou
em guerra. Os governos que não são capazes de fazer frente a
potências mais poderosas com exércitos convencionais não
têm grande incentivo para renunciar às vantagens
proporcionadas pelas ciberarmas. Não se trata de uma
perspetiva agradável, mas é o mundo que criámos. Para
sobrevivermos nesse mundo, temos de tomar algumas
decisões fundamentais, semelhantes às que tomámos depois
da invenção do avião e da bomba atómica — decisões que
permitiram que convivêssemos com um estado de perigo
constante.
 Agora como então temos de refletir mais amplamente em
formas de manter a segurança. Do que não há dúvida é de
que uma corrida interminável às armas, em que as vitórias
sobre os adversários são pouco duradouras e em que o
grande objetivo é romper a encriptação com que os outros
países se defendem e desligar as suas fábricas, não é uma
dessas formas. Temos de nos lembrar de que criámos estas
tecnologias para enriquecer as nossas sociedades e as nossas
vidas, e não para descobrir ainda mais formas de lançar os
nossos adversários no abismo. Por outro lado, como fomos
nós que criámos a tecnologia, temos alguma possibilidade de
a controlar — se nos concentrarmos em gerir os riscos que
ela envolve. Já funcionou noutras áreas, e também pode vir a
funcionar no ciberespaço.
 AGRADECIMENTOS
Arma Perfeita surgiu do meu trabalho de reportagem para
A o New York Times, mas é além disso uma continuação do
meu esforço para perceber um mundo que comecei a
explorar em Confront and Conceal (Crown, 2012). Esse livro
foi o primeiro a contar a história da Operação Jogos
Olímpicos, a intervenção conjunta dos Estados Unidos e de
Israel com a finalidade de retardar o programa nuclear
iraniano. Na altura em que foi publicado havia apenas meia
dúzia de casos conhecidos de uso de ciberarmas entre países.
Poucos anos mais tarde, isso é um acontecimento diário. Não
é por isso surpreendente que um livro que queira explicar o
que se passa nesta nova era tenha de ser mais ambicioso, e
com essa ambição também a minha dívida a editores,
investigadores e colegas aumenta.
Começo pelo New York Times, onde trabalho há quase 36
anos, em Washington, DC, e noutros países. Arthur
Sulzberger Jr. e A. G. Sulzberger, o nosso antigo e o nosso
atual editor, têm sido ambos muito generosos a proporcionar-
me deslocações a todo o mundo com a finalidade de explicar
aos nossos leitores uma era nova e assustadora. Além disso
nunca se queixaram das contas com advogados. Dean Baquet
e Joe Kahn, os nossos editores-executivos, sempre
defenderam essas histórias, e pediram ainda mais. O mesmo
aconteceu com Matt Purdy, Susan Chira e Rebecca Corbett,
que contribuíram com ideias, um trabalho de edição de
qualidade, e também com o seu encorajamento. Elisabeth
Bumiller, chefe de redação do New York Times em
Washington, uma defensora intransigente do jornalismo de
investigação e uma amiga desde os tempos em que estivemos
juntos no Japão, há cerca de um quarto de século, deu-me a
liberdade de que precisei para trabalhar como jornalista e
também para escrever este livro. Bill Hamilton, um editor
extraordinário para questões de segurança nacional, faz de
tudo aquilo em que toca algo muito melhor. Os meus
agradecimentos igualmente a Lara Jakes, Amy Fiscus e
Thom Shanker, editores que sempre exigiram mais factos,
melhores fontes e explicações mais claras.
O milagre diário da redação de Washington do New York
Times são os seus jornalistas, colegas e amigos com quem
tive a sorte de poder reunir forças em muitas destas histórias.
No outono de 2016, Eric Lipton e Scott Shane perceberam
que estava na altura de contar uma história mais ambiciosa
da investigação à intrusão da Rússia, e em conjunto
produzimos uma longa reconstrução do hack russo de onde o
título deste livro foi tirado. A história esteve entre as
nomeadas para o Prémio Pulitzer de Reportagem de 2017,
ganho com um grupo de repórteres do New York Times de
todo o mundo que estudaram em profundidade as técnicas
usadas na guerra de informação por Vladimir Putin. Sinto-me
em dívida com toda a equipa, cujo trabalho enriqueceu a
minha compreensão da história da Rússia.
Em Washington, em Silicon Valley e noutros países os
meus colegas Eric Schmitt, Mark Landler, Mark Mazzetti,
Peter Baker, Matthew Rosenberg, Matt Apuzzo, Julie Davis,
Nicole Perlroth, David Kirkpatrick, Alison Smale, Steve
Erlanger e Adam Goldman juntaram forças para acompanhar
uma área na intersecção da política internacional, da
ciberguerra e do direito. Maggie Haberman trabalhou comigo
durante a campanha presidencial em duas longas entrevistas
com Donald Trump que me ajudaram a perceber a evolução
das suas ideias acerca de segurança nacional e me deram a
oportunidade de lhe apresentar questões ligadas ao mundo
digital que me pareceram completamente novas para ele.
Um agradecimento muito especial vai para o meu
companheiro de trabalho de três décadas Bill Broad, que
percebeu a forma como as questões ligadas à cibertecnologia,
à tecnologia nuclear e ao desenvolvimento de mísseis
convergem e todos os dias usa a sua competência jornalística
e a sua intuição para descobrir as histórias mais difíceis,
como o esforço dos Estados Unidos para sabotar o programa
nuclear norte-coreano.
 David McCraw, o excecional advogado do New York
Times, ajudou-me em tudo o que disse respeito à
investigação e às fontes da Operação Jogos Olímpicos, entre
outras, ao mesmo tempo que me aconselhou quanto à melhor
forma de contar a história das atividades dos Estados Unidos
no ciberespaço.
O Centro Belfer para a Ciência e as Questões
Internacionais da Faculdade Kennedy de Harvard é há muito
a minha comunidade intelectual para lidar com as
implicações estratégicas do digital e os estudiosos e antigos
legisladores que o formam foram muito generosos com o
tempo de que dispuseram para contribuir para a formação de
um jornalista. Tive o privilégio de ensinar, em conjunto com
Graham Allison e Derek Reveron, uma cadeira de Desafios
Centrais para a Segurança Nacional, a Estratégia e a
Imprensa dos Estados Unidos. A perceção estratégica
lendária de Graham e o público variado do curso, de
estudantes universitários a militares e responsáveis pela
segurança, permitiram uma exploração fascinante dos
aspetos mais complexos dos ciberconflitos da atualidade. Um
agradecimento especial a Joseph Nye, Ashton B. Carter, Eric
Rosenbach, Michael Sulmeyer, R. Nicholas Burns, Rolf
Mowatt-Larssen e Ben Buchanan. Drew Faust, presidente da
Universidade de Harvard ao longo da última década,
ofereceu-me um encorajamento constante e convidou-me
para testar as minhas ideias com um público muito variado.
Sempre que precisei de um lugar em Washington para
trabalhar e escrever, Jane Harman e Robert Litwak abriram-
me as portas do Centro Internacional Wilson para
Académicos, uma instituição notável caraterizada pela calma
e pela profundidade intelectual, numa capital em que ambas
as coisas fazem muita falta. Sinto-me grato a ambos, e
também a Meg King, que se tem dedicado a transformar o
Wilson num lugar onde o Congresso pode estudar o mundo
digital.
Este livro não poderia ter sido escrito sem a ajuda de um
grupo notável de assistentes, vindos do nosso curso de
Harvard. A que mais contribuiu para este trabalho foi Alyza
Sebenius, uma jovem repórter, autora e editora cheia de
talento. A Alyza dirigiu a equipa, conduziu entrevistas,
editou capítulos, encorajou-me amavelmente a aprofundar
alguns assuntos, a escrever com mais clareza e a pensar nos
leitores a quem o assunto possa parecer mais difícil.
Investigou, esboçou, reorganizou, e manteve o projeto em
andamento — num exemplo do que uma nova geração está a
fazer para que o jornalismo americano se mantenha uma
força vital, e vitalmente importante, como tem acontecido ao
longo de toda a nossa história.
Mary Brooks dedicou muitas noites e muitos fins de
semana a tentar compreender o papel desmedido da China
nos ciberconflitos, a verificar dados e a editar o texto, e foi
indispensável no processo de transformar histórias em
capítulos, e capítulos em argumentos. Ana Moran estudou
com enorme atenção a história das atividades do Estado
Islâmico na Web, incluindo o envolvimento de Silicon
Valley. Sohum Pawar refletiu com profundidade acerca das
lições a retirar do ciberataque à Ucrânia e ajudou-nos a
navegar nos meandros de questões tecnológicas complexas,
da mesma forma que Anand Gupta. Iniciaram este percurso
na esperança de aprender alguma coisa comigo, mas fui eu
que acabei por aprender com eles, que na realidade tornaram
este projeto possível. Gabrielle Chefitz e Josh Cohen foram
de uma enorme ajuda com a investigação.
Em Stanford, os meus agradecimentos vão para Amy
Zegart, Herb Lin, Phil Taubman, Michael McFaul e
Condoleezza Rice, pelos conselhos, pelas ideias e pela base
operacional sempre que tive de cobrir questões ligadas ao
mundo tecnológico.
Michael Carlisle tem sido um bom amigo ao longo de
mais de três décadas e um agente e conselheiro notável. Foi
ele que me encaminhou para a Crown, do grupo Penguin
Random House, onde percebi por que razão Kevin Doughten
é considerado um dos melhores editores no nosso meio. Foi o
Kevin que me encorajou a escrever um livro que explorasse a
geopolítica desta revolução, e foram a energia dele e as suas
indicações acerca da melhor forma de contar a história, o seu
fascínio com as novas tecnologias e a disponibilidade para
trabalhar noite e dia que tornaram possível A Arma Perfeita.
Jon Darga, Annsley Rosner, Rachel Rokicki, Penny Simon,
Julie Cepler, Kathleen Quinlan, Courtney Snyder, Mark
Birkey, Linnea Knollmueller, Kirsten Clawson e Elizabeth
Rendfleisch produziram o toque mágico da Crown. A Amelia
Zalcman proporcionou-me o melhor aconselhamento legal
possível.
Molly Stern, da Crown, nunca fugiu a temas difíceis e tem
sido uma advogada entusiástica de contar esta história. Tive
muita sorte por me ter tornado um dos autores da editora.
Alex Gibney, Javier Botero e Sarah Dowland, autores de
documentários da Jigsaw Productions, tiveram a inspiração
de considerar que a história da Operação Jogos Olímpicos
contada em Confront and Conceal daria um filme, e em Zero
Days, que passou nos cinemas em 2016, desenvolveram-na e
aprofundaram-na. Parte dos materiais que resultaram da sua
investigação para o filme, especialmente os que dizem
respeito à Operação Nitro Zeus, são incluídos neste livro.
Nada disto — o trabalho jornalístico, a escrita, o apoio —
seria possível sem a minha mulher, Sherill, a melhor editora
e companheira possível. Não há nada em que ela toque que
não se transforme em algo melhor, e a sua qualidade de
editora voltou a salvar-nos. Andrew Sanger, o nosso filho
mais velho, que acabou de completar o seu curso na
Universidade do Colorado, ajudou-me a verificar os factos e
estudou com uma perspetiva crítica as explicações históricas
e tecnológicas; o seu irmão Ned, estudante de Harvard, reviu
alguns dos capítulos mais importantes.
Os meus pais, Ken e Joan Sanger, procuraram
proporcionar-me a melhor educação possível, encorajaram o
meu interesse pelo jornalismo e têm sido sempre um grande
apoio, juntamente com a minha irmã Ellin e o seu marido,
Mort Agress.
 Este livro tem como assunto a história da atualidade, uma
área em que grande parte das fontes ainda não foram
tornadas públicas. Assim, e por definição, o seu conteúdo
não pode ser exaustivo; vamos continuar, ao longo de muitos
anos, a descobrir pormenores acerca de operações, disputas
internas, êxitos e fracassos, que de momento não são
conhecidos. A melhor desculpa que posso oferecer aos
leitores é que o seu conteúdo representa o que consegui
perceber dos acontecimentos e dos debates que os rodearam.
Os erros de facto e de interpretação são, como é evidente, da
minha responsabilidade.
— David E. Sanger, Washington, DC, maio de 2018
 NOTAS
PREFÁCIO
uma recomendação surpreendente: «Nuclear Posture
Review», gabinete do secretário da Defesa dos Estados
Unidos, fevereiro de 2018,
www.defense.gov/News/SpecialReports/2018NuclearPostu
reReview.aspx.
chegou imediatamente à comunicação social: David E.
Sanger e William Broad, «Pentagon Suggests Countering
Devastating Cyberattacks with Nuclear Arms», The New
York Times, 17 de janeiro de 2018,
www.nytimes.com/2018/01/16/us/politics/pentagon-
nuclear-review-cyberattack-trump.html.
À cabeça da lista vinha o terrorismo: John D. Negroponte,
«Annual Threat Assessment of the Director of National
Intelligence», 11 de janeiro de 2007,
www.dni.gov/files/documents/Newsroom/Testimonies/2007
0111_testimony.pdf.
«A luta desenfreada pelo poder: Helene Cooper, «Military
Shifts Focus to Threats by Russia and China, Not
Terrorism», The New York Times, 20 de janeiro de 2018,
www.nytimes.com/2018/01/19/us/politics/military-china-
russia-terrorism-focus.html.
«completamente obsoleta em matéria de ciberguerra»:
«Transcript: Donald Trump Expounds on His Foreign
Policy Views», The New York Times, 26 de março de
2016, www.nytimes.com/2016/03/27/us/politics/donald-
trump-transcript.html.
tecido da nossa sociedade: Joyce falou no Instituto Aspen em
Washington, DC, em 15 de novembro de 2017:
www.aspeninstitute.org/events/cyber-breakfast-view-from-
the-white-house.
forma híbrida de guerra: Valery Gerasimov, «The Value of
Science Is in the Foresight», Military-Industrial Courier,
fevereiro de 2013.
o preço a pagar é baixo: Andrew Desiderio, «NSA Boss
Suggests Trump Lets Putin Think “Little Price to Pay” for
Messing with U. S.», Daily Beast, 27 de fevereiro de
2018, www.thedailybeast.com/nsa-boss-seems-to-hit-
trump-on-russia-putin-believes-little-price-to-pay-for-
messing-with-us.
Wilbur e Orville: Andrew Glass, «President Taft Witnesses
Wright Brothers Flight, 29 de Julho de 1909», Politico, 29
de julho de 2016,
www.politico.com/story/2016/07/president-taft-witnesses-
wright-brothers-flight-july-29-1909-226158.
aviões militares fabricados nos Estados Unidos: Stephen
Budiansky, Air Power (Nova Iorque: Penguin Books,
2004).
PRÓLOGO: DA RÚSSIA COM AMOR
a Ucrânia era um terreno excelente de testes: Andy
Greenberg, da Wired, escreveu alguns dos melhores
artigos acerca do ciberataque à Ucrânia. Veja-se «How an
Entire Nation Became Russia’s Test Lab for Cyberwar»,
20 de junho de 2017, www.wired.com/story/russian-
hackers-attack-ukraine.
ficar sentados às escuras: «Cyber-Attack Against Ukrainian
Critical Infrastructure», Industrial Control Systems, Cyber
Emergency Response Team, 25 de fevereiro de 2016, ics-
cert.us-cert.gov/alerts/IR-ALERT-H-16-056-01.
de as encerrar quando entendesse: Nicole Perlroth e David E.
Sanger, «Cyberattacks Put Russian Fingers on the Switch
at Power Plants, U. S. Says», The New York Times, 16 de
março de 2018,
www.nytimes.com/2018/03/15/us/politics/russia-
cyberattacks.html.
CAPÍTULO I: OS PECADOS ORIGINAIS
velho quartel-general: Steve Hendrix, «Former OSS Spies on
a Mission to Save Old Headquarters», The Washington
Post, 28 de junho de 2014,
 www.washingtonpost.com/local/former-oss-spies-on-a-
mission-to-save-old-headquarters/2014/06/28/69379d16-
fd7d-11e3-932c-0a55b81f48ce_story.html?
utm_term=.0e1c8190b76b.
Como a história explicava: David E. Sanger, «Obama Order
Sped Up Wave of Cyberattacks Against Iran», The New
York Times, 1 de junho de 2012,
www.nytimes.com/2012/06/01/world/middleeast/obama-
ordered-wave-of-cyberattacks-against-iran.html.
Foi precisamente o que aconteceu: A minha história do
Stuxnet e do seu pano de fundo político é contada em
Confront and Conceal: Obama’s Secret Wars and
Surprising Use of American Power (Nova Iorque: Crown
Publishers, 2012) e algumas passagens apareceram no The
New York Times de 1 de junho de 2012. Na nota acerca das
fontes, incluída no livro, escrevo que «discuti com vários
responsáveis seniores os riscos potenciais de publicar
informações sensíveis que tenham relação com operações
secretas ainda em curso». No entanto, não incluo
pormenores dessas discussões, que tiveram lugar a título
particular. Nos anos que decorreram entretanto, em
resposta a pedidos de outras organizações noticiosas no
âmbito da Lei da Liberdade de Imprensa, a CIA revelou
emails com a indicação das pessoas com quem falei e de
parte do conteúdo, embora tenha protegido pormenores
que continua a considerar sensíveis. Houve outros
pormenores que apareceram em documentos judiciais em
torno do caso do general James A. Cartwright, que foi
acusado de mentir ao FBI em relação com a investigação
às revelações feitas no livro (mais tarde Cartwright
recebeu um perdão do presidente Obama). Neste relato
continuo a respeitar todos os acordos de privacidade feitos
com as fontes em torno das conversas de preparação para
o livro, excetuando os casos em que entretanto recebi o
seu acordo para revelar os conteúdos em causa.
O FBI foi chamado para investigar: Chris Doman, «The First
Sophisticated Cyber Attacks: How Operation Moonlight
 Maze Made History», Medium, 7 de julho de 2016,
medium.com/@chris_doman/the-first-sophistiated-cyber-
attacks-how-operationmoonlight-maze-made-history-
2adb12cc43f7.
Escola de Minas do Colorado: Ben Buchanan e Michael
Sulmeyer, «Russia and Cyber Operations: Challenges and
Opportunities for the Next U. S. Administration»,
Carnegie Endowment for International Peace, 13 de
dezembro de 2016,
carnegieendowment.org/2016/12/13/russia-and-cyber-
operations-challenges-and-opportunities-for-next-u.s.-
administration-pub-66433.
Os hackers tinham penetrado: Doman, «The First
Sophisticated Cyber Attacks».
«Para nós isto foi um verdadeiro alerta»: Para um bom
resumo do tipo de documentos não confidenciais
envolvidos no Labirinto ao Luar, veja-se Ibid. Thomas Rid
também é autor de um guia útil dos ataques em Rise of the
Machines: A Cybernetic History (Nova Iorque: W. W.
Norton & Company, 2016).
a rede-alvo»: Michael Hayden, Playing to the Edge:
American Intelligence in the Age of Terror (Nova Iorque:
Penguin Books, 2016), p. 184.
«As ferramentas ao dispor do presidente: Sam LaGrone,
«Retired General Cartwright on the History of Cyber
Warfare», USNI News, 18 de outubro de 2012,
news.usni.org/2012/10/18/retired-general-cartwright-
history-cyber-warfare.
relatório anual de avaliação de ameaças mundiais: John D.
Negroponte, 11 de janeiro de 2007, «Annual Threat
Assessment of the Director of National Intelligence»,
www.dni.gov/files/documents/Newsroom/Testimonies/2007
0111_testimony.pdf.
Os ataques chineses às empresas americanas: Departamento
da Justiça, «Chinese National Who Conspired to Hack
 into U. S. Defense Contractors’ Systems Sentenced to 46
Months in Federal Prison», 13 de julho de 2016,
www.justice.gov/opa/pr/chinese-national-who-conspired-
hack-us-defense-contractors-systems-sentenced-46-
months.
entraram nas redes da Lockheed Martin: Justin Ling, «Man
Who Sold F-35 Secrets to China Pleads Guilty», VICE
News, 24 de março de 2016, news.vice.com/article/man-
who-sold-f-35-secrets-to-china-pleads-guilty.
de Barack Obama e de John McCain: Lee Glendinning,
«Obama, McCain Computers “Hacked” During Election
Campaign», The Guardian, 7 de novembro de 2008,
www.theguardian.com/global/2008/nov/07/obama-white-
house-usa.
por fim se percebeu: Ellen Nakashima, «Cyber Intruder
Sparks Response, Debate», The Washington Post, 6 de
dezembro de 2011,
www.washingtonpost.com/national/national-
security/cyber-intruder-sparks-response-
debate/2011/12/06/gIQAxLuFgO_story.html?
utm_term=.ed05d5330dc5.
tinham deixado algumas pen USB: William J. Lynn III,
«Defending a New Domain», Foreign Affairs, setembro-
outubro de 2010,
www.foreignaffairs.com/articles/unitedstates/2010-09-
01/defending-new-domain.
outra das motivações importantes: o ministro da Defesa de
Israel Ehud Barak admitiu-o a vários biógrafos em
entrevistas que foram gravadas. Mais tarde, os
responsáveis israelitas ficaram intrigados por isso ter
escapado ao crivo da censura dos militares. Jodi Rudoren,
«Israel Came Close to Attacking Iran, Ex-Defense
Minister Says», The New York Times, 22 de agosto de
2015,
www.nytimes.com/2015/08/22/world/middleeast/israel-
 came-close-to-attacking-iran-ex-defense-minister-
says.html.
o presidente Bush autorizara secretamente: David E. Sanger,
«U. S. Rejected Aid for Israeli Raid on Iranian Nuclear
Site», The New York Times, 10 de janeiro de 2009,
www.nytimes.com/2009/01/11/washington/11iran.html.
o engenheiro tranquilo que investigou: Juntos tornaram-se os
heróis de Zero Days, o documentário de 2016 de Alex
Gibney que em parte se baseou na história do Stuxnet que
eu conto em Confront and Conceal: Obama’s Secret Wars
and Surprising Use of American Power (Nova Iorque:
Crown Publishers, 2012). Aproveitei muito do trabalho de
investigação que Gibney e a sua equipa realizaram ao
longo dos dois anos necessários para fazer o
documentário, incluindo da descrição do Nitro Zeus —
um plano para desligar completamente a rede energética
do Irão e outros serviços básicos em caso de guerra.
Meir Dagan, o seu mestre espião: David E. Sanger, «A
Spymaster Who Saw Cyberattacks as Israel’s Best
Weapon Against Iran», The New York Times, 23 de março
de 2016,
www.nytimes.com/2016/03/23/world/middleeast/israel-
mossad-meir-dagan.html.
motociclistas que fixavam bombas: David E. Sanger,
«America’s Deadly Dynamics with Iran», The New York
Times, 6 de novembro de 2011,
www.nytimes.com/2011/11/06/sunday-review/the-secret-
war-with-iran.html.
Na sua secretária: Isabel Kershner, «Meir Dagan, Israeli
Spymaster, Dies at 71; Disrupted Iran’s Nuclear
Program», The New York Times, 18 de março de 2016,
www.nytimes.com/2016/03/18/world/middleeast/meir-
dagan-former-mossad-director-dies-at-71.html.
dedicou os seus últimos anos no cargo: Ronen Bergman, Rise
and Kill First (Nova Iorque: Random House, 2018), p.
623.
consequências intoleráveis»: Ronen Bergman, «When Israel
Hatched a Secret Plan to Assassinate Iranian Scientists»,
Politico, 5 de março de 2018,
www.politico.com/magazine/story/2018/03/05/israel-
assassination-iranian-scientists-217223.
reator nuclear de Osirak: Mark Mazzetti e Helene Cooper,
«U. S. Confirms Israeli Strikes Hit Syrian Target Last
Week», The New York Times, 11 de setembro de 2007,
www.nytimes.com/2007/09/12/world/middleeast/12syria.ht
ml.
levou tudo isto a um novo nível»: Elad Benari, «McCain:
Obama Leaked Info on Stuxnet Attack to Win Votes»,
Israel National News, 6 de abril de 2012,
www.israelnationalnews.com/News/News.aspx/156501.
Hoje em dia há mecanismos: «Remarks by the President», 8
de junho de 2012, James S. Brady Press Briefing Room,
obamawhitehouse.archives.gov/the-press-
office/2012/06/08/remarks-president.
CAPÍTULO II: A INBOX DE PANDORA
«O enredo da ciberguerra da ficção científica: Alex Gibney,
real., Zero Days, Magnolia Pictures, 2016.
Oficialmente ganhou forma: Siobhan Gorman e Yochi
Dreazen, «Military Command Is Created for Cyber
Security», Wall Street Journal, 24 de junho de 2009,
www.wsj.com/articles/SB124579956278644449.
«as decisões deste tipo são suficientemente sérias: A
transcrição integral da entrevista com Carter, realizada no
Fórum para a Segurança de Aspen, encontra-se em
archive.defense.gov/Transcripts/Transcript.aspx?
TranscriptID=5277.
Gates escreveu um relatório: Descrevi este conjunto de
discussões entre Gates e Donilon em The Inheritance
(Nova Iorque: Crown Publishers, 2009), pp. 185–186.
um ataque combinado digital e no terreno: A minha descrição
do Nitro Zeus deve muito ao meu amigo Javier Botero,
 que dirigiu uma equipa de investigação para a produção de
Zero Days de Alex Gibney, um documentário acerca de
ciberconflitos que se baseia em parte nas revelações feitas
em Confront and Conceal. Javier foi muito para além das
informações que eu próprio recolhi, e falou
inclusivamente com muitos membros, civis e militares,
das equipas que estiveram envolvidas no planeamento da
operação contra o Irão e que descreveram os riscos que lhe
estiveram associados.
os dois ciberprogramas secretos sugerem: David E. Sanger e
Mark Mazzetti, «U. S. Had Cyberattack Plan If Iran
Nuclear Dispute Led to Conflict», The New York Times, 17
de fevereiro de 2017,
www.nytimes.com/2016/02/17/world/middleeast/us-had-
cyberattack-planned-if-iran-nuclear-negotiations-
failed.html.
«Já vimos muitos estados investirem tempo e esforço:
Damian Paletta, «NSA Chief Says Cyberattack at
Pentagon Was Sophisticated, Persistent», Wall Street
Journal, 8 de setembro de 2015,
www.wsj.com/articles/nsa-chief-says-cyberattack-at-
pentagon-was-sophisticated-persistent-1441761541.
tentar perceber porquê: Ibid.
«não se metam connosco: David E. Sanger, «U. S. Indicts 7
Iranians in Cyberattacks on Banks and a Dam», The New
York Times, 25 de março de 2016,
www.nytimes.com/2016/03/25/world/middleeast/us-
indicts-iranians-in-cyberattacks-on-banks-and-a-
dam.html.
anunciaram publicamente a criação de um cibercorpo: Thom
Shanker e David E. Sanger, «U. S. Suspects Iran Was
Behind a Wave of Cyberattacks», The New York Times, 14
de outubro de 2012,
www.nytimes.com/2012/10/14/world/middleeast/us-
suspects-iranians-were-behind-a-wave-of-
cyberattacks.html.
os hackers iranianos começaram a apontar: «Iranians
Charged with Hacking U. S. Financial Sector», FBI, 24 de
março de 2016, www.fbi.gov/news/stories/iranians-
charged-with-hacking-us-financial-sector.
os iranianos atacaram a Arábia Saudita: Ross Colvin, «“Cut
Off Head of Snake” Saudis Told U. S. on Iran», Reuters,
28 de novembro de 2010, www.reuters.com/article/us-
wikileaks-iran-saudis/cut-off-head-of-snake-saudis-told-u-
s-on-iran-idUSTRE6AS02B20101129.
Os hackers encontraram um alvo fácil na Saudi Aramco:
Nicole Perlroth e David E. Sanger, «Cyberattacks Seem
Meant to Destroy, Not Just Disrupt», The New York Times,
29 de março de 2013,
www.nytimes.com/2013/03/29/technology/corporate-
cyberattackers-possibly-state-backed-now-seek-to-
destroy-data.html.
Os hackers lançaram o caos: David E. Sanger, David D.
Kirkpatrick e Nicole Perlroth, «The World Once Laughed
at North Korean Cyberpower. No More», The New York
Times, 16 de outubro de 2017,
www.nytimes.com/2017/10/15/world/asia/north-korea-
hacking-cyber-sony.html.
os telefones ficaram sem linha: Se ainda houvesse
necessidade de provas, isto bastaria para mostrar que as
empresas que usam a mesma ligação à Internet para
telefones e computadores estão a aumentar a sua
vulnerabilidade.
as agências de informações americanas depressa chegaram à
conclusão: Na altura a minha colega Nicole Perlroth fez a
melhor cobertura do que aconteceu na Saudi Aramco:
«Cyberattack on Saudi Oil Firm Disquiets U. S.», The
New York Times, 24 de outubro de 2012,
www.nytimes.com/2012/10/24/business/global/cyberattack
-on-saudi-oil-firm-disquiets-us.html. A CNN fez um bom
trabalho de reconstrução do caos que se abateu sobre a
Saudi Aramco. Veja-se Jose Pagliery, «The Inside Story of
 the Biggest Hack in History», CNN, 5 de agosto de 2015,
money.cnn.com/2015/08/05/technology/aramco-
hack/index.html.
CAPÍTULO III: UM ATAQUE DE 100 DÓLARES
«Algum sítio tinha de ficar para o fim»: Em conjunto com o
meu colega Eric Schmitt, descrevi o papel do crawler
numa história publicada no The New York Times no início
de 2014. Veja-se David E. Sanger e Eric Schmitt,
«Snowden Used Low-Cost Tool to Best NSA», 9 de
fevereiro de 2014,
www.nytimes.com/2014/02/09/us/snowden-used-low-cost-
tool-to-best-nsa.html.
uma imagem das capacidades ciberofensivas: Parte do
trabalho na base deste capítulo apoia-se na minha
contribuição para o volume coletivo Journalism After
Snowden, de que escrevi o primeiro capítulo, publicado
pela Columbia University Press em março de 2017.
O New York Times foi um dos alvos da sua irritação: David
Sanger, «U. S. Rejected Aid for Israeli Raid on Iranian
Nuclear Site», The New York Times, 10 de janeiro de 2009,
www.nytimes.com/2009/01/11/washington/11iran.html.
estava tão interessado num emprego na NSA: Rachael King,
«Ex-NSA Chief Details Snowden’s Hiring at Agency,
Booz Allen», Wall Street Journal, 4 de fevereiro de 2014,
www.wsj.com/articles/exnsa-chief-details-snowden8217s-
hiring-at-agency-booz-allen-1391569429.
Nas palavras de um dos meus colegas do New York Times:
Scott Shane, «No Morsel Too Minuscule for All-
Consuming N. S. A.», The New York Times, 3 de
novembro de 2013,
www.nytimes.com/2013/11/03/world/no-morsel-too-
minuscule-for-all-consuming-nsa.html.
Tratava-se, nas palavras de Obama, «do Oeste selvagem»:
Barack Obama, num discurso feito em Stanford em
fevereiro de 2015, obamawhitehouse.archives.gov/the-
 press-office/2015/02/13/remarks-president-cybersecurity-
and-consumer-protection-summit.
James Clapper afirmou que Snowden tirara partido: David
Sanger e Eric Schmitt, «Spy Chief Says Snowden Took
Advantage of “Perfect Storm” of Security Lapses», The
New York Times, 12 de fevereiro de 2014,
www.nytimes.com/2014/02/12/us/politics/spy-chief-says-
snowden-took-advantage-of-perfect-storm-of-security-
lapses.html?
Mas a solução da agência chegou demasiado tarde: Jo
Becker, Adam Goldman, Michael S. Schmidt e Matt
Apuzzo, «N. S. A. Contractor Arrested in Possible New
Theft of Secrets», The New York Times, 6 de outubro de
2016, www.nytimes.com/2016/10/06/us/nsa-leak-booz-
allen-hamilton.html.
Depois de Snowden ter aparecido: David E. Sanger e Jeremy
Peters, «A Promise of Changes for Access to Secrets»,
The New York Times, 14 de junho de 2013,
www.nytimes.com/2013/06/14/us/nsa-chief-to-release-
more-details-on-surveillance-programs.html?
mtrref=www.google.com.
Isso explica que cerca de um terço: Philip Bump, «America’s
Outsourced Spy Force, by the Numbers», The Atlantic, 10
de junho de 2013,
www.theatlantic.com/national/archive/2013/06/contract-
security-clearance-charts/314442/.
Em 2005 a Força Aérea contratou a RAND Corporation:
Evan S. Medeiros et al., «A New Direction for China’s
Defense Industry», Rand Corporation, 2005,
www.rand.org/content/dam/rand/pubs/monographs/2005/
RAND_MG334.pdf.
bloqueou a compra: Steven R. Weisman, «Sale of 3Com to
Huawei Is Derailed by U. S. Security Concerns», The New
York Times, 21 de fevereiro de 2008,
www.nytimes.com/2008/02/21/business/worldbusiness/21i
ht-3com.html.
foi a designação dada a um programa secreto: David E.
Sanger e Nicole Perlroth, «N. S. A. Breached Chinese
Servers Seen as Security Threat», The New York Times, 23
de março de 2014,
www.nytimes.com/2014/03/23/world/asia/nsa-breached-
chinese-servers-seen-as-spy-peril.html?
No final de 2013, a Der Spiegel publicou o «catálogo ANT»:
redação da Der Spiegel, «Documents Reveal Top NSA
Hacking Unit», 29 de dezembro de 2013.
www.spiegel.de/international/world/the-nsa-uses-
powerful-toolbox-in-effort-to-spy-on-global-networks-a-
940969.html; Jacob Appelbaum, Judith Horchert e
Christian Stöcker, «Shopping for Spy Gear: Catalog
Advertises NSA Toolbox», Der Spiegel, 29 de dezembro
de 2013, www.spiegel.de/international/world/catalog-
reveals-nsa-has-back-doors-for-numerous-devices-a-
940994.html.
O catálogo revelou: Eu já tinha noção da existência destas
tecnologias em 2012, quando publiquei pela primeira vez
pormenores acerca da Operação Jogos Olímpicos, em que
elas eram importantes. No entanto ocultei alguns aspetos a
pedido de vários responsáveis americanos que estavam
convencidos de que os iranianos ainda não tinham
percebido como elas funcionavam. Depois das revelações
de Snowden, como é evidente, ficaram com uma ideia de
como procurar.
«Ainda não me ouviu, na qualidade de diretor»: Maya
Rhodan, «New NSA Chief: Snowden Didn’t Do That
Much Damage», Time, 30 de junho de 2014,
time.com/2940332/nsa-leaks-edward-snowden-michael-
rogers.
Mas Angela Merkel ficou furiosa: Alison Smale, «Germany,
Too, Is Accused of Spying on Friends», The New York
Times, 6 de maio de 2015,
www.nytimes.com/2015/05/06/world/europe/scandal-over-
spying-shakes-german-government.html.
Ainda descontente, a chanceler telefonou a Obama: David E.
Sanger e Alison Smale, «U. S.-Germany Intelligence
Partnership Falters Over Spying», The New York Times, 17
de dezembro de 2013,
www.nytimes.com/2013/12/17/world/europe/us-germany-
intelligence-partnership-falters-over-spying.html?.
os chefes dos serviços americanos de informações não se
mostraram especialmente pesarosos: Mark Landler e
Michael Schmidt, «Spying Known at Top Levels, Officials
Say», The New York Times, 30 de outubro de 2013,
www.nytimes.com/2013/10/30/world/officials-say-white-
house-knew-of-spying.html.
muito para além da chamada vigilância interna»: Eli Lake,
«Spy Chief James Clapper: We Can’t Stop Another
Snowden», Daily Beast, 23 de fevereiro de 2014,
www.thedailybeast.com/spy-chief-james-clapper-we-cant-
stop-another-snowden.
CAPÍTULO IV: UM ALVO A ABATER
Quando o Washington Post publicou o slide pela primeira
vez: Barton Gellman e Ashkan Soltani, «NSA Infiltrates
Links to Yahoo, Google Data Centers Worldwide,
Snowden Documents Say», The Washington Post, 30 de
outubro de 2013,
www.washingtonpost.com/world/national-security/nsa-
infiltrates-links-to-yahoo-google-data-centers-worldwide-
snowden-documents-say/2013/10/30/e51d661e-4166-11
e3-8b74-d89d714ca4dd_story.html?
«Filhos da puta»: Brandon Downey, «This Is the Big Story in
Tech Today», Google+ (blogue), 30 de outubro de 2013,
plus.google.com/+BrandonDowney/posts/Sf
Yy8xbDWGG.
Pouco depois a Google acrescentou uma nova encriptação
aos seus emails: Ian Paul, «Google’s Chrome Gmail
Encryption Extension Hides NSA-Jabbing Easter Egg»,
PC World, 5 de junho de 2014,
 www.pcworld.com/article/2360441/googles-chrome-
emailencryption-extension-includes-jab-at-nsa.html.
a existência de um programa da agência: Barton Gellman e
Laura Poitras, «U. S., British Intelligence Mining Data
from Nine U. S. Internet Companies in Broad Secret
Program», The Washington Post, 7 de junho de 2016,
www.washingtonpost.com/investigations/us-intelligence-
mining-data-from-nine-us-internet-companies-in-broad-
secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-
d970ccb04497_story.html.
Mark Zuckerberg publicou uma defesa veemente: Mark
Zuckerberg, post no Facebook, 7 de junho de 2013,
www.facebook.com/zuck/posts/10100828955847631.
uma longa história de cooperação: Julia Angwin, Charlie
Savage, Jeff Larson, Henrik Moltke, Laura Poitras, James
Risen, «AT&T Helped U. S. Spy on Internet on a Vast
Scale», The New York Times, 16 de agosto de 2015,
www.nytimes.com/2015/08/16/us/politics/att-helped-nsa-
spy-on-an-array-of-internet-traffic.html.
negócio de 600 milhões de dólares com a Amazon: Aaron
Gregg, «Amazon Launches New Cloud Storage Service
for U. S. Spy Agencies», The Washington Post, 20 de
novembro de 2017,
www.washingtonpost.com/news/business/wp/2017/11/20/a
mazon-launches-new-cloud-storage-service-for-u-s-spy-
agencies/?utm_term=.8dcf7ac21a9f.
Talvez a intuição social e política de Cook: Todd Frankel,
«The Roots of Tim Cook’s Activism Lie in Rural
Alabama», The Washington Post, 7 de março de 2016,
www.washingtonpost.com/news/the-
switch/wp/2016/03/07/in-rural-alabama-the-activist-
roots-of-apples-tim-cook/?utm_term=.5f670fd2354d.
«mais de cinco anos e meio: Há especialistas em questões de
segurança que põem este número em causa, porque a
Apple não tem informações acerca da rapidez com que os
 supercomputadores da Agência Nacional de Segurança
são capazes de quebrar códigos.
a agência desenvolveu o chip Clipper: Steven Levy, «Battle
of the Clipper Chip», The New York Times, 12 de junho de
1994, www.nytimes.com/1994/06/12/magazine/battle-of-
the-clipper-chip.html.
a administração Clinton foi obrigada a recuar: Susan Landau,
Listening In: Cybersecurity in an Insecure Age (New
Haven: Yale University Press, 2017), p. 84.
Morell e os colegas puseram-se do lado das grandes
empresas tecnológicas: Richard A. Clarke, Michael J.
Morell, Geoffrey R. Stone, Cass Sunstein, Peter Swire,
«Report and Recommendations of the President’s Review
Group on Intelligence and Communications
Technologies», 12 de dezembro de 2013, lawfare.s3-us-
west-2.amazonaws.com/staging/s3fs-
public/uploads/2013/12/Final-Report-RG.pdf.
Comey previu que viria um momento: David E. Sanger e
Brian Chen, «Signaling PostSnowden Era, New iPhone
Locks Out N. S. A.», The New York Times, 27 de setembro
de 2014,
www.nytimes.com/2014/09/27/technology/iphone-locks-
out-the-nsa-signaling-a-post-snowden-era-.html.
resultaram 14 mortos e 22 feridos: Adam Nagourney, Ian
Lovett e Richard Perez-Pena, «San Bernardino Shooting
Kills at Least 14; Two Suspects Are Dead», The New York
Times, 3 de dezembro de 2015,
www.nytimes.com/2015/12/03/us/san-bernardino-
shooting.html.
que fugira para os Estados Unidos com a mulher: «San
Bernardino Shooting Victims: Who They Were», Los
Angeles Times, 17 de dezembro de 2015,
www.latimes.com/local/lanow/la-me-ln-san-bernardino-
shooting-victims-htmlstory.html.
relatório posterior do inspetor-geral do Bureau: Gabinete do
inspetor-geral, Departamento da Justiça dos Estados
Unidos, «A Special Inquiry Regarding the Accuracy of
FBI Statements Concerning its Capabilities to Exploit an
iPhone Seized During the San Bernardino Terror Attack
Investigation», março de 2018,
oig.justice.gov/reports/2018/o1803.pdf.
Escreveu uma carta com um pouco mais de mil palavras aos
seus clientes: Eric Lichtblau e Katie Benner, «Apple
Fights Order to Unlock San Bernardino Gunman’s
iPhone», The New York Times, 18 de fevereiro de 2016,
www.nytimes.com/2016/02/18/technology/apple-timothy-
cook-fbi-san-bernardino.html.
O governo dos Estados Unidos»: O conteúdo desta carta
pode ser consultado em www.apple.com/customer-letter.
O FBI acabou por pagar pelo menos 1,3 milhões de dólares a
uma empresa: Eric Lichtblau e Katie Benner, «F. B. I.
Director Suggests Bill for iPhone Hacking Topped $1.3
Million», The New York Times, 22 de abril de 2016,
www.nytimes.com/2016/04/22/us/politics/fbi-director-
suggests-bill-for-iphone-hacking-was-1-3-million.html.
«Se tecnologicamente é possível: Michael D. Shear, «Obama,
at South by Southwest, Calls for Law Enforcement Access
in Encryption Fight», The New York Times, 12 de março
de 2016, www.nytimes.com/2016/03/12/us/politics/obama-
heads-to-south-by-southwest-festival-to-talk-about-
technology.html.
CAPÍTULO V: A CHINA
há dois tipos de grandes empresas: Scott Pelley, «FBI
Director on Threat of ISIS, Cybercrime», CBS News, 5 de
outubro de 2014, www.cbsnews.com/news/fbi-director-
james-comey-on-threat-of-isis-cybercrime.
uma base do Exército de Libertação Popular: Estou em
dívida com dois colegas do The New York Times, David
Barboza e Nicole Perlroth, com quem trabalhei na
 investigação do jornal à Unidade 61 398. Parte do material
retirado dessa história original é aqui reproduzido,
complementado por trabalhos posteriores acerca dos
pormenores da acusação aos oficiais da unidade. David E.
Sanger, David Barboza e Nicole Perlroth, «Chinese Army
Unit Is Seen as Tied to Hacking Against U. S.», The New
York Times, 19 de fevereiro de 2013,
www.nytimes.com/2013/02/19/technology/chinas-army-is-
seen-as-tied-to-hacking-against-us.html.
dos planos de aviões F-35: David E. Sanger, «Chinese Curb
Cyberattacks on U. S. Interests, Report Finds», The New
York Times, 21 de junho de 2016,
www.nytimes.com/2016/06/21/us/politics/china-us-cyber-
spying.html.
ataques suspeitos da unidade a 141 empresas em 12 áreas
económicas diferentes: «APT1: Exposing One of China’s
Cyber Espionage Units», 18 de fevereiro de 2013,
www.fireeye.com/content/dam/fireeye-
www/services/pdfs/mandiant-apt1-report.pdf.
os hackers roubam identidades: «Remarks by the President in
the State of the Union Address», Secretariado do Gabinete
de Imprensa da Casa Branca, 12 de fevereiro de 2013,
obamawhitehouse.archives.gov/the-press-
office/2013/02/12/remarks-presidentstate-union-address.
«Ao longo dos últimos quatro anos observei a liberdade: Bill
Clinton, «President Clinton’s Beijing University Speech,
1998», Instituto EUA-China, 29 de junho de 1998,
china.usc.edu/president-clintons-beijing-university-
speech-1998.
«uma dádiva de Deus à China»: Liu Xiaobo, «God’s Gift to
China», Index on Censorship 35, n.º 4 (2006) pp. 179–
181.
Entre outras, a Bloomberg vergou-se: Edward Wong,
«Bloomberg Code Keeps Articles from Chinese Eyes»,
The New York Times, 28 de novembro de 2013,
 sinosphere.blogs.nytimes.com/2013/11/28/bloomberg-
code-keeps-articles-from-chinese-eyes.
Uma comunicação secreta do Departamento de Estado:
Descrita na série de artigos publicados no New York Times
«State’s Secrets», em 2010. James Glanz e John Markoff,
«Vast Hacking by a China Fearful of the Web», The New
York Times, 5 de dezembro de 2010,
www.nytimes.com/2010/12/05/world/asia/05wikileaks-
china.html?pagewanted=print.
«imagens de instalações sensíveis de instituições
governamentais militares: Ibid.
em dezembro de 2009, os executivos da Google: David E.
Sanger e John Markoff, «After Google’s Stand on China,
U. S. Treads Lightly», The New York Times, 15 de janeiro
de 2010,
www.nytimes.com/2010/01/15/world/asia/15diplo.html.
Operação Aurora: Kim Zetter, «Google Hack Attack Was
Ultra Sophisticated, New Details Show», Wired, 14 de
janeiro de 2010, www.wired.com/2010/01/operation-
aurora.
A Google deu o passo ousado de anunciar: David
Drummond, «A New Approach to China», blogue oficial
da Google, 12 de janeiro de 2010,
googleblog.blogspot.com/2010/01/new-approach-to-
china.html.
«Uma fonte bem colocada afirma: Ellen Nakashima,
«Chinese Leaders Ordered Google Hack, U. S. Cable
Quotes Source as Saying», The Washington Post, 4 de
dezembro de 2010, www.washingtonpost.com/wp-
dyn/content/article/2010/12/04/AR2010120403323.html.
isto pode significar ter de encerrar a google.cn: Drummond,
«A New Approach to China».
«Saber que estavam a ser alvo de uma investigação: Ellen
Nakashima, «Chinese Hackers Who Breached Google
Gained Access to Sensitive Data, U. S. Officials Say»,
 The Washington Post, 20 de maio de 2013,
www.washingtonpost.com/world/national-
security/chinese-hackers-who-breached-google-gained-
access-to-sensitive-data-us-officials-
say/2013/05/20/51330428-be34-11e2-89c9-
3be8095fe767_story.html?
Entre as personalidades mais pitorescas estava: Sanger,
Barboza e Perlroth, «Chinese Army Unit Is Seen as Tied
to Hacking Against U. S.».
O alvo era uma subsidiária da Telvent: Ibid.
5 milhões de americanos: Brian Fung, «5.1 Million
Americans Have Security Clearances. That’s More than
the Entire Population of Norway», The Washington Post,
24 de março de 2014, www.washingtonpost.com/news/the-
switch/wp/2014/03/24/5-1-million-americans-have-
security-clearances-thats-more-than-the-entire-
population-of-norway/?utm_term=.88e88f78d45e.
documentava numa série de relatórios: Câmara dos
Representantes dos Estados Unidos, «The OPM Data
Breach: How the Government Jeopardized Our National
Security for More than a Generation», Committee on
Oversight and Government Reform, 7 de setembro de
2016, oversight.house.gov/wp-
content/uploads/2016/09/The-OPM-Data-Breach-How-
the-Government-Jeopardized-Our-National-Security-for-
More-than-a-Generation.pdf.
os problemas eram de tal maneira graves: U. S. Office of
Personnel Management Office of the Inspector General
Office of Audits, «Federal Information Security
Management Act Audit FY 2014», 12 de novembro de
2014, www.opm.gov/our-inspector-
general/reports/2014/federal-information-security-
management-act-audit-fy-2014-4a-ci-00-14-016.pdf.
não era possível simplesmente fechar o sistema: «Statement
of the Honorable Katherine Archuleta», audiência perante
 a comissão do Senado para as questões de Segurança
Interna e Assuntos Governamentais, 25 de junho de 2015.
Archuleta e a sua equipa nunca se aperceberam do que estava
a passar-se: Câmara dos Representantes, «The OPM Data
Breach.»
Os chineses foram apanhados e expulsos: Ibid.
o verão de 2014: Ibid.
uma empresa privada de cibersegurança ao serviço do
Departamento de Gestão de Pessoal identificou um erro:
Brendan I. Koerner, «Inside the Cyberattack That Shocked
the US Government», Wired, 23 de outubro de 2016,
www.wired.com/2016/10/inside-cyberattack-shocked-us-
government.
«Os tipos estão fodidos»: Câmara dos Representantes, «The
OPM Data Breach.»
Durante uma conversa em Aspen, no Colorado: A transcrição
integral do painel encontra-se em «Beyond the Build:
Leveraging the Cyber Mission Force», Aspen Security
Forum, 23 de julho de 2015, aspensecurityforum.org/wp-
content/uploads/2015/07/Beyond-the-Build-Leveraging-
the-Cyber-Mission-Force.pdf.
«proteger os dados dos nossos funcionários: «OPM to Notify
Employees of Cybersecurity Incident», Departamento de
Gestão Pessoal, 4 de junho de 2015,
www.opm.gov/news/releases/2015/06/opm-to-notify-
employees-of-cybersecurity-incident.
«De certa maneira temos de felicitar os chineses por aquilo
que fizeram»: Damian Paletta, «U. S. Intelligence Chief
James Clapper Suggests China Behind OPM Breach»,
Wall Street Journal, 25 de junho de 2015,
www.wsj.com/articles/SB100071115835118436954045810
69863170899504?.
seria uma boa ideia recordar que quem tem telhados de vidro:
«Cybersecurity Policy and Threats», audiência perante a
comissão do Senado para as Forças Armadas, 29 de
 setembro de 2015, www.armed-
services.senate.gov/imo/media/doc/15-75%20-%209-29-
15.pdf.
alguma dessa tecnologia, desenvolvida propositadamente
para o projeto, fora roubada: O negócio estava condenado.
Em 2017 a Westinghouse pediu a falência, na sequência
de vários projetos de construção de reatores nucleares da
China à América do Sul em que os custos dispararam e em
que houve atrasos consideráveis. Se quisermos ser
absolutamente claros, a China não levou a Westinghouse à
falência, mas a sua queda, na sequência de falhas de
logística e de programação, ilustra a dificuldade em
desenvolver novos produtos, em especial em grande
escala. Foi esse passo do processo que a China quis evitar
roubando os planos.
Mas havia outras vítimas: «Indictment Criminal No. 14-
118», Distrito Ocidental da Pensilvânia, 1 de maio de
2014,
www.justice.gov/iso/opa/resources/512201451913235846
1949.pdf.
a aprovação chegou: «U. S. Charges Five Chinese Military
Hackers for Cyber Espionage Against U. S. Corporations
and a Labor Organization for Commercial Advantage»,
Departamento da Justiça dos Estados Unidos, 19 de maio
de 2014, www.justice.gov/opa/pr/us-charges-five-chinese-
military-hackers-cyber-espionage-against-us-
corporations-and-labor.
Os chineses foram apanhados de surpresa: «China Reacts
Strongly to US Announcement of Indictment Against
Chinese Personnel», Ministério dos Negócios Estrangeiros
da República Popular da China, 20 de maio de 2014,
www.fmprc.gov.cn/mfa_eng/xwfw_665399/s2510_665401/
2535_665405/t1157520.shtml.
A equipa de Obama (…) ameaçou prontamente impor
sanções: Julie Hirschfeld Davis, «Obama Hints at
Sanctions Against China over Cyberattacks», The New
 York Times, 17 de setembro de 2015,
www.nytimes.com/2015/09/17/us/politics/obama-hints-at-
sanctions-against-china-over-cyberattacks.html.
Susan Rice, conselheira de Segurança Nacional de Obama,
foi enviada a Pequim: David E. Sanger, «U. S. and China
Seek Arms Deal for Cyberspace», The New York Times, 20
de setembro de 2015,
www.nytimes.com/2015/09/20/world/asia/us-and-china-
seek-arms-deal-for-cyberspace.html.
Obama comunicou aos líderes das empresas americanas:
Ibid.
Obama convidara toda a aristocracia de Silicon Valley:
Gardiner Harris, «State Dinner for Xi Jinping Has High-
Tech Flavor», The New York Times, 26 de setembro de
2015, www.nytimes.com/2015/09/26/world/asia/state-
dinner-for-xi-jinping-has-high-tech-flavor.html.
isto parece ter tido resultados imediatos: A maior parte dos
responsáveis pensa que houve uma descida acentuada do
roubo de propriedade intelectual patrocinada pelo Estado.
Ainda assim, numa reunião com jornalistas no fim de
2017, os analistas da CIA não quiserem dizer se houvera
de facto alguma melhoria na situação. Por volta de 2018,
um grande número de especialistas ainda achava que os
chineses continuavam como sempre. Outros pensavam
que haviam simplesmente mudado de tática e preferiam
investir em tecnologia americana, como explicamos no
capítulo XI. Veja-se David E. Sanger, «Chinese Curb
Cyberattacks on U. S. Interests, Report Finds», The New
York Times, 21 de junho de 2016,
www.nytimes.com/2016/06/21/us/politics/china-us-cyber-
spying.html.
CAPÍTULO VI: OS KIM VOLTAM AO ATAQUE
já escrevera uma carta de protesto veemente: «North Korea
Complains to UN about Film Starring Rogen, Franco»,
Reuters, 9 de julho de 2014, uk.reuters.com/article/uk-
 northkorea-un-film/north-korea-complains-to-un-about-
film-starring-rogen-franco-idUKKBN0FE21B20140709.
a Coreia do Norte começou a fazer ameaças aos Estados
Unidos: BBC News, «The Interview: A Guide to the
Cyber Attack on Hollywood», BBC News, 29 de
dezembro de 2014, www.bbc.com/news/entertainment-
arts-30512032.
Kim Heung-kwang, um dissidente norte-coreano: David E.
Sanger e Martin Fackler, «N. S. A. Breached North
Korean Networks Before Sony Attack, Officials Say», The
New York Times, 19 de janeiro de 2015,
www.nytimes.com/2015/01/19/world/asia/nsa-tapped-into-
north-korean-networks-before-sony-attack-officials-
say.html.
Jang Sae-yul, um antigo programador do Exército da Coreia
do Norte: Ibid.
Até agora a guerra tem estado relacionada com balas e com
petróleo: David E. Sanger, David Kirkpatrick e Nicole
Perlroth, «The World Once Laughed at North Korean
Cyberpower. No More», The New York Times, 16 de
outubro de 2017,
www.nytimes.com/2017/10/15/world/asia/north-korea-
hacking-cyber-sony.html.
o aumento da capacidade foi enorme: Ibid.
têm um dos ciberprogramas mais bem-sucedidos do planeta:
Ibid.
isso acabou por não acontecer: Ibid.
perguntou de forma insistente a Clapper: Siobhan Gorman e
Adam Entous escreveram o primeiro relato geral da visita:
«U. S. Spy Chief Gives Inside Look at North Korea
Prisoner Deal», Wall Street Journal, 14 de novembro de
2014, www.wsj.com/articles/u-s-spy-chief-gives-inside-
look-at-north-korea-prisoner-deal-1416008783.
passou a maior parte da noite a falar acerca da agressão
americana: «Remarks as Delivered by the Honorable
 James R. Clapper, Director of National Intelligence»,
Gabinete do diretor dos serviços de informações dos
Estados Unidos, 7 de janeiro de 2015,
www.dni.gov/index.php/newsroom/speeches-
interviews/speeches-interviews-2015/item/1156-remarks-
as-delivered-by-dni-james-r-clapper-on-national-
intelligence-north-korea-and-the-national-cyber-
discussion-at-the-international-conference-on-cyber-
security.
sabia quase de certeza do ciberataque à Sony: Os
responsáveis dos serviços de informações dos Estados
Unidos apenas chegaram a esta conclusão já depois do
ataque.
justificou a falta de retaliação dos Estados Unidos: Rick
Gladstone e David E. Sanger, «Security Council Tightens
Economic Vise on North Korea, Blocking Fuel, Ships and
Workers», The New York Times, 23 de dezembro de 2017,
www.nytimes.com/2017/12/22/world/asia/north-korea-
security-council-nuclear-missile-sanctions.html.
«uma miúda mimada e sem talento»: Estes pormenores
apareceram numa peça escrita com o meu colega Martin
Fackler, que fez algumas entrevistas a dissidentes em
Seul. «N. S. A. Breached North Korean Networks Before
Sony Attack, Officials Say», The New York Times, 19 de
janeiro de 2015,
www.nytimes.com/2015/01/19/world/asia/nsa-tapped-into-
north-korean-networks-before-sony-attack-officials-
say.html.
a Sony Pictures seria bombardeada: Michael Cieply e Brooks
Barnes, «Sony Cyberattack, First a Nuisance, Swiftly
Grew into a Firestorm», The New York Times, 31 de
dezembro de 2014,
www.nytimes.com/2014/12/31/business/media/sony-
attack-first-a-nuisance-swiftly-grew-into-a-
firestorm-.html.
emails de Seth Rogen para Amy Pascal, executiva do
estúdio: Martin Fackler, Brooks Barnes e David E. Sanger,
«Sony’s International Incident: Making Kim Jong-un’s
Head Explode», The New York Times, 15 de dezembro de
2014, www.nytimes.com/2014/12/15/world/sonys-
international-incident-making-kims-head-explode.html.
«cibervandalismo»: Eric Bradner, «Obama: North Korea’s
Hack Not War, but “Cybervandalism”», CNN, 24 de
dezembro de 2014,
www.cnn.com/2014/12/21/politics/obama-north-koreas-
hack-not-war-but-cyber-vandalism/index.html.
«Em breve o mundo verá o filme horrível»: Andrea Peterson,
«Sony Pictures Hackers Invoke 9/11 While Threatening
Theaters That Show “The Interview”», The Washington
Post, 16 de dezembro de 2014,
www.washingtonpost.com/news/the-
switch/wp/2014/12/16/sony-pictures-hackers-invoke-911-
while-threatening-theaters-that-show-the-interview/?
utm_term=.b1ead7061843.
deu o passo sem precedentes de responsabilizar a Coreia do
Norte: David E. Sanger, Michael S. Schmidt e Nicole
Perlroth, «Obama Vows a Response to Cyberattack on
Sony», The New York Times, 20 de dezembro de 2014,
www.nytimes.com/2014/12/20/world/fbi-accuses-north-
korean-government-in-cyberattack-on-sony-pictures.html.
A Coreia do Norte não estava à espera que os Estados Unidos
chegassem tão depressa à conclusão: Lewis desenvolveu o
argumento com mais pormenor em «North Korea and
Cyber Catastrophe — Don’t Hold Your Breath», 38 North,
12 de janeiro de 2018,
www.38north.org/2018/01/jalewis011218.
apresentou uma nova ciberestratégia em Stanford: «Remarks
by Secretary Carter at the Drell Lecture Cemex
Auditorium», Departamento da Defesa dos Estados
Unidos, 23 de abril de 2015,
www.defense.gov/News/Transcripts/Transcript-
 View/Article/607043/remarks-by-secretary-carter-at-the-
drell-lecture-cemex-auditorium-stanford-grad.
a Casa Branca anunciou algumas sanções económicas
menores: Choe Sang-Hun, «North Korea Offers U. S.
Deal to Halt Nuclear Test», The New York Times, 11 de
janeiro de 2015,
www.nytimes.com/2015/01/11/world/asia/north-korea-
offersus-deal-to-halt-nuclear-test-.html.
CAPÍTULO VII: A PLACA DE PETRI DE PUTIN
Com a ajuda de Paul Manafort: Dois anos mais tarde,
Manafort voltou a surgir, desta vez como presidente da
campanha de Trump de 2016. O meu único encontro
pessoal com ele deu-se quando eu e Maggie Haberman
entrevistámos Trump na Convenção Nacional
Republicana. Depois de nos cumprimentar no quarto de
hotel de Trump, Manafort saiu antes de termos começado
a fazer as inevitáveis perguntas acerca da Rússia.
O ciberexército de Putin deitou mãos à obra: Mark Clayton,
«Ukraine Election Narrowly Avoided “Wanton
Destruction” from Hackers», Christian Science Monitor,
17 de junho de 2014,
www.csmonitor.com/World/Passcode/2014/0617/Ukraine-
election-narrowly-avoided-wanton-destruction-from-
hackers.
a comunicação social ucraniana parecia convencida de que
Dmytro Yarosh: Farangis Najibullah, «Russian TV
Announces Right Sector Leader Led Ukraine Polls»,
RadioFreeEurope/RadioLiberty, 26 de maio de 2014,
www.rferl.org/a/russian-tv-announces-right-sector-leader-
yarosh-led-ukraine-polls/25398882.html.
A estratégia não era sequer um segredo de estado: «O valor
da ciência nas previsões», Correio Militar-Industrial (em
russo), 26 de Fevereiro de 2013, www.vpk-
news.ru/articles/14632.
«O que é novo não é o modelo básico»: Joseph S. Nye Jr.,
«How Sharp Power Threatens Soft Power», Foreign
Affairs, 24 de janeiro de 2018,
www.foreignaffairs.com/articles/china/2018-01-24/how-
sharp-power-threatens-soft-power.
A doutrina Gerasimov foi muito criticada: Pode encontrar-se
um bom exemplo de uma dessas críticas em Michael
Kofman e Matthew Rojansky, «A Closer Look at Russia’s
“Hybrid War”», Kennan Cable 7, The Wilson Center, abril
de 2015, www.wilsoncenter.org/sites/default/files/7-
KENNAN%20CABLE-ROJANSKY%20KOFMAN.pdf.
«Vocês pertencem-nos»: Parte deste capítulo apoia-se num
artigo que escrevi para o Grupo de Estratégia de Aspen.
Veja-se David E. Sanger, «Short of War: Cyber Conflict
and the Corrosion of the International Order», em The
World Turned Upside Down: Maintaining American
Leadership in a Dangerous Age, Grupo de Estratégia de
Aspen, 2017.
o entregara aos ucranianos: Ivo H. Daalder, «Responding to
Russia’s Resurgence: Not Quiet on the Eastern Front»,
Foreign Affairs, 96, novembro/dezembro de 2017, pp. 30–
38.
Putin procurou reforçar a legitimidade das suas ações: David
Adesnik, «How Russia Rigged the Crimean Referendum»,
Forbes, 18 de março de 2014,
www.forbes.com/sites/davidadesnik/2014/03/18/how-
russia-rigged-crimean-referendum/#774963966d41.
os Estados Unidos mantiveram-se estranhamente passivos:
Jeffrey Goldberg, «The Obama Doctrine», The Atlantic,
abril de 2016,
www.theatlantic.com/magazine/archive/2016/04/the-
obama-doctrine/471525.
Disse-o à sua maneira típica: «Transcript: Donald Trump
Expounds on His Foreign Policy Views», The New York
Times, 27 de março de 2016,
 www.nytimes.com/2016/03/27/us/politics/donald-trump-
transcript.html.
«ciber-Pearl Harbor»: Elisabeth Bumiller e Thom Shanker,
«Panetta Warns of Dire Threat of Cyberattack on U. S.»,
The New York Times, 12 de outubro de 2012,
www.nytimes.com/2012/10/12/world/panetta-warns-of-
dire-threat-of-cyberattack.html.
alguma coisa estava a correr mal: Emily O. Goldman e
Michael Warner, «Why a Digital Pearl Harbor Makes
Sense… and Is Possible», in George Perkovich e Ariel E.
Levite, eds., Understanding Cyber Conflict: 14 Analogies
(Washington, DC: Georgetown University Press, 2017),
pp. 147–161.
já estava provavelmente dentro das redes elétricas
americanas: Nicole Perlroth e David E. Sanger,
«Cyberattacks Put Russian Fingers on the Switch at Power
Plants, U. S. Says», The New York Times, 16 de março de
2018, www.nytimes.com/2018/03/15/us/politics/russia-
cyberattacks.html.
a diferença entre penetração e manipulação pode não ser
muito relevante»: Martin C. Libicki, Cyberspace in Peace
and War (Annapolis, Maryland, EUA: Naval Institute
Press, 2016), p. 288.
apagou as luzes de 225 mil utilizadores: Robert M. Lee,
Michael J. Assante e Tim Conway, «Analysis of the Cyber
Attack on the Ukrainian Power Grid», SANS ICS and the
Electricity Information Sharing and Analysis Center, 18
de março de 2016, ics.sans.org/media/E-
ISAC_SANS_Ukraine_DUC_5.pdf.
as falhas de corrente foram causadas pelo uso de sistemas de
controlo: Ibid., 3.
o governo ucraniano foi objeto de 6500 ciberataques:
«Ukraine Power Cut “Was Cyber-attack”», BBC News, 11
de janeiro de 2017, www.bbc.com/news/technology-
38573074.
escreveu Andy Greenberg, da Wired: Andy Greenberg, «How
an Entire Nation Became Russia’s Test Lab for
Cyberwar», Wired, 20 de junho de 2017,
www.wired.com/story/russian-hackers-attack-ukraine.
CAPÍTULO VIII: A DESORIENTAÇÃO
«Não consigo prever o que vai fazer a Rússia»: Alan Cowell,
«Churchill’s Definition of Russia Still Rings True», The
New York Times, 1 de agosto de 2008,
www.nytimes.com/2008/08/01/world/europe/01iht-
letter.1.14939466.html.
intrusão russa suspeita nas redes de computadores: Eric
Lipton, David E. Sanger e Scott Shane, «The Perfect
Weapon: How Russian Cyberpower Invaded the U. S.»,
The New York Times, 14 de dezembro de 2016,
www.nytimes.com/2016/12/13/us/politics/russia-hack-
election-dnc.html.
Golos, o único grupo independente: «“Hacking Attacks” Hit
Russian Political Sites», BBC News, BBC, 8 de março de
2012, www.bbc.com/news/technology-16032402.
«Com isto preparou o terreno para alguns no nosso país»:
David M. Herszenhorn e Ellen Barry, «Putin Contends
Clinton Incited Unrest over Vote», The New York Times, 9
de dezembro de 2011,
www.nytimes.com/2011/12/09/world/europe/putin-
accuses-clinton-of-instigating-russian-protests.html?
mcubz=2.
Os Estados Unidos (…) não estão propriamente inocentes:
Vejam-se duas fontes muito informativas acerca do
assunto em Evan Osnos, David Remnick e Joshua Yaffa,
«Trump, Putin, and the New Cold War», The New Yorker,
6 de março de 2017,
www.newyorker.com/magazine/2017/03/06/trump-putin-
and-the-new-cold-war; e Calder Walton, «“Active
Measures”: A History of Russian Interference in US
Elections», Prospect, 23 de dezembro de 2016,
www.prospectmagazine.co.uk/science-and-
 technology/active-measures-a-history-of-russian-
interference-in-us-elections.
A equivalência moral referida por Putin: Como Jackson
Diehl, do The Washington Post, sugeriu mais tarde a
propósito das eleições americanas de 2016: «Putin tornou-
se obcecado em relação às “revoluções coloridas”, que em
sua opinião não são espontâneas nem organizadas
localmente, mas sim orquestradas pelos Estados Unidos
(…) Putin está a tentar responder à elite política americana
com aquilo que acha ser uma dose do seu próprio remédio.
O que está a tentar fazer é desencadear, com a ajuda,
involuntária ou não, de Donald Trump, uma revolução
colorida americana.» Veja-se «Putin’s Hope to Ignite a
Eurasia-Style Protest in the United States», 16 de outubro
de 2016, www.washingtonpost.com/opinions/global-
opinions/putins-hope-to-ignite-a-eurasia-style-protest-in-
the-united-states/2016/10/16/0f271a60-90a4-11e6-9c85-
ac42097b8cc0_story.html?utm_term=.f8bb8e047e48.
nos velhos tempos: Scott Shane, «Russia Isn’t the Only One
Meddling in Elections. We Do It, Too», The New York
Times, 18 de fevereiro de 2018,
www.nytimes.com/2018/02/17/sunday-review/russia-isnt-
the-only-one-meddling-in-elections-we-do-it-too.html.
O paciente zero: Susan B. Glasser, «Victoria Nuland: The
Full Transcript», Politico, 5 de fevereiro de 2018,
www.politico.com/magazine/story/2018/02/05/victoria-
nuland-the-full-transcript-216936.
o áudio, editado, apareceu de repente no YouTube: «US
Blames Russia for Leak of Undiplomatic Language from
Top Official», The Guardian, 6 de fevereiro de 2014,
www.theguardian.com/world/2014/feb/06/us-russia-eu-
victoria-nuland.
o homem que viria a trabalhar para alterar as eleições de
2016: Neil MacFarquhar, «Yevgeny Prigozhin, Russian
Oligarch Indicted by U. S., Is Known as “Putin’s Cook”»,
The New York Times, 17 de fevereiro de 2018,
 www.nytimes.com/2018/02/16/world/europe/prigozhin-
russia-indictment-mueller.html.
as redes sociais podiam igualmente servir para incitar
discórdias: Adrian Chen, «The Real Paranoia-Inducing
Purpose of Russian Hacks», The New Yorker, 27 de julho
de 2016, www.newyorker.com/news/news-desk/the-real-
paranoia-inducing-purpose-of-russian-hacks.
cresceu bastante depressa: «United States of America vs.
Internet Research Agency», acusação de 13 membros da
Agência de Investigação da Internet, apresentada por
Robert Mueller, 16 de fevereiro de 2018,
www.justice.gov/file/1035477/download.
levaram a batalha da propaganda ao território inimigo:
Adrian Chen, «The Agency», The New York Times, 7 de
junho de 2015,
www.nytimes.com/2015/06/07/magazine/the-agency.html.
aprenderam a atacar com comentários provocadores os
críticos de Putin e os jornalistas: Alexis C. Madrigal,
«Russia’s Troll Operation Was Not That Sophisticated»,
The Atlantic, 19 de fevereiro de 2018,
www.theatlantic.com/technology/archive/2018/02/the-
russian-conspiracy-to-commit-audience-
development/553685.
Depois os seus promotores passaram para a fase da
publicidade: Scott Shane, «The Fake Americans Russia
Created to Influence the Election», The New York Times, 8
de setembro de 2017,
www.nytimes.com/2017/09/07/us/politics/russia-facebook-
twitterelection.html.
Os trolls de Putin fizeram-se passar por americanos: April
Glaser, «What We Know About How Russia’s Internet
Research Agency Meddled in the 2016 Election», Slate,
16 de fevereiro de 2018,
slate.com/technology/2018/02/what-we-know-about-the-
internet-research-agency-and-how-it-meddled-in-the-
2016-election.html.
a reportagem de Ryan Lizza publicada na New Yorker: Ryan
Lizza, «How Trump Helps Russian Trolls», The New
Yorker, 2 de novembro de 2017,
www.newyorker.com/news/our-columnists/how-trump-
helps-russian-trolls.
A agência enviou duas das suas peritas: Ivan Nechepurenko e
Michael Schwirtz, «The Troll Farm: What We Know
About 13 Russians Indicted by the U. S.», The New York
Times, 17 de fevereiro de 2018,
www.nytimes.com/2018/02/17/world/europe/russians-
indicted-mueller.html.
os trolls testaram uma nova tática: redação da RBC, «How
the “Troll Factory” Worked in the US Elections», RBC
(em russo), 17 de outubro de 2017,
www.rbc.ru/magazine/2017/11/59e0c17d9a79470e05a9e6
c1.
Segundo a revista: Hannah Levintova, «Russian Journalists
Just Published a Bombshell Investigation About a
Kremlin-Linked “Troll Factory”», Mother Jones, 18 de
outubro de 2017,
www.motherjones.com/politics/2017/10/russian-
journalists-just-published-a-bombshell-investigation-
about-a-kremlin-linked-troll-factory.
Kevin Mandia e os especialistas da sua empresa: Os
relatórios relevantes da Fireye, a empresa de Mandia,
podem ser consultados em
www.fireeye.com/content/dam/fireeye-
www/solutions/pdfs/st-senate-intel-committee-russia-
election.pdfl e www.fireeye.com/blog/threat-
research/2014/10/apt28-a-window-into-russias-cyber-
espionageoperations.html.
a visita à Casa Branca: Michael S. Schmidt e David E.
Sanger, «Russian Hackers Read Obama’s Unclassified
Emails, Officials Say», The New York Times, 26 de abril
de 2015, www.nytimes.com/2015/04/26/us/russian-
 hackers-read-obamas-unclassified-emails-officials-
say.html.
um duelo na rede: Joseph Marks, «NSA Engaged in Massive
Battle with Russian Hackers in 2014», Nextgov, 3 de abril
de 2017, www.nextgov.com/cybersecurity/2017/04/nsa-
engaged-massive-battle-russian-hackers-2014/136683.
Tamene e os colegas encontraram-se duas vezes com
membros do FBI: Eric Lipton, David E. Sanger e Scott
Shane, «The Perfect Weapon: How Russian Cyberpower
Invaded the U. S.»
CAPÍTULO IX: UM AVISO CHEGADO DE
INGLATERRA
A conceção do Doughnut lembrava Silicon Valley: Numa
daquelas reviravoltas transcontinentais curiosas, o
Doughnut contribuiu para inspirar o plano da Apple para a
sua própria sede, a uma distância de um pouco mais de 8
mil quilómetros.
os Cinco Olhos: Pode encontrar-se uma boa discussão dos
Cinco Olhos em Levi Maxey, «Five Eyes Intel Sharing
Unhindered by Trump Tweets», The Cipher Brief, 20 de
fevereiro de 2018, www.thecipherbrief.com/five-eyes-intel-
sharing-unhindered-trump-tweets.
um bom projeto de verão para Menwith: A melhor descrição
desta operação apareceu no jornal britânico The Guardian,
que também publicou muitos dos documentos de
Snowden. Veja-se Ewen MacAskill, Julian Borger, Nick
Hopkins, Nick Davies e James Ball, «GCHQ Taps Fibre-
Optic Cables for Secret Access to World’s
Communications», 21 de junho de 2013,
www.theguardian.com/uk/2013/jun/21/gchq-cables-secret-
world-communications-nsa.
tinham de fazer turnos de 12 horas: Neil MacFarquhar,
«Inside the Russian Troll Factory: Zombies and a
Breakneck Pace», The New York Times, 19 de fevereiro de
 2018, www.nytimes.com/2018/02/18/world/europe/russia-
troll-factory.html.
fora atacada não por um serviço de segurança russo, mas por
dois: Dmitri Alperovitch, «Bears in the Midst: Intrusion
into the Democratic National Committee», CrowdStrike,
15 de junho de 2016, www.crowdstrike.com/blog/bears-
midst-intrusion-democratic-national-committee.
E ambos tinham deixado muitas pistas: Eric Lipton, David E.
Sanger e Scott Shane, «The Perfect Weapon: How Russian
Cyberpower Invaded the U. S.»
no dia seguinte ao da publicação da história no Washington
Post e no New York Times: Ellen Nakashima, «Russian
Government Hackers Penetrated DNC, Stole Opposition
Research on Trump», The Washington Post, 15 de junho
de 2016, www.washingtonpost.com/world/national-
security/russian-government-hackers-penetrated-dnc-
stole-opposition-research-on-trump/2016/06/14/cf006cb4-
316e-11e6-8ff7-7b6c1998b7a0_story.html?; David E.
Sanger e Nick Corasaniti, «D. N. C. Says Russian Hackers
Penetrated Its Files, Including Dossier on Donald Trump»,
The New York Times, 14 de junho de 2016,
www.nytimes.com/2016/06/15/us/politics/russian-hackers-
dnc-trump.html.
Alguém com o nome de código Guccifer 2.0: Rob Price,
«RESEARCHERS: Yes, Russia Really Did Hack the
Democratic National Congress», Business Insider
Australia, 21 de junho de 2016,
www.businessinsider.com.au/security-researchers-russian-
spies-hacked-dnc-guccifer-2-possible-disinformation-
campaign-2016-6.
disse que era da Roménia: Lorenzo Franceschi-Bicchierai,
«Alleged Russian Hacker “Guccifer 2.0” Is Back After
Months of Silence», Vice, 12 de janeiro de 2017, mother
board.vice.com/en_us/article/9a3m7p/alleged-russian-
hacker-guccifer-20-is-backafter-months-of-silence. A
transcrição da entrevista de Lorenzo a Guccifer 2.0 pode
 ser lida em
motherboard.vice.com/en_us/article/yp3bbv/dnc-hacker-
guccifer-20-fullinterview-transcript.
a segunda entrevista acerca de política externa com Trump:
«Transcript: Donald Trump Expounds on His Foreign
Policy Views», The New York Times, 26 de março de
2016, www.nytimes.com/2016/03/27/us/politics/donald-
trump-transcript.html.
escrevi com a minha colega Nicole Perlroth: David E. Sanger
e Nicole Perlroth, «As Democrats Gather, a Russian
Subplot Raises Intrigue», The New York Times, 25 de julho
de 2016, www.nytimes.com/2016/07/25/us/politics/donald-
trump-russia-emails.html.
CAPÍTULO X: UM DESPERTAR LENTO
que é a marca da democracia: «Obama’s Last News
Conference: Full Transcript and Video», The New York
Times, 18 de janeiro de 2017,
www.nytimes.com/2017/01/18/us/politics/obama-final-
press-conference.html.
«grande grau de confiança»: David E. Sanger e Scott Shane,
«Russian Hackers Acted to Aid Trump in Election, U. S.
Says», The New York Times, 10 de dezembro de 2016.
Mais tarde Brennan argumentou: Erika Fry, «Ex-CIA
Director: Russia Wanted Hillary Clinton “Bloodied” By
Her Inauguration», Fortune, 19 de julho de 2017,
fortune.com/2017/07/19/cia-director-russia-hillary-
clinton.
com vulnerabilidades semelhantes: David E. Sanger e
Charlie Savage, «Sowing Doubt Is Seen as Prime Danger
in Hacking Voting System», The New York Times, 15 de
setembro de 2016,
www.nytimes.com/2016/09/15/us/politics/sowing-doubt-is-
seen-as-prime-danger-in-hacking-voting-system.html.
na Fox News, no dia 1 de agosto: David Weigel, «For Trump,
a New “Rigged” System: The Election Itself», The
 Washington Post, 2 de agosto de 2016,
www.washingtonpost.com/politics/for-trump-a-new-
rigged-system-the-election-itself/2016/08/02/d9f b33b0-
58c4-11e6-9aee-8075993d73a2_story.html?
a fraude eleitoral é habitual: Jeremy Diamond, «Trump: “I’m
Afraid the Election’s Going to Be Rigged”», CNN, 2 de
Agosto de 2016,
www.cnn.com/2016/08/01/politics/donald-trump-election-
2016-rigged/index.html.
infraestrutura crítica: Julie Hirschfeld Davis, «U. S. Seeks to
Protect Voting System from Cyberattacks», The New York
Times, 4 de agosto de 2016,
www.nytimes.com/2016/08/04/us/politics/us-seeks-to-
protect-voting-system-against-cyberattacks.html.
relatórios perturbadores: Erica R. Hendry, «Read Jeh
Johnson’s Prepared Testimony on Russia», PBS, 20 de
junho de 2017, www.pbs.org/newshour/politics/read-jeh-
johnsons-prepared-testimony-russia.
sistemas eleitorais sedeados em cada estado: David E. Sanger
e Charlie Savage, «U. S. Says Russia Directed Hacks to
Influence Elections», The New York Times, 8 de outubro
de 2016, www.nytimes.com/2016/10/08/us/politics/us-
formally-accuses-russia-ofstealing-dnc-emails.html.
regra máxima de Obama para a política externa: Mark
Landler, «In Obama’s Speeches, a Shifting Tone on
Terror», The New York Times, 1 de junho de 2014,
www.nytimes.com/2014/06/01/world/americas/in-obamas-
speeches-a-shifting-tone-on-terror.html.
sessão com 12 líderes do Congresso: Susan B. Glasser, «Did
Obama Blow It on the Russian Hacking?», Politico, 3 de
abril de 2017, www.politico.eu/article/did-obama-blow-it-
on-the-russian-hacking-us-elections-vladimir-putin-
donald-trump-lisa-monaco.
interferir nas eleições: David E. Sanger, «What Is Russia Up
To, and Is It Time to Draw the Line?», The New York
 Times, 30 de setembro de 2016,
www.nytimes.com/2016/09/30/world/europe/for-veterans-
of-the-cold-war-a-hostile-russia-feels-familiar.html.
«eles começaram a ter ciberarmas»: Ibid.
envolver os seus debates em secretismo: Alguns dos
melhores pormenores dos debates apareceram numa
reconstrução dos acontecimentos no dia 23 de junho de
2017 no Washington Post, da autoria de Greg Miller, Ellen
Nakashima e Adam Entous: «Obama’s Secret Struggle to
Punish Russia for Putin’s Election Assault»,
www.washingtonpost.com/graphics/2017/world/national-
security/obama-putin-electionhacking/?
utm_term=.92aacc38a2da.
Mas houve outra coisa a ser absorvida: Esta investigação
acerca dos Shadow Brokers assenta em grande parte num
trabalho pormenorizado que eu e os meus colegas Nicole
Perlroth e Scott Shane publicámos num artigo extenso do
New York Times em 12 de novembro de 2017, «Security
Breach and Spilled Secrets Have Shaken the N. S. A. to Its
Core.»
começou a levar documentos confidenciais para casa: Por
outras palavras, a Kaspersky reconheceu ter encontrado o
software da NSA num dos computadores dos seus clientes
e tê-lo removido, mas insiste que ele foi destruído; já os
Estados Unidos pensam que ele foi passado aos serviços
de informações russos. Foi por esta razão que os produtos
da Kaspersky foram retirados de todos os computadores
de serviços governamentais em 2017. Pho foi preso
secretamente em 2015, mas o caso só se tornou público
em dezembro de 2017, quando se confessou culpado de
«retenção deliberada de informações acerca da defesa
nacional».
alguém sentado na sua cama: Aaron Blake, «The First
Trump-Clinton Presidential Debate Transcript,
Annotated», The Washington Post, 26 de setembro de
2016, www.washingtonpost.com/news/the-
 fix/wp/2016/09/26/the-first-trump-clinton-presidential-
debate-transcript-annotated/?.
gabinete do diretor nacional dos serviços de informações:
www.dhs.gov/news/2016/10/07/joint-statement-
department-homeland-security-and-office-director-
national.
Estamos convictos, com base na amplitude e no caráter: Kate
Conger, «U. S. Officially Attributes DNC Hack to
Russia», TechCrunch, 7 de outubro de 2016,
techcrunch.com/2016/10/07/u-s-attributes-dnc-hack-
russia.
Access Hollywood: David A. Fahrenthold, «Trump Recorded
Having Extremely Lewd Conversation About Women in
2005», The Washington Post, 8 de outubro de 2016,
www.washingtonpost.com/politics/trump-recorded-having-
extremely-lewd-conversation-about-women-in-
2005/2016/10/07/3b9ce776-8cb4-11e6-bf8a-
3d26847eeed4_story.html?utm_term=.302520d75fcb.
das suas deficiências como candidata: Amy Chozick,
Nicholas Confessore e Michael Barbaro, «Leaked Speech
Excerpts Show a Hillary Clinton at Ease with Wall
Street», The New York Times, 8 de outubro de 2016,
www.nytimes.com/2016/10/08/us/politics/hillary-clinton-
speeches-wikileaks.html.
processo de votação: redação da Politico, «Full Transcript:
President Obama’s Final End-of-Year Press Conference»,
Politico, 16 de dezembro de 2016,
www.politico.com/story/2016/12/obama-press-conference-
transcript-232763.
ciberataques à infraestrutura americana: David E. Sanger,
«Obama Strikes Back at Russia for Election Hacking»,
The New York Times, 30 de dezembro de 2016,
www.nytimes.com/2016/12/29/us/politics/russia-election-
hacking-sanctions.html.
resquícios de fumo negro: «Black Smoke Pours from
Chimney at Russian Consulate in San Francisco», CBS
News, 1 de setembro de 2017,
www.cbsnews.com/news/black-smoke-chimney-russian-
consulate-san-francisco.
se sentarem finalmente frente a frente, em Hamburgo, na
Alemanha: Julie Hirschfeld Davis, David E. Sanger e
Glenn Thrush, «Trump Questions Putin on Election
Meddling at Eagerly Awaited Encounter», The New York
Times, 8 de julho de 2017,
www.nytimes.com/2017/07/07/world/europe/trump-putin-
g20.html.
Muitos dos erros iniciais: Eric Lipton, David E. Sanger e
Scott Shane, «The Perfect Weapon: How Russian
Cyberpower Invaded the U. S.», The New York Times, 13
de dezembro de 2016,
www.nytimes.com/2016/12/13/us/politics/russia-hack-
election-dnc.html.
CAPÍTULO XI: TRÊS CRISES NO VALE
«Se me tivessem perguntado»: Kevin Roose e Sheera
Frenkel, «Mark Zuckerberg’s Reckoning: “This Is a Major
Trust Issue”», The New York Times, 22 de março de 2018,
www.nytimes.com/2018/03/21/technology/mark-
zuckerberg-q-and-a.html.
Vinte minutos depois: «Paris Attacks: What Happened on the
Night», BBC News, 9 de dezembro de 2015,
www.bbc.com/news/world-europe-34818994.
«ser impiedoso com os bárbaros do Daesh»: Adam Nossiter,
Aurelien Breeden e Katrin Bennhold, «Three Teams of
Coordinated Attackers Carried Out Assault on Paris,
Officials Say; Hollande Blames ISIS», The New York
Times, 15 de novembro de 2015,
www.nytimes.com/2015/11/15/world/europe/paris-
terrorist-attacks.html.
Raramente acontece: David E. Sanger e Eric Schmitt, «U. S.
Cyberweapons, Used Against Iran and North Korea, Are a
Disappointment Against ISIS», The New York Times, 13
de junho de 2017,
www.nytimes.com/2017/06/12/world/middleeast/isis-
cyber.html.
«Estamos a lançar ciberbombas»: David E. Sanger, «U. S.
Cyberattacks Target ISIS in a New Line of Combat», The
New York Times, 25 de abril de 2016,
www.nytimes.com/2016/04/25/us/politics/us-directs-
cyberweapons-at-isis-for-first-time.html?
«as ciberoperações dos Estados Unidos estão a perturbar a
sua cadeia de comando e controlo»: Casa Branca,
Secretariado do Gabinete de Imprensa, «Statement by the
President on Progress in the Fight Against ISIL», 13 de
abril de 2016, obamawhitehouse.archives.gov/the-press-
office/2016/04/13/statement-president-progress-fight-
against-isil.
já atrasada três meses: Ellen Nakashima, «U. S. Military
Cyber Operation to Attack ISIS Last Year Sparked Heated
Debate over Alerting Allies», The Washington Post, 9 de
maio de 2017, www.washingtonpost.com/world/national-
security/us-military-cyber-operation-to-attack-isis-last-
year-sparked-heated-debate-over-alerting-
allies/2017/05/08/93a120a2-30d5-11e7-9dec-
764dc781686f_story.html?
Carter escreveu uma avaliação impiedosa: Ash Carter, «A
Lasting Defeat: The Campaign to Destroy ISIS», Centro
Belfer para a Ciência e as Questões Internacionais,
outubro de 2017, www.belfercenter.org/LastingDefeat#6.
Stamos, na altura o responsável pela segurança na Yahoo!:
CNBC, «Yahoo Security Officer Confronts NSA
Director», vídeo do YouTube, 0:20, 28 de fevereiro de
2015, acedido em 10 de abril de 2018,
www.youtube.com/watch?v=jJZNvEPyjlw.
O Facebook não pode deixar de rentabilizar os nossos dados
pessoais: Kevin Roose, «Can Social Media Be Saved?»,
The New York Times, 29 de março de 2018,
www.nytimes.com/2018/03/28/technology/social-media-
privacy.html.
O Aftenposten chamou a atenção da empresa: Espen Egil
Hansen, «Dear Mark. I Am Writing This to Inform You
That I Shall Not Comply with Your Requirement to
Remove This Picture», Aftenposten, 8 de setembro de
2016,
www.aftenposten.no/meninger/kommentar/i/G892Q/Dear-
Mark-I-am-writing-this-to-inform-you-that-I-shall-not-
comply-with-your-requirement-to-remove-this-picture.
«Suponhamos que alguém faz upload de um vídeo de
propaganda do Estado Islâmico»: Monika Bickert,
entrevistada por Steve Inskeep, «How Facebook Uses
Technology to Block Terrorist-Related Content», NPR,
edição da manhã de 22 de junho de 2017,
www.npr.org/sections/alltechconsidered/2017/06/22/53385
5547/how-facebook-uses-technology-to-block-terrorist-
related-content.
Entretanto a Google tentou uma abordagem diferente: Equipa
do YouTube, «Bringing New Redirect Method Features to
YouTube», Blogue oficial do YouTube, 20 de julho de
2017, youtube.googleblog.com/2017/07/bringing-new-
redirect-method-features.html.
«Pessoalmente, estou convencido de que a ideia de que as
fake news no Facebook: Mark Zuckerberg, entrevistado
por David Kirkpatrick, «In Conversation with Mark
Zuckerberg», Techonomy, 17 de novembro de 2016,
techonomy.com/conf/te16/videos-conversations-with-2/in-
conversation-with-mark-zuckerberg.
O presidente levou-o para uma sala privada: Adam Entous,
Elizabeth Dwoskin e Craig Timberg, «Obama Tried to
Give Zuckerberg a Wake-Up Call over Fake News on
Facebook», The Washington Post, 24 de setembro de
 2017,
www.washingtonpost.com/business/economy/obama-tried-
to-give-zuckerberg-a-wake-up-call-over-fake-news-on-
facebook/2017/09/24/15d19b12-ddac-4ad5-ac6e-
ef909e1c1284_story.html?.
O seu estudo foi entregue à liderança da Facebook: Jen
Weedon, William Nuland e Alex Stamos, Information
Operations and Facebook, Facebook, 27 de abril de 2017,
fbnewsroomus.files.wordpress.com/2017/04/facebook-and-
information-operations-v1.pdf.
«Devo dizer que me parece que ainda não percebeu o que
está em causa»: Brett Samuels, «Feinstein to Tech Execs:
“I Don’t Think You Get It”», The Hill, 1 de novembro de
2017, thehill.com/business-a-lobbying/358232-feinstein-
to-tech-cos-i-dont-think-you-get-it.
«Temos a responsabilidade: Daniel Politi, «Facebook’s
Zuckerberg Takes Out Full Page Ads to Say “Sorry” for
“Breach of Trust”», Slate, 25 de março de 2018,
slate.com/news-and-politics/2018/03/facebooks-
zuckerberg-takes-out-full-page-ads-to-say-sorry-for-
breach-of-trust.html.
o custo de produzir uma constelação de satélites deste tipo
era estimado em 94 mil milhões: David E. Sanger e
William Broad, «Tiny Satellites from Silicon Valley May
Help Track North Korea Missiles», The New York Times, 7
de julho de 2017,
www.nytimes.com/2017/07/06/world/asia/pentagon-spy-
satellites-north-korea-missiles.html.
os chineses gastam 1,7 mil milhões de horas por dia em apps
da Tencent: Brad Stone e Lulu Yilun Chen, «Tencent
Dominates in China. Next Challenge Is Rest of the
World», Bloomberg, 28 de junho de 2017,
www.bloomberg.com/news/features/2017-06-28/tencent-
rules-china-the-problem-is-the-rest-of-the-world.
As conclusões do relatório do DIUx: As primeiras cópias do
relatório circularam amplamente e acabaram por ir parar à
 Internet. O Pentágono publicou uma versão em março de
2018, sem as recomendações dos autores, no site da DIUx:
www.diux.mil, e Michael Brown e Pavneet Singh, China’s
Technology Transfer Strategy: How Chinese Investments
in Emerging Technology Enable a Strategic Competitor to
Access the Crown Jewels of U. S. Innovation, janeiro de
2018, www.DIUx.mil.
os chineses fizeram 81 negócios com empresas americanas
de inteligência artificial: Ibid.
CAPÍTULO XII: LANÇAMENTOS FRUSTRADOS
os mísseis da Coreia do Norte começaram a cair do céu:
David E. Sanger e William J. Broad, «How U. S.
Intelligence Agencies Underestimated North Korea», The
New York Times, 7 de janeiro de 2018,
www.nytimes.com/2018/01/06/world/asia/north-korea-
nuclear-missile-intelligence.html.
Kim Jong-un ordenara uma investigação: David E. Sanger e
William J. Broad, «Hand of U. S. Leaves North Korea’s
Missile Program Shaken», The New York Times, 19 de
abril de 2017,
www.nytimes.com/2017/04/18/world/asia/north-korea-
missileprogram-sabotage.html.
«Foi uma tentativa catastrófica de lançamento que não foi
bem-sucedido»: Foster Klug e Hyung-Jin Kim, «US:
North Korean Missile Launch a “Catastrophic” Failure»,
16 de abril de 2016,
apnews.com/67c278f79593454e868ff3f707606ef3/seoul-
says-north-korean-missile-launch-apparently-fails.
«o lançamento do míssil da Coreia do Norte não representa
uma ameaça para os Estados Unidos»: «Pentagon
Spokesman Comments on North Korean Missile Launch»,
US Northern Command, 28 de julho de 2017,
www.northcom.mil/Newsroom/Article/1456396/pentagon-
spokesman-comments-on-north-korean-missile-launch.
«Nunca ouvimos dizer que tivesse matado cientistas»: Choe
Sang-Hun, Motoko Rich, Natalie Reneau e Audrey
Carlsen, «Rocket Men: The Team Building North Korea’s
Nuclear Missile», The New York Times, 15 de dezembro
de 2017,
www.nytimes.com/interactive/2017/12/15/world/asia/north
-korea-scientists-weapons.html.
Sessenta anos e mais de 300 mil milhões de dólares mais
tarde: David E. Sanger e William J. Broad, «Trump
Inherits a Secret Cyberwar Against North Korean
Missiles», The New York Times, 5 de março de 2017,
www.nytimes.com/2017/03/04/world/asia/north-korea-
missile-program-sabotage.html.
aproximadamente 50 por cento: David E. Sanger e William J.
Broad. «Downing North Korean Missiles Is Hard. So the
U. S. Is Experimenting», The New York Times, 17 de
novembro de 2017,
www.nytimes.com/2017/11/16/us/politics/north-korea-
missile-defense-cyber-drones.html.
Dempsey anunciou publicamente que um novo esforço de
frustrar lançamentos: «Joint Integrated Air and Missile
Defense: Vision 2020», Grupo dos chefes de Estado-
Maior das forças armadas dos Estados Unidos, 5 de
dezembro de 2013,
www.jcs.mil/Portals/36/Documents/Publications/JointIAM
DVision2020.pdf.
Oren J. Falkowitz (…) deixou escapar uma alusão subtil
interessante: Nicole Perlroth, «The Chinese Hackers in the
Back Office», The New York Times. 12 de junho de 2016,
www.nytimes.com/2016/06/12/technology/the-chinese-
hackers-in-the-back-office.html.
A análise de um encontro de especialistas de topo em
tecnologia antimísseis: Centro de Estudos Estratégicos
Internacionais, «Full Spectrum Missile Defense», 4 de
dezembro de 2015, www.csis.org/events/full-spectrum-
missile-defense.
descreveu os ataques com a finalidade de frustrar
lançamentos como uma mudança radical: William J.
Broad e David E. Sanger, «U. S. Strategy to Hobble North
Korea Was Hidden in Plain Sight», The New York Times, 4
de março de 2017,
www.nytimes.com/2017/03/04/world/asia/left-of-launch-
missile-defense.html.
de que forma os Estados Unidos justificariam: Ibid.
a América estava a perder a dianteira: A transcrição completa
da entrevista de março de 2016 está disponível em
«Transcript: Donald Trump Expounds on His Foreign
Policy Views», The New York Times, 26 de março de
2016, www.nytimes.com/2016/03/27/us/politics/donald-
trump-transcript.html.
dizer ao governo o que nos estávamos a preparar para
publicar: Mais tarde houve envolvimento de outros, de
agências especializadas em ciberoperações ofensivas.
«na fase final dos preparativos»: Choe Sang-Hun, «Kim
Jong-un Says North Korea Is Preparing to Test Long-
Range Missile», The New York Times, 2 de janeiro de
2017, www.nytimes.com/2017/01/01/world/asia/north-
korea-intercontinental-ballistic-missile-test-kim-jong-
un.html.
«não vai conseguir»: Donald J. Trump, «North Korea Just
Stated That It Is in the Final Stages of Developing a
Nuclear Weapon Capable of Reaching Parts of the U. S. It
Won’t Happen!», Twitter, 2 de janeiro de 2017,
twitter.com/realdonaldtrump/status/816057920223846400
.
roubar mil milhões de dólares ao banco central do
Bangladesh: David E. Sanger, David D. Kirkpatrick e
Nicole Perlroth, «The World Once Laughed at North
Korean Cyberpower. No More», The New York Times, 16
de outubro de 2017,
www.nytimes.com/2017/10/15/world/asia/north-korea-
hacking-cyber-sony.html.
roubou 182 gigabytes de dados: Choe Sang-Hun, «North
Korean Hackers Stole U.S.South Korean Military Plans,
Lawmaker Says», The New York Times, 11 de outubro de
2017, www.nytimes.com/2017/10/10/world/asia/north-
korea-hack-war-plans.html?
depois de ter sido avisada pela NSA: Nicole Perlroth e David
E. Sanger, «Hackers Hit Dozens of Countries Exploiting
Stolen N. S. A. Tool», The New York Times, 13 de maio de
2017, www.nytimes.com/2017/05/12/world/europe/uk-
national-health-service-cyberattack.html.
Hutchins acabou por ser preso em Las Vegas: Selena Larson,
«WannaCry “Hero” Arrested for Creating Other
Malware», CNN Money, 3 de agosto de 2017,
money.cnn.com/2017/08/03/technology/culture/malwarete
ch-arrested-las-vegas-trojan/index.html.
o governo de Kim Jong-un era o responsável pelo WannaCry:
«Press Briefing on the Attribution of the WannaCry
Malware Attack to North Korea», Casa Branca, 19 de
dezembro de 2017, www.whitehouse.gov/briefings-
statements/press-briefing-on-the-attribution-of-the-
wannacry-malware-attack-to-north-korea-121917.
Bossert foi honesto: Ibid.
esteve entre as mais atingidas: Charlie Osborne, «NotPetya
Ransomware Forced Maersk to Reinstall 4000 Servers,
45000 PCs», ZDNet, 26 de janeiro de 2018,
www.zdnet.com/article/maersk-forced-to-reinstall-4000-
servers-45000-pcs-due-to-notpetya-attack.
apenas um falhou: Sanger e Broad, «How U. S. Intelligence
Agencies Underestimated North Korea».
4 mil milhões de fundos de emergência: Sanger e Broad,
«Downing North Korean Missiles Is Hard».
CAPÍTULO XIII: BALANÇOS
se reuniram num resort na Nova Escócia: Chris Uhlmann e
Angus Grigg, «How the “Five Eyes” Cooked Up the
Campaign to Kill Huawei», Sydney Morning Herald, 13
 de dezembro de 2018,
https://www.smh.com.au/business/companies/how-the-
five-eyes-cooked-up-the-campaign-to-kill-huawei-
20181213-p50m24.html.
incluindo no Médio Oriente e em África: Tim Culpan e Alex
Webb, «Huawei Spy Case Sets Up a New Warsaw Pact»,
Bloomberg, 14 de janeiro de 2019,
https://www.bloomberg.com/opinion/articles/2019-01-
14/rift-from-poland-arrest-supports-huaweis-emerging-
markets-push.
A rapidez e a ubiquidade são apenas o princípio: Grande
parte desta narrativa assenta numa história que escrevi
com os meus colegas Julian E. Barnes, Raymond Zhong e
Marc Santora no início de 2019, pelo que aproveito para
lhes agradecer a profundidade com que cobriram o
assunto. Veja-se «In 5G Race With China, U. S. Pushes
Allies to Fight Huawei», The New York Times, 26 de
janeiro de 2019,
https://www.nytimes.com/2019/01/26/us/politics/huawei-
china-us-5g-technology.html.
redigiu um memorando e fez uma apresentação de
PowerPoint: Jonathan Swan, David McCabe, Ina Fried e
Kim Hart, «Scoop: Trump Team Considers Nationalizing
5G Network», Axios, 28 de janeiro de 2019,
https://www.axios.com/trump-team-debates-nationalizing-
5g-network-f1e92a49-60f2-4e3e-acd4-f3eb03d910ff.html.
o plano de Spalding espalhou-se: Margaret Harding McGill,
«Republicans, Industry Shun Idea of Nationalized 5G
Network», Politico, 29 de janeiro de 2018,
https://www.politico.com/story/2018/01/29/nationalized-
5g-network-republicans-industryreaction-314978.
Spalding abandonou a NSC pouco tempo depois: Josh Rogin,
«National Security Council Official Behind 5G Memo
Leaves White House», The Washington Post, 2 de
fevereiro de 2018,
https://www.washingtonpost.com/news/josh-
 rogin/wp/2018/02/02/national-securitycouncil-official-
behind-5g-memo-leaves-white-house/?utm_term
=.be2b8a3e63c9.
estar a reforçar o poder legal: Veja-se, por exemplo, Murray
Scot Tanner, «Beijing’s New National Intelligence Law:
From Defense to Offense», Lawfare, 20 de julho de 2017,
https://www.lawfareblog.com/beijings-new-national-
intelligence-law-defense-offense.
retardar perto de um ano a introdução do 5G: Andrew
Orlowski, «“Year-Long” Delay to UK 5G If We Spike
Huawei Deals, Say Telcos», The Register, 21 de dezembro
de 2018,
https://www.theregister.co.uk/2018/12/21/year_long_delay
_to_uk_5g.
Pressionou o governo polaco: David E. Sanger, Julian E.
Barnes, Raymond Zhong e Marc Santora, «In 5G Race
With China, U. S. Pushes Allies to Fight Huawei», The
New York Times, 26 de janeiro de 2019,
https://www.nytimes.com/2019/01/26/us/politics/huawei-
china-us-5g-technology.html.
como disse a minha colega do New York Times Jane Perlez:
Jane Perlez, «Huawei Arrest Tests China’s Leaders as Fear
and Anger Grip Elite», The New York Times, 7 de
dezembro de 2018,
https://www.nytimes.com/2018/12/07/world/asia/huawei-
arrest-china.html.
«uma espécie de histeria»: «Facebook Could Threaten
Democracy, Says Former GCHQ Boss», BBC, 7 de
dezembro de 2018, .
«para decisões tão sérias como banir uma empresa são
precisas provas»: como noticiou a Der Spiegel, citada em
«“No Evidence” of Huawei Spying, Says German IT
Watchdog», France 24, 14 de dezembro de 2018,
https://www.france24.com/en/20181214-no-evidence-
huawei-spying-says-german-it-watchdog.
«Preferia ter de fechar a Huawei: «Transcript: Huawei
Founder Ren Zhengfei’s Responses to Media Questions at
a Round Table This Week», South China Morning Post,
16 de janeiro de 2019, https://www.scmp.com/tech/big-
tech/article/2182367/transcript-huawei-founder-ren-
zhengfeis-responses-media-questions.
O melhor estudo não secreto destes desvios: Chris C.
Demchak e Yuval Shavitt, «China’s Maxim — Leave No
Access Point Unexploited: The Hidden Story of China
Telecom’s BGP Hijacking», Military Cyber Affairs, vol. 3,
número 1, art. 7 (2018),
https://scholarcommons.usf.edu/mca/vol3/iss1/7.
caíra claramente no apreço do público: Alex Roarty, «Poll:
Facebook’s Popularity Plummets», McClatchy, 29 de
março de 2018,
https://www.mcclatchydc.com/news/nation-
world/national/article207335799.html.
estavam a apagar a app do Facebook dos seus telefones:
Andrew Perrin, «Americans Are Changing Their
Relationship with Facebook», Pew Research Center, 5 de
setembro de 2018, http://www.pewresearch.org/fact-
tank/2018/09/05/americans-are-changing-their-
relationship-with-facebook.
«É verdade, a Sheryl Sandberg gritou comigo»: Alex Stamos,
«Yes, Facebook Made Mistakes in 2016. But We Weren’t
the Only Ones», The Washington Post, 17 de novembro de
2018, https://www.washingtonpost.com/opinions/yes-
facebook-made-mistakes-in-2016-but-we-werent-the-only-
ones/2018/11/17/3b62b422-ea9d-11e8-a939-
9469f1166f9d_story.html?
noredirect=on&utm_term=.dd49d1d49daf.
um grupo de consultores, advogados e especialistas em
imagem regiamente pagos: Kevin Roose, Cecilia Kang e
Sheera Frenkel, «Zuckerberg Gets a Crash Course in
Charm. Will Congress Care?», The New York Times, 8 de
abril de 2018, https://www.nytimes.
 com/2018/04/08/technology/zuckerberg-gets-a-crash-
course-in-charm-will-congresscare.html.
que Zuckerberg era: Jonathan Freedland, «Zuckerberg Got
Off Lightly. Why Are Politicians So Bad at Asking
Questions?», The Guardian, 11 de abril de 2018,
https://www.theguardian.com/commentisfree/2018/apr/11/
mark-zuckerberg-facebook-congress-senate.
o projeto foi subitamente interrompido: Casey Stinnett,
«Facebook’s Program Thinks Declaration of
Independence Is Hate Speech», The Vindicator, 2 de julho
de 2018,
https://www.thevindicator.com/news/article_556e1014-
7e41-11e8-a85e-ab264c30e973.html.
O Facebook considerou que se tratava de discurso político:
James Rogers, «Facebook Slammed for “Censorship” of
Country Group’s Patriotic Song», Fox News, 5 de julho de
2018, https://www.foxnews.com/tech/facebook-slammed-
for-censorship-of-country-groups-patriotic-song.
Depois em julho de 2018 houve o artigo de opinião: Leonard
Pozner e Veronique De La Rosa, «An Open Letter to Mark
Zuckerberg: Our Child Died at Sandy Hook — Why Let
Facebook Lies Hurt Us Even More?», The Guardian, 25
de julho de 2018,
https://www.theguardian.com/commentisfree/2018/jul/25/
mark-zuckerberg-facebook-sandy-hook-parents-open-
letter.
Em seguida saiu um relatório das Nações Unidas: «UN:
Facebook Had a “Role” in Rohingya Genocide», Al-
Jazeera, 13 de março de 2018, .
O meu colega do New York Times Max Fisher: Max Fisher,
«Inside Facebook’s Secret Rulebook for Global Political
Speech», The New York Times, 27 de dezembro de 2018,
https://www.nytimes.com/2018/12/27/world/facebook-
moderators.html.
Como revelou a reportagem do meu colega Julian Barnes:
Julian E. Barnes, «U. S. Begins First Cyberoperation
Against Russia Aimed at Protecting Elections», The New
York Times, 23 de outubro de 2018,
https://www.nytimes.com/2018/10/23/us/politics/russian-
hacking-usa-cyber-command.html.
Um responsável sénior vangloriou-se: Ellen Nakashima, «U.
S. Cyber Command Operation Disrupted Internet Access
of Russian Troll Factory on Day of 2018 Midterms», The
Washington Post, 27 de fevereiro de 2019,
https://www.washingtonpost.com/world/national-
security/us-cyber-command-operation-disrupted-internet-
access-of-russian-troll-factory-on-day-of-2018-
midterms/2019/02/26/1827fc9e-36d6-11e9-af5b-
b51b7ff322e9_story.html?
noredirect=on&utm_term=.ee18a6fadd02.
estratégia de «ataque persistente»: «An Interview with Paul
M. Nakasone» e Paul M. Nakasone, «A Cyber Force for
Persistent Operations», Joint Force Quarterly, número 92
(2019).
Não há provas de que os russos tenham atacado sistemas de
votação de estados individuais: David E. Sanger,
«Mystery of the Midterm Elections: Where Are the
Russians?», The New York Times, 1 de novembro de 2018,
https://www.nytimes.com/2018/11/01/business/midterm-
election-russia-cyber.html.
quase um terço das contas: Julia Carrie Wong, «Facebook
and Twitter Removed Hundreds of Accounts Linked to
Iran, Russia, and Venezuela», The Guardian, 31 de janeiro
de 2019,
https://www.theguardian.com/technology/2019/jan/31/face
book-and-twitter-removed-hundreds-of-accounts-linked-
to-iran-russia-and-venezuela.
POSFÁCIO
Sobre a minha secretária: R. P. Hearne, Airships in Peace and
War, Londres: John Lane, The Bodley Head, 2.ª edição,
 1910.
«Neste momento, se observarmos»: Comunicação de
Michael Rogers na Universidade de Stanford, 3 de
novembro de 2014, www.nsa.gov/news-features/speeches-
testimonies/speeches/stanford.shtml.
«podíamos não ter a mesma sorte»: A história é contada por
William J. Perry, My Journey to the Nuclear Brink
(Redwood City, Califórnia: Stanford University Press,
2015).
A abordagem que o Cibercomando descreve em pormenor:
«Archive and Maintain Cyberspace Superiority:
Command Vision for US Cyber Command»,
https://assets.documentcloud.org/documents/4419681/Co
mmand-Vision-for-USCYBERCOM-23-Mar-18.pdf.
convenção digital de Genebra: Brad Smith, «The Need for a
Digital Geneva Convention », Microsoft on the Issues, 9
de março de 2017, blogs.microsoft.com/on-
theissues/2017/02/14/need-digital-geneva-convention.