What you need to know about stalkerware | Eva Galperin

Tradutor: Rafaela Tavares Revisor: Maricene Crus

I want you to travel back in time with me,

Quero que façam uma viagem no tempo comigo,

to the before time, to 2017.

para o "antes do tempo", para 2017.

I don't know if you can remember it,

Não sei se conseguem lembrar, dinossauros vagavam pela Terra.

dinosaurs were roaming the earth.

I was a security researcher,

Eu era pesquisadora de segurança,

I had spent about five or six years

tinha passado cerca de cinco ou seis anos

doing research on the ways in which APTs,

pesquisando as formas em que APTs,

which is short for advanced persistent threats,

que é abreviação para ameaças persistentes avançadas,

which stands for nation-state actors,

ou seja, hackers de estados-nação

spy on journalists and activists

espiam jornalistas e ativistas,

and lawyers and scientists

advogados e cientistas

and just generally people who speak truth to power.

e, geralmente, pessoas que dizem a verdade a quem detém poder.

And I'd been doing this for a while

E estava fazendo isso há algum tempo

when I discovered that one of my fellow researchers,

quando descobri que um dos meus colegas pesquisadores,

with whom I had been doing this all this time,

com quem trabalhei esse tempo todo,

was allegedly a serial rapist.

era supostamente um estuprador em série.

So the first thing that I did

Então a primeira coisa que fiz

was I read a bunch of articles about this.

foi ler um punhado de artigos sobre isso.

And in January of 2018,

E em janeiro de 2018,

I read an article with some of his alleged victims.

li um artigo com algumas das supostas vítimas dele.

And one of the things that really struck me about this article

E algo que realmente chamou a minha atenção nesse artigo

is how scared they were.

foi como elas estavam assustadas.

Estavam realmente aterrorizadas

They were really frightened,

they had, you know, tape over the cameras on their phones

e haviam tapado a câmera do celular e laptop delas com fita,

and on their laptops,

and what they were worried about was that he was a hacker

estavam preocupadas com o fato de que ele era um hacker

and he was going to hack into their stuff

que iria invadir informações pessoais e arruinar a vida delas.

and he was going to ruin their lives.

And this had kept them silent for a really long time.

E isso manteve as vítimas em silêncio por muito tempo.

So, I was furious.

Então, fiquei furiosa.

And I didn't want anyone to ever feel that way again.

E não queria que ninguém se sentisse assim de novo.

So I did what I usually do when I'm angry:

Então fiz o que geralmente faço quando estou com raiva.

I tweeted.

Eu postei um tuíte.

(Laughter)

(Risos)

And the thing that I tweeted

E postei que se você era mulher e tinha sido abusada por um hacker,

was that if you are a woman who has been sexually abused by a hacker

and that hacker has threatened to break into your devices,

e ele ameaçou invadir seus dispositivos,

that you could contact me

você podia me contatar

and I would try to make sure

e eu tentaria me certificar

that your device got a full, sort of, forensic look over.

que seu dispositivo teria uma espécie de análise forense completa.

And then I went to lunch.

E aí fui almoçar.

(Laughter)

(Risos)

Ten thousand retweets later,

Dez mil retweets depois,

(Laughter)

(Risos)

I had accidentally started a project.

eu havia acidentalmente começado um projeto.

So every morning, I woke up and my mailbox was full.

Então toda manhã, acordava e minha caixa de e-mail estava cheia

It was full of the stories of men and women

de histórias de homens e mulheres

telling me the worst thing that had ever happened to them.

me contando a pior coisa que já havia acontecido com eles.

I was contacted by women who were being spied on by men,

Fui contatada por mulheres que estavam sendo espionadas por homens,

por homens que estavam sendo espionados por homens,

by men who were being spied on by men,

by women who were being spied on by women,

por mulheres que estavam sendo espionadas por mulheres,

but the vast majority of the people contacting me

mas muitos dos que me contavam

were women who had been sexually abused by men

eram mulheres que tinham sido abusadas sexualmente por homens

who were now spying on them.

que agora as estavam espionando.

The one particularly interesting case

Um caso particularmente interessante

involved a man who came to me,

envolvia um homem que veio até mim,

because his boyfriend had outed him as gay

porque o namorado dele revelou que ele era gay

to his extremely conservative Korean family.

para a família coreana ultraconservadora dele.

So this is not just men-spying-on-women issue.

Então essa não é só uma questão de homens-espionando-mulheres.

And I'm here to share

E estou aqui para compartilhar

what I learned from this experience.

o que descobri com essa experiência.

What I learned is that data leaks.

Descobri que dados vazam.

It's like water.

É como água,

It gets in places you don't want it.

entra em lugares que você não quer.

Human leaks.

Humanos vazam.

Your friends give away information about you.

Seus amigos e sua família revelam informações sobre você.

Your family gives away information about you.

You go to a party,

Você vai a uma festa,

somebody tags you as having been there.

alguém te marca mostrando que esteve lá.

And this is one of the ways

E essa é uma das maneiras

in which abusers pick up information about you

com a qual agressores obtêm informações suas

that you don't otherwise want them to know.

que você não quer que eles tenham.

It is not uncommon for abusers to go to friends and family

Não é incomum para os agressores irem atrás de amigos e familiares

and ask for information about their victims

e pedir informações sobre suas vítimas

under the guise of being concerned about their "mental health."

sob o pretexto de estarem preocupados com a "saúde mental" delas.

A form of leak that I saw

Uma forma de vazamento que vi

was actually what we call account compromise.

é o que chamamos de conta comprometida.

So your Gmail account,

Sua conta do Gmail, do Twitter,

your Twitter account,

your Instagram account,

ou do Instagram,

your iCloud,

seu iCloud,

your Apple ID,

seu ID da Apple,

your Netflix, your TikTok --

seu Netflix, seu Tiktok...

I had to figure out what a TikTok was.

Tive que descobrir o que era TikTok.

If it had a login,

Se tinha um login,

I saw it compromised.

eu vi que ele foi comprometido.

And the reason for that is because your abuser is not always your abuser.

E isso porque o agressor não é sempre seu agressor.

It is really common for people in relationships to share passwords.

É comum que pessoas em relacionamentos compartilhem suas senhas.

Furthermore, people who are intimate,

Além disso, pessoas que têm intimidade e sabem muito umas sobre as outras,

who know a lot about each other,

can guess each other's security questions.

podem adivinhar as respostas às perguntas de segurança.

Or they can look over each other's shoulders

Ou podem olhar discretamente

to see what code they're using in order to lock their phones.

para ver qual código estão usando para desbloquear seus telefones.

They frequently have physical access to the phone,

Elas costumam ter acesso físico ao celular ou ao laptop,

or they have physical access to the laptop.

And this gives them a lot of opportunity

e isso lhes dá muitas oportunidades

to do things to people's accounts,

para invadir as contas das pessoas,

which is very dangerous.

o que é muito perigoso.

The good news is that we have advice

A boa notícia é que temos orientação

for people to lock down their accounts.

para as pessoas bloquearem suas contas.

This advice already exists, and it comes down to this:

A orientação já existe, e se resume a isso:

Use strong, unique passwords for all of your accounts.

use senhas fortes e únicas para todas as suas contas.

Use more strong, unique passwords

Use senhas mais únicas e fortes

as the answers to your security questions,

como respostas para suas perguntas de segurança,

so that somebody who knows the name of your childhood pet

para que alguém que saiba o nome do seu animalzinho de infância

can't reset your password.

não consiga redefinir sua senha.

And finally, turn on the highest level of two-factor authentication

E, por fim, acione o maior nível de autenticação de dois fatores

that you're comfortable using.

que você se sinta confortável em usar.

So that even if an abuser manages to steal your password,

Assim, mesmo que um agressor consiga roubar a sua senha,

como eles não têm a autenticação de dois fatores,

because they don't have the second factor,

they will not be able to log into your account.

não conseguirão acessar a sua conta.

The other thing that you should do

A outra coisa que deveriam fazer

is you should take a look at the security and privacy tabs

é checar as abas de segurança e privacidade da maioria das suas contas.

for most of your accounts.

A maioria delas tem uma aba de segurança e privacidade

Most accounts have a security or privacy tab

that tells you what devices are logging in,

que diz quais dispositivos estão logados e de onde estão sendo logados.

and it tells you where they're logging in from.

For example, here I am,

Por exemplo, estou eu aqui,

logging in to Facebook from the La Quinta,

logando no Facebook daqui de La Quinta,

where we are having this meeting,

onde estamos tendo esse encontro,

and if for example,

e se por exemplo,

I took a look at my Facebook logins

eu verificasse o login do meu Facebook e visse alguém logando de Dubai,

and I saw somebody logging in from Dubai,

I would find that suspicious,

eu acharia isso suspeito,

because I have not been to Dubai in some time.

porque já faz algum tempo que não vou para Dubai.

But sometimes, it really is a RAT.

Mas às vezes, é na verdade um RAT,

If by RAT you mean remote access tool.

ou seja, uma ferramenta de acesso remoto.

And remote access tool

que é o que queremos dizer quando falamos de "stalkerware".

is essentially what we mean when we say stalkerware.

So one of the reasons why getting full access to your device

Do mesmo modo que ter acesso total ao seu dispositivo

is really tempting for governments

é incrivelmente tentador para os governos

is the same reason why getting full access to your device

também é muito tentador para parceiros abusivos

is tempting for abusive partners and former partners.

e ex-parceiros terem esse acesso.

We carry tracking devices around in our pockets all day long.

Carregamos um dispositivo de rastreamento no nosso bolso o dia inteiro,

We carry devices that contain all of our passwords,

um dispositivo que contém nossas senhas,

all of our communications,

nossas comunicações,

incluindo nossas comunicações de criptografia de ponta-a-ponta,

including our end-to-end encrypted communications.

All of our emails, all of our contacts,

nossos e-mails, nossos contatos.

all of our selfies are all in one place,

Todas as nossas selfies estão todas em um só dispositivo.

often our financial information is also in this place.

Geralmente nossas informações financeiras também estão no celular.

And so, full access to a person’s phone

E por isso, acesso total ao telefone de uma pessoa

is the next best thing to full access to a person's mind.

é a próxima etapa para ter acesso total à mente de uma pessoa.

And what stalkerware does is it gives you this access.

E o stalkerware permite esse acesso.

So, you may ask, how does it work?

Então, podem perguntar: "Como funciona?"

The way stalkerware works

O stalkerware é um programa disponível no mercado,

is that it's a commercially available program,

which an abuser purchases,

que um agressor pode adquirir,

installs on the device that they want to spy on,

instala no dispositivo que ele quer espionar,

usually because they have physical access

geralmente porque ele tem acesso físico

or they can trick their target into installing it themselves,

ou consegue enganar suas vítimas fazendo com que elas mesmas o instale,

by saying, you know,

dizendo: "Esse é um programa importante, você deveria instalar em seu dispositivo".

"This is a very important program you should install on your device."

And then they pay the stalkerware company

E aí ele paga a empresa de stalkerware

for access to a portal,

para ter acesso a um portal,

which gives them all of the information from that device.

que dá a ele todas as informações daquele dispositivo.

And you're usually paying something like 40 bucks a month.

E geralmente paga-se cerca de US$ 40 ao mês.

So this kind of spying is remarkably cheap.

Então esse tipo de espionagem é incrivelmente barato.

Do these companies know

Será que essas empresas sabem

that their tools

que suas ferramentas

are being used as tools of abuse?

estão sendo usadas como ferramentas de abuso?

Absolutely.

Com certeza.

If you take a look at the marketing copy for Cocospy,

Se observarmos o texto de marketing do Cocospy,

which is one of these products,

que é um desses produtos,

it says right there on the website

diz lá no site

that Cocospy allows you to spy on your wife with ease,

que o Cocospy lhe permite espionar a sua esposa com facilidade;

"You do not have to worry about where she goes,

você não precisa se preocupar aonde ela vai,

who she talks to or what websites she visits."

com quem ela fala ou quais sites ela visita.

So that's creepy.

Isso é assustador.

HelloSpy, which is another such product,

HelloSpy, que é outro produto similar,

had a marketing page in which they spent most of their copy

tinha uma página de marketing que em grande parte de seu texto

talking about the prevalence of cheating

falava sobre a prevalência da traição

and how important it is to catch your partner cheating,

e o quanto é importante pegar o seu parceiro na traição,

including this fine picture of a man

incluindo essa bela foto de um homem

who has clearly just caught his partner cheating

que nitidamente acabou de pegar sua parceira lhe traindo,

and has beaten her.

e bateu nela.

She has a black eye, there is blood on her face.

Ela tem um hematoma no olho, e sangue no rosto.

And I don't think that there is really a lot of question

E não acho que fica muita dúvida

about whose side HelloSpy is on in this particular case.

de quem a HelloSpy está tomando partido nesse caso em especial,

And who they're trying to sell their product to.

e para quem estão tentando vender seu produto.

It turns out that if you have stalkerware on your computer or on your phone,

Acontece que se você tiver stalkerware no seu computador ou no seu telefone,

it can be really difficult to know whether or not it's there.

pode ser muito difícil saber se ele está instalado ou não.

And one of the reasons for that

E isso porque as empresas de antivírus

is because antivirus companies

often don't recognize stalkerware as malicious.

muitas vezes não reconhecem stalkerware como malicioso,

They don't recognize it as a Trojan

como um cavalo de Troia, por exemplo,

or as any of the other stuff that you would normally find

ou qualquer outro programa malicioso que normalmente encontramos

that they would warn you about.

e recebemos um alerta.

These are some results from earlier this year from VirusTotal.

Esses são alguns resultados do VirusTotal do início desse ano.

I think that for one sample that I looked at

De uma amostra que examinei, tive um resultado aproximado de 7 de 60

I had something like a result of seven out of 60

of the platforms recognized the stalkerware that I was testing.

das plataformas de stalkerware reconhecidas que estava testando.

And here is another one where I managed to get 10,

E aqui é outra, na qual consegui dez.

10 out of 61.

Dez de 61.

So this is still some very bad results.

Então, é ainda um resultado muito ruim.

I have managed to convince a couple of antivirus companies

Consegui convencer algumas empresas de antivírus

to start marking stalkerware as malicious.

a começar a identificar stalkerware como malicioso.

So that all you have to do

Tudo o que terão que fazer se estiverem preocupados em ter um no seu computador

if you're worried about having this stuff on your computer

is you download the program,

é baixar o programa,

you run a scan and it tells you

executar uma análise e ele dirá:

"Hey, there's some potentially unwanted program on your device."

"Existe um programa potencialmente indesejado em seu dispositivo".

It gives you the option of removing it,

Ele dará a opção de removê-lo, mas não automaticamente.

but it does not remove it automatically.

And one of the reasons for that

E isso por conta da forma como o abuso funciona.

is because of the way that abuse works.

Frequently, victims of abuse aren't sure

Normalmente,

vítimas de abuso não têm certeza se querem ou não denunciar seu agressor

whether or not they want to tip off their abuser

by cutting off their access.

cortando o acesso dele ou dela.

Or they're worried that their abuser is going to escalate to violence

Ou ficam preocupadas que seu agressor vá partir para a violência

or perhaps even greater violence

ou, talvez, uma violência ainda maior

than they've already been engaging in.

do que já vem praticando.

Kaspersky was one of the very first companies

Kaspersky foi uma das primeiras empresas

that said that they were going to start taking this seriously.

que falaram que começariam a levar isso a sério.

And in November of this year,

E em novembro de 2019,

they issued a report in which they said

eles emitiram um relatório no qual falam

that since they started tracking stalkerware among their users

que desde que começaram a rastrear stalkerware entre seus usuários

that they had seen an increase of 35 percent.

viram um aumento de 35%.

Likewise, Lookout came out with a statement

A Lookout também fez uma declaração

saying that they were going to take this much more seriously.

dizendo que iriam levar isso muito mais a sério.

And finally, a company called Malwarebytes also put out such a statement

E, por fim, uma empresa chamada Malwarebytes também fez tal declaração

and said that they had found 2,500 programs

e disse que encontraram 2,5 mil programas

no período que estavam procurando

in the time that they had been looking,

which could be classified as stalkerware.

que poderiam ser classificados como stalkerware.

Finally, in November I helped to launch a coalition

Finalmente,

em novembro, ajudei a lançar uma coligação chamada Coligação contra Stalkerware,

called the Coalition Against Stalkerware,

made up of academics,

constituída de acadêmicos,

people who are doing this sort of thing on the ground --

pessoas que estão fazendo esse tipo de trabalho no campo,

the practitioners of helping people to escape from intimate partner violence --

os especialistas ajudando pessoas

a escaparem de violência por parceiro íntimo,

and antivirus companies.

e as empresas de antivírus.

And our goal is both to educate people about these programs,

E nosso objetivo é tanto educar pessoas sobre esses programas,

but also to convince the antivirus companies

como convencer empresas de antivírus

to change the norm

a mudar a norma

in how they act around this very scary software,

de como elas agem em relação a esse software muito assustador.

so that soon, if I get up in front of you

Assim, logo, se eu falar com vocês sobre isso no ano que vem,

and I talk to you about this next year,

I could tell you that the problem has been solved,

poderei dizer que o problema já foi resolvido,

and all you have to do is download any antivirus

e tudo o que precisam fazer é baixar qualquer antivírus

and it is considered normal for it to detect stalkerware.

e será considerado normal que ele detecte stalkerware.

That is my hope.

Essa é a minha esperança.

Thank you very much.

Muito obrigada.

(Applause)

(Aplausos)