Um esforço internacional está em andamento para elaborar diretrizes para spyware comercial e provedores similares, na tentativa de eliminar comportamentos “irresponsáveis”.
O Pall Mall Process foi lançado em 2024 pelo Reino Unido e França – com 27 governos e gigantes da tecnologia, incluindo Google, Microsoft, Apple e Metasigning, para limitar o rápido crescimento do comércio de spyware comercial e exploits zero-day.
Como parte de sua fase crucial de segunda fase, a iniciativa busca captar a opinião da indústria “cibernética ofensiva” sobre como é o comportamento responsável de empresas do setor privado. As diretrizes resultantes complementarão seu Código de Conduta para Estados, que foi assinado por essas 27 nações no ano passado, segundo o Centro Nacional de Segurança Cibernética (NCSC).
“As capacidades comerciais de invasão cibernética (CCICs) são parte essencial dos kits de ferramentas de muitos países para combater crimes graves, combater ameaças à segurança nacional e proteger os cidadãos”, afirmou o NCSC. “Mas sem as salvaguardas necessárias, seu uso pode ser perigoso e desestabilizador. O processo Pall Mall busca maximizar o uso positivo feito dos CCICs, ao mesmo tempo em que busca erradicar seu uso prejudicial.”
O NCSC explicou em um post no blog ontem que considera os CCICs como incluindo pesquisa de vulnerabilidades e desenvolvimento de exploits (VRED), criação de malware, comando e controle (C2), hacking como serviço e acesso como serviço.
“O mercado de CCICs abrange uma grande variedade de empresas de intrusão cibernética, oferecendo produtos e serviços que estão continuamente evoluindo e se diversificando”, acrescentou o NCSC.
“Inclui um ecossistema interconectado de pesquisadores, desenvolvedores, corretores, revendedores, investidores, entidades corporativas, operadores e clientes, incluindo estados. Todos neste ecossistema têm um papel a desempenhar em incentivar/defender o uso responsável dos CCICs.”
Os governos do Reino Unido e da França estão particularmente interessados em ouvir qualquer pessoa que trabalhe no mercado CCIC, entender suas motivações e obter suas opiniões sobre como a indústria pode avançar de forma responsável.
A ideia por trás das diretrizes não é apenas concordar sobre o que é um comportamento responsável, mas também permitir que a comunidade enfrente o uso irresponsável dos CCICs.
O Spyware Comercial Cresce Progressivamente
A medida ocorre enquanto o mercado de CCICs continua crescendo. Novas vulnerabilidades zero-day estão sendo descobertas e corrigidas mensalmente por empresas como Google e Apple.
No início de novembro, a Agência de Segurança de Cibersegurança e Infraestrutura dos EUA (CISA) Ordenado agências federais para corrigir uma falha zero-day que vinha sendo usada por agentes ameaçadores desde meados de 2024 em ataques a usuários do WhatsApp com dispositivos Samsung.
Um mês antes, O Google corrigiu um zero-day no Chrome ligado a uma campanha de espionagem direcionada chamada “Operação ForumTroll”, que envolvia ferramentas desenvolvidas pelo fornecedor italiano de spyware Memento Labs.
Algumas pessoas sem escrúpulos também estão buscando lucrar com a demanda por CCICs. Em outubro, descobriu-se que o chefe de uma empresa de defesa dos EUA havia se declarado culpado de vender exploits zero-day desenvolvidos pela empresa a um corretor russo que conta o Kremlin entre seus clientes.
O consulta está previsto para fechar em 22 de dezembro.