Starlink: Militares usam internet via satélite de Elon Musk sem teste de segurança da rede

O Tropa Brasílio usa serviços da Starlink sem ter feito estudo ou avaliação técnica sobre a segurança da rede de internet via satélite oferecida pelo bilionário Elon Musk. Ao menos um órgão do governo federalista, o Instituto Vernáculo de Colonização e Reforma Agrária (Incra), deixou de comprar produtos do grupo por suspeita de falhas de segurança. A suposta vulnerabilidade da rede foi reforçada pelo próprio Tropa, que afirmou que irá adotar medidas extras de segurança para o uso horizonte da Starlink pelo Comando Militar da Amazônia.

O Tropa não informou quantos de seus grupamentos e batalhões usam produtos da Starlink. Organizações da força possuem autonomia “para comprar serviços de chegada à internet oferecidos por empresas”, segundo os militares, que estimam em “murado de 20” os “processos licitatórios com contratos vigentes, ou concorrências em curso” ligados ao serviço oferecido pelo grupo estrangeiro.

Sem uma estudo prévia de segurança, não se sabe qual o fado e o tratamento dos dados que trafegam na rede – ou seja, militares que usam o serviço podem ter seus dados ou mesmo informações estratégicas de seus grupamentos vazados a hackers, grupos estrangeiros e outros tipos de organizações.

O Tropa admitiu que “não há parecer ou relatório do contexto [da segurança] da instituição sobre produtos ofertados pela empresa”, mas minimizou a falta de uma avaliação sobre as vulnerabilidades da Starlink antes de seu uso. No entanto, um processo de compra da tecnologia de Elon Musk indica que os próprios militares não confiam plenamente na segurança da rede de internet via satélite.

Ao dispêndio de R$ 5,1 milhões, o Comando Militar da Amazônia tenta comprar equipamentos da Starlink desde maio, e, segundo o Tropa, porquê a compra visa “estribar operações militares”, o Departamento de Ciência e Tecnologia da Força (DCT) “prestou suporte técnico” na licitação – para “prometer segurança às comunicações via internet” –, por meio de avaliação realizada pelo 4º Centro de Telemática de Área. Fica evidente a urgência de camadas extras de segurança para o uso da Starlink, pois o Tropa informou à Filial Pública que “serão adquiridos equipamentos de firewall e sistemas de criptografia ponta-a-ponta redundantes” – a serem usados em conjunto com a tecnologia de Musk.

A força terrestre alegou à reportagem que a Starlink não é usada em operações, e afirma que “possui sistema corporativo para comunicações operacionais via satélite, o SISCOMIS, que utiliza bandas exclusivas em satélites nacionais, provendo a segurança e a perenidade dos serviços relacionados às missões”. Mas um despacho enviado meses detrás pelo próprio Tropa ao Congresso Vernáculo coloca em xeque essa informação.

Em resposta a um requerimento do deputado federalista Coronel Meira (PL-PE), em 6 de junho deste ano, o general de partilha Márcio de Souza Nunes Ribeiro, patrão do gabinete do comandante do Tropa, general Tomás Ribeiro Paiva, alegou o uso de produtos da Starlink “em operações, em Ações Cívico Sociais, em adestramentos, dentre outras atividades”, afirmando que “poderá possuir prejuízo para o trabalho estratégico de tropas especializadas” em caso de um “eventual cancelamento” do uso da tecnologia. A informação foi enviada ao Congresso pelo próprio ministro da Resguardo, José Múcio Monteiro Rebento, em resposta a um questionamento sobre o uso de tecnologias da Starlink pelas Forças Armadas.

Marinha usa Starlink e não disse se testou segurança da rede

A Marinha admitiu o uso da Starlink em ao menos sete navios, incluindo fragatas, navios vigia e uma base avançada de pesquisa na Antártica. O dispêndio até o momento com os serviços é de ao menos R$ 428 milénio, e a posição solene é que haveria “perda de capacidade” e risco às “informações meteorológicas e comunicações” caso o uso da internet de Elon Musk seja interrompido.

A Marinha confirmou, por telefone, o recebimento dos questionamentos da Pública sobre a existência de pareceres ou relatórios sobre os produtos da Starlink, em peculiar sobre a segurança de antenas e terminais receptores de internet via satélite do grupo, mas até o momento não houve resposta.

A Força Aérea Brasileira (FAB) foi a única das forças a declarar que não utiliza a tecnologia de Musk e informou que “não possui contrato com a Starlink para provimento de Sistema de Posicionamento Global (GPS, do inglês Global Positioning System)”.

Starlink e a suspeita de vulnerabilidades

Ao contrário das Forças Armadas e outros órgãos federais, porquê os ministérios da Ensino e Saúde, que também já informaram utilizar a internet de Elon Musk, o Incra deixou de contratar a tecnologia posteriormente o setor responsável pela manutenção da infraestrutura tecnológica do órgão estimar que existiriam riscos à segurança de dados sensíveis.

Em 27 de julho de 2023, a Câmara de Conciliação Agrária (CCA) do Incra pediu a compra dos serviços da Starlink para superintendências regionais do órgão à Diretoria de Gestão Operacional – responsável pela gestão orçamentária, financeira, de tecnologia da informação e comunicações do Incra. O argumento era que o “sistema oferece internet filarmónica larga de subida potência, mesmo em regiões mais remotas […] tendo em vista que em lugares mais remotos as Superintendências Regionais não conseguem desenvolver suas atribuições por falta de chegada a rede e internet”.

Depois quase quatro meses, a Coordenação-Universal de Tecnologia e Gestão da Informação do Incra se manifestou contra a compra. A justificativa foi que o serviço da Starlink “possui vulnerabilidades, e não é vantajoso para levante Instituto [Incra], uma vez que se trata de um serviço relativamente novo e que não possui a segurança adequada para proteção dos dados desta entidade governamental”, diz o despacho assinado pelo portanto patrão substituto da coordenação, Laércio Pereira Lima, em 27 de novembro de 2023.

No mesmo documento, Lima citou um caso em que o pesquisador Lennert Wouters, da Universidade de Leuven, na Bélgica, demonstrou, em 2022, que “a ampla disponibilidade dos Starlink User Terminals (UT) os expõe a hackers de hardware e abre a porta para um invasor explorar livremente a rede”. Wouters inclusive publicou o passo a passo de porquê identificou a omissão.

À Pública, o diretor de Gestão Operacional do Incra, Leonardo Bezerra Lopes, confirmou a suspeição do órgão quanto à Starlink, inclusive quanto ao fado dos dados no tráfico da rede e à vulnerabilidade diante de ataques cibernéticos, e ressaltou a urgência de soluções nacionais para a conectividade em lugares afastados: “Precisamos de um serviço de qualidade sim, porquê por exemplo para fazer mutirões de cadastro para quem tem recta à reforma agrária em regiões mais afastadas, mas não se pode narrar com serviços desses sem buscarmos uma ‘soberania digital’, que é um dos objetivos da atual gestão”. Segundo Lopes, a rede seria vulnerável “diante de ataques cibernéticos porquê jamming [paralisação ou derrubada de redes sem fio] e spoofing [uso de rede para criminosos se passarem por fonte confiável em comunicações eletrônicas]”.

A reportagem enviou uma série de perguntas quanto às suspeitas de falhas de segurança nos equipamentos da Starlink ao escritório Tozzini Freire Advogados, representante lícito do grupo de Musk no Brasil, que disse não comentar “casos ou processos em curso e que possam envolver clientes ou contrapartes”.

Sigilo e morte: dados pessoais de militares já revelaram bases secretas

O Tropa relatou que usa a tecnologia de Elon Musk em atividades “ligadas à gestão ou à informação social” de seus grupamentos – porquê, por exemplo, para a garantia de chegada à internet da Starlink para uso pessoal de soldados e oficiais destacados em batalhões em regiões afastadas, de difícil chegada. No entanto, a falta de garantias de segurança no fluxo de dados até mesmo de informações não sigilosas já rendeu riscos em corporações no exterior.

O incidente mais famoso data de 2018, quando veio à tona a falta de segurança de informações colhidas pelo aplicativo de corridas Strava. Militares dos Estados Unidos, Israel e Rússia usuários desse aplicativo já expuseram – sem saber – suas localizações e as de bases secretas de suas respectivas forças armadas graças a uma funcionalidade do aplicativo, a partilha de suas rotas de treino e mapas de calor de seus percursos. Há pelo menos uma morte, de um soldado russo, associada à exposição de rotas de corrida de usuários militares do aplicativo.

A publicidade de dados sensíveis via Strava também afetou usuários no Brasil, porquê revelado pela revista piauí ainda em 2018, expondo itinerários e rotas usadas no dia a dia por militares e agentes de segurança – porquê agentes penitenciários.

Ou por outra, nos últimos anos tem havido vazamentos massivos de dados de aplicativos, porquê no caso do FitBit, que mede dados de desempenho físico e marca a localização de quem o utiliza. A plataforma teve dados de 61 milhões de seus usuários hackeados em 2021.

Na França, houve também denúncias de compartilhamento, sem consentimento, de dados de usuários do MyFitnessPal (exercícios), SeLoger (imobiliário) e Fnac (rede de lojas do setor de tecnologia), o que rendeu ações desde 2023, ainda sem um veredito pelo Judiciário galicismo.