Foi uma mensagem que quase passou despercebida. Mas por detrás da mensagem escondia-se uma operação de vigilância de última geração. Ou, pelo menos, era essa a intenção. Na Primavera de 2016, o jornalista mexicano Jorge Carrasco estava a terminar uma investigação de um mês relacionada com os Panama Papers para a revista Proceso. Quando a sua investigação sobre clientes mexicanos o levou à célebre firma panamenha Mossack Fonseca, recebeu uma mensagem de texto de um número desconhecido: “Olá Jorge. Partilho este memo que a Animal Politico [um site de investigação] publicou hoje. Acho que é importante partilhá-lo”. A mensagem veio com um link. Carrasco enviou de volta uma mensagem de texto: “Quem é este?” O remetente nunca respondeu.

Escondido atrás desta misteriosa mensagem estava uma tentativa de obter acesso ao telefone de Carrasco utilizando spyware da Pegasus, que a empresa israelita NSO Group vende a múltiplos clientes governamentais no México. Esta descoberta é o resultado de uma análise técnica realizada pela equipa de especialistas em segurança digital da Amnistia Internacional, em colaboração com a Forbidden Stories. Quando clicado, o link instala um software invisível que suga todos os dados do telefone, incluindo mensagens de texto. Também permite que o microfone e a câmara sejam activados à distância — uma ameaça tremenda para um jornalista.

“Tomei nota da mensagem na altura, mas recebo muitas mensagens deste tipo”, lembrou-se Carrasco, que é agora diretor da revista Proceso.

“A mensagem que recuperámos era provavelmente parte de uma campanha em curso que estava a decorrer no México durante esse período de tempo em particular”, disse Claudio Guarnieri, do Laboratório de Segurança da Amnistia Internacional. Na altura, o software era amplamente utilizado por clientes no México. Segundo a Amnistia, o número de telefone visado por Jorge Carrasco era o mesmo número utilizado para enviar múltiplas mensagens de texto com ligações maliciosas para Carmen Aristegui — uma das jornalistas de investigação mais conhecidas no México. O nome do domínio por detrás da ligação foi também utilizado em 2017 com o mesmo software para visar os apoiantes de um imposto sobre refrigerantes.

“O ataque não era apenas alargado, mas era frequentemente feito de uma forma bastante imprudente, com mensagens alarmantes e perturbadoras utilizadas para tentar fazer com os alvos de malware clicassem o mais depressa possível”, explicou John Scott-Railton do Citizen Lab, uma organização que passou vários anos a investigar ataques que empregam o software Pegasus.