Quem era o espião cibernético dos EUA e membro da Opus Dei que gravava suas relações sexuais

Tinha apenas 22 anos o estudante de direito Eric O’Neill (Washington, 1973) quando foi recrutado pelo FBI, “porque sabia ligar um computador”, para participar da equipe que capturou Earl Edwin Pitts, um ex-agente condenado por ser espião da Rússia. Sua missão, sob o codinome de Homem Lobo, era virar um “fantasma”, um agente encoberto dedicado a seguir os suspeitos. Quatro anos depois, o agente especial Gene McClelland lhe telefonou numa manhã de domingo para lhe passar a missão da sua vida: deter Robert Hanssen, um agente do FBI considerado o primeiro espião cibernético dos EUA, membro ativo do grupo conservador católico Opus Dei, e de quem se havia apreendido, entre numeroso material secreto, arquivos audiovisuais de relações sexuais com sua esposa.

“Era um dos nossos e não estávamos preparados”, recorda agora O’Neill em Miami, onde participou da primeira cúpula de segurança cibernética organizada pela empresa Acronis, à qual o EL PAÍS foi convidado junto a outros meios internacionais. O agora advogado e especialista em proteção informática recorda um FBI sem recursos, onde os computadores não rodavam os programas habituais que qualquer estudante usava, e só havia um terminal conectado à Internet em cada unidade. “Era como uma casa de uma família numerosa com um só banheiro”, brinca.

Hanssen (Chicago, 1944), com formação em administração de empresas e especialista em informática, tornou-se agente do FBI em 1976, e apenas três anos depois começou a espionar para a União Soviética e continuou fazendo-o para a Rússia até sua detenção, em 18 de fevereiro de 2001. Pitts o apontou como possível agente duplo, mas o FBI carecia de provas.

A polícia federal norte-americana decidiu no começo da década passada nomeá-lo chefe supervisor da segurança informática e situar O’Neill como seu assistente pessoal, a fim de caçá-lo com uma “pistola fumegante”. “Precisavam pegá-lo em flagrante”, explica o especialista em segurança cibernética, que contou sua história no livro Gray Day (Crown, 2019).

O’Neill ganhou a confiança daquele que era conhecido entre os seus colegas como Doutor Morte. Registrava cada movimento e cada conversa em um disco flexível (floppy disk) que entregava diariamente sem falta. “Todos temos rotinas, e os delinquentes também”, comenta O’Neill sobre a chave de seu trabalho. Destes comportamentos constantes se obtém a informação fundamental: se você reduzir a velocidade em um lugar determinado é porque está procurando um sinal, uma mensagem, ou se alterar sua atividade diária é porque algo anormal está acontecendo.

Hanssen percebeu um dia um aviso de seu PDA (agenda pessoal digital). Era um alerta da hora da oração. O espião, ex-luterano que se tornou membro da Opus Dei, ia à missa regularmente e deu de presente a seu assistente um exemplar de Caminho (livro do fundador da prelazia, são Josemaría Escrivá). O’Neill reparou então em uma rotina que seria decisiva na resolução do caso. Seu chefe guardava a PDA no bolso traseiro da calça e a deixava numa maleta junto a si sempre que se sentava. Nunca se separava do aparelho. O’Neill pensou que o papel dessa agenda eletrônica na vida de seu chefe era fundamental.

Uma reunião fora do hermético escritório de Hanssen, que fechava sempre que se ausentava e onde ninguém estava autorizado a entrar, foi a oportunidade para que a equipe de contraespionagem acessasse os arquivos pessoais. Depois do encontro, O’Neill escolheu intencionalmente um caminho de volta onde sabia que haveria um congestionamento, para dar mais tempo a seus companheiros. Descobriram que o agente do FBI, a quem lhe atribuíram o nome em código de Gray Day, dispunha de documentação sensível, que incluía informação sobre o arsenal nuclear dos EUA, e comunicações com agentes russos que se assinavam como Ramón García ou simplesmente como B.

Mas não era suficiente. Só podiam demonstrar que Hanssen dispunha de material secreto conseguido como “infiltrado de confiança” e graças às frágeis medidas de segurança estabelecidas naquela época. Numa ocasião anterior, havia sido flagrado com material sensível e alegou que pretendia justamente demonstrar a falta de proteção. Esse era o seu trabalho.

O FBI necessitava provas de que o destino era vendê-lo à Rússia. Buscas posteriores no seu veículo permitiram encontrar fita adesiva para deixar sinais e material impermeável para embrulhar, o que fazia suspeitar de uma entrega iminente. Mas era necessário surpreendê-lo no ato.

O’Neill decidiu agir. Programou uma visita inesperada ao escritório de um superior, que convidou Hanssen a praticar tiro. As armas eram uma de suas obsessões, e sempre portava uma ou duas. Hanssen não teve tempo de reagir e, pela primeira vez, deixou a PDA na maleta. O assistente dispunha de poucos minutos. Entrou no escritório, pegou o aparelho e correu para uma sala onde colegas o aguardavam para copiar os arquivos. A informação estava criptografada, por isso decidiram cloná-la e decifrá-la mais tarde.

O’Neill teve o tempo justo de retornar ao escritório e devolver o aparelho. Não recordava de qual dos quatro bolsos da maleta tinha retirado a PDA e decidiu deixá-lo em um deles com o temor de que, se Hanssen percebesse, poderia suspeitar e fugir sem completar a entrega.

O espião retornou mal-humorado ao seu escritório e a primeira coisa que fez foi comprovar que o PDA estava na sua pasta. Chamou o assistente à sala e lhe perguntou: “Você esteve no meu escritório?”. O’Neill manteve a calma: “Nós dois estivemos. Eu lhe deixei a memória na bandeja. Você a viu?”. Hanssen guardou silêncio e o olhou fixamente esperando um gesto comprometedor. “Não quero que entre no meu escritório”, concluiu, antes de passar a mão na maleta e deixar as instalações do FBI.

A PDA revelou quando e onde seria a entrega: no domingo, 18 de fevereiro de 2001, às 20h30 no parque Foxstone, na Virgínia. O’Neill relata a cena satisfeito: “Era um dia cinza e frio. Hanssen tinha passado o dia com sua família e seu amigo Jack Hoschouer. Levou-o ao aeroporto e se despediu dele no portão de embarque. Então ainda se podia fazer isso, e não era preciso tirar os sapatos. Quando retornou, pegou os arquivos envoltos em material impermeável e foi para uma ponte de madeira do parque, deixou o pacote num dos pilares sob a estrutura, retornou à trilha e sorriu. Então apareceram os agentes do FBI, que o cercaram apontando as armas na sua direção. ‘As pistolas não são necessárias’, disse”.

A informação apreendida e os registros posteriores revelaram um aspecto até então desconhecido deste membro da Opus Dei, frequentador diário de missas. Robert Hanssen gravava suas relações sexuais com sua esposa e as compartilhava com Hoschouer. Também foram detectadas mensagens em chats da Internet em que descrevia detalhes de sua vida sexual e registros de numerosos encontros com uma bailarina de um clube de strippers de Washington, a quem deixou pouco antes de sua detenção, mas depois de lhe entregar valiosos presentes, incluído um carro da marca Mercedes. Eram evidências da dupla vida que Hanssen levou em todos os âmbitos durante mais de 20 anos, e à qual eram alheias as pessoas mais próximas dele, inclusive sua família. Foi o final daquele que o Departamento de Justiça avalia como “o pior desastre de inteligência na história dos EUA”.

Eric O’Neill, que deixou o FBI depois do caso e fundou o grupo Georgetown, uma empresa de investigação e segurança, conversou com o EL PAÍS. Também figura como especialista em proteção nacional da entidade Carbon Black.

Pergunta. Continua vinculado à contraespionagem?

Resposta. Meu trabalho foi levar minha experiência na captura de espiões à segurança cibernética. As principais companhias tratam de compreender e prever as ameaças antes que ocorram. Existe o elemento humano para identificar riscos e compreender quais são as próximas ameaças na cadeia. E, obviamente, há o componente tecnológico, porque nada disto pode ser feito sem a melhor tecnologia.

P. Onde se detectam as ameaças?

R. É preciso passar muito tempo com equipamentos de análise de ameaças na Deep Web, onde se seguem, compram e vendem todas as ferramentas. E depois se realiza uma engenharia inversa para proteger e encontrar uma solução contra elas.

P. Há uma solução global?

R. Existem muitas companhias de segurança cibernética com boas soluções. As de maior sucesso são as que têm um enfoque de colaboração em grande escala. Um mundo seguro contra os ataques cibernéticos? Acredito que seja muito difícil, devido à Internet. O FBI acaba de emitir uma advertência sobre programas maliciosos capazes de superar a autenticação de dois fatores. Além disso, as pessoas podem ser enganadas só com a engenharia social. Acredito que haja algumas coisas que acontecerão no futuro: vamos adotar completamente a nuvem, porque isso permite usar instantaneamente inteligência artificial e análise, atualizar tudo para enfrentar a ameaça quando ele surgir e antes de ocorrer, assim como proteger tudo o que se encontre no mesmo entorno; por outro lado, as senhas desaparecerão. São arcaicas e o calcanhar de Aquiles para qualquer ataque. Acredito que a biometria será a grande mudança.

P. E as empresas, estão protegidas?

R. Para proteger uma empresa, você precisa ser melhor que os invasores, que sempre buscam a fruta mais baixa [a de acesso mais fácil]. Existe uma teoria de segurança chamada deslocamento: afastar o crime da empresa que você está protegendo, ao fazer que a segurança seja melhor que a de todos os outros. As melhores companhias cibernéticas vão sobreviver e prosperar, e as ruins serão as que fracassarão e afundarão.

P. É preciso renunciar à privacidade por causa da segurança?

R. Estou de acordo com as leis de proteção de dados. São boas. Uma das formas fundamentais de proteger a informação é isolá-la, limitar as pessoas de dentro e fora da empresa que têm acesso a ela, os pontos de acesso. Ao fazê-lo, há mais possibilidades de protegê-la. Por outro lado, o uso da biometria, nos aeroportos por exemplo, pode ser benéfico. Onde está o limite? Qualquer tecnologia pode ser objeto de abuso.

P. O que acha do pagamento de resgate por sequestros informáticos?

R. Se não se paga, o sequestro não faz sentido. É preferível não pagar, mas é preciso levar em conta circunstâncias particulares. Se uma empresa não dispuser de uma cópia de segurança de seus sistemas, pode perder uma enorme quantidade de dinheiro por um sequestro e, possivelmente, falir. Pode-se pensar então que é mais rentável, como decisão comercial, pagar 10.000 dólares. Os sequestradores são inteligentes e sabem onde atacar. Inclusive conhecem a situação financeira da empresa para pedir o que podem pagar. São muito silenciosos, meticulosos e executam, durante meses, ataque lentos onde comprometem múltiplos sistemas, roubam dados e aprendem muitíssimo sobre a empresa ou o Estado ou a prefeitura. Procuram organizações que têm muita pressão, como as prefeituras e os hospitais.

P. A próxima geração de terrorismo será cibernético?

R. Não é a próxima geração, já é. Já ocorreram numerosos ataques a infraestruturas críticas que afetaram os Estados Unidos e outros países. As guerras do futuro não serão com balas e armas, serão no espaço cibernético.