Andrés só pergunta pelo tempo
Andrés é venezuelano. Trabalha em uma frutaria do bairro há anos. Um dia perguntei como estava sua família lá, nos piores momentos do regime.
"No meu país sempre faz bom tempo", disse-me.
Não entendi. Insisti. E então ele me explicou: "Eu só posso falar com minha família pelo WhatsApp, porque as chamadas não funcionam bem. Mas é preciso ter muito cuidado com o que se escreve. Não sabemos se alguém pode ler as conversas. O que sabemos é que, a qualquer momento, podem deter qualquer pessoa e a primeira coisa que fazem é abrir o telefone dela. Se você não der o PIN, são bofetadas e uma cela até que o dê. E se encontrarem algo de que não gostem no WhatsApp, com sorte é uma surra e uns dias de xadrez. Com má sorte, essa pessoa desaparece."
"Por isso, quando falo com eles, basicamente pergunto como está o tempo. Se eles me respondem, pelo menos sei que estão vivos."
Andrés não é um criminoso. Não tem nada a esconder. Mas vive em um mundo onde uma frase escrita em um chat pode destruir la vida de alguém que ele ama.
Não é preciso ser um criminoso para precisar de privacidade
Pense em um advogado que fala com seu cliente sobre uma estratégia de defesa. A conversa é legítima e legal, mas contém informações que, tiradas de contexto, poderiam ser devastadoras. Esse advogado tem a obrigação profissional e legal de manter essa conversa confidencial.
Pense em um casal jovem. Ela vive com os pais. Eles mantêm conversas íntimas, completamente legítimas, mas que pertencem à sua esfera mais privada. Eles têm direito a que essas palavras não existam em nenhum servidor que possa ser hackeado, vendido ou requisitado judicialmente.
Pense em um profissional autônomo que fala com seu contador sobre como otimizar seus impostos. Ele pode estar de um lado ou do outro da linha — isso é problema dele. Se pudessem estar sentados em um escritório, ninguém ouviria essa conversa. Por que deveria ser diferente se falam à distância?
Ou pense em um jornalista no Irã, enquanto caem mísseis ao seu redor, tentando se comunicar com sua redação em Paris. Ou um imigrante em Madrid falando com seus pais que ficaram lá.
Todas essas pessoas precisam de privacidade. Nenhuma delas é criminosa.
A armadilha da criptografia perfeita
Em 2018, o FBI criou uma empresa que vendia telefones celulares criptografados. A marca chamava-se Anom. Vendia-se como a alternativa mais segura do mercado. Durante três anos, mais de 12.000 dispositivos foram distribuídos em mais de 100 países. Os usuários falavam com total confiança.
O que não sabiam era que cada mensagem chegava também aos servidores do FBI. Cada palavra. Cada foto. Cada plano.
Em junho de 2021, a Operação Trojan Shield tornou-se pública. Mais de 800 detidos em 16 países. Foi a maior operação policial coordenada da história.
Não foi uma falha técnica. A criptografia era real. A tecnologia funcionava. El problema era quem estava por trás e o que ganhava com isso.
Não é um caso isolado. Durante mais de 50 anos, a empresa suíça Crypto AG vendeu máquinas de criptografia para mais de 120 governos. O que ninguém soube até 2020 é que a Crypto AG era propriedade secreta da CIA e do serviço de inteligência alemão. As máquinas funcionavam, mas com uma fraqueza deliberada que permitia que seus verdadeiros donos lessem tudo.
Irã, Índia, Paquistão, o Vaticano, juntas militares latino-americanas. Todos confiaram. Nenhum se perguntou por que alguém tinha tanto interesse em vender-lhes criptografia barata.
A pergunta que você deveria fazer sempre
Se alguém lhe oferece algo e você não entende o que essa pessoa ganha em troca, desconfie. Não porque todo mundo tenha más intenções — mas porque entender o modelo de negócio é a forma mais básica de avaliar se você pode confiar em um serviço.
Quando você usa o WhatsApp, sabe o que o Meta ganha: seus dados, seus hábitos, sua atenção para vender publicidade. Você pode concordar ou não, mas pelo menos entende a troca.
Mas quando alguém lhe oferece um serviço de comunicação criptografada, completamente grátis, sem publicidade, sem assinatura e sem um modelo de negócio visível — a pergunta não é se a criptografia é boa. A pergunta é: quem financia isso e por quê?
O que realmente importa
Existem sinais que ajudam a avaliar uma ferramenta de privacidade. Código aberto, auditorias de segurança, jurisdição europeia. Todas são positivas. Mas nenhuma é uma garantia absoluta.
O código aberto significa que alguém pode revisar o que a aplicação faz. Mas sejamos honestos: 99,9% dos usuários nunca lerão uma linha de código. E a história está cheia de vulnerabilidades gravíssimas que viveram durante anos em projetos open source revisados por milhares de pessoas sem que ninguém as detectasse.
As auditorias de segurança são valiosas. Mas as auditorias são pagas com dinheiro, e o dinheiro é o meio mais simples de comprar vontades. Uma auditoria diz que o código estava limpo no dia em que foi revisado. Não diz nada sobre o que foi alterado depois.
Você pode ter o melhor código do mundo, auditado e aberto, mas se os seus dados passam por um servidor — mesmo que por um segundo, mesmo que estejam criptografados — alguém tem acesso físico a esse servidor. E esse alguém pode estar em um país onde um juiz, um governo ou uma nota alta de dinheiro podem abrir qualquer porta.
O que realmente protege você não é uma promessa de que "não lemos seus dados". O que protege você é uma arquitetura onde seus dados nunca saem das suas mãos. Onde não há servidor para comprometer, não há backup para vazar, não há porta traseira para abrir.
A confiança não se ganha de presente
Os usuários da Anom confiaram porque o produto funcionava. Os clientes da Crypto AG confiaram porque a marca era respeitável. Andrés não confia no WhatsApp, mas não tem alternativa.
A confiança em uma ferramenta de privacidade não pode basear-se no fato de que ela "funciona bem". Tem que basear-se no fato de que você entende quem está por trás, o que ganha e o que acontece com seus dados se amanhã essa empresa fechar, mudar de dono ou receber uma ordem judicial de um país que não é o seu.
A próxima vez que alguém lhe recomendar um aplicativo de mensagens seguras, não olhe primeiro para as funções nem para o design. Veja quem paga por ele. Se a resposta não convencer você, procure outro.