Por Jack Stubbs e Raphael Satter e Christopher Bing
LONDRES/WASHINGTON (Reuters) - Uma desconhecida empresa indiana de tecnologia da informação ofereceu serviços hackers para ajudar clientes a espionar mais de 10 mil contas de email ao longo de sete anos.
A BellTroX InfoTech Services, sediada em Nova Delhi, teve como alvo autoridades de governos na Europa, magnatas de jogos de azar nas Bahamas e investidores conhecidos nos Estados Unidos, incluindo a gigante de private equity KKR e a Muddy Waters, segundo três ex-funcionários, pesquisadores externos e um rastro de evidências online.
Aspectos dos ataques hackers da BellTroX voltados para alvos norte-americanos estão atualmente sob investigação da polícia dos EUA, disseram cinco pessoas familiarizadas com o assunto à Reuters. O Departamento de Justiça dos EUA se recusou a comentar.
A Reuters não conhece a identidade dos clientes da BellTroX. Em uma entrevista por telefone, o proprietário da empresa, Sumit Gupta, se recusou a divulgar quem o contratou e negou qualquer irregularidade.
O fundador da Muddy Waters, Carson Block, disse que ficou "decepcionado, mas não surpreso, ao saber que provavelmente fomos alvos de hackers por um cliente da BellTroX". A KKR se recusou a comentar.
Pesquisadores do grupo de vigilância da Internet Citizen Lab, que passaram mais de dois anos mapeando a infraestrutura usada pelos hackers, divulgaram um relatório nesta terça-feira dizendo que estavam confiantes de que os funcionários da BellTroX estavam por trás da campanha de espionagem.
"Esta é uma das maiores operações de espionagem contratada já expostas", disse o pesquisador do Citizen Lab, John Scott-Railton.
Na lista de alvos estão juízes da África do Sul, políticos do México, advogados da França e grupos ambientais dos Estados Unidos. Essas dezenas de pessoas, entre as milhares visadas pela BellTroX, não responderam a mensagens ou recusaram comentar.
A Reuters não conseguiu estabelecer quantas das tentativas de invasão foram bem-sucedidas.
Gupta, da BellTroX, foi acusado em um caso hacker em 2015, no qual dois investigadores particulares dos EUA admitiram pagar a ele para invadir contas de executivos de marketing. Gupta foi declarado fugitivo em 2017 e o Departamento de Justiça dos EUA se recusou a comentar sobre o status atual do caso ou se um pedido de extradição foi emitido.
Falando por telefone em sua casa em Nova Delhi, Gupta negou o uso de hackers e disse que nunca havia sido contatado pela polícia. Ele disse que só havia ajudado investigadores particulares a baixar mensagens de caixas de entrada de email depois que eles forneceram as informações de login.
"Não os ajudei a acessar nada, apenas os ajudei a baixar os emails e eles me forneceram todos os detalhes", disse ele à Reuters. "Não sei como eles conseguiram esses detalhes, mas estava apenas ajudando-os com o suporte técnico."
A Reuters não conseguiu determinar por que os investigadores particulares precisarariam de Gupta para baixar emails, se ele já estavam de posse das credenciais de acesso, como afirma Gupta. Ele não retornou mensagens posteriores e se recusou repetidamente a falar quando um repórter da Reuters o visitou em seu escritório na segunda-feira. Porta-vozes da polícia de Nova Délhi e do Ministério das Relações Exteriores da Índia não responderam a pedidos de comentários.