Por Joel Schectman e Dustin Volz e Jack Stubbs
WASHINGTON/MOSCOW (Reuters) - Firmas de tecnologia como Cisco, IBM (NYSE:IBM) e SAP estão se curvando à demanda de Moscou para dar acesso a segredos de segurança de produtos cuidadosamente guardados, no momento em que o país tem sido acusado de crescentes ataques cibernéticos no Ocidente, segundo uma investigação da Reuters.
Autoridades russas têm pedido permissão às empresas para revisar o código-fonte de produtos de segurança, como firewalls, aplicativos antivírus e software com criptografia, antes de permitir que os produtos sejam importados e vendidos no país. Os pedidos, que cresceram desde 2014, são feitos frequentemente para garantir que agências estrangeiras de espionagem não tenham escondido nenhuma "porta traseira" que lhes permita ingressar nos sistemas russos.
Mas essas inspeções também proporcionam aos russos a oportunidade de encontrar vulnerabilidades nos códigos-fonte dos produtos - instruções que controlam as operações básicas do equipamento de informática - disseram funcionários atuais e antigos dos EUA e especialistas em segurança.
Enquanto várias firmas americanas dizem que estão entrando no jogo para preservar a entrada no enorme mercado russo de tecnologia, pelo menos uma, a Symantec, disse à Reuters que deixou de cooperar com as revisões do código-fonte devido a preocupações com segurança. O fim da cooperação não havia ainda sido anunciado ainda.
A Symantec disse que um dos laboratórios que examina seus produtos não era suficientemente independente do governo russo.
Funcionários dos EUA dizem terem advertido as empresas sobre os riscos de permitir que os russos revisem o código-fonte de seus produtos, com medo de que possam ser usado em ataques cibernéticos. Mas eles dizem não ter autoridade legal para parar a prática, a menos que a tecnologia seja restrita para uso militar ou que as sanções dos Estados Unidos sejam violadas.
As empresas dizem que estão sob pressão para concordar com as demandas dos reguladores russos ou correr o risco de sair de um mercado lucrativo. As empresas dizem que só permitem que a Rússia inspecione os códigos-fonte em instalações seguras que impedem que o código seja copiado ou alterado.
As demandas estão sendo feitas pelo Serviço Federal de Segurança da Rússia (FSB), que o governo dos EUA acusa de ter participado dos ataques cibernéticos na campanha presidencial 2017 de Hillary Clinton e no roubo de 500 milhões de contas de email do Yahoo em 2014. O FSB, que negou envolvimento em ambos os casos, atua como regulador e encarregado de aprovar a venda de produtos tecnológicos sofisticados na Rússia.
As inspeções também são feitas pelo Serviço Federal de Controle Técnico e de Exportação (FSTEC), agência de defesa russa encarregada de combater a espionagem cibernética e proteger segredos de Estado. Registros publicados pela FSTEC e analisados pela Reuters mostram que de 1996 a 2013 foram feitas inspeções de código-fonte como parte de aprovações para 13 produtos de tecnologia de empresas ocidentais. Nos últimos três anos, foram 28 inspeções.
Um porta-voz do Kremlin encaminhou todas as perguntas ao FSB, que não respondeu a pedidos de comentários. A FSTEC disse que suas inspeções estão de acordo com a prática internacional. O Departamento de Estado dos EUA não quis comentar.
Os pedidos de códigos-fonte de Moscou cresceram desde que as relações com os EUA entraram em colapso, desde a anexação da Crimeia pela Rússia em 2014, de acordo com autoridades atuais e antigas dos EUA, quatro executivos de empresas, três advogados comerciais dos EUA e documentos regulatórios russos.
Além da IBM, da Cisco e da alemã SAP, a Hewlett Packard e a McAfee deixaram a Rússia fazer revisões de código-fonte de seus produtos, segundo pessoas a par das interações das empresas com os registros regulatórios russos.
Até agora, pouco se sabe sobre esse processo de revisão regulatória fora da indústria.
Roszel Thomsen, advogado que ajuda empresas de tecnologia dos EUA a navegar pelas leis de importação da Rússia, disse que as empresas devem ponderar os perigos de revelar o código-fonte para os serviços de segurança russos temendo perder vendas.
"Algumas empresas se recusam", disse ele. "Outras olham para o mercado potencial e assumem o risco".
Se as empresas recusarem os pedidos de código-fonte do FSB, a aprovação de seus produtos pode ser indefinidamente adiada ou negada de forma definitiva, disseram advogados e funcionários do governo dos EUA. Espera-se que o mercado russo de tecnologia da informação valha 18,4 bilhões de dólares este ano, de acordo com a pesquisadora de mercado International Data Corporation (IDC).
Os pedidos de código-fonte não são exclusivos da Rússia. Nos EUA, as empresas de tecnologia permitem que o governo audite o código-fonte em casos limitados como parte de contratos de defesa e outros trabalhos sensíveis. A China, por vezes, também exige revisões de código-fonte como condição para importar software comercial, dizem advogados de comércio dos EUA.