WhatsApp perde nova disputa judicial contra a NSO Group por falta de provas
A Justiça federal dos Estados Unidos rejeitou uma tentativa do WhatsApp de demonstrar que a NSO Group descumpriu uma ordem judicial relacionada ao uso da infraestrutura do aplicativo em operações de espionagem. Na decisão publicada em 16 de outubro de 2026, a juíza Phyllis Hamilton concluiu que a plataforma não apresentou evidências claras e convincentes de uma nova violação.
O caso está ligado ao Pegasus, spyware desenvolvido pela empresa israelense NSO Group. Em 2019, cerca de 1.400 usuários do WhatsApp foram alvos de ataques associados à ferramenta. O programa pode comprometer celulares por meio de técnicas chamadas zero-click, que não exigem que a vítima clique em um link ou execute qualquer outra ação.
Em 2025, uma decisão judicial determinou que a NSO Group interrompesse o uso não autorizado dos sistemas do WhatsApp e estabeleceu uma penalidade de US$ 4,4 milhões. Na ocasião, o tribunal reconheceu que a empresa havia recorrido à infraestrutura da plataforma para atingir usuários e, em alguns casos, instalar ferramentas de vigilância nos dispositivos.
O WhatsApp voltou à Justiça em junho de 2026, alegando que as atividades continuavam por meio de campanhas de spear phishing. Esse tipo de ataque usa mensagens personalizadas para convencer pessoas específicas a abrir links maliciosos.
Como parte de sua argumentação, a empresa apresentou uma declaração de Andrew Blaich, engenheiro de segurança da equipe de inteligência de ameaças da Meta. Ele afirmou que a investigação identificou 23 contas no WhatsApp com características técnicas e comportamentais semelhantes às observadas em testes atribuídos anteriormente à NSO Group.
Entre os elementos analisados estavam padrões de criação de contas, dados sobre dispositivos e conexões com infraestrutura relacionada à fabricante do Pegasus. A Meta também associou à empresa o envio de URLs maliciosas pelo aplicativo em fevereiro e abril de 2026. Para sustentar essa ligação, avaliou características dos endereços, redirecionamentos, modelos das mensagens e perfis dos possíveis alvos.
A juíza, porém, considerou que esse conjunto de informações não comprovava de forma suficiente a participação da NSO Group nas ações denunciadas. O WhatsApp explicou que não forneceu mais detalhes técnicos por receio de expor métodos internos de investigação e, com isso, facilitar a atuação de futuros invasores.
Hamilton avaliou que a plataforma assumiu o risco de apresentar provas menos detalhadas ao optar por preservar essas técnicas. A magistrada também entendeu que a ordem anterior não estabelecia de maneira inequívoca a proibição de todas as formas de uso de contas que já existiam no aplicativo.
A decisão não desfaz a condenação de 2025 nem revoga a ordem que restringe o uso da infraestrutura do WhatsApp pela NSO Group. O resultado se limita à nova alegação: para o tribunal, os elementos apresentados não bastaram para confirmar que houve outra infração.
A decisão reacendeu o debate sobre como responsabilizar empresas de spyware sem obrigar plataformas a revelar mecanismos de segurança. Organizações de defesa dos direitos digitais criticaram a exigência de provas mais detalhadas, argumentando que a exposição de métodos de detecção pode ajudar tanto fabricantes de ferramentas de espionagem quanto outros agentes maliciosos.
Natalia Krapiva, consultora jurídica sênior da Access Now, afirmou que a divulgação dessas técnicas poderia fornecer informações úteis à própria NSO Group, a serviços de inteligência, a desenvolvedores de exploits e a criminosos interessados em entender como operações sofisticadas são identificadas. Na avaliação dela, exigir que empresas abram esses métodos pode dificultar a responsabilização de fornecedores de spyware.
O dilema não é novo. Em setembro de 2024, a Apple abandonou um processo contra a NSO Group, alegando que a continuidade da disputa poderia expor informações essenciais sobre seus mecanismos de segurança. Casos desse tipo mostram o desafio de apresentar provas robustas sem entregar detalhes que possam comprometer a defesa de usuários e dispositivos.
A ausência de informações técnicas completas também pode dificultar a análise judicial de ataques digitais. Registros de tráfego, padrões de comportamento e dados de infraestrutura ajudam a identificar responsáveis, mas nem sempre demonstram, isoladamente, quem organizou uma operação. Em investigações desse tipo, atribuir um ataque exige distinguir indícios de uma comprovação capaz de sustentar uma decisão legal.
Para usuários, o episódio reforça a importância de manter aplicativos e sistemas operacionais atualizados, ativar recursos de proteção disponíveis e desconfiar de mensagens inesperadas, mesmo quando parecem personalizadas. Essas medidas não eliminam todos os riscos, especialmente diante de ataques que não dependem de interação, mas podem reduzir a exposição a diversas ameaças digitais.
Até a publicação da reportagem original, WhatsApp e NSO Group não haviam comentado o novo resultado judicial.