O meu telemóvel foi pirateado? Os sinais que contam e os que não querem dizer nada

Pesquise esta pergunta e vai encontrar sempre a mesma lista: a bateria descarrega depressa, o telemóvel aquece, os dados móveis dispararam. Essas listas não são propriamente falsas, são inúteis, porque cada sintoma tem meia dúzia de explicações banais. Eis o que distingue realmente um sinal a sério de uma simples inquietação.

Porque é que os sintomas do costume não provam nada

Um telemóvel quente com pouca autonomia é, na esmagadora maioria dos casos, um telemóvel com uma bateria envelhecida, uma atualização recente do sistema operativo que ainda está a reindexar, uma aplicação mal comportada, ou pouca rede a obrigar o rádio a esforçar-se mais.

Isto não quer dizer que o sintoma não tenha significado. Quer dizer que não é diagnóstico por si só. Um sintoma presente em milhares de telemóveis saudáveis por cada telemóvel comprometido não lhe consegue dizer qual dos dois é o seu. Trate esses sinais como um motivo para investigar mais, nunca como uma conclusão.

A única notificação que quer mesmo dizer alguma coisa

Se usa um iPhone, existe um sinal que é genuinamente específico.

A Apple envia notificações de ameaça aos utilizadores que acredita terem sido alvo individual de spyware mercenário. Quando deteta atividade compatível com um ataque destes, mostra uma Notificação de Ameaça no topo da página depois de iniciar sessão em account.apple.com, e envia também um email e uma iMessage para os endereços e números associados à Conta Apple.

Há duas coisas que vale a pena perceber bem.

A Apple não explica o que a desencadeou. Nas suas próprias palavras: não pode dar informações sobre o que a leva a emitir notificações de ameaça, porque isso poderia ajudar os atacantes a adaptar o seu comportamento para escapar à deteção no futuro. Ou seja, não há nenhuma checklist que se possa deduzir a partir de uma notificação.

Estes ataques visam pouquíssimas pessoas. A Apple descreve o spyware mercenário como algo muitíssimo mais complexo do que a criminalidade informática comum e o malware de consumo, com custos de milhões de dólares, dirigido a um número muito reduzido de pessoas concretas e muitas vezes com uma vida útil curta. Os alvos são normalmente pessoas visadas por aquilo que são ou pelo que fazem: jornalistas, ativistas, diplomatas, altos responsáveis.

Para a esmagadora maioria de quem está a ler isto, não é isso que está a acontecer. Dizê-lo com clareza é mais útil do que alimentar a preocupação.

As verificações que valem mesmo a pena

São concretas, verificáveis e demoram poucos minutos. Cobrem também o problema bem mais frequente, que não é spyware mas sim uma conta comprometida.

Veja os dispositivos associados à sua conta. Tanto a Apple como a Google listam todos os dispositivos com sessão iniciada na sua conta. Um dispositivo desconhecido nessa lista é um sinal muito mais forte do que qualquer sintoma de bateria, e aponta para o risco real: alguém com as suas credenciais, e não software instalado no aparelho.

Reveja as permissões das aplicações, sobretudo as de acessibilidade. Os serviços de acessibilidade conseguem ler o conteúdo do ecrã e simular toques, que é exatamente o que uma aplicação maliciosa quer. Verifique que aplicações têm essa permissão e se cada uma delas tem razão para a ter.

Verifique que aplicações podem instalar outras aplicações e se está ativo algum administrador de dispositivo que não reconheça.

Veja o que está realmente instalado, incluindo aplicações sem ícone no menu. Num telemóvel configurado por outra pessoa ou a que alguém teve acesso físico, é aí que se esconderia uma aplicação de stalkerware.

Verifique o reencaminhamento de correio e as opções de recuperação da sua conta de email. Se alguém quisesse acesso persistente, era aí que o colocaria, e isso sobrevive a qualquer limpeza do telemóvel.

Quando a verdadeira história é o acesso físico

O stalkerware de consumo é um problema diferente do spyware mercenário, e é muito mais comum. Costuma exigir que alguém tenha tido o seu telemóvel desbloqueado nas mãos.

Se essa for uma hipótese realista no seu caso, a checklist técnica é secundária. Mudar as palavras-passe a partir de um dispositivo em que a outra pessoa nunca tocou, e ativar a autenticação de dois fatores, conta mais do que qualquer análise. Se estiver numa situação em que a sua segurança pessoal pode estar em risco, uma organização de apoio é um primeiro contacto melhor do que um fórum de segurança.

Se recebeu mesmo uma notificação de ameaça da Apple

Leve-a a sério e não improvise. A Apple sugere explicitamente que procure ajuda especializada e indica a assistência de segurança de emergência e resposta rápida da Digital Security Helpline, gerida pela organização sem fins lucrativos Access Now, contactável a qualquer hora através do respetivo site.

Este é um dos raros casos em que a atitude certa é parar de seguir conselhos genéricos, incluindo este artigo, e falar com quem trata destes casos.

O resumo honesto

A maioria dos telemóveis que parecem pirateados não está. Os sintomas que toda a gente enumera são experiências reais com causas banais, e tomá-los como prova leva as pessoas a reinstalar tudo enquanto o problema verdadeiro, uma conta comprometida, fica intocado.

Verifique os dispositivos associados à sua conta, reveja as permissões de acessibilidade e as aplicações instaladas, e proteja a conta de email que consegue repor tudo o resto. Se receber uma notificação de ameaça da Apple, isso é outra coisa, e merece ajuda especializada em vez de uma checklist.

A descrição das notificações de ameaça da Apple, incluindo a afirmação de que a Apple não revela o que as desencadeia e o encaminhamento para a Digital Security Helpline da Access Now, é retirada da própria documentação de apoio da Apple, consultada à data de redação. Este artigo não afirma detetar spyware direcionado; nenhuma ferramenta de consumo o faz. As ligações comerciais têm o atributo rel=“sponsored nofollow”; pode aplicar-se uma comissão de afiliado sem custo adicional para si.