Milhões de pessoas na Alemanha trocam mensagens todos os dias em grupos do WhatsApp - com familiares, amigos, colegas ou pessoas de associações. O que muita gente não percebe é que uma configuração automática do app facilita a ação de criminosos. Pesquisadores do Google Project Zero e da empresa de segurança Malwarebytes mostraram como invasores podem explorar essa falha em grupos novos. A boa notícia é que ela pode ser bastante reduzida com poucos toques.
Por que os grupos do WhatsApp representam um risco para a sua privacidade
Quase todo mundo já passou por isso: de repente, surge um grupo novo no histórico de conversas, criado por alguém que simplesmente colocou você lá. Você nunca aceitou o convite, mal conhece metade das pessoas - e ainda assim o seu número fica visível para todos.
Esses grupos costumam aparecer em contextos como:
- encontros de família com fotos de férias e das crianças
- grupos de amigos para organizar festas ou viagens
- grupos de trabalho ou de projetos no escritório
- chats de vizinhança, creche ou associação
- grupos informativos sobre notícias locais ou hobbies
O que parece inofensivo tem um lado delicado: em grupos com desconhecidos, pessoas que você nunca viu passam a enxergar o seu número de celular. Conforme as configurações, elas também podem ver sua foto de perfil, seu status e eventuais textos de informação. Isso pode abrir espaço para:
- spam e publicidade indesejada por WhatsApp ou SMS
- mensagens de phishing que tentam roubar senhas ou códigos TAN
- revenda do seu número para comerciantes de dados duvidosos
- ataques de engenharia social direcionados ao seu círculo de convivência
Um único grupo novo com as pessoas erradas já basta para que seu telefone e seu perfil caiam no meio de uma roda inadequada.
Como invasores usam grupos novos do WhatsApp para atacar
Os pesquisadores do Google Project Zero e do Malwarebytes descrevem um cenário assustadoramente simples: para iniciar o ataque, o criminoso precisa apenas de um contato da vítima. Por meio desse contato, ou com o número já disponível, é possível criar um novo grupo em que a pessoa alvo acaba incluída.
Dentro desse grupo recém-criado, o invasor pode então enviar um arquivo específico - por exemplo, uma imagem preparada, um vídeo ou outro tipo de mídia. Em aparelhos Android, entra em cena a configuração perigosa: em grupos, os arquivos são baixados automaticamente, sem que ninguém precise tocar em “Baixar”.
Foi exatamente esse download automático que serviu como porta de entrada nos testes. Uma mídia manipulada de forma direcionada podia ser usada, em segundo plano, como caminho para um ataque. Os pesquisadores falam em um método “relativamente fácil de reproduzir” assim que se tem uma lista de números-alvo.
O foco principal está em pessoas que lidam com dados sensíveis - como funcionários de empresas, órgãos públicos ou da área de saúde. Ainda assim, a técnica vale, em princípio, para qualquer pessoa cujo app não tenha essa configuração ajustada.
O núcleo do problema: uma configuração do WhatsApp
A boa notícia é que não se trata de uma superfalha mágica que, sem nenhuma ação sua, toma conta de todo o celular. O ponto decisivo é uma configuração padrão que você mesmo pode alterar.
O problema envolve dois aspectos no WhatsApp:
- Quem pode adicioná-lo a grupos sem pedir permissão?
- As mídias em conversas devem ser baixadas automaticamente para o celular?
Por padrão, o WhatsApp permite muito mais do que muita gente considera aceitável. Especialmente usuários que “configuraram uma vez e nunca mais mexeram” acabam convivendo com opções inseguras.
Ao ajustar os controles certos, você tira dos invasores boa parte da superfície de ataque - sem abrir mão da praticidade.
Passo 1: Defina quem pode convidá-lo para grupos
A primeira camada de proteção é sobre os convites para grupos. Veja como configurar isso no seu celular:
No Android e no iPhone
Abra o WhatsApp e siga estas etapas:
- Configurações (ícone de engrenagem)
- Privacidade
- Grupos
Ali, normalmente aparecem três opções:
| Opção | Significado | Recomendação |
|---|---|---|
| Todos | Qualquer pessoa pode adicioná-lo diretamente a grupos. | não recomendado |
| Meus contatos | Somente pessoas da sua agenda podem adicioná-lo. | boa configuração padrão |
| Meus contatos, exceto … | Permite excluir contatos, como quem vive criando grupos irritantes. | para controle mais detalhado |
Para a maioria das pessoas, “Meus contatos” é a escolha mais sensata. Quem prefere máxima cautela pode usar “Meus contatos, exceto …” para bloquear também aqueles números que insistem em abrir grupos novos o tempo todo.
Passo 2: Desative o download automático de mídias
O segundo ajuste está ligado diretamente à falha descrita pelos pesquisadores: o download automático de fotos, vídeos e outros arquivos.
Como mudar a configuração no Android
No WhatsApp para Android, faça o seguinte:
- Abra as Configurações.
- Toque em Armazenamento e dados.
- Ali você encontra as áreas de Download autom. de mídia ou nome semelhante, dependendo da versão.
- É possível definir separadamente para:
- dados móveis
- Wi-Fi
- roaming
Em todos os três itens, desmarque imagens, áudio, vídeos e documentos. Assim, nenhum arquivo será baixado sem a sua confirmação ativa.
Também vale a pena no iPhone
No iPhone existe uma área parecida. Também lá compensa restringir bastante ou até desativar por completo o download automático. Você ganha mais controle e, de quebra, economiza dados e espaço de armazenamento.
O equilíbrio ideal: baixar automaticamente apenas mídias de conversas individuais com contatos de confiança e, em grupos, sempre confirmar manualmente.
Obrigatoriedade de atualização: por que a versão mais recente do WhatsApp é tão importante
Segundo Malwarebytes e Google Project Zero, o WhatsApp lançou uma atualização com correção para a falha descrita. Ainda assim, um ponto permanece: correções de segurança só funcionam quando os usuários as instalam.
Por isso, verifique com frequência se o WhatsApp oferece atualização na App Store ou na Play Store. Em muitos aparelhos, é possível ativar atualizações automáticas - assim, as correções de segurança chegam ao celular sem nenhuma ação sua.
Quem lida profissionalmente com informações confidenciais deve instalar atualizações sempre que possível, seja para o WhatsApp, seja para o navegador ou para qualquer outro app.
Como identificar grupos suspeitos e reagir da forma certa
Além das configurações, o bom senso ajuda bastante. Alguns sinais de alerta merecem atenção:
- você não conhece ninguém no grupo, ou conhece apenas uma pessoa de longe
- links, arquivos ZIP ou aplicativos desconhecidos aparecem logo de início
- as mensagens pressionam você (“urgente”, “clique agora”, “ou sua conta será bloqueada”)
- vários participantes usam fotos de perfil genéricas ou números de diferentes países
Nesses casos, o ideal é:
- não abrir arquivos que você não esperava receber explicitamente
- não tocar em links que pareçam estranhos ou contenham textos mal traduzidos
- sair do grupo se a sensação ruim persistir
- denunciar o administrador do grupo ou números individuais se o conteúdo for claramente fraudulento
O que significa o termo “vetor de ataque”
Nos relatórios de pesquisadores de segurança, o termo “vetor de ataque” aparece com frequência. Ele quer dizer, de forma simples, o caminho que um invasor usa para comprometer um sistema. No caso dessa falha do WhatsApp, o vetor foi: grupo novo + mídia baixada automaticamente.
Esses vetores mudam o tempo todo. No passado, eram principalmente anexos de e-mail; depois, documentos do Office; hoje, são apps, serviços de mensagens e, às vezes, até imagens ou vídeos. Quem entende que quase toda função de conveniência também pode trazer risco passa a configurar seus serviços com mais consciência.
Por que um pouco menos de conforto traz muito mais segurança
Downloads automáticos e convites livres para grupos deixam o dia a dia um pouco mais prático. Você não precisa baixar cada imagem manualmente nem confirmar convites; tudo acontece “sozinho”. É exatamente isso que os invasores gostam de explorar: onde ninguém pergunta, ninguém analisa com criticidade.
Por outro lado, quem remove dois ou três marcadores nas configurações recupera o controle. As mídias deixam de entrar no armazenamento sem pedir. Os novos grupos deixam de chegar de surpresa. E mesmo que exista alguma falha ainda não descoberta, o caminho para explorá-la fica mais difícil.
No fim das contas, a conta é simples: tocar rapidamente no próprio menu do WhatsApp uma vez ou aceitar o risco de que pessoas desconhecidas usem uma função discreta de grupos para acessar mais dados do que você gostaria. Os poucos minutos investidos em uma configuração segura se pagam repetidamente no dia a dia.
Comentários
Ainda não há comentários. Seja o primeiro!
Deixar um comentário