Ter a família, amigos ou colegas reunidos num grupo de WhatsApp costuma significar fotografias de férias, organização de aniversários ou conversas sobre o escritório - e quase nunca segurança informática. É precisamente aí que reside o problema: uma funcionalidade comum da aplicação facilita a vida aos utilizadores, mas pode também abrir uma porta de entrada para atacantes, como estão agora a demonstrar investigadores de segurança.
Porque é que os grupos do WhatsApp podem tornar-se um risco
Hoje em dia, quase toda a gente faz parte de vários grupos no WhatsApp: chat da família, grupo de amigos, equipa do clube desportivo, pais e encarregados de educação, projecto no trabalho ou até canais informais da vizinhança. Muitas adesões acontecem “em piloto automático” e, por vezes, só se dá por isso quando começam a aparecer dezenas de mensagens.
Em muitos casos, basta uma única pessoa ter o seu número para o conseguir adicionar a um grupo novo. A partir desse momento, o seu número de telemóvel fica visível para desconhecidos - frequentemente acompanhado da fotografia de perfil e do estado. Para a maioria, isto é apenas incómodo; para um atacante, pode ser o ponto de partida ideal.
Investigadores de segurança do Project Zero da Google e da empresa Malwarebytes alertam: quando alguém é colocado nestes grupos, pode passar a ser alvo de acções dirigidas. Em teoria, o agressor precisa apenas de pelo menos um contacto real da vítima para a inserir num grupo criado de propósito e, a partir daí, desencadear o ataque.
"O verdadeiro perigo não está no chat de grupo em si, mas numa definição padrão que descarrega automaticamente multimédia para o dispositivo."
A falha: download automático de multimédia
O foco está numa opção que muitas pessoas nem se lembram de ter activado: o download automático de imagens, vídeos, mensagens de voz e documentos. Em muitos smartphones Android, o WhatsApp descarrega, por defeito, ficheiros enviados em grupos em segundo plano - sem ser necessário tocar ou confirmar.
É aqui que entra o cenário de ataque descrito pelos investigadores. Segundo a Malwarebytes, o problema afecta o WhatsApp no Android e está ligado precisamente ao download automático em grupos recém-criados. Um conteúdo multimédia especialmente preparado - por exemplo, um ficheiro de imagem ou vídeo - pode ser suficiente para tentar explorar falhas de segurança no sistema.
Importa sublinhar: não se trata de dizer que qualquer ficheiro é perigoso. O que torna a situação particularmente sensível é a combinação de:
- um grupo novo ao qual é adicionado de repente;
- participantes parcialmente desconhecidos;
- multimédia descarregada automaticamente.
Quem guarda contactos sensíveis ou informação profissional no telemóvel dificilmente quer aceitar este risco como “normal”.
Como é que os atacantes podem actuar
Ataques deste tipo interessam, sobretudo, a alvos cujos dados têm valor elevado: gestores de topo, figuras políticas, jornalistas e pessoas em funções sensíveis. Na prática, porém, pode afectar qualquer pessoa que encaixe no perfil de interesse de um burlão - do pequeno empresário ao dirigente associativo activo, passando por quem tem maior exposição online.
Depois de reunir uma lista de potenciais vítimas, em teoria basta ao atacante ter um contacto em comum para criar um grupo novo no WhatsApp. Nesse grupo, pode partilhar um ficheiro manipulado que - se o download automático estiver activo - acaba por ser guardado directamente nos dispositivos dos participantes.
"Quanto menos controlo os utilizadores tiverem sobre entradas em grupos e downloads de ficheiros, mais atractivo o WhatsApp se torna para ataques dirigidos."
Estas definições devem ser verificadas já
A boa notícia é que o risco pode ser reduzido de forma clara com poucos ajustes. Há três áreas que merecem atenção imediata.
1. Quem o pode adicionar a grupos?
Em muitos casos, a configuração está definida para permitir que qualquer pessoa com o seu número crie um grupo e o adicione. É preferível limitar essa permissão:
- Abra o WhatsApp no seu smartphone.
- Entre em Definições.
- Aceda a Privacidade.
- Procure Grupos ou Quem me pode adicionar a grupos.
- Altere de Todos para Os meus contactos.
- Opcional: crie uma lista de contactos a excluir explicitamente.
Desta forma, evita que desconhecidos - que obtiveram o seu número de alguma forma - o coloquem directamente em grupos.
2. Travar o download automático de multimédia
O segundo ponto crítico está nas opções de Armazenamento e dados. É aqui que se define se fotos, vídeos e outros ficheiros são transferidos para o telemóvel sem qualquer intervenção.
Siga estes passos:
- No WhatsApp, abra Definições.
- Toque em Armazenamento e dados (ou num menu com nome semelhante).
- Em Download automático de multimédia, verifique as opções para Dados móveis, Wi‑Fi e Roaming.
- Desactive o download automático - pelo menos para grupos; em caso de dúvida, desactive-o de forma mais abrangente.
A partir daí, terá de tocar num ficheiro para o descarregar. Pode ser menos cómodo, mas ajuda a impedir que conteúdos potencialmente perigosos sejam guardados no dispositivo sem que se aperceba.
3. Manter o WhatsApp sempre actualizado
Segundo os investigadores de segurança, o WhatsApp já disponibilizou uma correcção (patch). Ou seja, versões mais recentes da aplicação fecham a vulnerabilidade identificada. Quem ignora actualizações pode continuar a usar uma versão exposta.
Por isso, verifique com regularidade na loja de aplicações se existe uma nova versão do WhatsApp e instale-a o quanto antes. Em apps de mensagens, muitas correcções de segurança surgem discretamente nas notas de actualização, sem grande destaque.
Porque é que os grupos são tão apetecíveis para quem recolhe dados
Os grupos geram um “ruído de fundo” constante de mensagens. No meio desse fluxo, ficheiros estranhos ou links suspeitos podem passar despercebidos, sobretudo quando as pessoas apenas fazem scroll rapidamente. Além disso, um atacante consegue ver de imediato quem está ligado a quem no mesmo chat: família, colegas, membros de uma associação, turma de uma escola.
Com essa informação, torna-se mais simples personalizar burlas - por exemplo, falsos pedidos de donativos, supostas marcações de datas com links duvidosos ou até usurpação de identidade em nome de alguém conhecido dentro do grupo.
| Risco | O que pode acontecer |
|---|---|
| Número visível | Chamadas indesejadas, spam, tentativas de burla por SMS ou WhatsApp |
| Fotografia de perfil e estado | Roubo de identidade, perfis falsos com os seus dados |
| Download automático | Ficheiros maliciosos podem chegar ao telemóvel sem qualquer acção sua |
Como identificar grupos suspeitos
Nem todo o grupo novo é perigoso. Ainda assim, há sinais de alerta que convém ter presentes:
- Não reconhece o nome do grupo nem a maioria dos participantes.
- Foi adicionado sem qualquer explicação.
- Logo no início aparecem ficheiros, links ou números desconhecidos.
- O tom é publicitário, agressivo ou pressiona para agir (“só hoje”, “última oportunidade”).
Nestes casos, vale a pena activar um reflexo de segurança: silenciar o grupo, não abrir ficheiros, avaliar com espírito crítico as fotografias e estados de desconhecidos e, se necessário, sair do grupo. Abandonar um chat é muito menos problemático do que sofrer um ataque bem-sucedido.
O que está por trás da “multimédia maliciosa”
Em ataques através de multimédia, o conteúdo visível costuma ser o menos importante; o risco está na estrutura do ficheiro. Os atacantes exploram fragilidades na forma como as apps processam imagens ou vídeos. Ao descarregar um ficheiro manipulado, pode abrir-se uma possibilidade de introduzir código malicioso.
Este tipo de ficheiros de “exploit” é altamente especializado e normalmente aponta a versões muito específicas de software. Isso ajuda a explicar porque é que as actualizações são tão relevantes: cada patch reduz a superfície de ataque, mesmo que os utilizadores não acompanhem os detalhes técnicos.
Mais soberania digital no dia a dia
O WhatsApp continua a ser, para muitas pessoas, o principal meio de comunicação - e é por isso mesmo que compensa rever as definições com atenção. Ao decidir quem o pode adicionar a grupos, ao passar a descarregar multimédia apenas manualmente e ao não adiar actualizações, reduz de forma significativa a probabilidade de entrar no radar de atacantes.
O esforço demora poucos minutos, mas o impacto nota-se com o tempo: menos roubo de dados, menos spam e mais controlo sobre o que acontece no seu smartphone. Numa altura em que uma única mensagem pode causar prejuízos reais, cada opção que devolve algum controlo ao utilizador faz diferença.
Comentários
Ainda não há comentários. Seja o primeiro!
Deixar um comentário