Há um mundo cheio de intrometidos e intrometidos, namorados invejosos e pais escrupulosos que inventariam papéis falsos para descobrir o que os seus entes queridos estão a fazer, com quem passam tempo e do que falam quando estão na companhia de amigos ... . Não descobri nada de novo, pois não? Imaginei. Mas, sabe, depois de ler outro e-mail em que uma pessoa me perguntava como espiar o WhatsApp de graça, não pude evitar: tive de publicar este pequeno "desabafo"!
Agora, porém, vamos tentar voltar às fileiras e aproveitar esta oportunidade para fazer algum bem, que é aprender mais sobre que técnicas são mais comummente utilizadas pelos "espiões" da WhatsApp e como se proteger deles.
Felizmente, o sistema de mensagens criado por Jan Koum e Brian Acton já não é tão vulnerável como costumava ser, os seus sistemas de protecção foram muito reforçados nos últimos meses, mas não podemos baixar a guarda! Há ainda muitas tácticas que os atacantes podem utilizar para atacar os nossos smartphones e espiar as nossas conversas, por isso vamos tentar compreender como descobri-las e, acima de tudo, como impedir que alguém as utilize para atingir as nossas contas. No fim de contas, é menos difícil do que se possa pensar.
Roubo de identidade
O roubo de identidade é um dos riscos de que deve estar mais atento. É uma técnica pela qual uma pessoa intencional pode "enganar" o WhatsApp fazendo-se passar por outra pessoa e obter acesso, sem autorização, às conversas desta última.
web WhatsApp
Acredite ou não, o WhatsApp, o serviço oficial para aceder ao WhatsApp a partir do seu PC, pode ser utilizado para o roubo de identidade. A falha reside na funcionalidade Stay Connected, que permite ao navegador armazenar a identidade do utilizador e aceder a conversas sem necessidade de uma nova digitalização do código QR.
Em suma, se um atacante conseguir apoderar-se do seu smartphone (qualquer desculpa serve, por exemplo a necessidade de fazer uma chamada urgente), pode activar a versão web do WhatsApp em qualquer computador portátil, tablet ou smartphone e ter acesso a todas as suas conversas sem que você repare; um acesso que será contínuo e não temporário, uma vez que o WhatsApp Web funciona mesmo quando o telemóvel não está ligado à mesma rede sem fios que o computador (desde que tenha uma ligação à Internet activa, não importa o quê).
No entanto, no caso do proprietário do dispositivo ter estabelecido protecções de reconhecimento biométrico, tais como o desbloqueio do dispositivo pela face ou impressão digital, esta solução não é viável, uma vez que, no momento da activação do WhatsApp Web, é pedido ao proprietário do dispositivo que confirme a operação através da intervenção do proprietário do dispositivo.
O mesmo argumento aplicar-se-ia também ao cliente oficial WhatsApp para Windows e macOS, mas nesse caso o procedimento para o atacante seria desnecessariamente mais longo (uma vez que ele teria primeiro de instalar o software no seu PC).
Clonagem de endereços MAC
Outra técnica que pode ser utilizada para espiar o WhatsApp gratuitamente é a clonagem de endereços MAC. O que é isto? Explicarei dentro de momentos. O endereço MAC é um código de 12 dígitos que identifica de forma única todos os dispositivos capazes de se ligarem à Internet. É também utilizada pela WhatsApp para verificar a identidade dos utilizadores (juntamente com o número de telefone), mas com aplicações ad hoc é possível disfarçá-la e enganar a aplicação.
Se um atacante instalar algumas destas aplicações no seu telemóvel (por exemplo, BusyBox e Phantom Mac Address para Android e SpoofMAC no iPhone) e conseguir descobrir o endereço MAC do seu smartphone (basta ir para o ecrã Info Settings) ele pode instalar uma versão "clonada" do WhatsApp e aceder às suas conversas.
Felizmente, esta não é uma prática muito comum, requer alguma preparação técnica e muito tempo para passar "na companhia" do telefone da vítima, primeiro para descobrir o endereço MAC do dispositivo e depois para ler o SMS de confirmação. necessário para activar a cópia "clonada" do WhatsApp no outro smartphone; em qualquer caso, saber a sua existência ajudá-lo-á a evitar possíveis intrusões na sua conta.
Como se defender contra o roubo de identidade
Como acabámos de ver, a maioria das técnicas de roubo de identidade no WhatsApp envolvem o acesso físico ao telefone da vítima. Isto significa que para se proteger só precisa de seguir algumas regras simples, mas fundamentais, de senso comum.
- Usar um PIN seguro - A regra número 1 a seguir para evitar que alguém enfie o nariz nos nossos smartphones é definir um PIN seguro no ecrã de bloqueio. Eis como no Android e no iOS.
- Android: ir para Definições> Segurança> Bloqueio de ecrã> PIN. Em alternativa, também pode definir um gesto em vez do PIN numérico, indo a Definições> Segurança> Bloqueio de ecrã> Sequência.
- iPhone: Ir para o menu Definições> Touch ID & Passcode> Change Passcode.
- Desactivar a visualização de SMS no ecrã da fechadura - Outro truque que aconselho a pôr em prática é desactivar os SMS no ecrã da fechadura. Desta forma, se um atacante tentar activar uma cópia "clonada" do WhatsApp utilizando o seu número de telefone, não poderá ver o código de verificação necessário para que este funcione, pois nenhuma mensagem aparecerá no ecrã de bloqueio do smartphone (e o acesso ao telefone será bloqueado pelo PIN) [1]. Eis como proceder.
- Android: Ir para o menu Definições> Segurança> Bloqueio de ecrã> PIN, definir um PIN e optar por ocultar apenas conteúdo sensível.
- iPhone: ir ao menu Definições> Notificações> Mensagens e remover a marca de verificação da opção Mostrar em "Ecrã de Bloqueio".
- Verifique as suas sessões web WhatsApp - indo ao menu Settings> WhatsApp Web WhatsApp, pode verificar todas as sessões web WhatsApp activas para a sua conta. Se notar qualquer actividade suspeita, prima o botão Desconectar em todos os computadores e os "espiões" deixarão de poder aceder ao WhatsApp Web utilizando a sua conta (para tal, têm de digitalizar novamente o código QR com o seu smartphone). Faça esta "verificação" de vez em quando e evitará qualquer roubo de identidade através da versão web do WhatsApp.
- Utilize uma senha segura para as suas contas na nuvem - muitas aplicações, incluindo a WhatsApp, sincronizam agora os seus dados com a nuvem (o Android utiliza os sistemas de nuvem do Google e os iPhones utilizam a plataforma iCloud da Apple). Assim, se alguém conseguisse descobrir a senha de acesso às suas contas na nuvem, poderia facilmente aceder aos seus dados e, com alguns truques, até às cópias de segurança do WhatsApp (que seriam ilegíveis sem descodificação em qualquer caso, mas o melhor é evitar que isto aconteça. ).
- Tenha cuidado com quem usa o seu smartphone - o mais trivial, mas provavelmente a dica mais importante de todos. Se quiser manter a sua conta WhatsApp segura, evite emprestar o seu telefone a estranhos, verifique o que os seus conhecidos/amigos estão a fazer com o seu telefone e não deixe o seu smartphone sem vigilância em locais públicos.
Aplicações de espionagem para telemóveis
Como também expliquei no meu post nas aplicações de espionagem do telefone Android, existem numerosos programas que permitem monitorizar, controlar e localizar os smartphones à distância. Muitos deles são completamente livres e têm a capacidade de se esconderem, ou seja, não aparecem no ecrã inicial do telefone ou no ecrã com a lista de todas as aplicações instaladas no dispositivo.
Como se defender contra aplicações espiãs
A instalação de aplicações de espionagem também requer acesso físico ao telemóvel da vítima, por isso recomendo que siga os conselhos que dei acima e mantenha sempre o seu telemóvel sob controlo. Além disso, pode dar uma vista de olhos à lista de aplicações instaladas no seu smartphone e ver se existe algo suspeito.
- Android: para ver a lista completa de aplicações instaladas no Android, vá ao menu Definições>Aplicações e seleccione o separador Todos.
- Um iPhone da versão Quatro S para ver a lista de aplicações instaladas num iPhone, vá ao menu Definições> Geral> Usar espaço e iCloud> Gerir espaço.
Outra pista que, no Android, pode assinalar a presença de aplicações espiãs no sistema é a adição de novas aplicações à lista de administradores de dispositivos. Depois vá às definições do seu smartphone, "toque" no ícone de Segurança e seleccione o item Administradores de Dispositivos no ecrã que se abre. Nesta altura, verifique a lista de aplicações que gerem o Android em busca de aplicações "suspeitas". Caso contrário, remover a marca de verificação da aplicação suspeita e desinstalá-la, procurando-a na lista de aplicações Android.
Se, em vez disso, tiver um IPhone quebrado na prisão, pode tentar "desmascarar" as aplicações de espionagem digitando o código * 12345 no marcador ou tentando ligar-se a endereços localhost: 8888 e localhost: 4444 a partir do browser. Se houver aplicações espiãs instaladas no dispositivo, provavelmente poderá aceder ao seu painel de administração de uma destas formas e depois desactivá-las. Aconselho-o também a abrir Cydia e a verificar cuidadosamente a lista de todos os pacotes instalados no seu dispositivo: se notar que alguns deles podem ser rastreados até aplicações espias do iPhone, remova-os.
Preocupado que alguém tenha instalado uma aplicação espiã no seu smartphone, mas não a consegue ver? Em casos como estes, lamento, mas a única solução viável para dissipar quaisquer dúvidas é formatar o telefone, apagando todas as aplicações e dados. Se quiser saber como, consulte os meus tutoriais sobre como reiniciar o iPhone e como formatar o Android.
Monitorização de redes sem fios
Muitas pessoas perguntaram-me se é possível espiar o WhatsApp gratuitamente com aplicações, tais como a muito famosa Wireshark, que lhe permitem monitorizar todos os dados que passam através de uma rede sem fios. A resposta é não, pelo menos já não.
De facto, no final de 2014, a WhatsApp começou a adoptar um sistema de encriptação de ponta a ponta que torna as mensagens ilegíveis para todos excepto para os remetentes e destinatários legítimos. Mesmo nos servidores da WhatsApp, as mensagens chegam de forma encriptada. O sistema, chamado TextSecure, envolve a utilização de um par de chaves: uma chave pública que é partilhada com a outra parte e permite encriptar mensagens enviadas e uma chave privada que reside no seu smartphone e que lhe permite desencriptar mensagens recebidas.
Dito isto, deve lembrar-se que a WhatsApp é uma aplicação de código fonte fechada, pelo que não é possível examinar o seu código fonte em profundidade e, portanto, não é possível saber se houve erros na implementação da encriptação de ponta a ponta (erros que poderiam comprometer claramente a sua eficácia).
Moral: A WhatsApp está razoavelmente a salvo da monitorização da rede Wi-Fi (o chamado "sniffing"), mas cuidado para não baixar a guarda! Portanto, evite a ligação a redes Wi-Fi públicas e certifique-se de que utiliza sempre a versão mais actualizada e, portanto, mais segura da aplicação.
- É de notar que sem clonagem prévia do endereço MAC, é impossível espiar a WhatsApp. O serviço, de facto, permite-lhe associar cada número de telefone a um único smartphone e, portanto, o proprietário legítimo da conta só precisaria de reactivar a sua cópia do WhatsApp para remover os espiões. ︎
