Falha no WhatsApp afetou poucos, mas é gravíssima, dizem especialistas

Se você acompanhou as notícias da manhã desta terça-feira (14), deve ter visto que uma falha de segurança no WhatsApp foi descoberta. A empresa confirmou o problema e recomenda que seu 1,5 bilhão de usuários atualize o aplicativo em seus dispositivos.

A vulnerabilidade encontrada no sistema do WhatsApp permitia a instalação de um software espião por meio da função de chamada de voz. Ao ligar para o celular da vítima usando o aplicativo, mesmo que a ligação não fosse atendida, o programa malicioso era instalado no aparelho.

Uma vez lá dentro, o sistema de espionagem passava a ter acesso a tudo o que a vítima fazia no celular. De mensagens, áudios e fotos compartilhadas no WhatsApp às câmeras.

Ao que tudo indica, o objetivo da ação era vigiar remotamente os celulares de alguns alvos específicos (possivelmente, ativistas de direitos humanos, jornalistas ou políticos). O próprio WhatsApp emitiu um comunicado no qual diz que as características do ataque demonstram que ele teria vindo de uma empresa privada que trabalha com governos que desejam usar programas de espionagem.

O fato de a vulnerabilidade explorada no ataque não depender de qualquer ação do usuário para ser "ativada" é o que faz dela uma ameaça gravíssima, segundo especialistas.

"No primeiro momento, não é todo mundo que será vítima. São alvos pontuais. Mas, se acontecer de criminosos conseguirem fazer essa engenharia reversa e descobrirem como usar essa mesma vulnerabilidade [ou outra mais avançada], muita gente pode ser afetada. O dispositivo é infectado sem a pessoa se dar conta", afirmou Fabio Assolini, analista sênior da empresa de segurança online Kaspersky.

O professor da FGV (Fundação Getúlio Vargas) Arthur Igreja, especialista em tecnologia e segurança digital, considera este o maior escândalo de segurança envolvendo o WhatsApp.

"É grave, justamente pela natureza. Não estou falando em uma brecha de vazamento de mensagens, até porque elas são criptografadas. É muito mais amplo. É uma brecha causada por erro no desenvolvimento do WhatsApp que dá pleno acesso ao smartphone da vítima", afirmou.

Os serviços do WhatsApp, que pertence ao Facebook, eram tidos como ultrasseguros e até hoje não havia registros públicos de casos parecidos. A criptografia usada dá aos usuários a sensação de que suas informações não serão acessadas facilmente --e ainda não são, a criptografia ponta a ponta continua inabalável.

Uma falha mais simples foi noticiada em outubro do ano passado, mas não causou tanta repercussão como a de hoje. Um erro de sistema permitia que o aplicativo travasse e fechasse subitamente se o usuário atendesse alguma chamada de vídeo que contivesse arquivos maliciosos.

Mais detalhes sobre o ataque

Segundo Fabio Assolini, existem dois tipos de brechas de segurança capazes de permitir que programas espiões sejam instalados. Tudo funciona por meio da execução remota de um código malicioso. Ela é possível quando:

• Tem interação do usuário: a pessoa clicar sem querer em um link malicioso, por exemplo, e abre a porta do sistema para a instalação de software espião;
• Não tem interação do usuário: uma falha de segurança do próprio sistema abre brecha para que o programa espião se instale sozinho (como é a vulnerabilidade de hoje)

O especialista acrescenta que existe um grande mercado que buscar programas que possam ser executados independentemente da interação dos usuários, então a vulnerabilidade descoberta no WhatsApp pode ser vendida por milhões de dólares.

No caso mais recente, o invasor precisava saber o número de telefone do alvo e, em seguida, fazer uma chamada pelo WhatsApp. Isso limita o número de vítimas --embora conseguir números de telefone em grande escala não é lá muito difícil.

Segundo Nikolaos Chrysaidos, chefe de segurança & inteligência de ameaças de dispositivos móveis da Avast, a empresa de segurança online não notou um aumento nas detecções de spyware (programa espião) entre os seus clientes. A Kaspersky também não.

Na dúvida, todos recomendam fortemente a atualização do WhatsApp e o uso de um programa de segurança capaz de detectar vírus e outros tipos de ameaças virtuais.

Como você deve se proteger?

A atualização de apps em smartphones costuma acontecer de duas formas: automática ou manual. Da primeira forma, o usuário não faz nada: o celular atualiza automaticamente o app assim que novas versões dele são disponibilizadas. Da segunda forma, o usuário precisa ele mesmo atualizar app por app quando achar necessário.

Vamos ensinar o processo para as duas principais plataformas móveis.

iOS

• Checando se está atualizado: Entre em App Store > na busca, digite "WhatsApp" e clique na lupa > Quando encontrar o WhatsApp Messenger, clique na página dele > Se houver um botão azul escrito "Atualizar", clique nele. Se estiver escrito apenas "Abrir", você já está com a versão mais recente
• Ativando a atualização automática para todos os apps: Siga o caminho Ajustes > [seu nome] > iTunes e App Store > ative "Atualizações"
• Checando a versão do app: Abra WhatsApp > Ajustes > Ajuda > no alto da tela, veja se é a versão 2.19.51, a mais atual

Android

• Checando se está atualizado: Entre na Google Play > na busca, digite "WhatsApp" e clique na lupa do teclado > Quando encontrar o WhatsApp Messenger, clique na página dele > Se houver um botão verde escrito "Atualizar", clique nele. Se estiver escrito apenas "Abrir", você já está com a versão mais recente
• Ativando a atualização automática para todos os apps: Siga o caminho Google Play > Menu de três barras horizontais, no alto da tela > Configurações > Atualizar apps automaticamente > ative "Por meio de qualquer rede" (mas isso cobrará do seu plano de dados móvel) ou "Somente por Wi-Fi" (só usará redes wi-fi as quais você tem acesso)
• Checando a versão do app: Abra WhatsApp > Configurações > Ajuda > Dados do aplicativo > no centro da tela, veja se é a versão 2.19.134 (para usuários fora do programa Beta) ou a 2.19.139 (para usuários do programa Beta)

Quem está sujeito ao problema?

Segundo este relato de segurança do próprio Facebook (empresa dona do WhatsApp), o problema afeta o WhatsApp com versões de número inferior aos citados abaixo:

• para Android antes da 2.19.134 (comum) e 2.19.44 (versão Business)
• para iOS antes da 2.19.51 (comum) e 2.19.51 (versão Business)
• para Windows Phone antes da 2.18.348
• para Tizen (usado nos smartwatchs da Samsung) antes da 2.18.15

Se seu aparelho tem uma versão muito antiga do WhatsApp, é bem possível que se enquadre em um desses casos.

Uma atualização de segurança (patch) foi divulgada na sexta-feira passada (10) para resolver o problema. Na segunda-feira (13), o WhatsApp pediu a seus usuários --são pelo menos 1,5 bilhão atualmente-- para atualizar o aplicativo como precaução adicional.

*Com reportagem de Márcio Padrão