O espião mais provável no seu telemóvel não é um hacker. É alguém que sabe o seu código de acesso.

Spyware que se compra por subscrição

A palavra «stalkerware» abrange uma família de software com aspeto totalmente banal: aplicações comerciais, vendidas por subscrição, muitas vezes apresentadas como «controlo parental» ou «monitorização de colaboradores». Um cartão bancário, dez a quarenta euros por mês, e qualquer pessoa obtém um painel online que mostra a vida de um telemóvel: mensagens, localização GPS contínua, fotografias, histórico de navegação, registos de chamadas. Alguns conseguem até ativar o microfone.

Não há nenhuma proeza técnica envolvida. Nenhum exploit secreto, nem uma linha de código para escrever. O produto é concebido para ser instalado por alguém sem qualquer competência, em poucos minutos, num telemóvel que tem nas mãos. Uma vez instalada, a aplicação mantém-se discreta: sem ícone, com um nome de processo inócuo, sem nada no ecrã.

A dimensão é difícil de medir com precisão, trata-se de software construído para não ser visto. Os números que temos são mínimos, não máximos: um único fabricante de antivírus deteta-o em dezenas de milhares de telemóveis em todo o mundo todos os anos, e a Coalition Against Stalkerware, que reúne cerca de quarenta organizações, refere que o fenómeno não está a recuar. E isto conta apenas os dispositivos que têm uma aplicação de segurança: os restantes nunca aparecem em qualquer estatística.

Quem instala estas aplicações? Um companheiro, um ex, um pai que ultrapassa os limites, por vezes um empregador. Sejamos claros numa coisa: na maioria dos países, instalar software de vigilância no telemóvel de outro adulto sem o seu consentimento é um crime, seja qual for a relação entre as duas pessoas.

Cinco minutos de acesso físico causam mais estragos do que qualquer vírus

Esta é a ideia que gostaríamos que retivesse, porque inverte a imagem habitual da ameaça. Piratear um telemóvel à distância, sem qualquer interação da vítima, é extraordinariamente difícil: os exploits que o permitem valem milhões e são usados para espionagem estatal, não para vigiar um particular. O caminho realista é muito mais curto: conhecer o seu código de acesso e ficar sozinho com o seu telemóvel durante cinco minutos.

No Android, a instalação é direta: ativar as «fontes desconhecidas», instalar a aplicação, conceder-lhe permissões poderosas (acessibilidade, administração do dispositivo), esconder o ícone. Num iPhone, instalar uma aplicação espiã é consideravelmente mais difícil, por isso a vigilância segue normalmente outra via: as credenciais da conta Apple. Quem as conhece pode ler as cópias de segurança, a localização, as fotografias, sem instalar absolutamente nada.

A consequência prática é simples, e não custa nada: o seu código de desbloqueio é o primeiro cadeado da sua vida digital. Um código partilhado «por confiança», uma data de nascimento, o mesmo código há anos, é aí que tudo começa. Mudá-lo, e guardá-lo só para si, volta a ser um hábito básico de segurança. Tal como não deixar o telemóvel largado por aí desbloqueado.

Os sinais reais: e os falsos

Comecemos por afastar os falsos sinais, porque alimentam preocupações inúteis: uma bateria quente, um telemóvel que fica mais lento, um consumo de dados que oscila. Estes sintomas têm mil causas inocentes, uma aplicação mal escrita, uma bateria envelhecida, uma atualização recente. O software de vigilância moderno é concebido precisamente para não se denunciar dessa forma.

Os sinais que merecem verdadeiramente a sua atenção estão noutro lado. O primeiro nem sequer é técnico: alguém à sua volta sabe coisas que não devia saber, onde esteve, o que escreveu, com quem falou. Esse sinal, repetido, vale mais do que qualquer sintoma da bateria.

No próprio telemóvel, procure o que é estrutural: uma aplicação que não reconhece com permissões desmedidas (acessibilidade, administrador do dispositivo), a opção de «fontes desconhecidas» ativada no Android sem se lembrar de o ter feito, um dispositivo desconhecido com sessão iniciada na sua conta Google ou Apple, uma partilha de localização que nunca configurou. Estas verificações estão nas definições, demoram alguns minutos e não exigem qualquer competência especial.

O que fazer: e o que não fazer

Um reflexo compreensível é apagar a aplicação de imediato. Por vezes é um erro: a maior parte deste software notifica a pessoa que o instalou no momento em que deixa de reportar. Se essa pessoa faz parte do seu dia a dia e a situação o preocupa, uma remoção abrupta pode piorar as coisas. Nesse caso, documente primeiro (capturas de ecrã, datas) e procure apoio, o site da Coalition Against Stalkerware, stopstalkerware.org, lista organizações de ajuda país a país.

Se decidir agir, proceda por ordem:

• →Mude o seu código de desbloqueio: não uma data de nascimento, não um código que alguém próximo já conheça.
• →A partir de outro dispositivo (o telemóvel de um amigo, um computador de confiança), mude a palavra-passe do seu e-mail e, depois, a da sua conta Google ou Apple.
• →Reveja os dispositivos e as sessões ativas nessas contas e remova tudo o que não reconhecer.
• →Ative a autenticação de dois fatores no seu e-mail e na sua conta principal.
• →Em último recurso, uma reposição de fábrica elimina praticamente todo este software: desde que configure depois o telemóvel com palavras-passe novas, e não a partir de uma cópia de segurança comprometida.

O que a Trasimène faz

A monitorização de aplicações da Trasimène compara continuamente as aplicações instaladas com listas de software de vigilância conhecido, atualizadas a partir do servidor, e assinala as combinações de permissões reveladoras: uma aplicação invisível que combina acessibilidade, arranque automático e atividade permanente em segundo plano quase nunca tem uma razão legítima para existir.

Sejamos honestos quanto aos limites, porque é esse o objetivo deste blogue: nenhuma aplicação de segurança vê tudo. A vigilância que passa pelas credenciais da conta Apple ou Google nunca toca no telemóvel, aparece nas definições da conta, não numa análise. É por isso que este artigo o guiou pelas duas verificações, e não apenas por aquela que automatizamos.

Não há motivo para viver em paranoia: a vigilância que este artigo descreve não cai do céu, vem de perto, e previne-se com hábitos simples, um código só seu, uma conta bem protegida, um olhar ocasional às suas permissões. Se um dia o lado técnico não chegar, porque a situação vai além do telemóvel, existem organizações na maioria dos países para ajudar. As próprias verificações demoram dez minutos. Vale a pena fazê-las uma vez, e vale a pena repeti-las de vez em quando.

1. Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
2. Coalition Against Stalkerware, "About", stopstalkerware.org
3. Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
4. Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021