🇧🇷 Portuguese (Brazil)

Idioma

Históricos de Conversas do WhatsApp Armazenados sem Criptografia no macOS e iOS

Históricos de Conversas do WhatsApp Armazenados sem Criptografia no macOS e iOS

O Elefante na Sala: Criptografia Local

Quando pesquisadores de segurança da Mysk divulgaram suas descobertas em 24 de maio de 2026, a comunidade de privacidade prendeu a respiração coletivamente. O WhatsApp, o aplicativo de mensagens mais popular do mundo, com criptografia de ponta a ponta como sua joia da coroa, armazena todo o seu histórico de conversas em texto puro no iOS e macOS. Sem criptografia em repouso. Sem proteção. Apenas um simples banco de dados SQLite em um contêiner compartilhado, esperando para ser lido.

Isso não é um hack ou um bug. É uma decisão arquitetural que existe há anos, afetando mais de dois bilhões de usuários. O banco de dados, chamado Axolotl.sqlite, vive em um contêiner de grupo de aplicativos compartilhado rotulado como group.net.whatsapp.WhatsApp.shared. Este contêiner é acessível a qualquer aplicativo do mesmo grupo de desenvolvedores—neste caso, Meta. Isso significa que Facebook e Instagram, se instalados no mesmo dispositivo, podem ler silenciosamente suas conversas privadas sem acionar nenhum diálogo de permissão ou notificação ao usuário.

O que a Criptografia de Ponta a Ponta Não Cobre

A criptografia de ponta a ponta (E2EE) é frequentemente mal compreendida. Ela protege as mensagens enquanto viajam do seu dispositivo para o dispositivo do destinatário, garantindo que ninguém no meio—nem mesmo os servidores do WhatsApp—possa lê-las. No entanto, uma vez que uma mensagem chega e é descriptografada no seu dispositivo, ela é gravada em um banco de dados local. Esse banco de dados não é criptografado em repouso. A E2EE protege a jornada, não o destino.

Os pesquisadores da Mysk demonstraram essa vulnerabilidade em um vídeo público, mostrando como um aplicativo companheiro da Meta poderia acessar e ler o banco de dados completo de mensagens do WhatsApp sem nenhum prompt de permissão. Este é um lembrete claro de que a criptografia em trânsito é apenas metade da batalha. A segurança dos dados locais é igualmente crítica, e neste caso, a Meta escolheu conveniência em vez de segurança.

Quem Está em Risco?

Se você usa o WhatsApp em um iPhone ou Mac, você está potencialmente exposto. O risco aumenta se você também tiver Facebook ou Instagram instalados no mesmo dispositivo, pois esses aplicativos podem ler seu histórico de conversas do WhatsApp sem seu consentimento. Isso não é apenas uma preocupação teórica; é uma capacidade projetada. Mesmo que a Meta não esteja explorando ativamente esse acesso, a arquitetura permite.

O impacto vai além da privacidade individual. Em ambientes corporativos, onde funcionários usam o WhatsApp para comunicações de negócios, essa vulnerabilidade pode expor dados corporativos sensíveis. Agências governamentais também poderiam potencialmente acessar dados locais não criptografados por meio de solicitações legais direcionadas à Meta, contornando completamente as proteções E2EE.

A Conexão com CVE-2026-28910

Adicionando lenha à fogueira, uma vulnerabilidade de sandbox do macOS recentemente divulgada, CVE-2026-28910, afeta o Utilitário de Arquivos da Apple. Essa falha pode contornar as proteções do App Sandbox e de Transparência, Consentimento e Controle (TCC), permitindo acesso quase irrestrito ao sistema de arquivos. Quando combinada com o armazenamento não criptografado do WhatsApp, um atacante poderia potencialmente extrair históricos de conversas de um Mac comprometido sem qualquer interação do usuário.

A comunidade de segurança cibernética está preocupada. Embora nenhuma exploração ativa tenha sido relatada, a combinação dessas vulnerabilidades cria uma tempestade perfeita para roubo de dados. É um alerta para Apple e Meta reavaliarem suas posturas de segurança, especialmente em relação a contêineres de grupo de aplicativos e criptografia de dados locais.

Passos Imediatos para se Proteger

Essas etapas não corrigirão o problema subjacente, mas mitigam o risco enquanto esperamos a Meta resolver o problema.

Além da Criptografia: Fazendo as Perguntas Certas

Este incidente destaca uma lacuna crítica em como avaliamos plataformas de mensagens. Frequentemente perguntamos: "É criptografado?" mas raramente aprofundamos. Ao escolher uma ferramenta de comunicação, faça as perguntas difíceis: As mensagens são criptografadas em repouso no dispositivo? Quem detém as chaves de criptografia? O provedor da plataforma pode ler minhas mensagens? O que acontece com os dados em contêineres compartilhados? A plataforma foi auditada de forma independente?

Para organizações, estabelecer uma política clara de segurança de comunicação é inegociável. Defina quais canais são aprovados para quais tipos de informação e aplique isso, especialmente em indústrias regulamentadas. Os dias de assumir que um ícone de cadeado verde significa privacidade completa acabaram. A verdadeira segurança requer proteção de ponta a ponta dos dados em todas as etapas—trânsito, armazenamento e backup.

Após esta divulgação, a Meta permaneceu em silêncio, sem oferecer um cronograma para corrigir o problema. Os usuários ficam para fazer suas próprias escolhas. Embora o WhatsApp continue sendo uma força dominante, esta revelação deve provocar uma reavaliação de nossa confiança nas plataformas que usamos diariamente. Afinal, privacidade não é apenas sobre o que acontece durante a transmissão; é sobre onde seus dados descansam quando ninguém está olhando.

Voltar