O esquema: espionagem pela porta dos fundos
O princípio é assustadoramente simples e explora uma funcionalidade que os serviços de mensagens criaram para maior comodidade dos utilizadores: a associação de dispositivos adicionais (como, por exemplo, o WhatsApp Web). Basta alguém ter acesso físico ao seu smartphone desbloqueado durante alguns segundos para poder associar outro dispositivo — como um PC ou um tablet — à sua conta, através de um código QR ou de um código de confirmação enviado por SMS. As autoridades de investigação já recorrem a esta tática durante interrogatórios, quando os smartphones lhes são entregues voluntariamente. Mas o perigo não vem apenas das entidades estatais: o parceiro ciumento, à noite no sofá, ou o chefe, no escritório, também podem aproveitar um momento de distração para fazer um rápido «emparelhamento fantasma». As consequências graves de uma associação deste tipo:
- Vigilância em tempo real: O atacante vê, no seu próprio ecrã e em simultâneo, todas as novas mensagens que envia ou recebe.
- Sincronização de conversas antigas: Dependendo do serviço de mensagens, a associação também pode fazer com que o histórico de conversas anteriores seja transferido para o dispositivo de terceiros.
- Manipulação sem dar nas vistas: Um dispositivo associado não permite apenas ler as conversas de forma passiva: muitas vezes, permite também escrever e enviar mensagens em nome da sua conta, o que pode comprometer por completo o valor probatório das conversas caso seja necessário usá-las como prova.
Porque é que a encriptação falha neste caso
Nem a melhor encriptação ponto a ponto protege contra este método. Para o sistema, o dispositivo do atacante não é um terceiro não autorizado, mas sim um canal secundário oficial, autorizado por si. O mecanismo de proteção não é, portanto, quebrado: é simplesmente contornado de forma legítima. É certo que o esquema é detetado assim que se verificam as sessões ativas nas definições da aplicação, mas sejamos sinceros: quem consulta essa lista todos os dias? É precisamente com isso que os espiões contam. Muitas vezes, só ao fim de horas, dias ou até semanas se descobre que alguém anda a ler as mensagens às escondidas.
O risco para as empresas: TI não autorizadas e espionagem económica
No contexto empresarial, este problema assume proporções muito mais graves. Quando os colaboradores trocam informações internas da empresa, dados de clientes ou detalhes de projetos através de canais de mensagens pessoais ou sem proteção adequada, as empresas arriscam-se a sofrer fugas de dados em grande escala:
- Perda de segredos comerciais: Um dispositivo associado sem que ninguém se aperceba pode fazer com que informações confidenciais trocadas em conversas cheguem diretamente à concorrência ou a terceiros não autorizados.
- Incumprimento das obrigações legais e do RGPD: A sincronização não encriptada de conversas profissionais com dispositivos pessoais de terceiros viola as normas de proteção de dados em vigor e pode ter consequências jurídicas dispendiosas para as empresas.
Como proteger-se de forma eficaz
(Regras de segurança para o dia a dia)
Enquanto seu parceiro de TI, recomendamos vivamente a empresas e particulares que adotem e cumpram rigorosamente as seguintes regras de segurança no dia a dia:
- Verifique regularmente os dispositivos associados: Nas definições das suas aplicações (WhatsApp, Telegram, Signal), consulte a secção «Dispositivos associados» ou «Sessões». Remova imediatamente qualquer dispositivo que não tenha a certeza absoluta de ter configurado.
- Proteja o ecrã de bloqueio: Nunca deixe o seu smartphone desbloqueado e sem supervisão, seja em casa ou no local de trabalho. Utilize PINs seguros, Face-ID ou o bloqueio por impressão digital.
- Ative o bloqueio da aplicação: Muitas aplicações de mensagens permitem, nas definições de privacidade, proteger a própria aplicação com um código adicional ou autenticação biométrica. Ative esta funcionalidade!
- Cuidado com os códigos por SMS: Nunca partilhe os códigos de confirmação que recebe por SMS e não permita que outras pessoas vejam o seu ecrã sem a sua supervisão.
- Defina regras claras para as aplicações de mensagens na empresa: Para a comunicação profissional, utilize exclusivamente aplicações de mensagens empresariais específicas e aprovadas pelo prestador de serviços de TI. Proíba a transmissão de dados da empresa através de aplicações de mensagens de uso exclusivamente pessoal.
A privacidade digital começa por uma utilização consciente dos equipamentos. Se precisar de apoio para proteger as comunicações da sua empresa ou organizar canais de comunicação seguros para os seus colaboradores, estamos sempre disponíveis, enquanto prestador de serviços de TI, para lhe prestar aconselhamento.
Escreva aqui …