Pegasus & companhia: quando o seu telemóvel se torna uma escuta

“Mas eu tenho um iPhone.” Essa tranquilidade não resiste ao confronto com a realidade. O spyware mercenário comercial — sobretudo o Pegasus da NSO Group, mas também o Predator/Intellexa e outros — transforma smartphones em escutas completas: microfone, câmara, mensagens, localização, tudo.

Zero-click: não é preciso tocar em nada

O mais insidioso: muitas infeções não exigem qualquer interação. Um chamado exploit zero-click chega, por exemplo, através de uma mensagem manipulada (iMessage, WhatsApp) que nunca precisa de abrir. Isto foi documentado, entre outros, pelo Citizen Lab e pela Amnistia Internacional — os alvos têm sido repetidamente jornalistas, ativistas, advogados e dissidentes.

Ambas as plataformas afetadas

Nem o iOS nem o Android são imunes. A Apple é considerada reforçada — e, no entanto, houve infeções por Pegasus em iPhones. No Android, muito depende da superfície de ataque exposta pelo sistema e pelas aplicações instaladas. Nenhum sistema operativo é “seguro”; o que conta é a superfície de ataque e a profundidade da defesa.

Reduzir a superfície de ataque

• Menos é mais: o menor número possível de aplicações, nenhum mensageiro desnecessário. Cada aplicação é um potencial ponto de entrada.
• Sistema reforçado: no Android, o GrapheneOS reduz substancialmente a superfície de ataque (a base dos nossos telemóveis ZERO). Nos iPhones, o Modo de Bloqueio ajuda.
• Atualizar de imediato: as correções fecham exploits conhecidos — o atraso é um risco.
• Compartimentar & reiniciar: perfis separados; reinícios regulares eliminam alguns implantes (não persistentes).
• Nível do hardware: para perfis de alto risco, a remoção física de microfones/câmaras é a opção sem compromissos — o que está comprometido no software não consegue escutar através de hardware que não existe.

A deteção é difícil

O spyware mercenário é concebido para ser invisível. O Mobile Verification Toolkit (MVT) da Amnistia consegue encontrar vestígios forenses, mas não é uma ferramenta para uso casual. A mensagem honesta: não confie na deteção — confie numa superfície de ataque reduzida.

Porque é que isto nos move

É precisamente este modelo de ameaça que faz com que hardware reforçado e auditável e a minimização de dados não sejam um luxo. Nem todos são alvo do Pegasus — mas os princípios que protegem contra ele tornam qualquer dispositivo melhor.