A criptografia ponta a ponta protege o caminho de entrega; os dispositivos que processam mensagens legíveis ainda precisam de proteção.
A criptografia ponta a ponta protege as mensagens entre dispositivos. Ela não torna nenhum dos dois imune a spyware. O Pegasus e o Graphite, da Paragon, ilustram essa diferença: invasores podem explorar uma vulnerabilidade no celular e coletar dados disponíveis nele sem antes quebrar a criptografia do protocolo de mensagens.
Em um celular comprometido, o spyware não precisa necessariamente esperar você desbloquear a tela ou abrir uma conversa. O que um implante consegue obter depende dos privilégios dele, do sistema operacional, do aplicativo e do estado de segurança do dispositivo. Descrever spyware apenas como um leitor de tela subestima a ameaça.
O que as investigações sobre Pegasus e Paragon realmente encontraram
Em Graphite Caught, publicado em 12 de junho de 2025, o Citizen Lab relatou achados forenses sobre dois jornalistas que haviam recebido notificações de ameaça da Apple em 29 de abril. Os investigadores atribuíram, com alto grau de confiança, o comprometimento do dispositivo de um dos jornalistas ao Graphite e identificaram uma tentativa relacionada de ataque sem clique contra Ciro Pellegrino. O relatório vinculou os casos a um ataque via iMessage e informou que a Apple havia mitigado a vulnerabilidade no iOS 18.3.1. São achados sobre dispositivos e ataques específicos, não uma prova de que todo celular ou aplicativo de mensagens é vulnerável da mesma forma. Leia a investigação do Citizen Lab.
A análise sobre o Pegasus publicada pela Anistia Internacional em 16 de julho de 2026 examinou evidências forenses e materiais do NSO Group divulgados em processos judiciais. Ela descreve a coleta de diferentes categorias de dados em dispositivos comprometidos, incluindo mensagens, chamadas, arquivos e fotos. Essa capacidade vai além de capturar a conversa que estiver visível naquele momento. Leia a análise técnica da Anistia.
A conclusão prática é mais restrita do que “a criptografia falhou”: um dispositivo que processa mensagens legíveis é, por si só, uma importante fronteira de segurança.
Como spyware pode ler uma conversa criptografada
Um aplicativo de mensagens precisa de conteúdo legível nas pontas de envio e de recebimento. A criptografia ponta a ponta mantém esse conteúdo criptografado entre essas pontas; ela não elimina a necessidade de confiar no software e no hardware que o processam. A criptografia em trânsito e a criptografia dos dados armazenados no dispositivo resolvem problemas diferentes. A explicação da EFF sobre criptografia esclarece essas diferenças.
Use esta tabela para separar ameaças que costumam ser tratadas como se fossem a mesma coisa:
| Situação | O que pode ficar exposto | Proteção relevante |
|---|---|---|
| Alguém observa o tráfego de rede | Tráfego criptografado e algumas informações de conexão | A E2EE autenticada e implementada corretamente protege o conteúdo das mensagens |
| Alguém obtém um celular desbloqueado | Conversas e outras informações às quais o dispositivo permite acesso | Bloqueio do dispositivo, controles de acesso e gerenciamento de contas e sessões |
| Spyware compromete um dispositivo | Dados acessíveis com os privilégios do implante | Segurança do sistema e dos aplicativos, correções em tempo hábil e resposta especializada a incidentes |
| Um aplicativo tem acesso às notificações | Conteúdo de notificações permitido pelo sistema operacional e pelas configurações | Limitar o acesso às notificações e às prévias de mensagens |
| Um destinatário copia uma conversa | O conteúdo que ele recebeu | Confiança no destinatário e cuidado ao compartilhar; a criptografia não pode revogar a cópia dele |
Trocar os algoritmos de criptografia não remove malware por si só. Da mesma forma, o risco nas pontas não é motivo para abandonar a E2EE: proteger o caminho de entrega continua sendo importante.
Vazamentos por notificações são uma fronteira separada e mais limitada
O acesso às notificações do Android não é a mesma coisa que explorar uma vulnerabilidade com recursos do nível do Pegasus. Um serviço de escuta de notificações recebe eventos do sistema de notificações, sujeito a permissões e restrições da plataforma. As configurações de prévia do aplicativo de mensagens influenciam qual conteúdo fica disponível. O Android documenta a API dos serviços de escuta de notificações.
Evite afirmar que todo serviço de escuta de notificações sempre consegue ler todos os códigos de uso único. O Android 15 introduziu a ocultação de conteúdo de notificações identificadas como OTP para aplicativos de escuta não confiáveis, com exceções específicas. Essas proteções não transformam um celular comprometido em uma ponta confiável. Veja as mudanças de segurança do Android.
Para a privacidade no dia a dia, revise quais aplicativos têm acesso às notificações, remova acessos desnecessários e oculte prévias sensíveis na tela de bloqueio. Teste o resultado com uma mensagem inofensiva, em vez de presumir que a configuração funcionou.
O que fazer se você estiver preocupado com spyware
Comece com prevenção proporcional ao risco
Mantenha o sistema operacional e os aplicativos atualizados, use um código de desbloqueio forte e proteja as contas importantes com autenticação forte. A Apple afirma que spyware mercenário tem como alvo um pequeno número de pessoas selecionadas, muitas vezes por causa do trabalho ou da identidade delas. Roubo comum de contas, aplicativos maliciosos e acesso físico também merecem atenção. Orientações da Apple sobre notificações de ameaça.
Para pessoas expostas a ataques altamente direcionados, o Lockdown Mode (Modo de Isolamento) da Apple reduz a superfície de ataque ao restringir alguns recursos. Ele altera o funcionamento de aplicativos e sites e não é uma garantia contra todos os ataques. Avalie as limitações envolvidas e ative-o nos dispositivos compatíveis relevantes se ele fizer sentido para o seu risco. Guia da Apple sobre o Modo de Isolamento.
Trate um alerta confiável como um incidente
Se você receber uma notificação de ameaça da Apple, verifique sua autenticidade entrando diretamente na sua Conta Apple, em vez de seguir links de uma mensagem inesperada. A Apple recomenda ajuda especializada, incluindo a Digital Security Helpline da Access Now, um serviço de apoio em segurança digital. Uma notificação verdadeira não pede que você instale um perfil ou revele sua senha por e-mail ou telefone. Como funcionam as notificações da Apple.
Um celular que parece limpo não equivale a um resultado de perícia. O Mobile Verification Toolkit (MVT) foi desenvolvido para investigadores treinados, não para autoavaliação por usuários finais. A documentação alerta que indicadores públicos, sozinhos, não permitem estabelecer que um dispositivo não foi comprometido. Procure ajuda qualificada em vez de tratar uma varredura sem achados como atestado de segurança. Escopo e limitações do MVT.
Como avaliar o que um mensageiro promete sobre spyware
Faça três perguntas separadas: O que é criptografado? Quem tem as chaves? O que acontece quando uma das pontas é comprometida? Uma descrição de segurança útil responde às três, em vez de prometer uma conversa “à prova de spyware”.
Os limites de segurança e o modelo de ameaças publicados pela Livara descrevem sua criptografia e reconhecem que malware, um dispositivo desbloqueado ou um destinatário podem expor texto em claro. Essas são afirmações da documentação do produto, não uma auditoria independente nem uma promessa de que a Livara impede infecções pelo Pegasus ou pelo Graphite.
O Proof Lab pode ajudar a examinar demonstrações criptográficas específicas e comparar um APK com uma soma de verificação confiável. Um hash correspondente estabelece a correspondência com aquele resumo criptográfico; não prova que o código está livre de vulnerabilidades nem detecta spyware em outras partes do celular. É uma verificação útil com escopo específico, não um substituto para a segurança do dispositivo.
Perguntas frequentes
Essas investigações mostraram que a E2EE foi quebrada matematicamente?
Os relatórios citados aqui não demonstram uma quebra desse tipo. Eles descrevem ataques a dispositivos e seu comprometimento. Evite generalizar além das evidências específicas apresentadas em cada investigação.
Ocultar prévias de mensagens basta para impedir spyware?
Não. Isso reduz uma das formas de exposição do conteúdo das notificações. Um implante com acesso mais profundo ao dispositivo pode ter outras maneiras de coletar dados.
Um bloqueio de aplicativo torna seguro um celular comprometido?
Não. Um bloqueio de aplicativo pode dificultar o acesso casual, mas sua proteção depende da integridade do dispositivo que aplica esse bloqueio. Ele não prova que o sistema operacional é confiável.
Em resumo: Mantenha a E2EE, mas avalie-a junto com a segurança do dispositivo, as configurações de notificações e um plano de resposta realista. Um canal fortemente criptografado e uma ponta confiável são proteções complementares.
