Como Hackers Estão Usando Confirmações de Entrega para Espionar Você no WhatsApp e Signal.
Você sabia que aquela simples confirmação de “mensagem entregue” pode estar revelando muito mais do que apenas se o seu recado chegou?
Uma nova pesquisa de segurança revelou uma vulnerabilidade crítica, apelidada de “Careless Whisper”, que afeta bilhões de usuários do WhatsApp e Signal. A falha permite que atacantes utilizem os recibos de entrega (delivery receipts) para extrair informações privadas, rastrear a atividade do usuário e até drenar a bateria do dispositivo — tudo isso de forma silenciosa e sem que a vítima perceba.
O Que é a Falha “Careless Whisper”?
Normalmente, quando enviamos uma mensagem, esperamos uma notificação. No entanto, pesquisadores descobriram que hackers podem enviar tipos específicos de mensagens “invisíveis” — como reações a conteúdos inexistentes ou edições em mensagens antigas.
Essas ações não geram uma notificação na tela do usuário, mas forçam o aplicativo (WhatsApp ou Signal) a enviar um recibo de entrega de volta ao servidor.
Como o Ataque Funciona?
O segredo está na medição do tempo. Ao enviar essas mensagens silenciosas e cronometrar o tempo de resposta (o chamado RTT – Round Trip Time), os atacantes conseguem deduzir o estado do dispositivo da vítima.
A análise desses tempos de resposta permite inferir:
- Status da Tela: Se a tela do celular está ligada ou desligada.
- Uso do App: Se o aplicativo está aberto em primeiro plano.
- Identificação do Dispositivo: Padrões de resposta podem revelar se o usuário está num Android ou iPhone, e até o tipo de chipset do aparelho.
- Movimentação: Mudanças na conexão (de Wi-Fi para 4G/5G) podem indicar que a pessoa saiu de casa ou chegou ao escritório.
O cenário piora com o uso de múltiplos dispositivos (como WhatsApp Web ou Desktop), pois cada um responde independentemente, oferecendo mais dados para o atacante triangular a rotina da vítima.
Os Riscos Reais
Além da grave violação de privacidade e rastreamento de hábitos diários, o ataque pode ser usado ofensivamente para causar danos físicos ao aparelho e prejuízo financeiro:
- Drenagem de Bateria: Ataques contínuos podem consumir entre 14% a 18% da bateria por hora.
- Consumo de Dados: O envio massivo de payloads grandes pode inflar a conta de dados móveis da vítima silenciosamente (chegando a gigabytes por hora).
O Cenário Atual e Como se Proteger
Segundo o relatório, a falha foi reportada à Meta (WhatsApp) em setembro de 2024. A empresa reconheceu o problema, mas, até o momento da publicação desta análise, nenhuma correção definitiva havia sido implementada. O Signal também foi notificado.
O que você pode fazer agora? Embora a correção definitiva dependa das plataformas, algumas medidas de higiene digital podem ajudar:
- Restrinja Mensagens de Desconhecidos: Nas configurações de privacidade, sempre que possível, limite quem pode interagir com você ou ver seu status.
- Fique Atento ao Consumo de Bateria: Se o seu aparelho começar a descarregar ou aquecer inexplicavelmente enquanto ocioso, pode ser um indício de atividade maliciosa em segundo plano.
Na 4Security, monitoramos continuamente essas ameaças emergentes para manter sua empresa e seus dados protegidos. A privacidade digital é uma batalha constante, e entender como ferramentas cotidianas podem ser usadas contra nós é o primeiro passo para a defesa. Fonte: cybersecuritynews.
Visite nossa Rede Social e nos apoie! @4securitybr