Um grupo de hackers encontrou uma falha de segurança no WhatsApp um dos aplicativos de mensagens instantâneas mais utilizados no mundo, informou a empresa, que pede que seus usuários o atualizem. A falha permitia que hackers instalassem spyware em alguns telefones e acessassem os dados contidos nos aparelhos, infectando sistemas operacionais da Apple (iOS) e do Google (Android).
A vulnerabilidade, informada primeiro pelo Financial Times, foi reparada na última atualização do WhatsApp, de propriedade do Facebook e utilizado por cerca de 1,5 bilhão de pessoas. Os hackers conseguiam inserir um programa malicioso nos telefones mediante chamada telefônica por meio do aplicativo.
Segundo o Financial Times, que cita um distribuidor de spyware, a ferramenta foi desenvolvida por uma empresa com sede em Israel chamada NSO Group, acusada de ajudar governos do Oriente Médio e até o México a espionar ativistas e jornalistas.
Especialistas em segurança indicaram que o código malicioso tem semelhanças com outras tecnologias desenvolvidas pela empresa, segundo o New York Times.
Esta nova vulnerabilidade de segurança foi descoberta no início deste mês e o WhatsApp rapidamente resolveu o problema, lançando uma atualização em menos de 10 dias.
"WhatsApp incentiva as pessoas a baixar a versão mais recente do nosso aplicativo, bem como manter em dia o sistema operacional do seu telefone, para se proteger contra possíveis ataques de segurança que visam comprometer as informações armazenadas no aparelho", disse um porta-voz da empresa.
A companhia não informou o número de usuários prejudicados ou os alvos do ataque, mas ressaltou que reportou o caso às autoridades americanas.
Os hackers faziam uma ligação por meio do WhatsApp para o telefone cujos dados queriam acessar e, mesmo que o destinatário não respondesse à chamada, um programa de spyware era instalado nos dispositivos. Em muitos casos, a chamada desaparecia posteriormente do histórico do aparelho, de modo que, se ele não tivesse visto a chamada entrar naquele momento, o usuário não suspeitaria de nada.
Este vazamento é o mais recente de uma série de problemas do Facebook, que tem enfrentado fortes críticas por permitir que os dados pessoais de seus usuários sejam usados por empresas de pesquisa de mercado. A empresa também foi questionada por sua resposta lenta ao uso da plataforma pela Rússia para divulgar informações falsas durante a campanha presidencial americana em 2016.
Programa detectado é invasivo
O programa de espionagem que afetou o WhatsApp é sofisticado e "estaria disponível apenas para atores avançados e altamente motivados", disse a empresa, acrescentando que "visava um número seleto de usuários". "Este ataque tem todas as características de uma empresa privada que trabalha com alguns governos no mundo", de acordo com as primeiras investigações.
O WhatsApp relatou o problema para organizações de direitos humanos, mas também não as identificou. O Citizen Lab, um grupo de pesquisa da Universidade de Toronto, disse no Twitter que acredita que hackers tentaram atacar um advogado especializado em direitos humanos no domingo usando essa falha de segurança, mas o WhatsApp os impediu.
O NSO Group ganhou notoriedade em 2016, quando especialistas o acusaram de ajudar a espionar um ativista nos Emirados Árabes Unidos. Seu produto mais conhecido é o Pegasus, um programa muito invasivo que pode ativar remotamente a câmera e o microfone de um determinado telefone e acessar seus dados. A empresa garantiu nesta terça que só vende este produto para os governos "combaterem o crime e o terrorismo".
O NSO Group "não opera o sistema e, após um rigoroso processo de estudo e autorização, as agências de segurança e inteligência determinam como usar a tecnologia em suas missões de segurança pública", disse em um comunicado. "Nós investigamos qualquer denúncia crível de uso indevido e, se necessário, tomamos medidas, incluindo a desativação do sistema."
Uma vítima brasileira
A consultora de moda Claudia Romano, 47, conta ter passado um grande susto na semana passada ao ter sua conta de WhatsApp invadida. Era um dia corrido, em que ela trabalhava no lançamento de uma nova loja, recebendo muitas ligações e mensagens.
De uma mulher desconhecida, recebeu link com convite para se juntar a um grupo de maquiagem que ela estaria montando. Apressada, Romano selecionou a mensagem do link e clicou em responder para perguntar quem era a interlocutora. A tela do telefone ficou escura.
Quando conseguiu usar o celular novamente, tentou então fechar o aplicativo do WhatsApp e abrir outra vez. Foi informada que havia acabado de entrar com uma senha de acesso e só poderia pedir uma nova depois de seis horas. Romano entendeu o que isso significa poucos minutos depois. Recebeu em casa uma ligação do marido perguntando se havia algo errado. Ele tinha acabado de receber uma mensagem da esposa pedindo que depositasse dinheiro na conta de uma amiga que estaria com a mãe internada.
Logo outros amigos ligaram. Percebendo o potencial da confusão, Romano pediu a seus filhos que avisassem os demais familiares para não acreditar em nenhuma mensagem que viesse dela.
"Meu filho mandou uma mensagem no grupo da família avisando que meu celular foi hackeado. Dois minutos depois, a pessoa que invadiu meu celular disse, se passando por mim, que já estava tudo resolvido."
Romano buscou ajuda imediatamente em uma loja de sua operadora de celular. Recebeu a orientação de procurar o suporte do WhatsApp, que cancelou o acesso a sua conta.
Mesmo com o problema resolvido, Romano preferiu não voltar a usar o número de celular antigo. Mandou mensagens para as pessoas conhecidas explicando o que aconteceu e colocou avisos em seus perfis nas redes sociais. A confusão toda durou cerca de duas horas, diz.
"O pior foi o susto e a possibilidade de alguém falar em meu nome, o que é um horror. Tenho credibilidade, dá medo de que as pessoas acreditem no que estão falando em meu nome."
Em sua avaliação, seu erro foi ter agido precipitadamente ao responder a mensagem da desconhecida.