O que aconteceu
Esta semana, um investigador de segurança demonstrou um truque simples em telemóveis Android. Quando um telemóvel bloqueado recebe uma videochamada do WhatsApp, a chamada pode ser atendida diretamente a partir do ecrã de bloqueio. De dentro dessa chamada, a função de efeitos de foto e de fundo do WhatsApp pode ser encaminhada para abrir a galeria de fotos do telemóvel — e a partir daí, toda a galeria fica à vista. Em nenhum momento o telemóvel pede o PIN, o padrão ou a impressão digital que normalmente o protegem.
A parte importante para as pessoas comuns é aquilo que não exige: nenhuma palavra-passe, nenhum equipamento especial e nenhuma competência de pirataria. Exige, no entanto, que alguém tenha fisicamente o seu telemóvel. É um problema do género "alguém pegou no seu telemóvel", não "alguém do outro lado do mundo".
Até que ponto deve preocupar-se?
Mantenha as proporções. Como o atacante precisa do seu telemóvel nas mãos, não é o tipo de falha que deixa desconhecidos na Internet remexer nas suas imagens. O risco real está mais perto: um telemóvel perdido ou roubado, ou um momento em que alguém em quem preferiria não confiar tem o seu dispositivo.
A Meta e a Google foram informadas do problema, que é o caminho normal para que seja corrigido. Mas à data em que escrevemos não há qualquer atualização publicada que o feche, por isso vale a pena dar você mesmo o passo de um minuto abaixo em vez de esperar.
A solução em dois minutos
Não tem de desinstalar nada. A solução mais limpa é deixar de dar ao WhatsApp acesso à sua biblioteca de fotos inteira, para que, mesmo que a falha seja acionada, haja pouco para mostrar.
No Android: abra Definições → Apps → WhatsApp → Permissões → Fotografias e vídeos, e mude de "Permitir tudo" para "Permitir acesso limitado" (alguns telemóveis chamam-lhe "Fotos selecionadas") ou "Perguntar sempre". Continua a poder escolher e enviar fotos uma a uma no WhatsApp — apenas lhe perguntará de cada vez, em vez de ter as chaves de tudo.
Já que está aí, é bom hábito percorrer as suas outras apps e fazer uma pergunta simples: esta app precisa mesmo de toda a minha galeria? Para a maioria das apps a resposta é não. Limitar o acesso às fotos é uma das definições de privacidade mais valiosas de um telemóvel, e esta falha é um bom lembrete para a usar.
A lição maior: bloqueado não é o mesmo que selado
É tentador pensar no ecrã de bloqueio como uma parede à volta de tudo o que está no seu telemóvel. Na verdade é mais como uma porta de entrada: impede que alguém entre à vontade, mas nunca foi pensado para ser a única coisa entre um desconhecido e os seus ficheiros mais privados. As apps a que deu acesso amplo podem, por uma falha como esta, tornar-se uma janela lateral.
É por isso que o lugar mais seguro para o punhado de fotos, vídeos e documentos que nunca quereria que um desconhecido visse não é, de todo, a galeria comum. É um espaço separado e encriptado — protegido pelo seu próprio segredo e que as outras apps simplesmente não conseguem alcançar, mesmo quando se portam mal. Uma falha numa app não devia conseguir expor aquilo que mais importa.
Onde entra o Sealby
O Sealby não corrige o WhatsApp e não vai impedir que alguém pegue no seu telemóvel. O que faz é dar às suas fotos, vídeos, notas e ficheiros mais sensíveis uma casa própria: encriptados no seu dispositivo, abertos apenas com o seu próprio PIN ou palavra-passe, e mantidos fora da galeria partilhada que as apps comuns veem. Assim, quando aparecer a próxima história de "o telemóvel bloqueado não estava assim tão bloqueado" — e há sempre uma próxima — aquilo que mais lhe importa não estará onde o erro de uma única app o pode alcançar.