Quando um download falso te espião: o caso WhatsApp e o auge da vigilância corporativa

WhatsApp detectou uma campanha em que cerca de 200 usuários foram induzidos a instalar em seus iPhones uma versão falsa da app que vinha infectada com spyware. A maioria das pessoas afectadas, segundo relatórios de imprensa, estavam em Itália, e a técnica empregada pelos atacantes foi basicamente de engenharia social: convencer a vítima de que instalaria um software que se fazia passar pela aplicação legítima.

A empresa garante que todos os usuários identificados foram desconectados de suas contas e que foram recomendados para remover a aplicação maliciosa e reinstalar a versão oficial do WhatsApp. Além disso, a Meta anunciou medidas contra Asigint, uma filial italiana da empresa SIO a que atribui a criação dessa cópia fraudulenta. No seu próprio material comercial, Asigint (e outras assinaturas do setor) oferecem ferramentas de vigilância a corpos policiais, agências de inteligência e governos para tarefas que vão desde a monitoração de suspeitos até operações encobertas.

Este episódio não é isolado. Em dezembro de 2025 uma reportagem técnica apontou SIO como responsável por um conjunto de aplicativos Android que suplantavam serviços populares e utilizavam uma família de spyware batizada como Spyrtacus para extrair dados privados dos dispositivos. Disse-se que esses pacotes teriam sido implantados por um cliente governamental contra objetivos em Itália. O fenómeno enquadra-se num panorama mais amplo: nos últimos anos surgiram na Itália vários fornecedores comerciais de ferramentas de vigilância —nomes como Cy4Gate, eSurv, GR Sistemi, Negg, Raxir ou RCS Lab têm aparecido repetidamente nas investigações — até o ponto de alguns analistas descreverem o país como um foco europeu destas tecnologias.

WhatsApp já havia alertado anteriormente sobre campanhas com spyware. No início de 2025 avisou cerca de 90 usuários que puderam ser brancos de Graphite, o spyware atribuído à companhia Paragon Solutions. Mais tarde, em agosto desse mesmo ano, notificou outras centenas de usuários que puderam ter sido vítimas de uma operação sofisticada que encadeava vulnerabilidades desconhecidas (zero-days) no iOS e na própria app.

A circulação e o uso dessas ferramentas acabaram, além disso, nos tribunais. Na Grécia, o fundador do consórcio Intellexa, Tal Dilian, e três colaboradores foram condenados pela utilização ilegal do spyware Predator para monitorar políticos, jornalistas e empresários, em um escândalo conhecido como "Predatorgate" ou "Greek Watergate". Esse caso levou o Parlamento Europeu a abrir uma investigação sobre a utilização deste tipo de tecnologias, embora as investigações e decisões judiciais posteriores tenham sido complexas e contraditórias: uma lei aprovada na Grécia regulou e, sob condições rigorosas, legalizou o uso governamental de certas ferramentas; meses depois, o Supremo Tribunal grego absolveu a inteligência estatal e funcionários envolvidos em alguns processos. Organizações de direitos humanos sublinharam a necessidade de transparência e reparação para as vítimas.

Na Espanha, por sua vez, a investigação sobre o uso do spyware Pegasus, desenvolvido pelo NSO Group, experimentou um fechamento judicial em janeiro de 2026 devido à falta de cooperação das autoridades israelenses, em um caso que remonta a 2022 e envolveu dispositivos do próprio primeiro-ministro e da ministra da Defesa. O regime repete-se em vários países: empresas como a NSO ou a Intellexa defendem que seus produtos só são licenciados a Estados para combater crimes graves e proteger a segurança nacional, enquanto críticos e vítimas denunciam abusos, falta de controle e danos aos direitos fundamentais.

O que pode fazer um usuário para reduzir o risco? Em primeiro lugar, Transferir sempre as aplicações das lojas oficiais ou dos canais verificados do próprio desenvolvedor e desconfiar de links ou instruções para instalar aplicativos fora do ecossistema oficial. Manter o iOS atualizado é outra barreira importante, porque muitas explorações são baseadas em falhas que os adesivos corrigem. WhatsApp e outras plataformas também recomendam ativar a verificação em dois passos para a conta, revisar perfis de administração do dispositivo (como perfis MDM) e, diante da suspeita de uma infecção, fazer uma limpeza completa do terminal ou consultar um serviço técnico confiável.

O debate público em torno dessas tecnologias obriga a questionar-se pelos limites entre segurança e direitos. Enquanto alguns governos apelam à necessidade de ferramentas poderosas para combater a criminalidade e o terrorismo, as consequências práticas do seu mau uso - vigilância indevida a jornalistas, ativistas ou adversários políticos - levaram a investigações e demandas em vários países, bem como a exigências de maior transparência e controle. Para entender melhor este terreno, é conveniente consultar tanto as declarações oficiais das empresas envolvidas como os relatórios de jornalistas de investigação e de organizações de direitos humanos.

Se você quiser aprofundar, você pode ler as notas e coberturas da mídia e organizações que seguiram esses casos: a cobertura de imprensa generalista em A Repubblica e a agência ANSA, o espaço de informação WhatsApp, trabalhos de investigação tecnológica em TechCrunch, e análise e demandas de transparência em páginas como Amnesty International ou instituições como o Parlamento Europeu. Para coberturas internacionais e seguimento judicial, arquivos de Reuters ou periódicos com acompanhamento rigoroso também são recursos valiosos.

Em suma, os incidentes recentes lembram que a ameaça não é apenas técnica, mas também humana: a engenharia social continua a ser a porta de entrada mais efetiva para atores maliciosos. A defesa passa por informações, boas práticas e, sobretudo, transparência e controle sobre quem produz e vende essas ferramentas de intrusão.