Espiar no WhasApp do PC "farejando" redes sem fio
Como mencionei na introdução, o WhatsApp usa uma tecnologia de criptografia ponta a ponta (ou seja, de ponto a ponto) chamada textsecure2 em que as chaves geradas automaticamente pelo app garantem o sigilo das conversas. Simplificando, as mensagens chegam aos smartphones dos usuários e servidores de serviço de forma criptografada e apenas remetentes / destinatários legítimos podem ver o conteúdo. No entanto, isso não tira completamente os cibercriminosos do jogo.
Como mencionado anteriormente, o WhatsApp é um aplicativo fonte fechada e, portanto, não podemos examinar completamente seu código-fonte. Não podendo realizar tal operação, não podemos saber se a criptografia ponta a ponta foi aplicada corretamente ou se, por exemplo, foi desativada em alguns países a pedido específico de governos locais.
Em abril de 2015, pesquisadores da Heise usaram o software Wireshark para "Sniffing" comunicações WhatsApp e eles descobriram que apenas a versão Android do aplicativo usava criptografia de ponta a ponta. Outras versões do aplicativo usavam criptografia com base no protocolo RC4, que só funciona na saída e é notoriamente vulnerável a ataques de cibercriminosos.
Após a publicação do estudo, os desenvolvedores do TextSecure informaram que a adoção da criptografia ponta a ponta pelo WhatsApp ocorreria de forma gradual3, portanto, não em todas as plataformas ao mesmo tempo, mas aos poucos. Isso significa que, embora as comunicações Android> Android estivessem 100% protegidas (ou assim parecia), aquelas de e para iOS, Windows 10 Mobile, etc. eles ainda podem estar sujeitos a interceptações fáceis.
Atualmente, a criptografia ponta a ponta foi implementada em todas as plataformas para as quais o aplicativo de mensagens está disponível, mas, como não é possível acessar o código fonte do WhatsApp, não podemos saber se o uso deste tipo de criptografia foi aplicado com perfeição e, portanto, não podemos ter certeza absoluta de que é impossível interceptar as mensagens dos usuários com o Wireshark ou outro software para farejar redes sem fio.
As únicas precauções que nós, usuários, podemos colocar em prática para nos proteger é não conecte a redes sem fio públicas que, como se sabe, são os locais de caça preferidos de "farejadores", e utilizam os serviços de VPN, Tais como NordVPN (sobre o qual falei em detalhes aqui) e Surfshark (mais informações aqui), que criptografam todos os dados de conexão e ocultam a posição geográfica do usuário, protegendo-o de qualquer rastreamento.
Espiar no WhatsApp do PC via WhatsApp Web
A detecção de wireless foi potencialmente eliminada pela criptografia de ponta a ponta, mas, infelizmente, existem outras maneiras de espionar WhatsApp do PC. Um deles tem a ver com o roubo de identidade via WhatsApp Web, o serviço oficial do WhatsApp que permite enviar e receber mensagens do seu PC. Eu também falei sobre isso no meu tutorial do WhatsApp para PC, lembra?
O WhatsApp Web funciona utilizando o smartphone como "ponte", portanto, só pode ser utilizado se o celular no qual o aplicativo está instalado estiver ligado e conectado à Internet, porém possui duas características que o tornam particularmente atraente para mal-intencionados pessoas: é capaz de memorizar a identidade do usuário (basta marcar a caixa Fique ligado depois de iniciar sessão pela primeira vez) e funciona independentemente da ligação utilizada no telemóvel (o telemóvel também pode estar longe do computador e o serviço é igualmente acessível). Deve-se reconhecer, entretanto, que perpetrar ações de espionagem via WhatsApp Web se tornou (felizmente) muito mais complexo, pois o serviço envia notificações a cada acesso.
Isso não significa que um invasor possa roubar seu smartphone, usá-lo para acessar o WhatsApp Web em seu computador (ou tablet) e obter acesso gratuito às suas conversas. Para evitar esse risco, não empreste seu telefone para estranhos, não deixe o dispositivo sem supervisão e verifique o Sessões da Web do WhatsApp ativo em sua conta.
Se você não sabe como verificar sessões ativas do WhatsApp na Web, abra o WhatsApp e vá para o menu Configurações> WhatsApp Web / Desktop. Será exibida uma lista de todos os navegadores a partir dos quais você pode acessar suas mensagens, completa com os últimos acessos. Caso você perceba alguma atividade suspeita, pressione o botão Desconectar de todos os computadores / Desconectar de todos os dispositivos e todos os computadores associados à sua conta do WhatsApp perderão o acesso.
Felizmente, esses sistemas podem ser impossibilitados de implementar se você ativar a proteção de reconhecimento biométrico em seu dispositivo. Neste caso, de fato, se um desbloqueio de rosto ou impressão digital estiver definido em seu smartphone / tablet, essa opção também será solicitada ao conectar com WhatsApp Web / Desktop, com o objetivo de confirmar a identidade da pessoa que está a ativar o serviço.
Espiar no WhatsApp do PC com aplicativos espiões
Outro perigo contra o qual você deve estar atento são os chamados aplicativos espiões, ou seja, aplicativos que são capazes de monitorar todas as atividades realizadas no smartphone, localizar geograficamente o dispositivo e capturar instantâneos de sua tela, como o muito famoso iKeyMonitor Eu te falei em outro post. Essas informações são enviadas remotamente para os invasores e / ou podem ser visualizadas por meio de um painel da web cujos detalhes de login são conhecidos apenas por aqueles que instalaram o aplicativo no telefone. Aplicativos de controle dos pais (como Qustodio o Cerca Móvel, sobre o qual falei neste guia)
Como você pode impedir que alguém instale aplicativos espiões no seu smartphone e controle suas conversas no WhatsApp através deles? Começar com, não empreste seu smartphone para pessoas que você não confia. Em segundo lugar, não desbloqueie seu dispositivo por meio de procedimentos como o raiz ou fuga de presos, porque eles o tornariam particularmente vulnerável. Outra coisa importante é proteger seu dispositivo com um código de desbloqueio seguro e difícil de adivinhar. Se você não sabe como configurar uma senha, siga estas etapas.
- Android - vá para o menu Configurações> Segurança> Bloqueio de tela e selecione o item PIN na tela que se abre.
- iPhone - vá para o menu Configurações> Touch ID e senha (o ID facial e código) e selecione o item Mudar o código. Se o seu "iPhone por" suporta desbloqueio via sensor de impressão digital ou reconhecimento facial, prefira o último.
Aconselho também que verifique os aplicativos instalados no dispositivo, para verificar se não há nenhum "suspeito". Para fazer isso, vá para Configurações> Aplicativos> Todos (no Android) ou em Ajustes> Geral> iPhone Free Space (no iPhone) e verifique quais aplicativos estão instalados.
Deve-se reconhecer, no entanto, que muitos aplicativos espiões são capazes de se esconder e não são exibidos nos menus do dispositivo e para encontrá-los você precisa usar códigos especiais (como já expliquei bem a você no meu guia sobre como encontrar aplicativos espiões ) Como você pode usar esses códigos? Vou explicar para você imediatamente.
- Comece o navegador do seu smartphone e tente se conectar aos endereços localhost: 4444 ou localhost: 8888, usado por muitos aplicativos espiões para ocultar seu painel de configuração.
- Comece o discador, a tela na qual você insere os números de telefone e insere o código * 12345, de modo a acessar o painel de configuração de um app-spy possivelmente instalado no telefone.
- Se você tem um dispositivo Android submetido a root, eu recomendo que você inicialize SuperUser / SuperSU e verifique se há algum aplicativo espião entre aqueles que obtiveram permissões de root. Se você encontrar alguma, revogue imediatamente as permissões em questão.
Se a partir de suas "investigações" você descobrir que alguém está realmente monitorando suas atividades, sugiro que formate o dispositivo e exclua todos os dados nele, conforme expliquei nos guias sobre como redefinir o Android e como redefinir o iPhone.
- Análise forense da rede WhatsApp: descriptografar e compreender as mensagens de sinalização de chamadas do WhatsApp (em inglês). ↩
- Clique aqui para descobrir todos os detalhes técnicos sobre como funciona a criptografia TextSecure (em inglês). ↩
- Aqui está a resposta dos desenvolvedores do TextSecure ao teste realizado pela Heise (em inglês). ↩
