Seus dados de localização do WhatsApp podem estar expostos

Sabemos que crackers estão a todo momento criando maneiras de cometer crimes cibernéticos e invadir contas/aparelhos de outras pessoas. Existem, porém, outras maneiras de roubar dados além de ataques, como ao explorar brechas existentes em softwares, por exemplo.

E é nisso que consiste uma maneira desvendada para descobrir a localização de outra pessoa por meio de mensageiros como o WhatsApp, o Signal e o Threema. A mecânica é algo quase inacreditável: a partir do tempo entre o envio e a notificação de recebimento da mensagem, o invasor consegue saber onde o interlocutor está.

De acordo com um paper [PDF] repercutido pelo Restore Privacy, quem estiver explorando a brecha analisa o tempo que uma mensagem demora para ser recebida, traçando padrões. Então, é comparado o tempo que uma mensagem demora para chegar a cada lugar, de maneira a conseguir indicar onde está quem recebeu a mensagem.

Para a artimanha funcionar, é necessário que o atacante esteja usando um smartphone, bem como já tenha conversado anteriormente com o alvo. É possível determinar dados como país, estado, cidade e até mesmo em que local (como casa ou trabalho) está a pessoa — e, ainda, se o alvo está conectado ao Wi-Fi ou a dados móveis.

A precisão da exploração da brecha, segundo o paper, é consideravelmente alta: 82% no Signal, 80% no Threema e 74% no WhatsApp. São muitas pessoas vulneráveis, em especial no caso do WhatsApp, que possui cerca de 2 bilhões de usuários. Os outros dois apps têm 40 milhões e 10 milhões de usuários, respectivamente.

O Restore Privacy afirmou que dois dos três apps, um deles sendo o Threema, estão analisando a brecha. Uma solução por parte dos mensageiros seria randomizar o tempo em que o usuário é avisado que o outro recebeu as mensagens. Ao fazê-lo entre 1 e 20 segundos, dificultaria a exploração, sem prejudicar a usabilidade.

Enquanto os apps não efetuam mudanças, há duas coisas que os usuários podem fazer. A primeira é desativar as notificações, para inibir que quem envia a mensagem seja alertado que do seu recebimento. A outra é usar uma VPN¹, que aumenta a latência e randomiza os tempos de recebimento.