Falha em chamadas do Telegram mostra que o mensageiro é a verdadeira porta de entrada

Qual aplicativo do seu celular você esperaria que estivesse preparado para lidar com estranhos? Provavelmente aquele feito para falar com estranhos o dia inteiro. É exatamente aí que está o problema: um mensageiro precisa aceitar chamadas, arquivos e dados de pessoas que você nunca viu, e nesta semana o Telegram mostrou o que acontece quando essa porta fica entreaberta.

Segundo o The Hacker News, a empresa de segurança NebuSec demonstrou a execução de código por meio de uma chamada de voz atendida no Telegram para Android, e a falha foi corrigida na versão 12.10.4. Outras publicações, como o Total Security, dizem que o erro podia ser combinado com outras duas vulnerabilidades para assumir o controle total do celular da vítima assim que ela atendesse. O veículo português Tugatech acrescenta que a falha ficou quatro anos no aplicativo sem ser detectada.

Precisamos ter cuidado com o que a documentação não diz. Os trechos que temos não informam se alguém explorou a falha em ataques reais, e não vamos especular. O que eles descrevem é uma prova de conceito em que, como resume o Space Money, a pessoa não precisava fazer nada além de aceitar a chamada.

O mais assustador é o quanto o gatilho é comum

A maioria de nós imagina que invadir um celular exige alguma bobagem: tocar num link suspeito, instalar um APK duvidoso, digitar a senha numa página falsa. Essa falha quebra esse modelo. Atender uma chamada é o gesto mais natural que um celular tem, e nenhum "tomar cuidado" protege você de um botão que sempre foi para ser apertado.

Isso muda o conselho. Durante anos, as dicas de segurança se resumiam à vigilância do usuário. Aqui, a vigilância é quase inútil, e a única defesa real está no lado do software: a correção.

Os apps de mensagem são o novo perímetro, queiramos ou não

Pense no que um mensageiro moderno faz: lida com imagens, links, fluxos de voz e dados de início de chamada, boa parte vindos de remetentes não confiáveis. Cada um desses itens é código que pode conter um erro. Na nossa visão, isso torna os apps de conversa um alvo mais atraente que o próprio sistema operacional, porque estão instalados em todo lugar, sempre ligados e abertos a qualquer pessoa que tenha seu número ou nome de usuário.

Há também um pano de fundo maior. O InfoMoney relata que a inteligência artificial está revelando falhas de software tão rápido que os engenheiros correm para corrigi-las antes que hackers as explorem, e que o Google corrigiu neste ano mais falhas graves do que nos oito anos anteriores somados. Não podemos dizer que uma IA encontrou esse bug do Telegram, e nada na documentação sugere isso. Mas é razoável esperar mais divulgações como esta, não menos, e um bug de quatro anos vindo à tona agora pode ser sinal de que o código antigo está sendo examinado com mais atenção do que nunca.

Atualize agora e pare de avaliar aplicativos pela reputação

A própria página de suporte do Telegram o descreve como um mensageiro baseado na nuvem, focado em segurança e velocidade. Esse é o discurso de venda, e um bug como este tem pouco a ver com ele. A reputação mostra como uma empresa fala; o número da versão mostra se você está exposto.

O outro lado da história são os hábitos de atualização do Android. O Android Authority observa que 43,6% dos dispositivos ativos ainda rodam Android 13 ou anterior. Esta correção, porém, chegou no próprio aplicativo (versão 12.10.4), não em uma versão do sistema operacional. Na nossa leitura, isso significa que a única coisa sob seu controle são alguns toques na tela, não a espera pela fabricante do seu celular.

Por isso, nossa recomendação é simples. Confira se o Telegram para Android está na versão 12.10.4 ou mais recente. Ative as atualizações automáticas dos seus mensageiros, que são os aplicativos mais expostos a estranhos. E, se você não precisa de chamadas de voz em determinado app, pense se quer que esse recurso aceite conexões.

Nosso veredicto: a lição não é que "o Telegram é inseguro". Qualquer mensageiro com chamadas poderia ter um bug assim. A lição é que confiar numa marca é uma estratégia mais fraca do que atualizar no primeiro dia. Primeiro a correção, depois você admira a reputação.