“Não clique em nada” é conselho morto: atualizar é seu verdadeiro escudo

Durante anos, o conselho de segurança padrão foi simples: não clique em links suspeitos, não baixe aplicativos estranhos. O que dizer às pessoas quando basta carregar uma página normal?

Essa é a lição incômoda de uma campanha descrita pela empresa francesa de segurança Sekoia. Segundo o resumo da eSecurity Planet sobre o relatório de 4 de novembro, a operação foi associada, com confiança de moderada a alta, ao APT29, grupo ligado ao serviço de inteligência exterior da Rússia. Os atacantes injetaram JavaScript malicioso em sites legítimos, incluindo uma produtora de gás ucraniana, uma associação do setor químico dos EUA e um partido político europeu. Também registraram domínios parecidos com os originais e adulteraram o rastreador de um provedor de análise ucraniano. O script identificava o navegador e o sistema operacional do visitante, e os aparelhos vulneráveis recebiam os exploits automaticamente, sem cliques nem downloads extras.

O detalhe mais importante é este: todas as cadeias de exploits recuperadas dependiam de vulnerabilidades que já tinham sido corrigidas antes de a campanha começar. Aparelhos totalmente atualizados estavam protegidos contra esses ataques específicos. Como informa a BFMTV, a Apple havia lançado em abril a correção para a falha usada pelo kit DarkSword.

Sua cautela nunca foi o elo fraco: foi o atraso na atualização

Pedir aos usuários que “tomem cuidado” pressupõe que o perigo é visível. Aqui não era: os sites falsos exibiam conteúdo copiado dos originais legítimos, e os outros ataques se escondiam dentro de sites reais. Nenhuma vigilância adianta quando o código malicioso está num site em que você tem bons motivos para confiar.

O que funcionou foi algo sem graça: instalar o patch. Em nossa opinião, isso torna o conselho antigo não só insuficiente, mas enganoso, porque joga o peso sobre um comportamento que o usuário não controla e ignora a única coisa que ele pode controlar: o estado das atualizações. Para ser justo, esta campanha parece direcionada. A Sekoia sugere que delegações diplomáticas e convidados de alto perfil podem ter sido o alvo, e os investigadores não conseguiram determinar quantos aparelhos foram comprometidos. A maioria dos leitores provavelmente não é a vítima pretendida. Mas ferramentas assim costumam se espalhar, e a defesa é a mesma nos dois casos.

O Android mostra por que “é só atualizar” não é um pedido justo

No iPhone, a resposta é fácil de dar. No Android, é mais bagunçado. A 01net observa que o patch de novembro do Google corrige 216 falhas, 23 delas críticas, incluindo uma no Framework que não exige nenhuma interação do usuário. A mesma matéria diz que mais de 40% dos aparelhos ativos rodam Android 13 ou anterior e não recebem mais atualizações de segurança do Google. Para todos os outros, o prazo depende de o fabricante adaptar a correção: poucos dias para alguns, várias semanas para outros.

Esse é o verdadeiro escândalo. Dizemos às pessoas que atualizem rápido e depois vendemos aparelhos em que o calendário de atualização está na mão de outra pessoa. O usuário pode fazer tudo certo e ainda assim ficar exposto por semanas. Para nós, isso é uma falha de projeto do ecossistema, não uma falha do usuário.

Os fabricantes deveriam tornar a atualização invisível

Nossa posição: as atualizações de segurança devem se instalar sozinhas, com rapidez e, sempre que possível, sem reiniciar, e a responsabilidade deve ser do fabricante. Aplicativos e celulares que insistem em “atualizar depois” entregam uma vulnerabilidade com botão de soneca. Fabricantes que ficam atrás dos boletins do Google deveriam ser citados e comparados publicamente em velocidade, e os compradores deveriam tratar o compromisso de atualizações como uma especificação tão importante quanto a câmera.

Uma ressalva da pesquisa: nenhuma das cadeias estabeleceu persistência, mas, como observa o relatório, reiniciar o celular não desfaz o roubo de dados. O sequestro de sessão também pode dar aos atacantes acesso a contas sem tocar na rede de uma empresa. Ou seja, atualizar depois do fato não é cura.

Confira seu celular hoje e trate a velocidade das atualizações como uma especificação

No Android, abra Configurações, Sobre o telefone e veja a data da atualização de segurança: segundo a 01net, a de 1º de novembro de 2026 ou posterior protege contra a falha crítica do Framework. No iPhone, instale o iOS mais recente. Ative as atualizações automáticas em tudo. Se o seu celular não recebe mais patches, encare isso como uma data de troca, não como uma sugestão. E, se for escolher um novo, pergunte ao vendedor por quanto tempo e com que rapidez ele será atualizado. Essa pergunta protege você mais do que qualquer aviso sobre links.