- A TV estatal do Irã recomendou à população a exclusão do WhatsApp
- O governo iraniano alegou que o WhatsApp fornece informações de usuários a Israel, mas não apresentou evidências concretas
- O WhatsApp negou a alegação e destacou a criptografia de ponta a ponta
- Especialistas apontaram a exposição de metadados não criptografados e questões de soberania de dados
- No Irã, há uma política oficial de bloqueio de redes sociais, mas o uso por meios alternativos, como VPN, continua
Contexto do pedido do governo iraniano para apagar o WhatsApp
- A televisão estatal iraniana pediu à população que apagasse o aplicativo WhatsApp de seus smartphones
- O governo levantou a suspeita de que o WhatsApp coleta informações dos usuários e as envia para Israel, mas não divulgou evidências concretas que sustentem essa alegação
Posição do WhatsApp e contexto técnico
- O WhatsApp afirmou estar “preocupado com a possibilidade de que esses relatos falsos sirvam de pretexto para bloquear o serviço em um momento em que as pessoas mais precisam dele”
- Reforçou que utiliza criptografia de ponta a ponta (end-to-end encryption), o que significa que mensagens não podem ser lidas pelo WhatsApp nem por outros provedores de serviço
- Explicou que “não rastreia nem registra localização exata, histórico completo de uso do mensageiro ou conteúdo de mensagens pessoais e não fornece grandes volumes de informações a governos”
- A criptografia de ponta a ponta é um método que torna impossível decifrar a mensagem para qualquer pessoa além do remetente e do destinatário, de modo que terceiros veem apenas texto cifrado sem sentido
Opinião de especialistas em tecnologia
- O professor Gregory Falco, da Cornell University, mencionou que é possível analisar metadados no WhatsApp que não são criptografados
- Com a análise de metadados, existe o risco de exposição de alguns dados, como padrões de uso do aplicativo
- Outro problema é a soberania de dados. Os data centers do WhatsApp podem não estar localizados no país em questão; por exemplo, os dados do WhatsApp do Irã podem não estar armazenados dentro do próprio Irã
- Ele destacou que “se cada país armazenar os dados em seu próprio território e os processar diretamente com seus próprios algoritmos, será possível reduzir os problemas de confiança em relação à rede global”
Situação do acesso a redes sociais no Irã
- O WhatsApp pertence à Meta Platforms (controladora de Facebook e Instagram)
- O Irã bloqueia várias plataformas de redes sociais há muitos anos, mas grande parte da população continua acessando por meio de servidores proxy, VPN e outras formas de contornar as restrições
- Durante os grandes protestos de 2022, o acesso ao WhatsApp e à Google Play foi bloqueado, mas depois a restrição foi suspensa no fim de 2023
- O WhatsApp, junto com Instagram e Telegram, era um dos aplicativos de mensagens mais populares no Irã
1 comentários
Opinião do Hacker News
O que achei mais interessante foi o jogo de palavras na declaração oficial da Meta “Nós não rastreamos a localização exata dos usuários, não mantemos um registro de com quem todos os usuários trocam mensagens, não rastreamos mensagens privadas entre usuários e não fornecemos informações em massa ao governo” foi a parte que mais chamou minha atenção
Se você pensar bem no que eles dizem, a impressão é que de fato rastreiam localização aproximada, mantêm registros de mensagens em grupo e fornecem certas informações quando há solicitações do governo
Eu conheço de fato alguém que trabalha na Meta Algumas pessoas de lá faziam parte de equipes que criavam ferramentas para exportar grandes volumes de dados em resposta a pedidos governamentais Não sei exatamente que nível de acesso cada governo tinha, nem se isso era realmente para rastrear terroristas ou para perseguir jornalistas Mas essas exportações em massa realmente existiam, e o fato de negarem isso publicamente torna tudo mais suspeito
Sobre a parte “não mantemos um registro de com quem todos trocam mensagens” Citando o FAQ do WhatsApp, para prestar o serviço, as mensagens não ficam armazenadas no servidor depois de entregues, e as que não forem entregues em 30 dias são apagadas Porém, a política de privacidade do WhatsApp também afirma que pode coletar, reter e compartilhar informações quando julgar necessário para a segurança dos usuários, resposta a atividades ilegais, solicitações legais e governamentais, aplicação de políticas e fins semelhantes Isso inclui “informações sobre como alguns usuários interagem entre si dentro do serviço” Ou seja, ao contrário da alegação oficial, há uma contradição: eles também podem manter registros de informações sobre quem fala com quem
Essa empresa já teve no passado o histórico de instalar um listener em localhost no Android para rastrear a navegação na web até no modo anônimo Eu até suponho que essa empresa na prática rastreie tudo com alta precisão e, no futuro, chegue a fazer ataques man-in-the-middle (MITM) até no conteúdo das mensagens Com o começo recente da inserção de anúncios, isso parece ainda mais plausível
Eu não vejo isso só de forma conspiratória A frase “não rastreamos localização exata” significa, para mim, que se armazenam IPs então não dá para dizer que não guardam nenhuma informação de localização A parte “não mantemos registro de quem troca mensagens com quem” soa como uma afirmação bem forte Quanto a “não rastreamos mensagens privadas”, imagino que contas comerciais muitas vezes sejam projetadas para permitir acesso de várias pessoas sem criptografia e2e E “não fornecemos informações em massa ao governo” parece significar que, na prática, entregam os dados em partes quando chega um mandado ou pedido legal No geral, o WhatsApp parece ser “e2e, mas no resto é um SaaS típico” Se você realmente precisa de privacidade, eu sugeriria usar o Signal
Tenho a suspeita de que essa questão é uma ação de um regime em crise tentando escapar da própria crise, possivelmente à beira de um colapso, pelo menos no aspecto militar Talvez seja medo de que ativistas anti-regime estejam se organizando no WhatsApp e uma tentativa de empurrá-los para canais alternativos mais fáceis de vigiar Se o Irã soubesse há muito tempo que a Meta fazia esse tipo de coisa, por que só agora recomendaria a exclusão do app? Se fosse uma questão séria de segurança, o normal seria reagir imediatamente E se descobriram isso só recentemente, também é difícil imaginar como chegaram a essa informação em meio ao caos de uma guerra com bombardeios em várias frentes O timing parece muito suspeito
Isso também carrega a intenção de passar uma mensagem de união nacional e impor a ideia de um “inimigo público” Um ditador quer que a população acredite que Israel ou os EUA são inimigos não só do regime, mas de todo o povo
Ou então existe a visão de que o país, arrastado injustamente para uma guerra e atacado por um terceiro Estado apoiado pelos EUA, está numa posição em que precisa fazer qualquer coisa para sobreviver Se os EUA ajudaram Israel a atacar até durante negociações, como confiar num app de uma empresa americana, a Meta?
Acho que esse é o motivo real A cúpula está praticamente neutralizada ou fugindo, e os principais sobreviventes estão escondidos em bunkers Muita gente diz que esse é exatamente o momento ideal para um levante Os curdos e outros grupos já começaram a se preparar
As suposições conspiratórias de que o WhatsApp faria MITM em conversas com criptografia de ponta a ponta têm pouca base Na prática, existe um caminho de acesso governamental muito mais claro O WhatsApp incentiva fortemente os usuários a fazer backup das conversas no iCloud ou no Google Drive Esses backups, por padrão, não são criptografados ou são criptografados com chaves às quais a Meta tem acesso A maioria dos usuários fica na configuração padrão No iMessage acontece o mesmo: se você ativa backup no iCloud e a nuvem, todas as mensagens vão para lá com chaves às quais a Apple pode acessar Para aumentar a segurança da conversa, ambos os usuários precisam sair do padrão e, se houver motivação suficiente, é possível usar o Signal
Existem casos reais em que Israel usou metadados do WhatsApp para mirar palestinos Segundo esta reportagem, foi construída uma “máquina de alvos” com IA e machine learning Por exemplo, se um grupo do WhatsApp inclui militantes conhecidos ou se alguém troca de celular e endereço com frequência, o risco de ser selecionado como alvo aumenta Só com metadados já dá para definir alvos
Israel nem precisa que o WhatsApp esteja instalado A Unit 8200 das IDF consegue hackear a maioria dos celulares no Irã E, se isso não bastar, produtos de empresas privadas de spyware como a NSO Group já seriam suficientes Explicação sobre a Unit 8200, informações sobre a NSO Group, visão geral das empresas israelenses de cibersegurança
Segundo um colega meu do Irã, quase todos os computadores lá usam a mesma versão pirateada do Windows XP traduzida para o persa É muito fácil expor vulnerabilidades de segurança nesse cenário
Tenho dúvidas sobre como enviar em massa SMS não autorizadas e “invisíveis” para redes de outro país Sei que existem OMA DM, atualizações FOTA, binários de acesso remoto pré-instalados por operadoras americanas e coisas assim, mas uma implantação discreta em larga escala é tecnicamente difícil Pela minha experiência com engenharia reversa, acho que a operadora celular do país-alvo acabaria detectando isso de algum modo
Acho que isso é, na verdade, uma desculpa que o atual regime iraniano usa para mobilizar a população e evitar um golpe Hoje em dia o herdeiro do trono iraniano, da dinastia Pahlavi, está ativo nas redes sociais, divulgando mensagens sobre o colapso do regime atual e prometendo liberdade Na internet já circulam rumores e desejos de que o regime está caindo O maior medo da liderança é que a população aproveite esse momento para derrubá-los No fim, a mensagem “apaguem o WhatsApp para Israel não encontrar vocês” também esconde um segundo sentido: “não compartilhem as mensagens de liberdade do rei”
Mas não apaguem o Signal; talvez apareça uma sala de estratégia secreta por lá
O que me surpreendeu nessa polêmica foi o regime iraniano parecer preocupado com compartilhamento de informação com Israel; para mim, é mais realista a possibilidade de uma vulnerabilidade 0-day no WhatsApp ser explorada pelo Mossad ou por outros
Não sei se a alegação do Irã é verdadeira, mas sempre fica aquela sensação incômoda sobre o que esses apps realmente registram em log A criptografia de ponta a ponta protege o conteúdo, mas não os metadados O problema real é que todos nós acabamos dependendo apenas de suposições Fico em dúvida sobre quem pode ter verdadeira certeza nessa questão
Se houver alguém do Irã aqui, fico curioso para saber qual é a percepção local sobre o WhatsApp
Opinião de alguém do Irã A maioria das pessoas no Irã usa Telegram ou WhatsApp Os dois apps estão bloqueados há muito tempo e só podem ser acessados com VPN Recentemente, logo após o ataque de Israel, o WhatsApp foi bloqueado de novo A maioria dos cidadãos iranianos parece não ligar muito para o que o regime diz, e só uma minoria muito pró-regime tende a acreditar nisso Na verdade, o núcleo do regime desconfia tanto de tecnologia que recentemente proibiu altos funcionários de usar qualquer dispositivo eletrônico conectado à internet
Existe uma alternativa doméstica Os iranianos usam protocolos de bridge que interligam vários mensageiros, por exemplo o Message Exchange Bus
Se há 50 anos alguém dissesse “vamos construir uma rede global de vigilância e ainda cobrar dos vigiados por isso”, ninguém acreditaria Mas hoje isso de fato acontece por meio dos celulares