Por causa do ‘Modo de Bloqueio’ do iPhone, o FBI não conseguiu desbloquear o iPhone de uma repórter do Washington Post

• Documentos judiciais revelaram que o FBI não conseguiu fazer a análise forense de um aparelho apreendido de uma repórter por causa de um iPhone com o Lockdown Mode ativado
• O iPhone da repórter do Washington Post estava ligado no momento da apreensão, mas em Lockdown Mode, o que impediu a extração de dados
• Documentos do governo afirmam explicitamente que a Computer Analysis Response Team (CART) do FBI não conseguiu extrair dados desse iPhone
• O Lockdown Mode foi originalmente projetado para defesa contra spyware altamente direcionado, mas ficou demonstrado que ele também limita o acesso forense físico
• O caso mostra que os recursos avançados de segurança da Apple podem bloquear o acesso digital por parte de órgãos de investigação e evidencia a disputa entre o fortalecimento da segurança móvel e a perícia forense das autoridades

---

Visão geral do caso

• A casa da repórter do Washington Post Hannah Natanson foi alvo de busca e apreensão pelo FBI em janeiro de 2026, como parte de uma investigação sobre vazamento de informação sigilosa
• A investigação está ligada ao contratado do governo Aurelio Perez-Lugones, acusado de posse e repasse de informação confidencial
• O governo entende que Perez-Lugones foi a fonte que forneceu informação confidencial a Natanson

Dispositivos apreendidos e resultado do acesso

• Entre os dispositivos apreendidos estavam um iPhone 13, dois MacBook Pro, um disco rígido externo e um gravador
• O iPhone estava ligado e carregando, e a tela exibia a indicação ‘Lockdown Mode’
• Segundo os documentos judiciais, “por causa do Lockdown Mode, a CART não conseguiu extrair dados desse iPhone”
• Após a apreensão, o FBI permaneceu por cerca de mais de duas semanas sem conseguir acessar o iPhone

Significado técnico do Lockdown Mode

• O Lockdown Mode restringe anexos em mensagens, renderização web e conexões FaceTime para minimizar a superfície de ataque do iOS
• Ao conectar dispositivos externos, é obrigatório desbloquear o aparelho
• Isso bloqueia os principais caminhos de acesso de ferramentas forenses baseadas em conexão física, como Graykey e Cellebrite
• O CEO da empresa de perícia digital Garrett Discovery afirmou que “muitas técnicas avançadas de investigação são bloqueadas pelo Lockdown Mode”

Biometria e desbloqueio forçado por via legal

• O mandado de busca incluía autorização para usar à força impressão digital e reconhecimento facial para desbloquear aparelhos
• Natanson não usava biometria no iPhone e, com o Lockdown Mode ativado, nem sequer era possível tentar esse método
• Já o segundo MacBook Pro foi desbloqueado com sucesso por impressão digital

Dados que puderam ser acessados

• O FBI obteve do MacBook Pro desbloqueado fotos e gravações de voz de conversas no app Signal
• Ainda assim, mesmo desse notebook, ainda não foi possível obter uma imagem física completa (full physical image)

Disputa de segurança entre autoridades e plataformas

• Também foi noticiado que, em 2024, a Apple alterou o iPhone para reiniciar automaticamente após longos períodos sem uso
• Com isso, o aparelho entra no estado BFU (Before First Unlock), elevando a dificuldade da perícia forense
• Este caso fica registrado como um exemplo real de reforço de segurança de software funcionando em uma investigação

Posicionamento oficial

• Apple e Washington Post não responderam aos pedidos de comentário
• O FBI se recusou a comentar oficialmente sobre o caso

[GN⁺]

Comentários do Hacker News

• Link de arquivo da matéria original
• É preciso lembrar que podem obrigar você a usar o Touch ID, mas não podem obrigar você a fornecer a senha
  Segundo este tuíte relacionado, o FBI acessou mensagens do Signal no MacBook de trabalho da repórter Hannah Natanson usando o Touch ID. Como o notebook permitia autenticação por Touch ID, puderam exigir legalmente o desbloqueio
  • Compartilham um link espelho do Twitter, com a intenção de não apoiar diretamente a plataforma pertencente a um certo bilionário
  • O comando de configuração de repouso do MacBook sugerido antes em outro tópico também ajuda aqui
    Veja o link de explicação. Quando o notebook é fechado ou entra em repouso, ele grava a RAM no disco e desliga completamente. A retomada fica mais lenta, mas no primeiro desbloqueio a autenticação por impressão digital não é permitida, mantendo segurança em nível de cold boot
  • Se você não fornecer a senha, pode ficar preso por até 18 meses por desacato judicial (contempt)
    Caso relacionado
  • Nossos direitos não vêm da lei natural; é preciso lutar para que sejam respeitados pelo governo
  • Há curiosidade se o próprio conhecimento de qual dedo usar é protegido tanto quanto uma senha
    A polícia pode forçar fisicamente alguém a encostar o dedo, mas a pessoa teria o direito de se recusar a revelar qual dedo é o correto. Após algumas tentativas erradas, o aparelho bloqueia e passa a exigir a senha. Então eu brinco que seria melhor usar o nariz do meu cachorro
• O Lockdown Mode da Apple é frustrante por ser tão “tudo ou nada”
  Quero poder ativar só alguns recursos, como bloquear chamadas FaceTime de desconhecidos, desativar prévias de links ou bloquear conexões de dispositivos externos com o aparelho bloqueado, sem querer o restante das restrições. Seria bom poder alternar essas opções individualmente.
  Por exemplo, desativar o JIT de JavaScript prejudica o desempenho web e a bateria. Também bloqueia álbuns compartilhados e instalação de fontes personalizadas. Essa falta de ajustes granulares de segurança acaba enfraquecendo a própria segurança
  • Também concordo sobre a limitação dos álbuns compartilhados. Só depois percebi que, com o Lockdown Mode ativado, eu não conseguia ver o álbum da família. Tive de desativá-lo temporariamente, compartilhar as fotos e depois ativá-lo de novo.
    Além disso, os pedidos do Screen Time também não funcionam. A notificação chega, mas não dá para responder.
    Entendo por que a Apple projetou isso como tudo ou nada — se permitir uma única configuração arriscada, todo o modelo de segurança pode ruir.
    Ainda assim, o maior incômodo é não conseguir saber se um problema foi causado pelo Lockdown Mode, então você acaba ligando e desligando isso o tempo todo
  • Isso significa que, mesmo no Lockdown Mode, não é possível alterar perfis. Os perfis existentes são mantidos
  • Álbuns de família funcionam mesmo no Lockdown Mode. Também é possível desativar as restrições web por app e por site
  • Desativar o JIT de JavaScript no navegador acaba sendo uma função que ensina que “navegar na web pelo smartphone já é uma má ideia por natureza”
• É lamentável que o app de desktop do Signal da repórter tenha sido comprometido. A versão para desktop é muito mais vulnerável se o notebook cair nas mãos de um invasor
  • Há um pedido para explicarem concretamente por que o Signal no desktop é menos seguro
  • Se você não configurar as mensagens sensíveis para apagamento automático, no fim não é muito diferente de SMS
  • Achei que uma jornalista desse nível manteria uma higiene básica de segurança. Espero que este caso sirva de alerta para outros repórteres
  • A conclusão da matéria parece duvidosa. Fica a dúvida se não conseguiram desbloquear o iPhone ou se já tinham obtido tudo o que precisavam via sincronização com o iCloud. Se já tinham o notebook, provavelmente já tinham iMessage, histórico de chamadas e dados do iCloud; então por que mirar o telefone?
  • Também fica a dúvida se a criptografia de disco como BitLocker ou FileVault foi quebrada, ou se o acesso aconteceu com a máquina já inicializada
• Se o Lockdown Mode barrou o ataque, isso sugere que, com uma configuração de segurança mais baixa, o governo conseguiria invadir?
  Com o Advanced Data Protection, é possível proteger dados do iCloud com E2EE, e o Face ID pode ser forçado, mas ao pressionar o botão de energia 5 vezes o aparelho muda para o modo PIN, que legalmente não pode ser exigido.
  Se o Lockdown Mode bloqueou, isso significaria que o governo tinha um zero-day que não funciona no modo PIN?
  • O que o governo usa na maioria das vezes é spyware como o Pegasus, do NSO Group
  • Sim
• A repórter disse que “não usa reconhecimento por impressão digital”, mas o notebook foi desbloqueado quando os investigadores encostaram o dedo dela, o que é estranho
  • Talvez ela tenha configurado isso no passado e esquecido. Pode até ter cadastrado durante a configuração inicial
  • Se foi isso mesmo, então ela chegou a registrar a impressão em algum momento? Fico curioso sobre como o sistema reconheceu o dedo
  • Há também comentário perguntando por que isso seria estranho
  • Se ela não tivesse registrado nenhuma digital, o reconhecimento simplesmente não seria possível. Mesmo com erro no sensor, o padrão seria não desbloquear
• É interessante a expressão “o Lockdown Mode é um recurso que dificulta invasões”
  Se o recurso consiste em desligar recursos, talvez fosse melhor chamar isso simplesmente de configuração.
  A maioria dos usuários de iPhone não altera as configurações padrão. Um dos motivos de o Google pagar bilhões à Apple é justamente a configuração padrão de busca.
  O Lockdown Mode não é o padrão, e quase ninguém o usa.
  Se esse modo torna o iPhone mais seguro, então a configuração padrão acaba, na prática, facilitando invasões
  • O Lockdown Mode é uma proteção para um grupo pequeno, como jornalistas e ativistas de direitos humanos, que podem virar alvo de ataques como o Pegasus.
    Bloquear anexos em mensagens, chamadas FaceTime de desconhecidos e limitar recursos do Safari traz muito incômodo para usuários comuns.
    Por isso, torná-lo padrão é irrealista e não ajudaria muito na segurança do usuário médio
  • Reduzir a superfície de ataque também pode significar menos coleta de dados e rastreamento publicitário, o que afetaria a receita da Apple.
    Esse também pode ser um motivo para não ser a configuração padrão
• Em algumas regiões, o Face ID é mais seguro que a impressão digital porque não desbloqueia com os olhos fechados
  Em alguns países da Europa, é permitido forçar alguém a encostar o dedo, mas é ilegal forçar a pessoa a manter os olhos abertos
  • Mas há a contestação de que já viram o Face ID funcionar com o rosto de alguém dormindo
• Ter de ativar o Lockdown Mode inteiro só para proteger conexões com dispositivos externos é ineficiente
  Eu não conecto meu iPhone a nada além de energia.
  Se existisse apenas um “modo de proteção contra acessórios externos”, eu ativaria imediatamente, mas a Apple avisa que “o aparelho não vai funcionar como de costume”
  • A partir do iOS 26, em Privacy & Security > Wired Accessories, dá para configurar para sempre perguntar se deve permitir acesso quando um novo dispositivo for conectado
  • O GrapheneOS por padrão só permite alimentação de energia quando bloqueado e, com bloqueio em hardware, fica totalmente imune a ferramentas de ataque via USB
  • Na verdade, desde 2014 qualquer um já podia implementar isso com os recursos Pair Lock/Supervise
    Veja post de 2014 e guia recente
  • O caminho da configuração é Settings > Privacy & Security > Wired Accessories, e dá para definir que ele pergunte a cada novo acessório conectado
  • O maior problema é que a falta de ajustes granulares de segurança acaba levando o usuário a abrir mão da própria segurança