WhatsApp e Signal revelam a sua rotina a quem tiver o seu número

As suas mensagens no WhatsApp e no Signal vão cifradas e ninguém fora da conversa as lê. Essa parte funciona. O que continua a escapar é o pequeno visto cinzento que assinala a entrega: volta a uma velocidade mensurável, e essa velocidade diz se tem o ecrã ligado, se está em Wi-Fi ou em dados móveis, quantos aparelhos usa e a que horas se deita. Pode recolhê-lo qualquer pessoa que saiba o seu número de telefone, e não recebe aviso nenhum.

Como um visto se transforma em rastreador

Investigadores da Universidade de Viena e da SBA Research descreveram o mecanismo num trabalho chamado Careless Whisper. Cabe em quatro linhas.

1. O atacante envia para o seu número uma mensagem que a aplicação processa mas nunca mostra, por exemplo uma reação que aponta para um identificador de mensagem inexistente.
2. O seu telemóvel decifra-a, conclui que não há nada para mostrar e ainda assim devolve obedientemente uma confirmação de entrega.
3. O atacante mede quanto tempo essa confirmação demorou a voltar.
4. Repetido várias vezes por segundo, o registo dos tempos desenha a curva do seu dia.

No ecrã não aparece nada: nem notificação, nem conversa nova, nem contador de não lidas. O trabalho compara isto ao SMS silencioso, a técnica com que a polícia localiza um aparelho sem o dono dar por isso.

O que os tempos denunciam

Um telemóvel com o ecrã ligado responde mais depressa do que o mesmo aparelho virado para baixo em cima da mesa. Em Wi-Fi a resposta difere da resposta em dados móveis. Um cliente de computador que acabou de ficar online responde por sua conta. A partir daí os investigadores reconstruíram o tempo de ecrã ao segundo, rotinas de trabalho, deslocações e ainda o número de aparelhos ligados à conta e o sistema operativo de cada um.

O mesmo canal serve como arma e não apenas como sensor. Como as mensagens de sondagem podem transportar qualquer carga, a equipa mediu o que acontece quando se enviam grandes e sem parar.

No Signal o quadro é mais suave. As rajadas curtas passam, mas várias mensagens por segundo esbarram em limites, e a equipa não conseguiu esvaziar de forma apreciável a bateria de um telemóvel de teste. O canal lateral de seguimento existe lá na mesma; o esgotamento de recursos não.

A Threema comportou-se de outra forma

Foram testadas três aplicações. A Threema trata as confirmações com rigidez suficiente para que a sondagem silenciosa não funcione: um estranho só consegue provocar alguma coisa enviando uma mensagem de texto normal e abrindo uma conversa visível, ou seja, o contrário de discreto. Importa, porque mostra que isto é uma decisão de desenho e não uma lei da física. O WhatsApp e o Signal respondem a estranhos por omissão; a Threema não.

O que fizeram os responsáveis

1. 5 de setembro de 2024Os investigadores comunicam os resultados aos contactos de segurança da Meta e da Signal Foundation.
2. 24 de setembro de 2024A Meta confirma a receção e diz que o relatório segue para a equipa de desenvolvimento. Não chega resposta de fundo.
3. 8 de agosto de 2025Quase um ano depois, a Meta volta a comunicar que o relatório foi encaminhado para a engenharia.
4. SignalNenhuma resposta, segundo o trabalho.

O trabalho enumera correções que fechariam o buraco: deixar de enviar confirmações a números com quem não existe conversa, permitir a quem quiser desligar o envio imediato, juntar algum acaso aos tempos e validar o identificador de mensagem referido em vez de confirmar disparates. Nenhuma chegou como alteração do protocolo. Em dezembro de 2025 alguém publicou no GitHub uma demonstração funcional que transforma a técnica num painel, e foi por aí que a maioria ouviu falar do assunto. O comportamento de fundo não mudou desde então.

O ponto fraco é o número

Todas as versões deste ataque começam da mesma maneira: o atacante escreve um número de telefone. É também a conclusão de um segundo estudo do mesmo grupo vienense, apresentado na NDSS 2026: o mecanismo de descoberta de contactos do WhatsApp aceitava mais de 100 milhões de consultas por hora e confirmou 3,5 mil milhões de contas ativas em 245 países. A Meta já mitigou essa falha. A lição sobrevive à correção: nas duas plataformas o número de telefone é ao mesmo tempo endereço, credencial de acesso e chave de pesquisa.

O que pode mesmo fazer hoje

De toda a lista, o que vale mesmo a pena tratar são os nomes de utilizador. Não reparam o canal lateral, mas tiram ao ataque aquilo sem o qual ele não arranca. Se ninguém fora dos seus contactos o consegue alcançar pelo número, também ninguém o consegue sondar.