Spyware

1. Introdução: a vigilância que não aparece

Spyware é o software que coleta informações de um dispositivo ou de uma pessoa sem o conhecimento ou o consentimento real de quem é monitorado, e as envia a terceiros. Ao contrário do ransomware, que precisa se revelar para cobrar o resgate, o spyware tem sucesso justamente enquanto não é percebido. Quanto mais tempo passa escondido, mais senhas, mensagens, localizações e documentos ele entrega.

O termo cobre uma família ampla. Em uma ponta estão programas comuns que roubam senhas salvas no navegador e são vendidos a qualquer interessado por uma assinatura mensal. Na outra estão ferramentas de vigilância de alto custo, vendidas a governos e usadas contra jornalistas, advogados e ativistas, capazes de invadir um celular sem que a vítima toque na tela. No meio, os aplicativos de monitoramento instalados por parceiros ou familiares, que transformam a tecnologia em instrumento de controle e violência.

1.1 Para quem é esta cartilha

O texto atende a dois públicos. Profissionais de TI e segurança encontram nas seções 3, 4, 9 e 10 o que precisam para proteger uma organização contra roubo de credenciais e sessões. Usuários em geral, e pessoas em situação de risco, encontram nas seções 5, 6, 7 e 8 orientações para reconhecer e reagir à vigilância em seus próprios dispositivos.

1.2 O percurso

A seção 2 organiza os tipos de spyware. A seção 3 descreve como eles chegam aos dispositivos. As seções 4, 5 e 6 aprofundam os três grupos de maior impacto: infostealers, stalkerware e spyware mercenário. As seções 7 a 10 tratam de sinais, prevenção, detecção e resposta. O Apêndice A traz um checklist.

2. Taxonomia do spyware

Classificar o spyware pelo objetivo e pelo tipo de operador ajuda a escolher a defesa correta. Um infostealer em um notebook corporativo e um spyware mercenário no celular de uma jornalista exigem respostas muito diferentes.

3. Como o spyware chega ao dispositivo

A maioria das infecções depende de uma ação da vítima, obtida por engano ou conveniência. Os vetores abaixo estão ordenados, aproximadamente, do mais comum ao mais raro.

Software pirata, cracks e geradores de licença

Programas "gratuitos" de versões pagas são o principal canal de distribuição de infostealers. O usuário desativa o antivírus a pedido do próprio instalador, porque "o crack é detectado como falso positivo", e entrega a máquina ao atacante.

Phishing e anexos maliciosos

Mensagens que imitam cobranças, entregas ou comunicações oficiais levam o usuário a abrir arquivos ou baixar instaladores.

Anúncios maliciosos e resultados de busca patrocinados

Anúncios pagos imitam o site oficial de programas populares, como navegadores, clientes de videoconferência e utilitários, e entregam uma versão adulterada do instalador.

Extensões de navegador

Extensões com permissão para ler e alterar os dados de todos os sites têm acesso a tudo que o usuário vê e digita. Extensões legítimas também podem ser vendidas e atualizadas pelo novo dono com código malicioso.

Aplicativos de fora da loja oficial

Instalar aplicativos por links, a chamada instalação lateral (sideloading), dispensa a revisão das lojas oficiais e permite permissões abusivas, como os serviços de acessibilidade do Android.

Acesso físico ao aparelho

É o vetor típico do stalkerware: alguém que conhece a senha do celular instala o aplicativo em poucos minutos.

Exploração de vulnerabilidades com um clique ou nenhum clique

Reservada ao spyware mercenário, explora falhas desconhecidas pelo fabricante (zero-day) em navegadores e aplicativos de mensagem. Nas variantes sem clique (zero-click), basta que o aparelho receba uma mensagem especialmente construída.

4. Infostealers e o mercado de credenciais roubadas

Infostealers são o tipo de spyware com maior impacto para as organizações. São programas pequenos, executados uma única vez, que em poucos segundos copiam o que há de valioso no computador e o enviam ao atacante. Muitos nem tentam permanecer instalados: o objetivo é a coleta rápida.

4.1 O que é roubado

4.2 O sequestro de sessão

O roubo de cookies é o motivo pelo qual os infostealers se tornaram tão perigosos. A verificação em duas etapas é feita no momento do login; depois dele, o serviço confia no cookie de sessão. Quem copia esse cookie e o importa no próprio navegador assume a sessão já autenticada. Por isso, após uma infecção, apenas trocar a senha não resolve: as sessões ativas precisam ser encerradas em todos os serviços.

4.3 Dos logs ao ransomware

O conjunto de dados roubados de cada máquina é chamado de log e é vendido em mercados criminosos e canais de mensagens, muitas vezes por poucos dólares. Corretores de acesso inicial compram logs em busca de credenciais corporativas de VPN, de nuvem e de sistemas internos, e revendem esse acesso a afiliados de ransomware. Uma infecção em um computador pessoal, usado também para trabalho, pode assim se transformar meses depois em um ataque contra a empresa.

5. Stalkerware: vigilância nas relações pessoais

Stalkerware é o software de monitoramento instalado no aparelho de uma pessoa, sem o seu consentimento, por alguém de seu convívio: parceiro, ex-parceiro ou familiar. Muitos desses produtos são vendidos abertamente como ferramentas de "controle parental" ou de "monitoramento de funcionários", mas se anunciam também como forma de vigiar um cônjuge. É uma tecnologia frequentemente associada à violência doméstica e ao controle coercitivo.

5.1 Como funciona

A instalação exige acesso físico ao aparelho e, em geral, o conhecimento da senha de desbloqueio. Depois de instalado, o aplicativo esconde o próprio ícone e envia a um painel on-line as mensagens, a localização, as fotos, o histórico de chamadas e, em alguns casos, gravações do microfone. Uma variante sem instalação usa o acesso à conta de nuvem da vítima: quem conhece a senha consegue ver fotos, localização e backups de mensagens a partir de qualquer computador.

5.2 Sinais de alerta

• O agressor sabe de conversas, lugares visitados ou fotos que não foram compartilhadas com ele.
• Aparecem aplicativos desconhecidos com permissões de administrador do dispositivo ou de acessibilidade.
• A proteção da loja oficial de aplicativos foi desativada, ou há um perfil de gerenciamento desconhecido instalado.
• A conta de nuvem mostra acessos ou aparelhos vinculados que a pessoa não reconhece.

5.3 Aspectos legais no Brasil

A instalação de programas de vigilância no aparelho de outra pessoa sem autorização pode configurar crimes previstos no Código Penal, como a invasão de dispositivo informático (art. 154-A, incluído pela Lei nº 12.737/2012) e a perseguição (art. 147-A, incluído pela Lei nº 14.132/2021). Em contextos de violência contra a mulher, a Lei Maria da Penha (Lei nº 11.340/2006) prevê medidas protetivas. O registro de ocorrência e o apoio de serviços especializados são caminhos importantes.

6. Spyware mercenário e ataques sem clique

Spyware mercenário é o produzido por empresas privadas e vendido a governos e agências, oficialmente para investigação criminal e antiterrorismo. Investigações de laboratórios independentes, como o Citizen Lab da Universidade de Toronto e o Security Lab da Anistia Internacional, documentaram o uso dessas ferramentas contra jornalistas, defensores de direitos humanos, advogados e opositores políticos em diversos países.

6.1 Casos documentados

Pegasus (NSO Group)

O caso mais conhecido. Em 2021, o Citizen Lab identificou a cadeia de exploração FORCEDENTRY, que infectava iPhones por meio de uma mensagem do iMessage sem nenhuma interação da vítima. A Apple corrigiu a falha e processou a empresa, e o governo dos Estados Unidos incluiu a NSO Group em sua lista de restrições comerciais no mesmo ano.

Predator (Intellexa)

Ferramenta usada contra jornalistas e políticos, distribuída principalmente por links de um clique enviados por mensagem. O consórcio Intellexa foi alvo de sanções do governo dos Estados Unidos.

6.2 Por que é diferente

O spyware mercenário usa vulnerabilidades desconhecidas pelos fabricantes, que valem milhões no mercado de exploits. Isso significa que um aparelho com todas as atualizações pode ser infectado. Alguns implantes não sobrevivem à reinicialização do aparelho, e os operadores reinfectam o alvo quando necessário. Como o custo de cada infecção é alto, os alvos são escolhidos a dedo: a maior parte das pessoas não precisa se preocupar com essa ameaça, mas quem trabalha com temas sensíveis precisa.

7. Sinais de infecção e seus limites

Alguns sintomas podem indicar spyware, mas nenhum deles é prova, e a ausência de sintomas também não é garantia. O spyware bem feito é projetado para não deixar sinais visíveis. Os sinais servem para decidir quando investigar, não para concluir.

8. Prevenção por perfil de risco

A defesa contra spyware depende de quem é o alvo provável. Os controles abaixo são cumulativos: cada perfil deve aplicar também os do perfil anterior.

8.1 Todos os usuários

• Manter sistema, navegador e aplicativos atualizados, com atualizações automáticas ativas.
• Instalar aplicativos apenas das lojas oficiais e manter desativada a instalação de fontes desconhecidas.
• Não usar software pirata, cracks ou ativadores.
• Revisar periodicamente as extensões do navegador e remover as que não são usadas.
• Usar senha forte de desbloqueio, que não seja compartilhada, e ativar a verificação em duas etapas nas contas principais, especialmente na conta de nuvem.

8.2 Organizações

8.3 Pessoas de alto risco

Jornalistas, ativistas, advogados, executivos e autoridades devem considerar modos de proteção reforçada, como o Modo de Isolamento (Lockdown Mode) do iPhone, que desativa recursos frequentemente explorados em ataques sem clique. Reiniciar o aparelho diariamente dificulta implantes que não sobrevivem à reinicialização. Manter aplicativos de mensagem no mínimo necessário e desconfiar de links recebidos de desconhecidos, mesmo quando o assunto parece urgente e pessoal, também reduz a superfície de ataque.

9. Detecção e investigação

9.1 Em ambientes corporativos

A detecção de infostealers combina a telemetria do EDR, que registra processos lendo arquivos de senhas e cookies dos navegadores, com sinais de identidade, como logins de países ou redes incomuns, uso da mesma sessão a partir de dois lugares e criação de regras de encaminhamento no e-mail. Consultas de DNS para domínios recém-registrados e conexões a canais de mensagens usados como servidor de comando também são indícios úteis.

9.2 Em dispositivos pessoais

Uma revisão básica pode ser feita pelo próprio usuário:

1. Listar os aplicativos instalados e remover os desconhecidos, observando os que não aparecem na tela inicial.
2. Verificar quais aplicativos têm acesso à acessibilidade, à administração do dispositivo, à localização, ao microfone e à câmera.
3. Procurar perfis de configuração ou de gerenciamento que não foram instalados pela empresa.
4. Revisar os aparelhos conectados e as sessões ativas das contas de nuvem, de e-mail e de mensagens.

10. Resposta a incidentes de spyware

A resposta muda conforme o tipo de spyware e o perfil da vítima. Em todos os casos, vale uma regra: senhas trocadas em um aparelho ainda infectado são entregues novamente ao atacante. A limpeza do dispositivo, ou o uso de outro dispositivo confiável, vem antes da troca de credenciais.

10.1 Infostealer em uma estação corporativa

1. Isolar a máquina da rede pelo EDR e preservar evidências.
2. Revogar sessões e tokens de todos os serviços acessados pelo navegador infectado: e-mail, nuvem, VPN, sistemas internos e ferramentas de desenvolvimento.
3. Redefinir credenciais a partir de um dispositivo limpo, priorizando contas privilegiadas e contas de serviço cujas chaves estavam na máquina.
4. Investigar o uso das credenciais roubadas no período entre a infecção e a revogação.
5. Reinstalar o sistema em vez de tentar limpar manualmente.
6. Identificar a origem, como o crack, a extensão ou o anúncio, e bloquear o vetor para os demais usuários.

10.2 Stalkerware

A prioridade é a segurança da pessoa, não do aparelho. O caminho recomendado é procurar apoio especializado, montar um plano de segurança, documentar as evidências e só então decidir sobre a remoção, que pode ser feita por restauração de fábrica seguida da troca de todas as senhas, a partir de um aparelho que o agressor nunca teve em mãos.

10.3 Suspeita de spyware mercenário

Não é um caso para resolver sozinho. A pessoa deve contatar organizações com capacidade de análise forense, como a linha de ajuda de segurança digital da Access Now ou o Security Lab da Anistia Internacional, e, até a análise, usar outro aparelho para comunicações sensíveis. Uma restauração precipitada pode apagar as evidências necessárias para confirmar e documentar o ataque.

10.4 Obrigações legais

Quando o spyware expõe dados pessoais tratados por uma organização, como bases de clientes acessadas com credenciais roubadas, o caso é um incidente de segurança nos termos da LGPD e deve ser avaliado para comunicação à ANPD e aos titulares.

11. Conclusão

O spyware ocupa um espaço singular entre as ameaças digitais porque seu sucesso depende do silêncio. Do infostealer barato que alimenta o mercado de acessos corporativos ao implante de alto custo que invade um celular sem nenhum clique, o denominador comum é a captura de informação que a vítima acredita estar protegida. A criptografia das comunicações, a verificação em duas etapas e as senhas fortes continuam indispensáveis, mas todas pressupõem um dispositivo íntegro.

Por isso a defesa passa por três frentes: reduzir a chance de instalação, com software de origem confiável e sistemas atualizados; limitar o valor do que é roubado, com autenticação resistente a phishing e sessões curtas; e reagir corretamente quando a infecção ocorre, limpando o dispositivo antes de trocar credenciais e, no caso de pessoas em risco, colocando a segurança física à frente da técnica.

Glossário

Spyware

Software que coleta informações de um dispositivo ou pessoa sem consentimento e as envia a terceiros.

Infostealer

Tipo de spyware especializado em roubar credenciais, cookies de sessão e carteiras de criptoativos de forma rápida.

Keylogger

Programa ou dispositivo que registra tudo que é digitado no teclado.

RAT (Remote Access Trojan)

Programa malicioso que concede ao atacante controle remoto completo do dispositivo.

Stalkerware

Aplicativo de monitoramento instalado sem consentimento por alguém próximo à vítima.

Spyware mercenário

Ferramenta de vigilância comercial vendida a governos, geralmente baseada em vulnerabilidades desconhecidas.

Zero-day

Vulnerabilidade desconhecida pelo fabricante e, portanto, sem correção disponível no momento da exploração.

Zero-click

Exploração que compromete o dispositivo sem nenhuma ação da vítima, como abrir um link ou um anexo.

Cookie de sessão

Dado que mantém o usuário autenticado em um serviço após o login; seu roubo permite assumir a sessão.

Log de infostealer

Pacote de dados roubados de uma máquina infectada, comercializado em mercados criminosos.

Instalação lateral (sideloading)

Instalação de aplicativos a partir de fontes externas às lojas oficiais.

Passkey (FIDO2)

Credencial baseada em criptografia de chave pública, vinculada ao site legítimo, que resiste a phishing e não pode ser digitada em páginas falsas.

MVT (Mobile Verification Toolkit)

Ferramenta de código aberto para busca de indicadores de comprometimento por spyware em celulares.

Apêndice A, checklist de proteção contra spyware

O checklist a seguir reúne os controles desta cartilha, separados entre organização e usuários, em itens verificáveis.

Cartilha CiberLab · Ciência Embarcada · Lucas Rayan Guerra