Detetar falhas de segurança no telemóvel

Realizam, em nome do Serviço de Apoio às Vítimas de beider Basel, as chamadas «avaliações de segurança de telemóveis» para vítimas de violência doméstica e de perseguição. O que é que fazem exatamente nessas avaliações?

Rachid Dahjaoui: Fazemos uma análise exaustiva das pessoas em causa para identificar riscos de segurança digital. O objetivo é descobrir se o dispositivo delas está a ser vigiado, por exemplo, por meio do chamado «stalkerware» — ou seja, aplicações de vigilância ocultas —, ou se existem outras vulnerabilidades que possam representar um risco. No final, a pessoa em questão recebe um plano de ação concreto com recomendações claras sobre o que fazer. Além disso, as pessoas afetadas podem fazer mais perguntas ao longo de toda a avaliação.

Como é que decorre um exame destes?

Rachid Dahjaoui: Na primeira fase, explicamos à pessoa em questão como funciona e qual é o objetivo da avaliação. Além disso, recebe um guia de autodefesa digital com dicas práticas sobre como usar o smartphone de forma segura, sobre palavras-passe e configurações importantes nas aplicações das redes sociais, especialmente no que diz respeito à partilha de localização. Na segunda fase, analisamos em conjunto um questionário que desenvolvemos, com o qual avaliamos sistematicamente todas as áreas de risco relevantes. Se encontrarmos indícios de alerta, os chamados «red flags», aprofundamos a análise de forma específica para avaliar o risco concreto. Já durante a conversa, definimos as medidas adequadas para resolver a situação.

E agora, o que se passa?

Na terceira fase, a coisa fica mais técnica: analisamos o tráfego de rede do smartphone, ou seja, as ligações que o aparelho estabelece em segundo plano. Isso permite perceber se o telemóvel está a enviar dados às escondidas para serviços suspeitos, como seria o caso do stalkerware. Para isso, usamos um dispositivo especialmente configurado, ao qual a pessoa em questão se liga. Após a avaliação, ela recebe um plano de ação com todos os riscos identificados e os passos recomendados.

Quais são as vulnerabilidades mais comuns com que já te deparaste?

Rachid Dahjaoui: De longe, o maior ponto fraco é a falta de cuidado na gestão das próprias contas e palavras-passe. Muitas vezes, as pessoas afetadas partilham os seus dados de acesso com o parceiro ou a parceira, ou pedem-lhes para lhes criarem as contas. Isso faz com que o parceiro ou a parceira tenha acesso total e, consequentemente, controlo total e a possibilidade de vigiar. Além disso, muitas vezes usa-se a mesma palavra-passe para várias contas. Se uma delas for descoberta, isso abre logo várias portas.

Francis Fink: Neste contexto, as pessoas afetadas também não têm, muitas vezes, uma visão geral do nível de segurança de cada uma das suas contas. Quando depois ouvem que todas as contas têm de ser consideradas em risco ou até mesmo comprometidas, isso é um grande fardo para elas.

A fase piloto já terminou. Que experiências pudeste adquirir? Que balanço provisório fazes?

Rachid Dahjaoui: Uma conclusão importante: com exceção de um caso, não encontrámos nenhum software de perseguição nem spyware nos dispositivos. Mas isso não significa que não haja vigilância – muito pelo contrário. O risco não surge, na maioria das vezes, de ataques técnicos, mas sim do facto de os dados de acesso terem sido partilhados voluntariamente ou configurados pelo próprio parceiro ou pela própria parceira. Em termos técnicos, fala-se aqui de engenharia social, ou seja, a manipulação deliberada de pessoas para obter acesso ou informações. Outra conclusão: um questionário por si só não chega. É preciso ter conhecimentos sólidos na área da cibersegurança para conseguir avaliar corretamente o potencial de risco real.

Francis Fink: Uma das experiências mais importantes para mim, pessoalmente, é o facto de, nos casos de violência doméstica e psicológica, os agressores transferirem o controlo que exercem sobre as vítimas também para o espaço digital. Isso significa que as vítimas, que até aos factos terem ocorrido tratavam a segurança das suas próprias contas com a mesma despreocupação que a maioria das pessoas, têm de adaptar urgentemente as suas medidas de segurança à situação de risco acrescido. Essa mudança não acontece de um momento para o outro e, muitas vezes, nessa altura já existe um grande risco potencial. As nossas avaliações cibernéticas são um ponto de partida para praticar o que chamamos de «higiene digital» e, se for o caso, começar a recuperar o controlo sobre as tuas próprias contas e ligações.

Como é que podes garantir que as pessoas em causa sigam as tuas recomendações?

Rachid Dahjaoui: O ideal seria criar uma oferta que acompanhasse diretamente as pessoas afetadas na implementação das medidas. Ou seja, que não as deixasse sozinhas com uma lista, mas que as apoiasse passo a passo. Ao mesmo tempo, é importante sensibilizar as pessoas afetadas: o que é que é tecnicamente possível? Que riscos existem, concretamente? E como é que a pessoa se poderia ter protegido? Esta consciencialização é a chave para que as recomendações sejam aplicadas no dia a dia, também a longo prazo.

Francis Fink: De momento, infelizmente, não podemos acompanhar as pessoas em causa após a avaliação. Isso significa que não podemos garantir que elas consigam pôr em prática as nossas recomendações de forma adequada. Na minha opinião, seria fundamental recuperar a soberania digital, ou seja, um estado em que uma pessoa possa decidir e controlar de forma autónoma o nível de acesso que quer conceder a outras pessoas e, se for caso disso, possa também retirá-lo. Alargar a oferta dos centros de apoio às vítimas para incluir aconselhamento sobre como as pessoas podem navegar em segurança no espaço digital e como podem implementar as medidas que recomendamos completaria, sem dúvida, o nosso esforço.

Pudeste partilhar as tuas experiências com os centros de apoio às vítimas e, em nome da «tech against violence», organizas uma sessão semanal de atendimento a profissionais. A que atribuis esse grande interesse no teu trabalho?

Rachid Dahjaoui: Hoje em dia, é assustadoramente fácil vigiar outras pessoas digitalmente. Não é preciso ter conhecimentos de pirataria informática nem grandes conhecimentos técnicos. Isso faz com que a vigilância digital seja cada vez mais comum em relações violentas, e os centros de apoio estão cada vez mais a ser confrontados precisamente com esta problemática. Ao mesmo tempo, muitas vezes falta-lhes o know-how necessário para avaliar corretamente os riscos. Um exemplo concreto: se uma pessoa afetada se refugia num centro de acolhimento para mulheres ou raparigas e tem consigo um smartphone que está a ser localizado em tempo real, a segurança de todo o centro de acolhimento fica comprometida. É precisamente aqui que é necessário conhecimento especializado, e é exatamente por isso que o interesse pelo nosso trabalho é tão grande.

Francis Fink: Os conhecimentos de informática dos colaboradores dos serviços especializados na área da cibersegurança muitas vezes não são suficientes para reagirem de forma adequada às situações de risco no espaço digital. A maioria dos serviços especializados está ciente disso, e é por isso que recorrem bastante à oferta da «tech against violence».

Que conselhos nos podes dar a todos para que lidemos com a segurança dos dados de forma mais consciente?

Rachid Dahjaoui: Quatro regras básicas simples que fazem toda a diferença: Primeiro: usa uma palavra-passe forte e diferente para cada conta. Um gestor de palavras-passe ajuda-te a manter tudo organizado. Segundo: ativa a autenticação de dois fatores sempre que possível. Isso significa que, além da palavra-passe, é necessária uma segunda etapa de confirmação, por exemplo, um código enviado por uma aplicação. Mesmo que alguém saiba a tua palavra-passe, não consegue aceder à conta só com isso. Terceiro: verifica regularmente as autorizações das tuas aplicações: que aplicações têm acesso à tua localização, à tua câmara ou ao teu microfone? Desativa tudo o que não for absolutamente necessário. Quarto: mantém os teus dispositivos sempre atualizados e instala as atualizações. E, acima de tudo: não partilhes as tuas credenciais de acesso com ninguém – nem mesmo com o teu parceiro ou parceira.

Francis Fink: Concordo com o Rachid: gerir as tuas próprias contas e palavras-passe de forma segura é a base da tua própria cibersegurança.

Como é que percebemos que há algo de errado com a segurança do nosso telemóvel? E o que devemos fazer nessa altura?

Rachid Dahjaoui: Há alguns sinais de alerta típicos: a bateria esgota-se com uma rapidez suspeita, apesar de quase não teres usado o telemóvel. A câmara ou o microfone ligam-se sem motivo aparente. Recebes e-mails sobre redefinições de palavra-passe que não foste tu a solicitar. Ou certas definições deixam, de repente, de poder ser alteradas e mostram mensagens de erro. Estes são apenas alguns exemplos, mas se reparares em coisas assim, deves ficar atento. Nesse caso, contacta um serviço especializado ou um centro de aconselhamento que te possa ajudar a mandar verificar o aparelho.

Francis Fink: É importante acrescentar que, desde 1 de janeiro de 2026, o assédio persistente é considerado um crime. Podem ser aplicadas penas de prisão até três anos. O assédio persistente consiste numa perseguição, incómodo ou ameaça contínua que limita fortemente a capacidade de uma pessoa de viver a sua vida livremente. Muitas vezes, a vigilância digital faz parte disso.