Vulnerabilidade ‘Zero-Click’ do WhatsApp que afetava iPhones foi finalmente corrigida

Uma falha de segurança crítica foi corrigida no WhatsApp, revelando um sofisticado ataque “zero-click” que visou usuários de dispositivos Apple. Esta vulnerabilidade permitia que softwares espiões invadissem iPhones e Macs sem qualquer interação da vítima, destacando a constante ameaça do spyware avançado no ambiente digital.

A falha Zero-Click do WhatsApp e Apple

Na sexta-feira, o WhatsApp anunciou que corrigiu uma falha de segurança em seus aplicativos para iOS e Mac. Esta vulnerabilidade estava sendo utilizada para hackear secretamente dispositivos Apple de “usuários alvos específicos”. A Meta, proprietária do aplicativo de mensagens, confirmou em seu comunicado de segurança que a falha foi resolvida. Ela é oficialmente conhecida como CVE-2025-55177.

Leia também: Função da Samsung desde 2019 pode finalmente chegar ao iPhone 17 Pro

Leia também: Bateria do Galaxy S26 Edge vai ter maior capacidade, mesmo adotando tecnologia de Íon-Lítio

Este bug do WhatsApp foi explorado em conjunto com outra falha encontrada nos sistemas iOS e macOS da Apple, rastreada como CVE-2025-43300. A Apple já havia corrigido esta vulnerabilidade em 20 de agosto de 2025, com o lançamento do iOS 18.6.2 e macOS Sequoia 15.6.1. A falha da Apple residia no framework ImageIO, podendo causar corrupção de memória ao processar imagens maliciosas.

Como o ataque de Spyware Zero-Click funcionava

A Apple descreveu o incidente como um “ataque extremamente sofisticado contra indivíduos alvos específicos”. Sabemos agora que dezenas de usuários do WhatsApp foram visados por esta combinação de falhas. Donncha Ó Cearbhaill, chefe do Laboratório de Segurança da Anistia Internacional, classificou o ataque em uma publicação no X como uma “campanha avançada de spyware”. Ela atingiu usuários nos últimos 90 dias, ou seja, desde o final de maio.

Ó Cearbhaill explicou que os dois bugs formavam um ataque “zero-click”, o que significa que nenhuma interação da vítima, como clicar em um link, era necessária para comprometer o dispositivo. As duas falhas, quando encadeadas, permitiam que um invasor entregasse um exploit malicioso via WhatsApp. Este era capaz de roubar dados do dispositivo Apple do usuário.

Conforme Ó Cearbhaill, que publicou uma cópia da notificação de ameaça enviada pelo WhatsApp aos usuários afetados, o ataque era capaz de “comprometer seu dispositivo e os dados que ele contém, incluindo mensagens”. A vulnerabilidade no WhatsApp especificamente envolvia a autorização incompleta de mensagens de sincronização de dispositivos vinculados. Versões anteriores ao v2.25.21.73 para iOS, v2.25.21.78 para WhatsApp Business iOS e v2.25.21.78 para Mac foram afetadas.

Alvos e Impacto: Quem foi afetado por esta vulnerabilidade?

Não está imediatamente claro quem, ou qual fornecedor de spyware, está por trás dos ataques. Quando contatada pelo TechCrunch, a porta-voz da Meta, Margarita Franklin, confirmou que a empresa detectou e corrigiu a falha “algumas semanas atrás”. Além disso, a empresa enviou “menos de 200” notificações aos usuários do WhatsApp afetados.

A porta-voz não informou, quando questionada, se o WhatsApp possui evidências para atribuir os ataques a um agressor ou fornecedor de vigilância específico. Ataques zero-click frequentemente miram alvos de alto valor, como jornalistas, ativistas e funcionários governamentais, devido à sua natureza furtiva e difícil detecção.

O Histórico de Spyware e a luta do WhatsApp pela segurança

Esta não é a primeira vez que usuários do WhatsApp são alvo de spyware governamental, um tipo de malware capaz de invadir dispositivos totalmente atualizados com vulnerabilidades desconhecidas pelos fornecedores, conhecidas como falhas zero-day. Em maio, um tribunal dos EUA ordenou que a fabricante de spyware NSO Group pagasse ao WhatsApp US$ 167 milhões em danos por uma campanha de hacking em 2019. Esta campanha invadiu os dispositivos de mais de 1.400 usuários do WhatsApp com um exploit capaz de instalar o spyware Pegasus da NSO. O WhatsApp moveu o processo judicial contra a NSO, citando uma violação das leis federais e estaduais de hacking, bem como seus próprios termos de serviço.

No início deste ano, o WhatsApp interrompeu uma campanha de spyware que visava cerca de 90 usuários, incluindo jornalistas e membros da sociedade civil em toda a Itália. O governo italiano negou seu envolvimento na campanha de espionagem. A Paragon, cujo spyware foi usado na campanha, mais tarde interrompeu o acesso da Itália às suas ferramentas de hacking por não investigar o abuso. Este histórico demonstra a complexidade e a persistência dessas ameaças.

Proteja-se: Medidas essenciais contra ataques de Spyware

Para se proteger contra este tipo de ataque, é crucial manter seus dispositivos e aplicativos sempre atualizados. A Apple já disponibilizou as correções para iOS 18.6.2 e macOS Sequoia 15.6.1. Da mesma forma, o WhatsApp lançou as atualizações para as versões afetadas de seus aplicativos. Usuários que receberem avisos do WhatsApp sobre um possível comprometimento devem considerar a realização de uma redefinição de fábrica completa em seus dispositivos.

Além disso, a Anistia Internacional recomenda ativar proteções aprimoradas. O Modo de Isolamento (Lockdown Mode) no iOS, por exemplo, pode ajudar a mitigar os riscos de ataques zero-click. Este modo desativa várias funcionalidades que poderiam ser exploradas por esses ataques. Mantenha-se vigilante e informado sobre as últimas ameaças de segurança digital. A segurança proativa é a melhor defesa contra o spyware avançado. 🛡️

Fonte: TechCrunch