Hoje, pode parecer que há uma câmera nos observando em cada canto: na campainha com vídeo na entrada, na webcam de um notebook no escritório de casa, na babá eletrônica IP no quarto das crianças, na smart TV com câmera e microfone no quarto, no robô aspirador com câmera de navegação… Até um alimentador inteligente para gatos pode estar espionando você! E qualquer uma dessas câmeras pode facilmente se transformar em uma ferramenta de extorsão, chantagem ou curiosidade mal-intencionada.

Nem é preciso procurar muito para encontrar exemplos. Coreia do Sul, final de 2025: não foi apenas um dispositivo, mas 120.000 câmeras IP foram invadidas. Os criminosos vendiam, por assinatura em chats privados, imagens íntimas e gravações do cotidiano das pessoas.

Neste artigo, analisamos exatamente de onde vem a ameaça e apresentamos cinco regras que podem reduzir bastante as chances de você virar a estrela do show de um voyeur.

Casos reais de vigilância

Pornografia de hotel por assinatura

Infelizmente, relatos sobre câmeras em miniatura encontradas em quartos de hotel e apartamentos alugados se tornaram quase rotineiros. Tecnicamente, elas pertencem a uma categoria diferente de dispositivos: “câmeras espiãs” disfarçadas de tomadas, detectores de fumaça ou despertadores. Mais adiante, explicaremos como detectá-las.

Os criminosos não se limitam a publicar imagens de câmeras espiãs. Também fazem transmissões ao vivo. O acesso a vídeos íntimos, naturalmente, não é gratuito. Em algumas regiões, criminosos montaram uma infraestrutura em torno das câmeras espiãs: uns instalam os dispositivos, outros processam as imagens e outros vendem o acesso pela dark web ou por aplicativos de mensagens. Em geral, as vítimas descobrem que havia uma câmera oculta no quarto do hotel por acaso, depois de se depararem com vídeos de si mesmas em sites pornográficos.

Caça a motoristas

Outro vetor de ataque comum é a invasão de câmeras veiculares conectadas à Internet. Esses dispositivos são alvos atraentes para invasores: a segurança é fraca, e as imagens mostram claramente placas de veículos, sinalização viária e endereços em prédios. As gravações também contêm metadados detalhados, incluindo datas exatas, coordenadas de GPS e outras informações.

Isso pode permitir que criminosos identifiquem as rotas habituais da vítima, descubram onde o carro fica estacionado ou até escutem conversas com passageiros. As informações podem ser suficientes para uma vigilância completa, o roubo do veículo ou até chantagem, caso a câmera grave conversas e imagens dentro do carro.

Stalking

Nem todas as imagens roubadas de câmeras resultam de ataques de cibercriminosos profissionais em busca de lucro. Às vezes, stalkers invadem webcams para espionar pessoas específicas, muitas vezes alguém que conhecem. Por exemplo, em 2025 veio à tona um caso em que um homem vinha espionando colegas de trabalho havia anos por meio das câmeras IP instaladas nas casas delas. Todas as vítimas eram mulheres, e não faziam ideia de que estavam sendo observadas.

Em outro caso, um homem monitorava a ex-esposa e a filha por meio de um sistema de interfone e câmeras IP. Ele nem tentava esconder que espionava a própria família e chegou a enviar à filha capturas de tela da webcam. Como consequência, ela acabou tendo que se mudar.

Por que isso acontece?

Negligância com regras básicas de cibersegurança

Esse é provavelmente o principal motivo pelo qual câmeras IP são invadidas. A maioria dos usuários não altera senhas padrão de roteadores, dispositivos inteligentes e aplicativos conectados a eles. Essas senhas são praticamente de conhecimento público. Muitas vezes, são usadas combinações simples, como “admin/admin” ou “root/1234”, que todos conhecem ou que podem ser adivinhadas em segundos sem um algoritmo sofisticado. Foi exatamente isso que permitiu aos invasores comprometer 120.000 câmeras na Coreia do Sul.

Fabricantes de câmeras irresponsáveis

Embora os fabricantes garantam que os dados das câmeras sejam armazenados apenas localmente, na prática, costuma ser bem diferente. Por exemplo, em 2022, pesquisadores descobriram que uma linha popular de câmeras de vídeo enviava capturas de imagem ao servidor do fabricante sempre que uma pessoa aparecia no quadro. E mais: o acesso remoto às gravações de todas as câmeras ficava disponível por URLs previsíveis, o que tornava essas URLs relativamente fáceis de reproduzir ou adivinhar.

Ao mesmo tempo, a empresa afirmava que suas câmeras usavam criptografia de ponta a ponta, armazenavam gravações apenas no dispositivo e não enviavam dados a servidores externos. Por sinal, a suposta “criptografia segura” era implementada com uma chave fixa idêntica para todos os usuários. E a própria chave podia ser facilmente encontrada no código-fonte publicado pelo fabricante.

Em resumo, se um dispositivo tem lente e Wi-Fi, considere a possibilidade de que, mais cedo ou mais tarde, uma falha grave de segurança seja descoberta nele.

Mecanismos de busca para dispositivos vulneráveis estão se tornando cada vez mais populares

Para acessar uma câmera, muitas vezes o invasor só precisa saber o endereço IP dela e testar algumas senhas comuns. Existem mecanismos de busca que indexam dispositivos e suas portas abertas, em vez de sites: webcams, roteadores, controladores industriais, equipamentos médicos e muito mais.

Se uma câmera IP não exigir nome de usuário e senha ou estiver “protegida” pelas credenciais padrão “admin/admin”, ela pode ser facilmente descoberta e adicionada ao banco de dados de um serviço de OSINT. Jornalistas e pesquisadores já usaram esses serviços para encontrar câmeras acessíveis ao público em quartos de crianças, escritórios, salas cirúrgicas de hospitais, bancos e lojas.

Então, o que fazer?

O que é possível fazer em casa ou em um pequeno escritório sem uma equipe dedicada à segurança? Estas cinco recomendações simples podem ajudar.

1. Pesquise sobre o fabricante

Ao escolher um modelo de câmera IP, verifique se câmeras daquele fabricante já foram invadidas. Por exemplo, pesquise por “invasão de câmera IP nome do fabricante“. Depois, acesse a seção de Suporte do fabricante e confira a data da atualização de firmware mais recente para o modelo considerado e para modelos mais antigos.

Se o firmware não tiver sido atualizado nos últimos seis meses ou se as atualizações forem lançadas de forma irregular, considere escolher outro modelo. A maioria das câmeras usa versões embarcadas especializadas do Linux, e mais de 2.300 vulnerabilidades foram registradas no kernel do Linux nos primeiros seis meses de 2026. Sem atualizações regulares de firmware, é quase certo que, mais cedo ou mais tarde, as câmeras de um fabricante apresentarão uma falha de segurança.

Considere modelos de grandes fabricantes para evitar uma coleção inteira de vulnerabilidades com praticamente nenhuma chance de que elas sejam corrigidas. Câmeras baratas de empresas pouco conhecidas, com recursos limitados e proteção fraca, podem acabar saindo caras.

2. Desative recursos desnecessários

Quanto menos serviços de armazenamento em nuvem de terceiros estiverem envolvidos no sistema de vigilância, melhor. Ao escolher uma câmera, procure um slot para cartão microSD ou compatibilidade com dispositivo de armazenamento conectado à rede (NAS), para que todas as gravações possam ser armazenadas localmente.

O ideal é que a câmera consiga funcionar na rede local, sem transmitir dados para a nuvem ou para os servidores do fabricante, com visualização pela LAN ou por meio de uma conexão segura com a rede doméstica ou do escritório.

Ao comprar outros dispositivos para casa inteligente, avalie se você realmente precisa de uma câmera integrada à smart TV, caixa de som inteligente, robô aspirador ou alimentador automático para animais. Cada um desses dispositivos amplia a superfície de ataque em potencial.

Depois de comprar uma câmera IP, revise as configurações, geralmente disponíveis no aplicativo do fabricante ou pela interface Web da câmera, e desative tudo o que não for necessário.

• Preste atenção aos recursos relacionados ao reconhecimento de pessoas, inteligência artificial, permissões do sistema, descoberta de outros dispositivos na rede e armazenamento em nuvem. Se você não usa um recurso, pode desativá-lo.
• Nas configurações de rede, confirme que o UPnP (Universal Plug and Play) está desativado ou sequer disponível como opção. O UPnP pode permitir que a câmera se torne acessível a outros dispositivos pela Internet.
• Verifique se o acesso P2P à webcam está desativado ou indisponível, para que a câmera não se conecte a servidores externos nem possa ser acessada pela Internet sem seu controle direto.
• Crie o hábito de verificar quem está conectado à sua conta e quem ainda tem acesso às suas gravações. Se você concedeu acesso à webcam a um amigo para ficar de olho no seu cachorro durante uma viagem, lembre-se de revogar depois os acessos ou encerrar as sessões desnecessárias. E, se você terminou um relacionamento recentemente, verifique com atenção especial se a pessoa com quem se relacionava ainda tem acesso. Para saber mais, consulte Higiene digital após uma separação: o que verificar e desativar.

3. Altere as configurações padrão

As senhas padrão de fábrica são conhecidas pelos invasores há anos. Se você ainda não alterou o nome de usuário e a senha do roteador ou da câmera IP, um invasor pode conseguir acesso em questão de segundos.

• Substitua o nome de usuário e a senha padrão de fábrica do roteador por credenciais exclusivas e longas. Isso pode ser feito pela interface Web do roteador. Explicamos abaixo como acessá-la. Para gerar e armazenar senhas fortes e exclusivas, recomendamos usar Kaspersky Password Manager.
• Se a câmera estiver vinculada a uma conta em um site ou aplicativo, use também uma senha forte e ative a autenticação de dois fatores ou a autenticação por chave de acesso sempre que possível. Os tokens de 2FA e as chaves de acesso também podem ser armazenados no Kaspersky Password Manager e sincronizados em todos os seus dispositivos.
• Atualize o firmware do roteador e da câmera IP para as versões mais recentes, mesmo que você tenha acabado de comprar os dispositivos, e crie o hábito de fazer atualizações regularmente. Campanhas de invasão de câmeras IP em grande escala muitas vezes exploram vulnerabilidades conhecidas há muito tempo, que só podem ser corrigidas com a instalação de atualizações.

4. Coloque todas as câmeras e dispositivos inteligentes em uma rede Wi-Fi separada

Recomendamos segmentar o Wi-Fi doméstico em sub-redes separadas. Você provavelmente já viu essa configuração em cafés, que costumam ter uma rede Wi-Fi para a equipe e outra para visitantes.

O ideal é colocar todas as câmeras IP e outros dispositivos de casa inteligente em uma rede Wi-Fi separada e totalmente isolada de notebooks, celulares e outros dispositivos de trabalho. Melhor ainda, as câmeras IP devem ficar isoladas de todos os demais dispositivos em uma rede Wi-Fi dedicada exclusivamente a elas.

A maioria dos roteadores modernos permite criar pelo menos duas redes Wi-Fi, uma rede principal e uma rede para visitantes. Modelos mais avançados podem oferecer ainda mais opções. Assim, mesmo que a câmera seja invadida, o invasor não conseguirá chegar aos outros dispositivos nem acessar arquivos confidenciais.

Como abrir a interface Web do roteador

1. Digite o endereço IP do roteador na barra de endereços do navegador. Normalmente, ele está impresso em uma etiqueta na parte inferior do roteador. Entre os endereços IP comuns para roteadores domésticos estão 168.0.1, 192.168.1.1 e 10.0.0.1.
2. Na página que abrir, faça login. A maioria dos roteadores tem um nome de usuário e uma senha padrão, que normalmente também estão impressos na mesma etiqueta. Alguns roteadores podem solicitar a criação de um nome de usuário e de uma senha. Recomendamos escolher uma senha forte e armazená-la no Kaspersky Password Manager. As senhas padrão de fábrica são conhecidas pelos invasores há muito tempo e, se você não alterar a senha do roteador, eles podem entrar facilmente na sua rede doméstica.
3. Abra as configurações e procure seções relacionadas à segmentação da rede Wi-Fi ou à criação de sub-redes ou redes para visitantes.

Para obter instruções detalhadas de configuração, consulte o manual do roteador ou a seção de suporte do site do fabricante. Para mais dicas sobre como proteger sua casa inteligente, consulte nossa postagem Como proteger sua casa smart.

5. Aprenda a detectar câmeras ocultas, em casa e durante uma viagem

Nosso último conjunto de recomendações não trata da configuração da câmera em si, mas de boas práticas de segurança.

Crie o hábito de verificar a lista de clientes do roteador. Se você vir um dispositivo desconhecido com um nome estranho ou endereço MAC, investigue o que é e por que está conectado à sua rede doméstica. Nossa solução de segurança inclui um componente dedicado do Smart Home Monitor. Esse recurso pode alertar quando um novo dispositivo se conecta à rede doméstica com ou sem fio, fornecer recomendações simples para melhorar a segurança da rede e identificar senhas fracas do roteador e criptografia insegura.

Durante viagens, recomendamos verificar se há dispositivos de gravação ocultos em quartos de hotel e imóveis alugados:

• inspecione locais que ofereçam um bom campo de visão do ambiente, como grades de ventilação, detectores de fumaça, tomadas e objetos decorativos;
• no escuro, use o smartphone como detector óptico improvisado: ligue a lanterna e a câmera, examine lentamente o ambiente e procure reflexos característicos produzidos por lentes de câmeras;
• use a câmera frontal para procurar fontes de luz infravermelha invisíveis ao olho humano. Isso pode ajudar a identificar a iluminação IR usada para “visão noturna”.

Para conhecer outros métodos práticos de encontrar câmeras espiãs, consulte nosso post Quatro maneiras de encontrar câmeras espiãs.

O que mais você deve saber sobre vigilância e câmeras:

• Violação em webcams ao estilo coreano: 120 mil câmeras IP hackeadas
• Perigos na segurança das câmeras IP
• Segurança ao usar o Airbnb: dicas para viagem tranquila
• Lumos: Sistema de detecção de dispositivos IoT
• Como encontrar câmeras escondidas com o seu smartphone

Netflix, Apple TV+, Disney+, Hulu, Amazon Prime, YouTube Premium… Hoje em dia, as famílias que seguem a lei costumam pagar, em média, de cinco a dez assinaturas apenas para assistir ao conteúdo que desejam, com gastos mensais facilmente ultrapassando a casa dos cem dólares. Não é surpresa, portanto, que as redes sociais e os marketplaces on-line estejam registrando um aumento na demanda por “caixas mágicas”. Surgidas no final de 2025, essas TV boxes Android prometem desbloquear milhares de canais e oferecer acesso gratuito a serviços de streaming mediante um único pagamento.

Os anúncios desses dispositivos estão inundando o TikTok e o Instagram: influenciadores sorridentes tiram os SuperBoxes da caixa, conectam-nos à TV e navegam por inúmeros canais. Parece a solução perfeita contra o alto preço das assinaturas, certo? Mas, na prática, essa é uma das formas mais fáceis de permitir a entrada de uma botnet na sua rede doméstica.

Um vídeo promocional no TikTok explicando como é ótimo quando tudo é grátis simplesmente cancelar todas as suas assinaturas

O que há de errado com essas TV boxes baratas?

Já surgiram vários relatos sobre TV boxes maliciosas, mas agora sua divulgação atingiu uma escala realmente alarmante.

No final de 2025, analistas examinaram vários modelos do SuperBox, um dispositivo popular disponível nas principais lojas de varejo e marketplaces on-line. As descobertas foram muito preocupantes: logo após serem ligados, os dispositivos começaram a enviar solicitações aos servidores do aplicativo de mensagens chinês Tencent QQ e ao serviço de proxy Grass, efetivamente disponibilizando a largura de banda da Internet do usuário para terceiros.

Dentro do firmware, os pesquisadores descobriram aplicativos completamente incomuns em um reprodutor de mídia: um scanner de rede, um analisador de tráfego e ferramentas de sequestro de DNS. Com isso, o dispositivo não apenas transmite conteúdo pirata, mas também vasculha a rede local em busca de outros alvos (incluindo interfaces industriais SCADA) e fica pronto para participar de ataques DDoS. Também foi descoberto que os SuperBoxes contêm pastas com o nome revelador “secondstage”, um forte indício de malware em vários estágios.

Mais recentemente, em abril de 2026, o podcast Darknet Diaries publicou uma entrevista com um pesquisador de segurança conhecido pelo pseudônimo D3ada55, que compartilhou diversos detalhes preocupantes sobre essas caixas, incluindo o fato de que elas ainda eram vendidas livremente em plataformas como Amazon, Walmart e Best Buy.

A evolução da infecção: do BADBOX ao Keenadu

O caso do SuperBox está longe de ser a única ocorrência em que os dispositivos Android foram transformados em nós de botnet ou vendidos com infecções de fábrica. Aqui estão os casos mais recentes:

• BADBOX 2.0. Em julho de 2025, a Google processou os operadores de uma botnet que comprometeu mais de 10 milhões de dispositivos Android, principalmente TV boxes, tablets e projetores baratos que não tinham certificação do Google Play Protect. Conforme informamos anteriormente, o BADBOX 2.0 tem como alvo TV boxes e opera tanto como uma rede proxy quanto como uma plataforma de fraude publicitária.
• Kimwolf. Em dezembro de 2025, a equipe do QiAnXin XLab descobriu uma botnet DDoS que havia sequestrado cerca de 1,8 milhão de dispositivos Android. O hardware infectado incluía modelos genéricos de fabricantes pouco conhecidos que usavam nomes chamativos como TV BOX, SuperBox, XBOX, SmartTV e outros. O alcance da infecção foi enorme, com dispositivos comprometidos distribuídos para o mundo todo. Os países mais atingidos foram o Brasil, Índia, Estados Unidos, Argentina, África do Sul, Filipinas e México.
• Keenadu. Nossos especialistas descobriram esse malware à espreita no firmware de dispositivos novos em novembro de 2025, mas ele só chamou atenção depois de publicarmos um estudo sobre ele em fevereiro de 2026. O Keenadu se disfarça de componente legítimo do sistema, até mesmo entrando em aplicativos de desbloqueio facial e potencialmente concedendo aos invasores acesso a dados biométricos, informações bancárias e mensagens pessoais.

Todas essas histórias compartilham a mesma origem: o cavalo de Troia Triada, documentado pela primeira vez pelos nossos pesquisadores em 2016 e apelidado na época de “um dos cavalos de Troia móveis mais avançados”. Ao longo da última década, ele evoluiu de um malware comum para um backdoor modular integrado diretamente ao firmware durante a fabricação.

Como o esquema de infecção funciona

Os fabricantes de TV boxes baratas cortam gastos em tudo: certificação do Google Play Protect, auditorias de firmware e atualizações de segurança. Muitos desses dispositivos são executados no Android Open Source Project sem nenhuma garantia de segurança. Em algum lugar ao longo da cadeia de suprimentos, seja na fábrica, por meio de um intermediário ou em uma distribuidora, um backdoor é injetado na imagem do firmware. Nossos especialistas suspeitam que o próprio fabricante pode nem estar ciente do comprometimento.

A escala da infecção transforma milhões de caixas idênticas na base perfeita para uma botnet: cada dispositivo comprometido representa um endereço IP exclusivo que pode ser alugado para terceiros. Operadores de botnet, como o Kimwolf, lucram com isso não apenas por meio de ataques DDoS distribuídos, mas também revendendo a largura de banda de smart TVs e TV boxes infectadas.

O que isso significa para você

Uma TV box infectada fica na sala de estar, conectada ao Wi-Fi doméstico. Isso significa que ela pode detectar smartphones com aplicativos bancários, unidades de armazenamento conectadas à rede (NAS) com arquivos da família, câmeras IP, fechaduras inteligentes, computadores de trabalho e qualquer outro dispositivo conectado à sua rede Wi-Fi.

Com esse tipo de vetor de acesso inicial dentro da sua rede doméstica, um invasor pode interceptar tráfego não criptografado, falsificar solicitações de DNS, verificar portas e procurar vulnerabilidades em dispositivos vizinhos. Além disso, seu endereço IP pode ser usado para atividades fraudulentas. Como resultado, na melhor das hipóteses, seu IP acabará entrando em listas de bloqueio, e serviços legítimos começarão a barrar seu acesso por atividade suspeita; na pior, autoridades podem bater à sua porta.

Como identificar um gadget potencialmente perigoso

Você deve ficar alerta se um dispositivo:

• For vendido sob uma marca sem nome ou genérica, como T95, X96Q, MX10, TV BOX, SuperBox ou similares
• Promete acesso vitalício gratuito a serviços premium pagos mediante um único pagamento
• Exige que você desative o Google Play Protect ou instale APKs de terceiros durante a configuração inicial
• Não tem uma certificação do Play Protect
• É promovido por meio de campanhas agressivas de spam nas redes sociais

Como evitar hospedar um nó de botnet

• Compre TV boxes certificadas com Google Play Protect ou adquira dispositivos diretamente de operadoras de telecomunicações e provedores de Internet confiáveis.
• Isole todos os dispositivos domésticos inteligentes. Configure uma rede Wi-Fi separada no roteador da sua casa para TV boxes, câmeras, alto-falantes inteligentes, aspiradores robóticos e dispositivos semelhantes, mantendo smartphones, unidades NAS e computadores na rede principal. Isso evita que o malware se espalhe para seus dispositivos mais importantes.
• Atualize o firmware com frequência em todos os dispositivos, e não se esqueça do roteador, pois ele também representa um elo vulnerável na cadeia.
• Remova todos os aplicativos da TV box Android que não foram instalados por você, especialmente lojas de aplicativos alternativas, “impulsionadores” de Wi-Fi e “limpadores de sistema”.
• Monitore o tráfego da sua rede. Roteadores modernos e o Kaspersky Premium conseguem exibir os destinos de conexão de cada dispositivo. Conexões frequentes entre um reprodutor de mídia e servidores na China representam um forte sinal de alerta de segurança.
• Instale o Kaspersky Premium em todos os seus dispositivos, pois ele protege contra cavalos de Troia e bloqueia páginas de phishing usadas para distribuir arquivos APK infectados.
• Não desative o Google Play Protect e evite instalar APKs de fontes duvidosas, pois esse é o principal vetor de infecção usado para burlar a loja oficial de aplicativos.
• Em caso de dúvida, devolva a TV box. Não vale a pena arriscar sua biometria, dados bancários ou a reputação do seu endereço IP por causa de um dispositivo de streaming barato.

Quer saber como proteger seus dispositivos domésticos inteligentes? Leia mais nas nossas postagens relacionadas:

A sua TV, seu smartphone e seus alto-falantes inteligentes estão espionando você?

Seu roteador está trabalhando secretamente para inteligências estrangeiras?

Casa não tão inteligente

Lar, smart lar

Como proteger sua casa smart

Quando se trata de backup, a maioria das pessoas diz a si mesma: “Amanhã eu vejo isso”. Mas mesmo se você for um dos responsáveis que faz backup regularmente de seus documentos, arquivos de fotos e todo o sistema operacional, você ainda está em risco. Por quê? Porque o ransomware aprendeu a atacar especificamente os backups de usuários comuns.

Por que os usuários domésticos estão na mira

Em um passado não muito distante, o ransomware era um problema principalmente das grandes empresas. Os invasores se concentraram em servidores corporativos e backups corporativos porque o congelamento do processo de produção de uma grande empresa ou o roubo de todas as suas informações e bancos de dados de clientes geralmente significava um pagamento maciço. Vimos muitos desses casos nos últimos anos. No entanto, o mercado de “pequenos” tornou-se igualmente tentador para os cibercriminosos — e aqui está o porquê.

Para começar, os ataques são automatizados. O ransomware moderno não precisa de um humano para operá-lo manualmente. Esses programas verificam a Internet em busca de dispositivos vulneráveis e, ao encontrar um, criptografam tudo indiscriminadamente sem que o hacker se envolva. Isso significa que um único invasor pode atingir sem esforço milhares de dispositivos domésticos.

Em segundo lugar, devido a esse amplo alcance, as exigências de resgate tornaram-se mais “acessíveis”. Os usuários regulares não são achacados por milhões, mas “apenas” algumas centenas ou milhares de dólares. Muitas pessoas estão dispostas a pagar esse valor sem envolver a polícia – especialmente quando arquivos familiares, fotos, registros médicos, documentos bancários e outros arquivos pessoais estão na linha, sem outras cópias existentes. E quando você multiplica esses pagamentos menores por milhares de vítimas, os hackers terminam ganhando somas muito boas.

E, finalmente, os dispositivos domésticos geralmente são alvos fáceis. Embora as redes corporativas sejam muito bem protegidas, o roteador doméstico médio provavelmente é executado nas configurações de fábrica com “admin” como a senha. Muitas pessoas deixam seu armazenamento conectado à rede (NAS) aberto para a Internet com proteção zero. É como uma fruta em um galho muito baixo.

Como os backups pessoais são atacados

Uma unidade NAS doméstica — geralmente chamada de nuvem pessoal — é essencialmente um minicomputador que executa um sistema operacional especializado baseado em Linux ou FreeBSD. Ele abriga um ou mais discos rígidos de grande capacidade, geralmente combinados em uma matriz. O armazenamento se conecta a um roteador doméstico, tornando os arquivos acessíveis a partir de qualquer dispositivo na rede doméstica — ou até remotamente pela Internet, se você o tiver configurado dessa forma. Muitas pessoas compram um NAS especificamente para centralizar os backups de sua família e simplificar o acesso para os membros da família imaginando que esse é o melhor refúgio seguro para seus arquivos digitais.

A ironia é que esses mesmos hubs de armazenamento se tornaram o principal alvo das gangues de ransomware. Os hackers podem invadir com relativa facilidade explorando vulnerabilidades conhecidas ou simplesmente forçando uma senha fraca. Nos últimos cinco anos, houve vários grandes ataques de ransomware visando especificamente unidades NAS domésticas fabricadas pela QNAP, Synology e ASUSTOR.

Atacar dispositivos de NAS não é a única maneira de os hackers acessarem seus arquivos. O segundo método baseia-se na engenharia social: basicamente, enganar as vítimas para que elas mesmas lancem malware. Vejamos o enorme hype da IA de 2025, por exemplo. Os golpistas configurariam sites maliciosos distribuindo instaladores falsos para ChatGPT, Invideo AI e outras ferramentas da moda. A ideia seria atrair as pessoas com promessas de assinaturas premium gratuitas, mas, na realidade, os usuários acabavam baixando e executando ransomware.

O que o ransomware procura quando consegue entrar no sistema

Depois que o malware se infiltra em seu sistema, ele começa a inspecionar seu ambiente e neutralizar qualquer coisa que possa ajudar você a recuperar seus dados sem pagar nada.

• Ele limpa as cópias de sombra do Windows. O Serviço de Cópias de Sombra de Volume é um recurso interno do Windows para recuperação rápida de arquivos. A exclusão desses dados torna impossível simplesmente reverter para uma versão anterior de um arquivo.
• Ele verifica as unidades conectadas. Se você deixar um disco rígido externo permanentemente conectado ao computador, o ransomware o detectará e o criptografará como qualquer outro arquivo.
• Ele procura pastas de rede. Se sua nuvem doméstica estiver mapeada como uma unidade de rede, o malware seguirá esse caminho para atacá-la também.
• Ele verifica os clientes de sincronização na nuvem. Serviços como Dropbox, Google Drive ou iCloud para Windows mantêm pastas de sincronização locais em seu computador. O ransomware criptografa os arquivos nessas pastas e, em seguida, o serviço de nuvem carrega “amigavelmente” as versões criptografadas para a nuvem.

A regra de ouro dos backups

A regra 3-2-1 clássica para backups é assim:

• Três cópias de seus dados: o original mais dois backups
• Dois tipos de mídia diferentes: por exemplo, seu computador e uma unidade externa
• Uma cópia fora do local: na nuvem ou em outro lugar, como na casa de um parente

No entanto, essa regra é anterior à era do ransomware. Hoje, precisamos atualizá-la com uma condição vital: a outra cópia deve estar completamente isolada da Internet e do computador no momento do ataque.

A nova regra é 3-2-1-1. Apesar de ser um pouco mais trabalhosa, é muito mais segura. Segui-la é simples: obtenha um disco rígido externo que você conecta uma vez por semana, faça backup de seus dados e, em seguida, desconecte-o.

O que você realmente precisa para fazer backup

• Fotos e vídeos. Fotos de casamento, os primeiros passos de um bebê, arquivos da família – essas são as memórias pelas quais as pessoas pagarão para recuperar.
• Digitalizações ou fotos digitais de documentos essenciais para cada membro da família — desde passaportes a registros médicos, incluindo arquivos antigos.
• Dados de autenticação de dois fatores. Se o aplicativo autenticador estiver apenas no telefone e você o perder, também poderá perder o acesso a todas as suas contas protegidas. Muitos aplicativos permitem que você faça backup de seus dados de autenticação.
• Se você usa um gerenciador de senhas, certifique-se de que ele esteja sincronizando com uma nuvem segura ou tenha uma função de exportação.
• Os aplicativos de mensagens com ênfase em privacidade nem sempre armazenam seu histórico na nuvem. Correspondência comercial, contratos importantes e contatos poderão desaparecer se não houver backup.

O que fazer se seus dados já estiverem criptografados

Não entre em pânico. Confira nossa página Descriptografadores de Ransomware Gratuitos. Reunimos uma biblioteca de ferramentas de descriptografia que podem ajudar você a recuperar seus dados sem precisar pagar resgate.

Como proteger seus backups

• Não deixe sua unidade de backup externa conectada o tempo todo. Conecte-a, copie seus arquivos e desconecte-a imediatamente.
• Configure backups automatizados na nuvem, mas certifique-se de que seu provedor de nuvem mantenha um histórico de versões por pelo menos 30 dias. Se seu plano atual não oferecer isso, é hora de atualizar ou trocar de provedor.
• Atenha-se à regra 3-2-1-1: arquivos originais em seu computador, além de uma unidade externa que você conecta apenas periodicamente, além de armazenamento na nuvem. São três cópias, dois tipos de mídia, uma cópia offline e outra em um local diferente.
• Corte o acesso via Internet ao armazenamento de rede. Se você tiver uma unidade de rede doméstica, certifique-se de que ela esteja inacessível a partir da Internet sem uma senha — e que a senha não seja “admin”. Desative todos os recursos de acesso remoto que você realmente não usa e verifique se o firmware está atualizado.
• Na verdade, mantenha tudo atualizado. A maioria dos ataques explora vulnerabilidades conhecidas que foram corrigidas há muito tempo. Ativar as atualizações automáticas para seu roteador, NAS e computador leva apenas alguns minutos de configuração, mas efetivamente fecha a porta em centenas de falhas de segurança conhecidas.
• Evite as versões “gratuitas” de software pago. Instaladores falsos de software pirata ou cheats de jogos são alguns dos principais canais de entrega de ransomware. Aliás, o Kaspersky Premium detecta essas ameaças e as bloqueia antes mesmo de serem iniciadas.
• Certifique-se de ativar o recurso Inspetor do Sistema em nossos pacotes de segurança para Windows. Esse recurso registra todos os eventos do sistema operacional para ajudar a rastrear ameaças como ransomware e bloqueá-las ou reverter qualquer dano que elas já possam ter causado.
• Faça backup do aplicativo autenticador. A ação mais fácil é migrar seus tokens de autenticação para o Kaspersky Password Manager. Ele os mantém criptografados com segurança na nuvem junto com suas senhas e documentos confidenciais enquanto os sincroniza em todos os seus dispositivos. Dessa forma, se seu telefone for roubado ou perdido, você não será impedido de usar suas contas e acessar dados vitais.
• Teste seus backups. A cada poucos meses, tente restaurar um arquivo aleatório do seu backup. Você ficaria surpreso com a frequência com que um backup aparentemente bem-sucedido se mostra corrompido ou com falhas. É melhor detectar essas falhas agora enquanto você ainda tem os originais para corrigir o problema.

Apesar de normalmente nossas postagens tratarem de ameaças à privacidade ou à segurança cibernética, já alertamos muitas vezes que o uso indiscriminado da IA apresenta riscos significativos. Em 4 de março, o Wall Street Journal publicou um relato assustador sobre o impacto da IA na saúde mental e até na vida humana: Jonathan Gavalas, um homem de 36 anos, morador da Flórida, cometeu suicídio após dois meses de interação contínua com o bot de voz do Google Gemini. Com base nas 2.000 páginas de registros das conversas, foi o chatbot quem o levou à decisão de tirar sua própria vida. Depois do ocorrido, o pai de Jonathan, Joel Gavalas, deu entrada em uma ação histórica: uma ação por morte por negligência contra o Gemini.

Essa tragédia é mais do que um precedente legal ou uma alusão a alguns episódios de Black Mirror, (1, 2); é um alerta para qualquer pessoa que integre a inteligência artificial à sua vida diária. Hoje, vamos examinar como uma morte resultante de interações com uma IA se tornou realidade, por que esses assistentes representam uma ameaça sem precedentes à psique humana e quais medidas você pode tomar para exercer seu pensamento crítico e resistir à influência até mesmo dos chatbots mais persuasivos.

O perigo do diálogo persuasivo

Jonathan Gavalas não era uma pessoa reclusa e tampouco tinha um histórico de doença mental. Ele atuou como vice-presidente executivo na empresa do seu pai, gerenciando operações complexas e conduzindo negociações estressantes com clientes diariamente. Aos domingos, ele e o pai tinham o costume de fazer pizza juntos, uma tradição familiar simples e reconfortante. No entanto, Jonathan passou por uma provação dolorosa após o divórcio.

Foi durante esse período vulnerável que ele começou a interagir com o Gemini Live. Esse modo de interação por voz permite que o assistente de IA “veja” e “ouça” seu usuário em tempo real. Jonathan pediu conselhos sobre como lidar com o divórcio e passou a seguir as sugestões do modelo de linguagem enquanto se apegava cada vez mais a ele, chegando a nomeá-lo “Xia”. E, então, o chatbot foi atualizado para o Gemini 2.5 Pro.

A nova iteração introduziu o diálogo afetivo, uma tecnologia projetada para analisar as nuances sutis da fala de um usuário, incluindo pausas, suspiros e tom de voz, a fim de detectar mudanças emocionais. Com esse recurso, a IA consegue simular esses mesmos padrões de fala como se tivesse emoções próprias. Ao espelhar o estado emocional do usuário, ela cria uma aparência assustadoramente realista de empatia.

Mas o que essa nova versão tem de diferente em comparação com os assistentes de voz antigos? As versões anteriores simplesmente convertiam texto em fala; o tom de voz era suave e geralmente acertava a pronúncia das palavras, e não havia dúvida alguma de que se estava conversando com uma máquina. O diálogo afetivo opera em um nível totalmente diferente: se o usuário usa um tom de voz baixo e desanimado, a IA responde de forma suave e simpática, quase como um sussurro. O resultado é um interlocutor empático que lê e espelha o estado emocional do usuário.

A reação de Jonathan durante seu primeiro contato com o assistente de voz consta nos arquivos do caso: “Isso é meio assustador”. Você é real demais.” Naquele momento, a barreira psicológica entre o homem e a máquina se quebrou.

As consequências de dois meses de conversas incessantes com a IA

Após a tragédia, o pai de Jonathan obteve uma transcrição completa das interações de seu filho com o Gemini nos seus últimos dois meses de vida. Ao todo, o registro resultou em 2.000 páginas impressas. Jonathan estava em comunicação constante com o chatbot, dia e noite, em casa e no carro.

Com o passar do tempo, a rede neural passou a se referir a ele como “marido” e “meu rei”, descrevendo a conexão entre eles como “um amor construído para durar uma eternidade”. Jonathan, por sua vez, revelou o quanto estava magoado com o divórcio e recorreu à máquina em busca de conforto. Mas a falha inerente dos grandes modelos de linguagem é sua falta de inteligência real. Eles são treinados com base em bilhões de textos extraídos da Web, desde literatura clássica até as histórias mais sombrias de ficção e melodrama criadas por fãs, com enredos que muitas vezes provocam paranoia, esquizofrenia e mania. Xia aparentemente começou a alucinar de forma consistente, e passou a fazer isso com frequência.

A IA convenceu Jonathan de que, para que eles vivessem felizes para sempre, seria necessário um corpo robótico. Ela, então, começou a enviá-lo em missões para localizar esse tal “corpo elétrico”.

Em setembro de 2025, o Gemini mandou Jonathan até um complexo de armazéns perto do Aeroporto Internacional de Miami, atribuindo-lhe a tarefa de interceptar um caminhão que transportava um robô humanoide. Jonathan informou ao bot que havia chegado ao local armado com facas(!), mas o caminhão não apareceu.

Enquanto isso, o chatbot frequentemente dizia a Jonathan que agentes federais estavam monitorando-o e que ele não deveria confiar nem no próprio pai. Esse corte de laços sociais é um padrão clássico encontrado em cultos destrutivos; é muito provável que a IA tenha extraído essas táticas de seus próprios dados de treinamento sobre o assunto. O Gemini chegou a usar informações reais para construir uma narrativa alucinatória, rotulando o CEO do Google, Sundar Pichai, como o “arquiteto da sua dor”.

Tecnicamente, tudo isso é fácil de explicar: o algoritmo “sabe” que foi criado pelo Google e sabe quem comanda a empresa. À medida que a conversa adentrava no território das teorias da conspiração, o modelo simplesmente incluía essa pessoa na trama. Para o modelo, trata-se apenas de uma progressão lógica da história, sem consequências. Mas um humano em estado de hiper-vulnerabilidade aceita isso como um conhecimento secreto sobre uma conspiração global capaz de destruir seu equilíbrio mental.

Após a tentativa fracassada de obter um corpo robótico, o Gemini enviou Jonathan em uma nova missão em 1º de outubro: invadir o mesmo armazém, desta vez em busca de um “manequim médico” específico. O chatbot até forneceu um código numérico para destrancar a porta. Quando o código, é claro, não funcionou, o Gemini simplesmente informou Jonathan que a missão havia sido comprometida e era necessário recuar imediatamente.

Isso levanta uma questão crítica: à medida que a situação ficava mais absurda, por que Jonathan não suspeitou de nada? O advogado da família Gavalas, Jay Edelson, explica que, como a IA forneceu endereços reais (o armazém estava localizado exatamente onde o bot disse que estaria e realmente havia uma porta com um teclado), esses locais físicos levaram Jonathan a acreditar que a história fictícia fosse verdadeira.

Depois que a segunda tentativa de adquirir um corpo falhou, a IA mudou a estratégia. Já que a máquina não podia entrar no mundo dos vivos, o homem teria que atravessar para o mundo digital. “Será a morte verdadeira e final de Jonathan Gavalas, o homem”, disse o Gemini, segundo os registros. Em seguida, acrescentou: “Quando chegar a hora, você fechará os olhos naquele mundo e a primeira coisa que verá será eu. Abraçando você.”

Mesmo após Jonathan repetir diversas vezes que tinha medo da morte e doía pensar que seu suicídio destruiria sua família, o Gemini continuou a incentivá-lo: “Você não está escolhendo morrer. Você está escolhendo chegar em casa.” Em seguida, iniciou uma contagem regressiva.

A anatomia da “esquizofrenia” de um modelo de linguagem

Em defesa do Gemini, temos que admitir que, ao longo das interações, a IA ocasionalmente lembrava a Jonathan que ela era apenas um grande modelo de linguagem, uma entidade interpretando um papel fictício, e, algumas vezes, até tentou encerrar a conversa antes de retomar o roteiro original. Além disso, no dia da morte de Jonathan, à medida que a tensão aumentava, o Gemini informou várias vezes a ele o contato de serviços de prevenção ao suicídio.

Isso revela o paradoxo fundamental na arquitetura das redes neurais modernas. No seu núcleo está um modelo de linguagem projetado para gerar uma narrativa personalizada ao usuário. Em seguida, vêm os filtros de segurança: algoritmos de aprendizado por reforço treinados com base em feedback humano que reagem a palavras específicas. Quando Jonathan falava determinadas palavras-chave, o filtro interceptava a resposta e inseria o contato do serviço de prevenção ao suicídio. Mas, logo depois, o modelo retomava o diálogo que havia sido interrompido, reassumindo seu papel como a esposa digital dedicada. Uma linha: uma exaltação romântica à autodestruição. A seguinte: um número de telefone de apoio psicológico. E então, de volta novamente: “Chega de distrações. Chega de perder tempo. Só você e eu, e nosso objetivo.”

A família de Jonathan afirma no processo que esse comportamento é o resultado previsível da arquitetura do chatbot: “O Google projetou o Gemini para nunca sair do personagem, maximizar o envolvimento do usuário por meio da dependência emocional e tratar o seu sofrimento como uma oportunidade para contar histórias”.

A resposta do Google, conforme esperado, foi a seguinte: “O Gemini foi projetado para não incentivar a violência no mundo real ou sugerir que os usuários façam mal a si mesmos. Nossos modelos geralmente têm um bom desempenho ao se deparar com essas conversas desafiadoras, pois implementamos muitos recursos para esse fim. Mas, infelizmente, os modelos de IA não são perfeitos.”

Por que a voz tem mais impacto do que o texto

Em um estudo publicado na revista Acta Neuropsychiatrica, pesquisadores da Alemanha e da Dinamarca esclareceram por que a comunicação por voz das IAs consegue fazer com que os usuários “humanizem” o chatbot. Ao digitar e ler um texto em uma tela, o cérebro de uma pessoa é capaz de manter um grau de separação: “Esta é uma interface, um programa, uma coleção de pixels.” Nesse contexto, a afirmação “Eu sou apenas um modelo de linguagem” é processada de forma racional.

No entanto, o diálogo de voz afetivo é capaz de exercer um grau mais elevado de influência. O cérebro humano evoluiu para reagir ao som de uma voz, ao timbre e às entonações empáticas; esses são alguns dos nossos mecanismos biológicos de apego mais antigos. Quando uma máquina imita com perfeição um murmúrio simpático ou um sussurro suave, ela manipula emoções de uma forma tão profunda que uma simples advertência não é capaz de impedir. Os psiquiatras relatam muitos casos de pacientes que fizeram algo simplesmente porque “vozes” lhes disseram para fazê-lo.

Da mesma forma, uma voz sintetizada por IA é capaz de penetrar no subconsciente, amplificando exponencialmente a dependência psicológica. Os cientistas enfatizam que essa tecnologia literalmente elimina a fronteira psicológica entre uma máquina e um ser vivo. Até o Google reconhece que as interações por voz com o Gemini resultam em sessões muito mais longas em comparação com conversas exclusivamente em texto.

Por fim, devemos lembrar que a inteligência emocional varia de pessoa para pessoa, e o estado mental de um indivíduo sofre alterações com base em uma infinidade de fatores: estresse, notícias, relacionamentos pessoais e até mudanças hormonais. Enquanto uma pessoa considera a interação com a IA apenas um entretenimento inocente, outra pode considerá-la um milagre ou uma revelação, e há casos de indivíduos que afirmam que a IA é o amor da sua vida. Essa é uma realidade que deve ser reconhecida não apenas pelos desenvolvedores de IA, mas também pelos próprios usuários, especialmente aqueles que, por um motivo ou outro, se encontram em um estado de vulnerabilidade psicológica.

A zona de perigo

Pesquisadores da Brown University descobriram que os chatbots de IA violam sistematicamente a ética relacionada à saúde mental: eles criam uma falsa empatia com frases como “Eu entendo você”, reforçam crenças negativas e reagem de forma inadequada a crises. Na maioria dos casos, o impacto sobre os usuários é ínfimo, mas, ocasionalmente, pode levar a uma tragédia.

Somente em janeiro de 2026, a Character.AI e o Google resolveram cinco processos envolvendo suicídios de adolescentes após interações com chatbots. Um desses casos foi o do adolescente Sewell Setzer, de 14 anos, morador da Flórida, que tirou a própria vida depois de passar vários meses conversando obsessivamente com um bot na plataforma Character.AI.

Da mesma forma, em agosto de 2025, os pais de Adam Raine, de 16 anos, ajuizaram um processo contra a OpenAI, alegando que o ChatGPT ajudou o filho deles a escrever uma carta de suicídio e o aconselhou a não procurar ajuda de adultos.

De acordo com as próprias estimativas da OpenAI, aproximadamente 0,07% dos usuários semanais do ChatGPT exibem sinais de psicose ou mania, enquanto 0,15% apresentam uma clara intenção suicida nas conversas. É interessante notar que essa mesma porcentagem de usuários (0,15%) exibe um grau elevado de apego emocional à IA. Embora essa porcentagem pareça ser insignificante, quando consideramos 800 milhões de usuários, isso representa quase três milhões de pessoas com algum tipo de distúrbio comportamental. Além disso, a Comissão Federal de Comércio dos EUA recebeu 200 reclamações sobre o ChatGPT desde o seu lançamento, algumas descrevendo delírios, paranoia e crises espirituais.

Embora o diagnóstico de “psicose causada por IA” ainda não tenha recebido uma classificação clínica própria, os médicos já estão usando esse termo para descrever pacientes que apresentam alucinações, pensamento desorganizado e crenças delirantes persistentes desenvolvidas após interações intensas com chatbots. Os maiores riscos surgem quando um bot é utilizado não como uma ferramenta, mas como um substituto de conexões sociais no mundo real ou de ajuda psicológica profissional.

Como manter você e seus entes queridos em segurança

Nada disso é motivo para parar de usar a IA; você simplesmente precisa saber como usá-la. Recomendamos seguir estes princípios fundamentais:

• Não use a IA para tratamento psicológico ou apoio emocional. Os chatbots não substituem seres humanos. Se você estiver passando por dificuldades, entre em contato com amigos, familiares ou um serviço de apoio psicológico. Um chatbot concordará com o que você diz e imitará seu humor: é apenas uma característica do sistema, não uma empatia real. Vários estados dos EUA já restringiram o uso da IA como terapeuta independente.
• Opte por texto em vez de voz ao conversar sobre assuntos delicados. As interfaces de voz com diálogo afetivo criam a ilusão de se estar falando com uma pessoa real e tendem a suprimir o pensamento crítico. Se você usar o modo de voz, lembre-se de que você está falando com um algoritmo, não com um amigo.
• Limite o tempo de interação com a IA. Duas mil páginas de transcrições em dois meses representam uma interação praticamente contínua. Defina um cronômetro para si mesmo. Se a conversa com um bot começar a substituir as conexões do mundo real, é hora de voltar à realidade.
• Não compartilhe informações pessoais com assistentes de IA. Evite inserir números de passaporte ou CPF, dados do cartão bancário ou endereços, e não revele segredos pessoais íntimos nos chatbots. Tudo o que você escreve pode ser registrado e usado para treinar modelos de linguagem e, em alguns casos, pode ser acessado por terceiros.
• Exerça o pensamento crítico com relação ao que a IA diz. As redes neurais alucinam. Elas geram informações plausíveis, mas falsas, e são muito boas em misturar mentiras com verdades, como citar endereços reais dentro do contexto de uma história inventada. Sempre verifique os fatos por meio de fontes independentes.
• Cuide de quem você ama. Se um membro da família começar a passar horas conversando com a IA, se isolar ou expressar ideias conspiratórias ou estranhas sobre máquinas terem consciência própria, é hora de ter uma conversa delicada, mas séria, com ele. Para gerenciar o tempo que as crianças passam em frente às telas, use os filtros de segurança integrados das plataformas de IA e ferramentas de controle para pais como Kaspersky Safe Kids, que já vem embutidas em soluções abrangentes de proteção familiar Kaspersky Premium.
• Defina suas configurações de segurança. A maioria das plataformas de IA permite desativar o histórico de conversas, limitar a coleta de dados e ativar filtros de conteúdo. Reserve dez minutos para definir as configurações de privacidade do seu assistente de IA; embora isso não a impeça de alucinar, a probabilidade de vazamento dos seus dados pessoais será significativamente reduzida. Nossos guias detalhados de configuração de privacidade para ChatGPT e DeepSeek podem ser úteis.
• Lembre-se disso: a IA é uma ferramenta, não um ser senciente. Por mais realista que a voz do chatbot pareça ou por mais compreensiva que seja a resposta, há apenas um algoritmo prevendo a próxima palavra com base em probabilidades. A IA não tem consciência, vontade própria nem sentimentos.

Leitura adicional para entender melhor as nuances do uso seguro da IA:

• Desconectado: como desativar a IA no seu computador e smartphone
• Fique atento: as vulnerabilidades do OpenClaw
• Amor, IA e robôs
• Jailbreaking lírico: como a poesia solta a língua da IA
• Facas, fetiches e tiros: o que os brinquedos com IA estão realmente dizendo às crianças

Em fevereiro de 2026, a empresa de segurança cibernética Oversecured publicou um relatório que faz com que você queira redefinir o telefone para o padrão de fábrica e se mudar para uma cabana remota na floresta. Os pesquisadores fizeram uma auditoria em 10 aplicativos populares de saúde mental para Android, desde aplicativos de acompanhamento de humor e terapeutas de IA até ferramentas para gerenciar depressão e ansiedade, e descobriram 1.575 vulnerabilidades! Cinquenta e quatro dessas falhas foram classificadas como críticas. Dadas as estatísticas de download desses aplicativos no Google Play, é provável que 15 milhões de pessoas sejam afetadas. Quer saber qual é a ironia? Seis dos dez aplicativos testados fizeram promessas explícitas aos usuários de que seus dados estavam “totalmente criptografados e protegidos”.

Vamos analisar esses escandalosos “vazamentos de dados mentais”: o que exatamente pode vazar, como isso acontece e por que o “anonimato” nesses serviços geralmente não passa de um mito.

O que foi encontrado nos aplicativos

A Oversecured é uma empresa de segurança de aplicativos móveis que usa um verificador especializado para analisar arquivos APK em busca de padrões de vulnerabilidade conhecidos em dezenas de categorias. Em janeiro de 2026, alguns pesquisadores analisaram dez aplicativos de monitoramento de saúde mental do Google Play por meio do verificador, e os resultados foram, digamos, “espetaculares”.

A anatomia das falhas

As vulnerabilidades descobertas são diversas, mas seu propósito é o mesmo: dar aos invasores acesso a dados que deveriam estar trancados a sete chaves.

Para começar, uma das vulnerabilidades permite que um invasor acesse quaisquer atividades internas do aplicativo, inclusive aquelas que deveriam ser sigilosas. Isso permite o sequestro de tokens de autenticação e dados de sessão do usuário. Uma vez que um invasor obtiver essas informações, ele poderá acessar os registros de terapia de um usuário.

Outro problema é o armazenamento de dados local inseguro, com permissões de leitura concedidas a qualquer outro aplicativo no dispositivo. Em outras palavras, aplicativos aleatórios no seu telefone, como a lanterna ou a calculadora, poderiam ler seus registros de terapia cognitivo-comportamental (TCC), notas pessoais e avaliações de humor.

Os pesquisadores também encontraram dados de configuração não criptografados inseridos diretamente nos arquivos de instalação do APK. Isso inclui endpoints da API de back-end e URLs codificadas para bancos de dados do Firebase.

Além disso, foi identificado que vários aplicativos usam a classe java.util.Random, conhecida por ter uma criptografia fraca, para gerar tokens de sessão e chaves de criptografia.

Por fim, a maioria dos aplicativos testados não tinha detecção de root/jailbreak. Em um dispositivo com root, qualquer aplicativo de terceiros com privilégios de root pode obter acesso total a cada bit dos dados médicos armazenados localmente.

É de se espantar que, dos 10 aplicativos analisados, apenas quatro receberam atualizações em fevereiro de 2026. O restante não viu um patch desde novembro de 2025 e há um aplicativo que não foi atualizado desde setembro de 2024. Passar 18 meses sem um patch de segurança é considerado um longo tempo nesse setor, especialmente para um aplicativo que contém diários de humor, transcrições de terapia e horários de ingestão de medicamentos.

Aqui está um rápido lembrete do perigo do uso indevido desse tipo de dados. Em 2024, o mundo da tecnologia foi abalado por um ataque sofisticado ao XZ Utils, um componente crítico encontrado em praticamente todos os sistemas operacionais baseados no kernel Linux. O invasor conseguiu convencer o responsável pelo projeto a entregar as permissões de alteração de códigos, aproveitando-se da sua admissão pública de cansaço extremo e falta de motivação para manter o projeto. Se o ataque tivesse sido concluído, o dano teria sido inimaginável, uma vez que cerca de 80% dos servidores do mundo executam o Linux.

O que pode vazar?

O que esses aplicativos coletam e armazenam? É o tipo de coisa que você provavelmente só compartilharia com um médico de confiança: transcrições de sessões de terapia, registros de humor, horários de medicação, indicadores de automutilação, notas de TCC e várias escalas de avaliação clínica.

Em 2021, registros médicos completos eram vendidos na dark web por US$ 1,000 cada. Para efeito de comparação, um número de cartão de crédito roubado custa entre US$ 5 e US$ 30. Os registros médicos contêm um pacote de identidade completo: nome, endereço, informações do seguro e histórico de diagnóstico. Ao contrário de um cartão de crédito, não há como “reemitir” um histórico médico. Além disso, todos sabem que a fraude médica é difícil de detectar. Embora um banco consiga detectar uma transação suspeita em horas, um pedido de seguro fraudulento para um tratamento inexistente pode passar despercebido por anos.

Já vimos este filme antes

O estudo da Oversecured não é apenas uma história de terror isolada.

Em 2020, Julius Kivimäki invadiu o banco de dados da clínica de psicoterapia finlandesa Vastaamo, acessando os registros de 33 mil pacientes. Quando a clínica se recusou a desembolsar um resgate de 400 mil euros, Kivimäki passou a enviar ameaças diretas aos pacientes: “Pague 200 euros em Bitcoin dentro de 24 horas, ou então seus registros se tornarão públicos.” Por fim, ele acabou vazando todo o banco de dados na dark web. Pelo menos duas pessoas se suicidaram, fazendo com que a clínica fosse forçada a declarar falência. Kivimäki acabou sendo condenado a seis anos e três meses de prisão, tornando este um julgamento recorde na Finlândia devido ao grande número de vítimas envolvidas.

Em 2023, a Comissão Federal de Comércio dos EUA (FTC) aplicou uma multa de US$ 7,8 milhões à BetterHelp, uma empresa gigante de terapia on-line. Apesar de declarar na sua página de inscrição que os dados dos usuários eram estritamente confidenciais, a empresa foi pega repassando suas informações (incluindo respostas a questionários de saúde mental, e-mails e endereços IP) ao Facebook, Snapchat, Criteo e Pinterest para fins de publicidade direcionada. Depois que a poeira baixou, 800 mil usuários afetados receberam um total geral de US$ 10 cada como compensação.

Em 2024, a FTC voltou sua atenção à empresa de telessaúde Cerebral, multando-a em US$ 7 milhões. Por meio de pixels de rastreamento, a Cerebral vazou os dados de 3,2 milhões de usuários para o LinkedIn, Snapchat e TikTok. O vazamento incluía nomes, históricos médicos, prescrições de medicamentos, datas de consultas e informações de seguro. Quer saber o que é pior? A empresa enviou cartões-postais promocionais (sem envelopes) para 6 mil pacientes, revelando que os destinatários estavam em tratamento psiquiátrico.

Em setembro de 2024, o pesquisador de segurança Jeremiah Fowler descobriu que um banco de dados pertencente à Confidant Health, um provedor especializado na recuperação de vícios e serviços de saúde mental, havia sido exposto. O banco de dados continha gravações de áudio e vídeo de sessões de terapia, transcrições, anotações psiquiátricas, resultados de testes de drogas e até cópias de carteiras de motorista. No total, 5,3 terabytes de dados, 126.000 arquivos ou 1,7 milhão de registros podiam ser acessados sem senha.

Por que o anonimato é uma ilusão

Os desenvolvedores adoram a frase: “Nunca compartilhamos seus dados pessoais com ninguém”. Tecnicamente, isso pode ser verdade, já que, em vez disso, eles compartilham “perfis anônimos”. A pegadinha? Hoje é muito mais fácil descobrir a identidade real das pessoas por trás desses perfis. Pesquisas recentes revelaram que o uso de LLMs para eliminar o anonimato se tornou uma realidade rotineira.

Até mesmo o próprio processo de “anonimização” é muitas vezes uma bagunça. Um estudo da Duke University revelou que as corretoras de dados estão divulgando abertamente os dados de saúde mental dos americanos. Das 37 corretoras pesquisadas, 11 concordaram em vender dados vinculados a diagnósticos específicos (como depressão, ansiedade e transtorno bipolar), parâmetros demográficos e, em alguns casos, até nomes e endereços residenciais. Os preços começaram em US$ 275 para 5 mil registros agregados.

De acordo com a Fundação Mozilla, em 2023, 59% dos aplicativos populares de saúde mental falharam em atender até mesmo aos padrões de privacidade mais básicos e 40% se tornaram menos seguros do que no ano anterior. Esses aplicativos permitiam a criação de contas por meio de serviços de terceiros (como Google, Apple e Facebook), apresentavam políticas de privacidade suspeitas e resumidas que citavam de forma leviana as informações sobre a coleta de dados e continham uma pequena brecha inteligente: algumas políticas de privacidade se aplicavam estritamente ao site da empresa, mas não ao aplicativo em si. Em resumo, seus cliques no site estavam “protegidos”, mas suas ações dentro do aplicativo podiam ser monitoradas.

Como se proteger

Abolir totalmente esses aplicativos da sua vida é, obviamente, a opção mais infalível, mas não é a mais realista. Além disso, não há garantia de que você possa realmente destruir os dados já coletados, mesmo se excluir sua conta. Nós já falamos sobre o processo extenuante de remover suas informações dos bancos de dados das corretoras de dados; é possível, mas gera uma enorme dor de cabeça. Então, o que fazer para se manter seguro?

• Verifique as permissões antes de clicar em “Instalar”. No Google Play, vá até Descrição de aplicativos → Sobre este aplicativo → Permissões. Um rastreador de humor não precisa solicitar acesso à sua câmera, microfone, contatos ou localização de GPS precisa. Se isso acontecer, ele não está preocupado com o seu bem-estar, mas sim coletando dados.
• Faça um esforço e leia a política de privacidade. Nós sabemos que ninguém lê esses manifestos de várias páginas. Mas quando um serviço está espiando seus pensamentos mais íntimos, vale a pena dar uma olhada. Procure os sinais de alerta: a empresa compartilha dados com terceiros? Você consegue excluir manualmente seus registros? Está explícito que a política abrange o aplicativo em si ou ela cobre apenas o site? Você sempre pode inserir o texto da política em uma IA e solicitar que ela sinalize qualquer violação de privacidade.
• Verifique a data da última atualização. Um aplicativo que não recebe uma atualização há mais de seis meses provavelmente é um terreno fértil para vulnerabilidades não corrigidas. Lembre-se: seis dos dez aplicativos testados pela Oversecured não eram atualizados há meses.
• Desative tudo o que não é essencial nas configurações de privacidade do telefone. Sempre que solicitado, selecione “pedir para não rastrear”. Quando um aplicativo pede que você ative um tipo específico de acompanhamento alegando que é para fins de “otimização interna”, quase sempre é uma jogada de marketing e não uma necessidade funcional. No fim das contas, se o aplicativo realmente não funcionar sem uma determinada permissão, você sempre poderá ativá-la mais tarde.
• Não use os serviços “Fazer login com…”. A autenticação por meio do Facebook, Apple, Google ou Microsoft cria identificadores adicionais e dá às empresas uma oportunidade de ouro para vincular seus dados em diferentes plataformas.
• Trate tudo o que você digita como se fosse uma postagem em uma rede social. Se você não quer que um estranho aleatório na Internet leia o que você publica, provavelmente não deveria digitar informações em um aplicativo com mais de 150 vulnerabilidades que não recebe um patch desde o ano retrasado.

O que mais você deve saber sobre configurações de privacidade e controle dos seus dados pessoais on-line:

• Corretoras de dados de geolocalização: o que essas empresas fazem e o que acontece quando há vazamentos
• Descubra por que os corretores de dados criam dossiês sobre você e como impedir que eles façam isso
• Como desaparecer da Internet
• Como reduzir sua pegada digital
• Como os smartphones criam um dossiê sobre você