Em resumo

O que é?

Um smartphone é um computador pessoal com cinco sensores que a maioria dos portáteis não tem — microfone, câmaras, GPS, acelerómetro, leitor biométrico — e uma ligação de rede constante. Tudo o que corre num portátil corre hoje num telefone. Tudo o que se pode perder num portátil pode perder-se de um telefone — mais depressa, porque os telefones cabem no bolso e ficam frequentemente sem vigilância.

Três categorias de risco:

  1. Comprometimento físico. O telefone é roubado desbloqueado, ou o PIN é espreitado por cima do ombro antes do roubo. O ladrão passa a ter acesso direto a tudo lá dentro.
  2. Comprometimento de rede e de conta. SIM-swap, apps de phishing que parecem apps de banco reais, atualizações falsas, apps maliciosas instaladas fora da loja. O telefone fica na tua mão; o atacante está noutro lado.
  3. Fuga por consentimento. Instalas uma app de lanterna que quer acesso aos teus contactos, ao microfone e à localização. Tocas em "Permitir". Durante dois anos, vende onde estás e o que dizes. Sem alarme, sem roubo, apenas o escoamento lento da tua vida privada para os anunciantes e piores.

As defesas são bem conhecidas. O atrito está em encontrar vinte minutos para as configurar.

Como reconhecer um problema?

Sinais de que o teu telefone foi comprometido:

Sinais de que configuraste algo mal (não malicioso, mas exposto):

O que fazer?

A configuração de uma sentada, por ordem:

  1. Atualiza o sistema operativo. Definições → Atualização de Software → instalar. Reinicia. Se o teu telefone não recebe atualizações há mais de um ano, é demasiado antigo para ser seguro; prevê a substituição.
  2. Define um bloqueio de ecrã forte. PIN de seis dígitos no mínimo, idealmente uma frase-passe alfanumérica. A biometria (impressão digital, rosto) é boa pela conveniência, mas a biometria pode ser legalmente exigida em muitas jurisdições, ao passo que os PINs por vezes não podem. Ambos é ótimo; o PIN tem de ser forte.
  3. Define o bloqueio automático para menos de um minuto. Definições → Ecrã → Bloqueio automático (iOS) ou as definições do Ecrã de Bloqueio (Android).
  4. Esconde as pré-visualizações das mensagens no ecrã de bloqueio. Um telefone roubado que mostra os teus códigos 2FA é pior do que um telefone roubado que mostra um ecrã preto.
  5. Ativa o Find My iPhone (iOS) ou o Find My Device (Android), incluindo a limpeza remota. Depois pratica — certifica-te de que consegues iniciar sessão no site de recuperação (icloud.com/find ou google.com/android/find) a partir de outro dispositivo.
  6. Define um PIN do SIM. O PIN que protege o próprio cartão SIM, distinto do desbloqueio do telefone. Sem ele, um ladrão pode passar o teu SIM para o telefone dele num instante. Definições → Rede móvel → PIN do SIM.
  7. Define um PIN de portabilidade junto do teu operador. Um segundo PIN que protege o teu número de telefone de ser transferido. Nos sites dos operadores ou por telefonema. Sem ele, um ataque de SIM-swap funciona.
  8. Ativa as atualizações automáticas do sistema operativo e as atualizações automáticas das apps nas definições da App Store ou da Play Store.
  9. Revê as apps instaladas; desinstala todas as que não usas de facto. Reduz a superfície de ataque e as permissões recorrentes.
  10. Para cada app que fica, revê as permissões. Definições → Privacidade e Segurança. Uma lanterna não precisa de contactos. Uma calculadora não precisa de microfone. Revoga de forma alargada; a app volta a pedir se precisar mesmo da permissão.
  11. Inicia sessão na tua conta principal a partir de um computador (icloud.com, google.com) e revê todos os dispositivos que aparecem. Remove os que não reconheces ou que já não usas.
  12. Ativa o 2FA na conta principal se ainda não estiver. Usa uma app de autenticação, idealmente com sincronização na nuvem — se perderes o telefone, é o restauro na nuvem da app de autenticação que te faz voltar.
  13. Faz uma cópia de segurança do telefone — para o iCloud ou o Google One automaticamente, e para um computador de vez em quando como segunda cópia.

Quando algo está errado:

Achas que o telefone está comprometido mas ainda o tens.

  1. A partir de um dispositivo diferente, muda a palavra-passe da tua conta principal (Apple ID ou Google) e ativa ou repõe o 2FA.
  2. Termina a sessão em todos os outros dispositivos dessa conta.
  3. Procura nas Definições por administradores de dispositivo ou perfis que não reconheças; remove-os.
  4. Desinstala qualquer app que não te lembres de ter instalado.
  5. Se ainda assim algo parecer errado, repõe as definições de fábrica do telefone. Restaura a partir da cópia de segurança mais recente feita antes de quando o problema começou; se não tiveres a certeza, restaura como novo e reinstala apenas o que realmente usas.

O telefone foi perdido ou roubado.

  1. A partir de qualquer outro dispositivo, vai a icloud.com/find (iOS) ou google.com/android/find (Android). Marca o dispositivo como perdido; aciona uma limpeza remota se for apropriado.
  2. Liga ao teu operador para comunicar o SIM como perdido e pedir uma troca de SIM para um cartão novo para ti, não para o ladrão — confirma a tua identidade com o PIN de portabilidade que definiste antes.
  3. Termina a sessão em todos os outros dispositivos da tua conta a partir de um computador.
  4. Muda as palavras-passe do e-mail e do banco.
  5. Apresenta queixa à polícia; muitos países exigem-na para os pedidos de seguro, e a comunicação do IMEI pode por vezes levar à recuperação.

SIM-swap em curso (o sinal desaparece sem explicação).

  1. Liga ao teu operador a partir de outro telefone imediatamente.
  2. Liga para a linha de fraude do teu banco.
  3. Passa qualquer 2FA baseado em SMS para uma app de autenticação assim que recuperares o controlo. O 2FA por SMS é a superfície de ataque do SIM-swap.

O que NÃO fazer

Usar a IA para te ajudar

Auditar a tua configuração atual:

"Tenho um [modelo de iPhone / marca e modelo de Android] com [versão do iOS / versão do Android]. Abaixo está a lista das apps instaladas e as permissões que concedi a cada uma (podes pedir-me para acrescentar detalhes). Por favor, audita a minha configuração e diz-me: (a) as três apps ou permissões de maior risco a revogar, (b) as três definições que provavelmente não ativei mas deveria, (c) uma coisa que estou a fazer bem e não devia mudar, e (d) o que fazer uma cópia de segurança antes de quaisquer outras alterações."

Planear a recuperação de um telefone perdido:

"O meu telefone acabou de ser perdido ou roubado. É um [iPhone / Android] com [versão]. Tenho acesso a [listar — portátil, telefone do parceiro, computador do trabalho]. Guia-me pelos próximos 60 minutos passo a passo: o que marcar como perdido, o que limpar remotamente, que contas proteger primeiro, o que dizer ao meu operador, e que passos de queixa à polícia importam para o seguro e para proteger as pessoas que possam ser contactadas pelo ladrão a usar a minha identidade."

Um lembrete: a IA não conhece os menus específicos da versão atual do teu sistema operativo, e os menus do Android variam consoante o fabricante. Usa a IA para planear; verifica cada passo nas próprias definições do dispositivo ou na página de apoio do fabricante.

A quem ligar?

A ordem: o operador para a proteção do SIM e do número, a plataforma (Apple ou Google) para a recuperação da conta, o banco se houver dinheiro em movimento ou cartões guardados, a polícia para roubo e fraude grave.

Encontrar os contactos mais recentes para o teu país com IA:

"Estou em/no [teu país] e uso [iPhone / Android]. Lista os canais oficiais para incidentes de segurança de smartphone — a linha de fraude / telefone perdido do meu operador (indica os principais operadores deste país), o Apple Support ou a recuperação de conta Google, o organismo nacional de denúncia de cibercrime, a autoridade de proteção de dados para spyware ou rastreio não autorizado, e o registo policial local de roubo de telemóvel, se existir. Para cada um, dá o site oficial e o telefone público. Diz-me qual contactar primeiro consoante (a) o telefone tenha sido roubado e esteja ligado, (b) o SIM tenha sido trocado, (c) tenha sido instalado spyware, ou (d) as credenciais bancárias estejam em risco. Cita cada fonte. Sinaliza tudo o que possa estar desatualizado."

Uma breve lista curada:

Quando escalar para além do chat

Fontes e leitura adicional