Seu WhatsApp compartilha suas mensagens com o Facebook?

Existe um arquivo chamado Axolotl.sqlite dentro do seu iPhone agora mesmo. Se você usa WhatsApp, ele está lá, guardando todo o histórico das suas conversas. Pesquisadores da empresa de segurança Mysk encontraram esse arquivo e constataram que ele está armazenado sem criptografia adicional - texto claro, sem senha própria, sem proteção extra além das camadas padrão do iOS.

É daí que a polêmica da semana nasceu.

O WhatsApp usa criptografia de ponta a ponta, também chamada de E2E. Na prática, isso significa que a mensagem é cifrada no seu aparelho antes de sair pela internet e só é decifrada no dispositivo de quem vai ler. Nem o WhatsApp, nem a Meta, nem a operadora conseguem ler o conteúdo durante o trajeto. Essa parte funciona, e ninguém está disputando isso.

O problema é o que acontece depois que a mensagem chega.

Quando o WhatsApp recebe e decifra uma mensagem, ele precisa guardar o conteúdo em algum lugar para que você acesse dias depois. O lugar escolhido é um banco de dados SQLite local chamado Axolotl.sqlite. Outros arquivos expostos pela pesquisa incluem ContactsV2.sqlite e LocalKeyValue.sqlite. O conteúdo desses arquivos: texto claro, sem criptografia em repouso. A criptografia E2E cobre o transporte. Não o armazenamento local.

Isso, por si só, não é necessariamente catastrófico. A maioria dos apps de mensagens funciona assim. O iOS tem um mecanismo chamado Data Protection, que usa a senha do dispositivo como chave para proteger arquivos quando o aparelho está bloqueado. Com uma senha forte e o aparelho sem comprometimentos, a exposição é limitada.

Vale deixar claro o escopo: a pesquisa da Mysk cobre especificamente iOS e macOS. No Android, o WhatsApp armazena as mensagens em um formato criptografado próprio chamado crypt15, dentro de uma pasta protegida pelo sandbox do sistema - inacessível a outros apps sem acesso root. O mecanismo de container compartilhado entre apps que é o centro desta polêmica não existe no Android. Se você usa WhatsApp num celular Android, esta vulnerabilidade específica não te afeta.

O que acendeu mais bandeiras para usuários Apple é onde esse banco de dados fica guardado.

Containers da Meta e o argumento do Facebook

O WhatsApp armazena os dados dentro de uma “app group container” - um recurso do iOS que permite que apps do mesmo desenvolvedor troquem informações entre si. O container identificado pelos pesquisadores: group.net.whatsapp.WhatsApp.shared. A Mysk encontrou também um container compartilhado entre todos os apps da Meta: group.com.facebook.family.

Daí veio a afirmação que tomou conta das redes: o Facebook estaria lendo suas conversas do WhatsApp.

A realidade é mais nuançada. A sandbox do iOS - o sistema que isola cada app no seu próprio espaço - cria barreiras técnicas reais. Para que o Facebook lesse os dados do WhatsApp, a Meta precisaria configurar explicitamente as permissões no código dos aplicativos, uma mudança que qualquer pesquisador analisando os binários detectaria. Ninguém encontrou essa configuração ativa.

O WABetaInfo, que acompanha mudanças no WhatsApp de perto, argumentou que o sistema de sandbox do iOS impede acesso entre apps em condições normais, e que qualquer mudança nas permissões “não passaria despercebida”, já que pesquisadores monitoram os binários dos apps da Meta.

A ressalva que a Mysk levanta: a barreira atual é uma decisão da Meta, não um bloqueio imposto pelo iOS. Ativar o acesso entre apps exigiria “apenas uma pequena alteração nas ferramentas de desenvolvimento”. A proteção existe. Mas ela depende de confiar na empresa que tem interesse comercial em cruzar esses dados.

Para quem usa o WhatsApp como comunicação isolada dentro do ecossistema da Meta, essa distinção importa. A mesma Meta que, no início do mês, removeu a criptografia das DMs do Instagram às vésperas do prazo de conformidade com a legislação americana - a Take It Down Act.

O processo no Texas e o marketing que não bate com a realidade

No mesmo período, o Procurador-Geral do Texas, Ken Paxton, entrou na justiça contra a Meta. O argumento: o WhatsApp afirma que “ninguém fora da conversa, nem o próprio WhatsApp, consegue ler o que você diz”. Segundo a ação, essa afirmação é “blatantemente imprecisa” e “uma deturpação completa e total”.

A Meta respondeu pelo porta-voz Andy Stone: “O WhatsApp não consegue acessar as comunicações criptografadas das pessoas, e qualquer sugestão em contrário é falsa.”

As duas afirmações podem coexistir se você for muito preciso com os termos. O WhatsApp realmente não acessa as mensagens em trânsito - a criptografia E2E funciona exatamente como anunciado. O que a pesquisa mostra é que o arquivo resultante, depois da descriptografia, fica em texto claro no dispositivo. O usuário comum não faz essa distinção ao ver o cadeado verde no app.

É um problema de honestidade de marketing, não de falha de engenharia.

O vazamento de metadados que passou despercebido

Em paralelo com a controvérsia dos containers, o pesquisador de segurança Tal Be’ery identificou uma vulnerabilidade diferente nos IDs das chaves de criptografia do WhatsApp. No iPhone, esses identificadores seguem uma sequência previsível e incremental. No Android, são gerados aleatoriamente.

Resultado: com apenas o número de telefone de alguém, um atacante consegue determinar com alta certeza se a pessoa usa iPhone ou Android, sem nenhuma interação da vítima. Isso não quebra a criptografia das mensagens, mas essa informação serve para escolher o ataque certo para o sistema operacional da vítima.

A Meta começou a corrigir o problema no Android. O iOS ainda não foi atualizado.

Be’ery foi direto sobre a postura da empresa: a Meta classificou internamente a vulnerabilidade como “baixa severidade”, pagou o bug bounty sem comunicação pública, e começou a corrigir silenciosamente. Funciona como gerenciamento de danos, não como comprometimento com transparência.

O que você pode fazer agora

A exposição real depende de variáveis que dá para controlar. Em ordem de prioridade:

Ative o backup criptografado do WhatsApp. Em Configurações > Conversas > Backup de Conversas > Backup criptografado de ponta a ponta. Protege a cópia na nuvem com senha. Sem isso, o Google Drive ou o iCloud guarda o histórico sem criptografia E2E.

Criptografe o backup local do iPhone. Ao fazer backup pelo Mac ou pelo Finder, ative “Criptografar backup local”. Sem essa opção, o arquivo Axolotl.sqlite fica acessível dentro do backup para quem tiver acesso físico ao computador.

Use uma senha forte no aparelho. O mecanismo Data Protection do iOS usa sua senha como chave. Uma senha de 6 dígitos é exponencialmente mais fraca do que uma senha alfanumérica longa.

Mantenha iOS e WhatsApp atualizados. Explorações que contornam a sandbox do iOS - exatamente o tipo de ataque necessário para um app acessar o container de outro - são corrigidas em atualizações de sistema.

Quem lida com informações sensíveis e precisa de garantias mais sólidas tem no Signal uma alternativa mais rigorosa: o app criptografa o banco de dados local usando uma chave ligada ao Secure Enclave do iPhone, o chip dedicado a operações de segurança. Um recurso que o WhatsApp não oferece. Vale lembrar que o WhatsApp já foi alvo de ataques via SMS que clonavam contas sem o usuário perceber - a segurança do app depende de um conjunto de boas práticas, não só da criptografia do trajeto.

A polêmica “o Facebook lê seu WhatsApp” foi amplificada além do que os dados suportam. Mas o armazenamento local sem criptografia em repouso é real, o mecanismo de containers compartilhados é real, e a resposta da Meta - afirmar que tudo está protegido sem detalhar onde a proteção começa e termina - é o tipo de comunicação que funciona melhor para relações públicas do que para privacidade de fato.