Durante mais de dois anos, uma falha de segurança nos iPhones permitia a cibercriminosos implantar nos telemóveis de milhares de utilizadores programas para espiar os aparelhos, fotografias e o histórico das mensagens no WhatsApp, Telegram, Gmail e outras aplicações populares. A vulnerabilidade foi descoberta por investigadores do Project Zero, uma equipa paga pelo Google para encontrar problemas de segurança, que alertaram a Apple em janeiro.

Uma vez instalados, os programas maliciosos também permitiam aceder a palavras-chave guardadas, contatos e até a localização do utilizador em tempo real. Para tal, bastava que os donos dos telefones usassem os aparelhos para abrir sites infectados.

Embora bastasse reiniciar o aparelho para um utilizador se livrar do implante malicioso, a equipe do Project Zero lembra que o ataque permitia aceder a palavras-passe de outros serviços. “Os atacantes podiam manter um acesso a persistente a várias contas e serviços ao usar os tokens de identificação roubados, mesmo depois de perderem o acesso ao dispositivo”, frisou Ian Beer, um dos investigadores da equipa.

Foi a necessidade de corrigir a falha que levou a Apple a lançar várias atualizações para o iPhone, fora de época, em fevereiro (na altura, a empresa apenas disse que serviam para corrigir problemas de segurança). Os detalhes dos ataques, foram tornados públicos esta quinta-feira, são a maior falha de segurança conhecida do iPhone desde que o primeiro aparelho foi apresentado em 2007. A equipe do Project Zero estima que os sites maliciosos, que não foram revelados, tenham recebido “milhares de visitas por semana” desde 2017, altura em que os problemas começaram.

O Project Zero é uma equipa de investigadores de cibersegurança financiada pelo Google que também esteve envolvida na descoberta de vulnerabilidades graves nos processadores de milhões de equipamentos nas últimas décadas. O Google desenvolve o sistema operativo Android, que concorre com o iOS da Apple.