No meio do mês passado, alguns pesquisadores, de uma famosa empresa de segurança digital, apontaram uma possível brecha no WhatsApp para iOS e macOS. A partir dessa brecha, seria possível abrir portas para que outros aplicativos da Meta bisbilhotassem as mensagens em texto daquele dispositivo, sem pedir a permissão do usuário. Com isso foi levantado a questão: se o WhatsApp vaza dados para outros apps da Meta, como o Facebook. Por ser uma notícia importante, nós da Hosting Machine vamos te explicar toda essa polêmica e falar sobre o pronunciamento da Meta.
WhatsApp vaza dados para o Facebook?
Como essa polêmica surgiu?
Tudo começou a partir de um debate técnico na rede social X entre a empresa Mysk e o perfil analítico WABetaInfo. O foco dessa discussão é a descoberta que o WhatsApp armazena o histórico de mensagens localmente nos sistemas iOS/macOS sem uma camada adicional de criptografia.
Os pesquisadores da Mysk mostraram a existência do contêiner compartilhado chamado group.com.facebook.family, usado no Facebook, Instagram e WhatsApp. Segundo eles, a Meta só precisaria mudar uma linha de código para que pudesse acessar o banco de dados de conversas armazenado no aparelho. No entanto, o WABetaInfo argumentou que o sistema operacional da Apple impede esse tipo de invasão.
Quais seriam os supostos riscos?
A falta de uma camada própria de criptografia para proteção de dados locais nos bancos de dados do WhatsApp pode expor os usuários a vulnerabilidades estruturais severas. Já que a segurança das informações depende exclusivamente das diretrizes de isolamento fornecidas pelo sistema operacional do aparelho do destinatário. Ou seja, caso essas barreiras de software da Apple tenham qualquer falha ou sejam contornadas, surgem riscos críticos a privacidade do usuário.
Os principais riscos dessa situação são:
- Acesso Físico e Extração Forense – Se o dispositivo for roubado, apreendido ou acessado sem consentimento enquanto estiver desbloqueado, o histórico completo de conversas se torna legível por meio de ferramentas forenses.
- Vulnerabilidades Ativas de Software – Apps maliciosos podem se aproveitar de brechas no próprio sistema operacional para burlar o sandbox e roubar os arquivos descriptografados do WhatsApp.
- Backups Vulneráveis na Nuvem – O banco de dados em texto plano é replicado intacto em cópias de segurança. Caso o usuário não ative a criptografia de backup protegida por senha, as conversas ficam vulneráveis em servidores remotos.
- Coleta Cruzada Silenciosa – Outras ferramentas instaladas pertencentes à mesma desenvolvedora poderiam ter acesso técnico a dados de transações e contatos sem o consentimento explícito do usuário.
Como esse suposto vazamento aconteceria?
Aconteceria através de diferentes caminhos técnicos, envolvendo a arquitetura de armazenamento da Apple e as vulnerabilidades do sistema operacional. Primeiramente, o aplicativo armazena dados em texto plano em arquivos SQLite, como o Axolotl.sqlite, dentro de uma estrutura denominada “contêiner de grupo de aplicativos”. A Apple projeta esses contêineres para permitir que aplicativos de uma mesma empresa compartilhem informações de forma facilitada.
Como os pesquisadores da Mysk demonstraram, os aplicativos da Meta no iOS e macOS compartilham o contêiner group.com.facebook.family. Sob essa arquitetura de desenvolvimento, a equipe da Meta só precisaria fazer uma modificação pontual nas diretrizes de compilação dos seus softwares no Xcode para que o Facebook ou o Instagram conseguissem varrer e ler o banco de dados local do WhatsApp de maneira totalmente silenciosa. Assim burlando qualquer restrição que o usuário acreditasse ter.
O segundo, e mais perigoso, vetor de vazamento está na exploração direta de falhas ativas de segurança do próprio sistema operacional. Um exemplo prático é o que aconteceu com a descoberta da vulnerabilidade CVE-2026-28910 no utilitário padrão de compressão de arquivos do macOS. Essa brecha crítica do controle de acesso permitia que códigos maliciosos locais de baixo privilégio ignorassem os controles de isolamento e segurança da Apple.
Ao executar essa exploração, o malware instruiria o sistema a compactar e exportar silenciosamente o banco de dados Axolotl.sqlite desprotegido do WhatsApp para um servidor controlado por cibercriminosos. Dessa forma, expondo todo o histórico de conversas sem violar a criptografia em trânsito da rede.
Meta já teve outras polêmicas e rumores semelhantes?
A Meta possui um longo histórico de escrutínio público e contestações judiciais referentes à privacidade de seus usuários, envolvendo tanto práticas corporativas oficiais quanto a disseminação de boatos de desinformação na rede. No entanto, sua maior polêmica aconteceu em janeiro de 2021, quando o WhatsApp anunciou uma atualização obrigatória da sua política de privacidade para forçar o compartilhamento de dados comerciais com o Facebook. Como esperado, essa imposição provocou uma reação regulatória global e diversos usuários o trocaram por aplicativos concorrentes, como Signal e Telegram.
Outra grande descoberta foi feita por meio de uma investigação publicada pelo consórcio de jornalismo ProPublica. Esse relatório apontou que a Meta mantém mais de mil moderadores contratados para ler de forma rotineira versões descriptografadas de conversas particulares do WhatsApp. Embora esse acesso só aconteça quando um usuário utiliza a ferramenta de denúncia de spam ou abuso da plataforma. Isso faz com que o aplicativo envie automaticamente as mensagens mais recentes do chat para servidores da Meta, para que a análise manual do conteúdo aconteça.
No entanto, o WhatsApp também enfrenta a proliferação constante de fake news em relação ao seu serviço. Como por exemplo, entre 2025 e 2026, correntes falsas viralizaram na internet alegando que as novas ferramentas de inteligência artificial da Meta passariam a rastrear todas as suas conversas privadas, a menos que o usuário ativasse um recurso chamado “Privacidade avançada”. Felizmente agências de checagem desmentiram esses alertas, confirmando que a IA corporativa não tem acesso a conversas individuais criptografadas.
Qual foi a resposta da Meta?
A Meta rejeitou todas as acusações de possíveis quebra de privacidade. Em canais oficiais e redes sociais, o WhatsApp classificou as alegações de acesso a conversas privadas como “categoricamente falsas, absurdas e frívolas obras de ficção”. Ela afirma que a arquitetura do aplicativo, baseada na criptografia de ponta a ponta do protocolo Signal, torna tecnicamente impossível para a empresa interceptar o tráfego de mensagens.
Já em relação à vulnerabilidade de armazenamento local apontada, a Meta argumentou que o contêiner compartilhado de dados serve para facilitar a migração estrutural de históricos entre o WhatsApp comum e a versão WhatsApp Business, tudo isso sob as permissões seguras do sistema operacional. No tribunal dos EUA, a Meta também alegou que os supostos denunciantes que sustentam as ações civis públicas estão ou confundidos ou profundamente desinformados ou agindo de má-fé.
