Uma ilusão de segurança perigosa: o iOS é realmente mais seguro que o Android?

Comunicações móveis confiáveis e seguras são essenciais para qualquer organização nos dias de hoje, seja uma empresa, uma agência governamental ou uma ONG, por exemplo. Como as coisas estão, a escolha se resume principalmente à plataforma Android do Google ou aos iPhones da Apple com o iOS. À primeira vista, o iPhone parece muito mais seguro, com restrições a programas de terceiros, a única loja rigorosamente controlada e uma fração de malware em comparação com os demais sistemas operacionais. Mas vamos aprofundar para ver se isso é realmente verdade.

O iOS é realmente tão seguro?

Notícias sobre infecções por malware em dispositivos Apple tornaram-se comuns nos últimos anos, graças ao “software de vigilância legal” chamado Pegasus. No entanto, como as vítimas do Pegasus eram principalmente ativistas, políticos e jornalistas, a ameaça foi tratada mais como uma lenda urbana: desagradável, sim, mas tão rara e específica que as chances de encontrá-la no mundo das pessoas comuns eram mínimas (a menos que a procurasse diretamente). No entanto, com o tempo, a ameaça bateu em nossa porta: em junho deste ano, falamos sobre um ataque direcionado à Kaspersky usando o malware Triangulação. A propósito, na próxima Security Analyst Summit, planejamos apresentar uma análise detalhada desse ataque; se estiver interessado, inscreva-se.

Nossa empresa, ou seja, uma corporação privada que usava iPhones como meio padrão de comunicação mobile, foi alvo de ataques. Após uma investigação minuciosa e o lançamento da ferramenta Triangle_check projetada para procurar automaticamente vestígios de infecção, criamos um e-mail para que as vítimas de ataques semelhantes pudessem falar conosco. Por meio deste canal de comunicação, recebemos e-mails de outros usuários de smartphones Apple afirmando que também encontraram sinais de infecção em seus dispositivos. Acredite: não podemos considerar os ataques direcionados aos iPhones como casos isolados.

A ilusão de segurança

Paradoxalmente, a afirmação repetida tantas vezes de que o iOS é indiscutivelmente mais seguro que o Android só piora a situação. A negação pública da ameaça transmite uma falsa sensação de segurança ao usuário, que afirma: “Pode até ser que alguém tenha sido infectado, mas não fui eu”.

Até alguns de nossos colegas, ou seja, usuários familiarizados com a segurança da informação, se recusaram a acreditar que poderiam ter sido vítimas da Triangulação. Mesmo após a ameaça ter sido divulgada, foi preciso convencer alguns de verificar seus iPhones em busca de vestígios do malware, e eles ficaram genuinamente surpresos ao descobrir que foram alvos.

A ideia de “por que alguém iria me hackear?” é reconfortante, mas perigosa. Pode haver muitas razões. Você não precisa ser o alvo principal para que invadam seu telefone. Basta estar relacionado a um alto executivo ou funcionário do governo, participar de reuniões ou simplesmente estar fisicamente perto do verdadeiro alvo do ataque. E então, de repente, você se encontra no centro das atenções porque informações comerciais importantes vazaram de seu dispositivo.

O problema real

Se prestarmos um pouco mais de atenção ao mercado de vulnerabilidades, seja em fóruns da dark web ou em alguma plataforma questionável como a Zerodium, veremos que as explorações para iOS e Android têm um preço aproximadamente igual. E isso indica como o circuito de cibercriminosos vê o nível de segurança desses sistemas. Algumas ameaças para Android até são mais caras do que para iOS. De qualquer forma, ambos os sistemas são alvos viáveis.

A verdadeira diferença está na disponibilidade de ferramentas para combater as ameaças. Se os golpistas explorarem a mais recente vulnerabilidade zero-day para burlar os mecanismos de segurança elogiados da Apple, não há nada que você possa fazer a respeito. É muito provável que você nem perceba o que aconteceu. Devido às restrições do sistema, mesmo os melhores profissionais terão dificuldade em descobrir exatamente o que os cibercriminosos estavam buscando. Enquanto isso, um smartphone baseado em Android pode estar equipado com uma solução de segurança completa: não apenas um antivírus, mas também uma solução de gerenciamento de dispositivos móveis (do termo em inglês, mobile device management ou MDM) que permite a administração remota de dispositivos corporativos.

Se aprofundarmos um pouco mais, veremos que as supostas vantagens do iOS em caso de ataque na verdade se transformam em desvantagens. A natureza fechada de seu ecossistema, fora do alcance de especialistas externos em segurança, só favorece os atacantes. Certamente, os engenheiros da Apple criaram uma proteção boa: o usuário não pode acidentalmente acessar um site malicioso e baixar um arquivo APK adulterado, por exemplo. Mas no caso de ataques contra iPhones, que, como a prática demonstra, estão ao alcance de cibercriminosos sofisticados, as vítimas só podem esperar que a Apple venha em sua defesa. Supondo, é claro, que ela detecte o ataque tempestivamente.

A magnitude da ameaça

O argumento de que até agora todos os ataques do mundo real contra o iOS foram parte de campanhas direcionadas também não é tranquilizador. Em geral, é aceito que a exploração EternalBlue foi desenvolvida por uma agência governamental e destinada a uma aplicação muito limitada. Mas, depois, após seu vazamento pelo grupo Shadow Brokers, ela caiu nas mãos de cibercriminosos e foi usada para realizar o ataque de ransomware internacional WannaCry.

Além disso, o mercado da Apple já não pode ser considerado impenetrável. Nossos colegas recentemente descobriram uma série de aplicativos maliciosos na App Store que, sob certas condições, falsificavam dados pessoais do usuário. É claro que isso ainda não é uma ameaça em massa, mas estabelece um precedente: esses aplicativos com conteúdo malicioso conseguiram driblar os rigorosos controles da Apple e foram publicados em sua loja oficial.

O que fazer?

Depois de aprender a lição com a ameaça Triangulação, nós, assim como muitas outras empresas privadas e agências governamentais, estamos gradualmente eliminando o uso do iPhone para fins corporativos. Por enquanto, estamos usando dispositivos Android equipados com [KESB placeholder] nossa solução [/KESB placeholder], que sabemos ser eficaz. Isso não significa que consideramos que o ataque seja mais difícil de acontecer, apenas que é mais fácil estabelecer uma proteção e, certamente, que os sinais de ataque podem ser detectados de forma mais fácil.

Isso não é uma solução permanente: uma funcionalidade adicional a um sistema operacional não é o ideal. Uma solução de segurança opera com base no princípio de imunidade adquirida: protege contra ameaças semelhantes com as quais já teve contato. Em um mundo perfeito, todos teriam um celular com imunidade inata, impedindo por padrão ações indesejadas. Mas, infelizmente, esse dispositivo ainda não existe… ainda.