O Android é o oposto do problema do iPhone. No iOS, o isolamento entre apps (sandbox) é tão rígido que nenhum app consegue verificar o sistema, e é por isso que os “antivírus” para iPhone não fazem o que suas descrições sugerem. No Android, você pode olhar em vários dos lugares que importam, e a maioria deles são telas de configuração comuns que você pode abrir agora mesmo.

Essa abertura também é o motivo de o Android ter mais stalkerware. Qualquer pessoa que consiga desbloquear o seu celular por cinco minutos pode instalar um app de fora da Play Store, dar a ele as permissões de que precisa e esconder o ícone. Sem exploit, sem jailbreak, sem conhecimento técnico. Só a sua senha e alguns minutos a sós com o aparelho.

Este guia mostra o que você mesmo pode verificar, na ordem que vale a pena seguir, e depois a única coisa que precisa ser feita a partir de um computador.

Antes de começar, se você acha que sabe quem está vigiando

Se a pessoa de quem você suspeita é um parceiro ou parceira, um ex, alguém da família ou um empregador, leia a seção sobre segurança perto do fim deste artigo antes de mudar qualquer configuração. Alguns apps de monitoramento avisam quem os instalou quando são desativados, e, numa situação de controle, esse aviso pode piorar as coisas. Nada do que vem abaixo é tão urgente a ponto de pular essa parte.

Como o stalkerware para Android funciona de verdade

Quase todo app comercial de monitoramento para Android depende dos mesmos três recursos. Eles fazem parte legítima da plataforma, foram criados para fins reais, e são o motivo pelo qual esse software consegue vigiar quase tudo sem explorar falha nenhuma.

Serviços de Acessibilidade. Criada para que os leitores de tela funcionem, essa permissão deixa um app ver o conteúdo da sua tela e acompanhar o que você digita. É exatamente a capacidade de que um keylogger precisa. Se for verificar uma única coisa desta página, verifique esta.

Acesso a notificações. Todas as notificações que o celular recebe, inclusive o texto completo de mensagens de apps que o monitor não conseguiria ler de outra forma, passam por essa permissão.

Administrador do dispositivo. Pensada para a gestão de celulares de empresas, essa permissão torna um app mais difícil de desinstalar e permite que ele resista à remoção.

Um app de monitoramento com essas três permissões não está escondido em algum canto obscuro do sistema operacional. Ele está nas suas configurações, com a sua autorização registrada ao lado, porque alguém concedeu essa permissão enquanto estava com o seu celular na mão.

Sete verificações que você mesmo pode fazer

Os nomes dos menus variam entre Samsung, Pixel, Xiaomi e outros. Se um caminho abaixo não bater com o seu celular, abra as Configurações e use a caixa de busca no topo com as palavras em negrito.

1. Rode o Play Protect e veja se ele tinha sido desativado

Abra a Play Store, toque no ícone do seu perfil, depois em Play Protect e em Verificar. Ele vai apontar apps de monitoramento conhecidos.

O detalhe mais revelador é se ele já estava desativado. O Play Protect vem ativado de fábrica, avisa quando apps são instalados de fora da Play Store, e desligá-lo é um ato deliberado. Se você o encontrar desligado e não foi você quem desligou, alguém queria que uma instalação passasse despercebida.

2. Leia a sua lista de Acessibilidade

Configurações, depois Acessibilidade, e procure os serviços baixados ou instalados. Num celular normal, essa lista está vazia ou contém ferramentas que você escolheu: um leitor de tela, uma lupa, um gerenciador de senhas, um launcher.

Qualquer coisa ali que você não instalou merece uma explicação. Os nomes são escolhidos de propósito para parecerem sem graça, algo como Serviço do Sistema, Saúde do Dispositivo, Gerenciador de Atualizações, Serviços de Sincronização ou Assistente de Acessibilidade. Um componente legítimo do sistema não aparece na seção de apps baixados dessa tela.

3. Verifique o acesso a notificações

Configurações, depois Notificações, depois Notificações de apps e do dispositivo ou Acesso especial a apps, depois Acesso a notificações. A lógica é a mesma: qualquer coisa que você não reconheça e que tenha permissão para ler todas as notificações do seu celular é uma descoberta séria.

4. Confira os apps de administrador do dispositivo

Configurações, depois Segurança, depois Apps de administrador do dispositivo. A maioria dos celulares pessoais mostra uma lista vazia ou apenas o Encontre Meu Dispositivo. Um perfil de trabalho pode mostrar, de forma legítima, a ferramenta de gestão do seu empregador. Um app desconhecido com direitos de administrador do dispositivo é ao mesmo tempo um sinal de alerta e o motivo pelo qual uma tentativa de desinstalação pode ter falhado antes.

5. Percorra o acesso especial a apps

Configurações, depois Apps, depois Acesso especial a apps. As entradas que valem a leitura são Sobreposição a outros apps, Acesso aos dados de uso, Instalar apps desconhecidos e Acesso a todos os arquivos. Um software de monitoramento costuma precisar de várias delas. O acesso aos dados de uso, em especial, revela quais apps conseguem ver tudo o que você abre e por quanto tempo.

6. Encontre os apps que não estão na tela inicial

Um app pode esconder o ícone, então rolar a tela inicial não prova nada. Vá em Configurações, depois Apps, depois Ver todos os apps, e abra o menu para mostrar os apps do sistema. É uma lista longa, e quase tudo nela é legítimo; por isso, as duas coisas específicas a procurar são:

Duas cópias de algo que deveria existir uma vez só, principalmente uma calculadora, um gerenciador de arquivos, um app de notas ou uma ferramenta do sistema. Um app duplicado é um disfarce clássico.
Qualquer app cujo nome você não consiga explicar. Pesquise o nome exato antes de entrar em pânico, porque quase tudo nessa lista é normal, e depois confira as permissões dele.

Aproveitando, abra a Play Store, toque no seu perfil, depois em Gerenciar apps e dispositivo, depois em Gerenciar, e mude o filtro para apps não instalados pela Play Store. Software instalado por fora não é automaticamente ruim, mas, num celular em que você nunca instala nada por fora, cada item precisa de um motivo.

7. Compare bateria e dados com o jeito como você usa o celular

Configurações, depois Bateria, depois uso da bateria; em seguida, Configurações, depois Rede e internet, depois uso de dados móveis. Você está procurando um app que nunca abre aparecendo no topo de alguma das listas, ou dados em segundo plano que não combinam com os seus hábitos.

Trate isso como o sinal mais fraco, exatamente como faria num iPhone. Uma bateria envelhecida, uma atualização do sistema ou uma biblioteca de fotos sincronizando depois das férias produzem o mesmo padrão. É um motivo para olhar com mais atenção, nunca um veredito.

Por que um app no próprio celular não consegue terminar o serviço

Tudo o que está acima vale a pena e detecta muito monitoramento real. Mas tem três limites que nenhum scanner instalado no celular consegue superar.

Os apps continuam sem conseguir ler uns aos outros. O Android é mais aberto que o iOS para listar o que está instalado, mas um app não consegue ler os dados privados de outro. Um scanner pode dizer que existe um pacote suspeito. Não pode abri-lo e mostrar o que foi coletado.

Software sofisticado se esconde das telas que você acabou de conferir. Qualquer coisa que tenha obtido acesso root consegue sumir das listas de apps, se esconder do Play Protect e sobreviver a uma desinstalação. Depois que um celular está com root, as ferramentas dentro dele deixam de ser testemunhas confiáveis.

Você está pedindo ao suspeito o próprio álibi. Se o aparelho está comprometido num nível profundo, cada resposta que ele dá vem de um software que o invasor pode controlar. Esse é o problema estrutural, e ele é o mesmo em qualquer sistema operacional.

O que a análise a partir de um computador acrescenta

Conecte o celular a um computador por USB e ative o acesso de desenvolvedor, e uma ferramenta externa consegue listar cada pacote instalado, ler os registros do sistema e comparar tudo isso com indicadores de comprometimento conhecidos: nomes de pacotes usados por stalkerware comercial, domínios que softwares de monitoramento contatam, combinações de permissões de que só a vigilância precisa.

O importante é onde a análise acontece. O computador não está pedindo ao celular que avalie a si mesmo. Ele está lendo o conteúdo do celular e tirando as próprias conclusões, e é por isso que esse é o método usado pelos pesquisadores que publicam esse tipo de trabalho. O Security Lab da Amnesty International mantém uma ferramenta de código aberto, o Mobile Verification Toolkit, que faz exatamente isso para Android e iOS.

Ela também é uma ferramenta de linha de comando que espera que você instale pacotes Python, extraia um backup via ADB e interprete resultados forenses. O método é sólido e público; o problema é a distância entre uma pessoa preocupada e uma análise concluída. Encurtar essa distância é a razão de ser do Haris Shield, com a mesma análise externa e um relatório escrito para ser lido, não decifrado.

Se você encontrar alguma coisa, não apague ainda

Esta é a parte que a maioria dos guias erra, e ela importa mais do que tudo o que veio antes.

Se quem está monitorando você é alguém da sua vida, remover o app pode ser a coisa mais perigosa que você faz. Muitos produtos avisam quem os instalou no momento em que o monitoramento para. Num relacionamento abusivo ou controlador, esse aviso conta à outra pessoa que você descobriu, num momento para o qual você não se preparou. A Coalition Against Stalkerware, que reúne organizações de combate à violência doméstica e empresas de segurança, alerta diretamente sobre isso e acrescenta um segundo motivo: apagar o app também apaga as provas de que você pode precisar se envolver a polícia.

Uma ordem mais segura:

Não mude nada no celular por enquanto e não confronte ninguém.
Busque orientação primeiro, usando um aparelho ao qual a outra pessoa nunca teve acesso. Uma organização de apoio a vítimas de violência doméstica pode ajudar você a planejar a ordem dos passos.
Documente o que encontrou. Um relatório forense tem mais peso do que um print.
Troque as senhas e ative a verificação em duas etapas a partir de outro aparelho, começando pela sua Conta do Google.
Decida sobre a remoção por último, já com apoio garantido.

Se ninguém da sua vida é uma origem plausível e tudo indica um crime comum, a conta é mais simples: atualize o Android, remova o que encontrou, troque a senha do Google, saia das sessões desconhecidas e considere uma redefinição de fábrica sem restaurar um backup que possa reinstalar o problema.

Como deixar o celular mais difícil de invadir

Use uma senha que ninguém mais saiba e confira se não há impressões digitais extras cadastradas. Configurações, depois Segurança, depois Impressão digital. Quase tudo isso começa com acesso físico ao aparelho.
Deixe o Play Protect ativado e confira de vez em quando se ele continua assim.
Instale as atualizações sem demora, tanto do Android quanto do sistema do Google Play.
Não faça root no celular, nem deixe ninguém fazer por você.
Revise os dispositivos da sua Conta do Google em myaccount.google.com, já que quem tem a sua senha do Google nem precisa de um app no celular.
Pense bem no compartilhamento com a família. O compartilhamento de localização comum, configurado uma vez e esquecido, explica boa parte do que as pessoas vivem como estar sendo rastreadas.

Resumindo

Você consegue, sim, verificar um celular Android por conta própria, e deve: Play Protect, serviços de Acessibilidade, acesso a notificações, apps de administrador do dispositivo, acesso especial a apps, a lista completa de apps incluindo os ocultos, e os padrões de bateria e dados. Isso cobre a maior parte do stalkerware comercial, porque a maioria precisa de permissões que aparecem nessas telas.

O que isso não cobre é qualquer coisa com acesso root, ou qualquer coisa que tenha ensinado o celular a mentir sobre si mesmo. Para isso, você precisa de uma análise feita de fora do aparelho.

E, se você suspeita de alguém que conhece, busque orientação antes de mexer em qualquer configuração. A detecção é a metade fácil.

Fontes

Coalition Against Stalkerware, Information for survivors: stopstalkerware.org/information-for-survivors
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re e github.com/mvt-project/mvt
Google, Play Protect: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Como detectar spyware no Android: o que você pode verificar de verdade