Se você está lendo isto, provavelmente algo já deixou você inquieto. Uma bateria que acaba antes do almoço. Um parceiro ou parceira que sabe coisas que você nunca contou. Um celular que passou a noite quente no bolso. Você foi atrás de um app que pudesse verificar o seu iPhone e dizer a verdade, e encontrou dezenas deles na App Store.

Aqui está a parte que ninguém que vende esses apps quer explicar: no iPhone, eles não conseguem fazer o que você acha que estão fazendo.

Por que os antivírus para iPhone não conseguem encontrar spyware

O iOS coloca cada app numa área isolada, o chamado sandbox. Um app enxerga os próprios arquivos e nada mais. Ele não consegue ler os dados de outro app, não consegue listar os processos em execução no celular e não consegue examinar os arquivos do sistema. Esse projeto é um dos motivos pelos quais o iPhone é difícil de infectar, para começo de conversa, e isso é realmente bom para você.

Mas a moeda tem dois lados. O mesmo muro que impede um app malicioso de ler o app do seu banco também impede um app de segurança de encontrar o app malicioso. Não existe verificação completa do sistema no iOS, porque a Apple não permite que ela exista. Qualquer produto da App Store vendido como antivírus para iPhone está, na melhor das hipóteses, conferindo seus ajustes de Wi-Fi, avisando sobre sites perigosos e dizendo que o seu iOS está desatualizado.

Isso pesa justamente nas ameaças que preocupam você. Spyware mercenário como o Pegasus explora falhas profundas do sistema operacional, num nível que nenhum app dentro do sandbox consegue observar. Uma ferramenta rodando dentro do sandbox é como procurar um ladrão estando trancado num armário.

Então, se não dá para verificar a partir do celular, o que você pode fazer de fato?

Cinco verificações que você mesmo pode fazer em dez minutos

Nenhuma delas é conclusiva. Todas valem a pena, e várias já revelaram invasões reais.

1. Procure uma notificação de ameaça da Apple

A Apple monitora campanhas de spyware de nível estatal e avisa as pessoas que ela acredita terem sido alvo. Desde 2021, já notificou usuários em mais de 150 países; só uma campanha, em abril de 2024, atingiu pessoas em 92 países.

Entre em account.apple.com e veja se há um aviso em destaque no topo da página. A Apple também envia e-mails e iMessages de notificação para os endereços cadastrados no seu ID Apple.

Um alerta essencial: como essas notificações assustam e são muito conhecidas, elas são um disfarce preferido de golpistas. Uma notificação de ameaça verdadeira da Apple nunca pede que você clique num link, instale alguma coisa, abra um arquivo ou informe a sua senha. Se uma mensagem fizer qualquer uma dessas coisas, ela não é da Apple. Confira entrando você mesmo em account.apple.com, digitando o endereço à mão.

2. Procure perfis de configuração

Um perfil de configuração é um recurso legítimo do iOS que permite a uma empresa ou escola gerenciar um aparelho. Também é uma das poucas formas oficialmente suportadas de colocar vigilância persistente num iPhone sem explorar falhas, e é por isso que o stalkerware comercial às vezes pede que a pessoa instale um enquanto está com o seu celular na mão.

Vá em Ajustes, depois Geral, depois VPN e Gerenciamento de Dispositivos. Num iPhone pessoal comum, essa tela está vazia ou contém só perfis que você reconhece, do seu trabalho. Qualquer coisa que você não reconheça merece uma explicação antes de ser removida.

3. Revise o que seus apps têm permissão para ver

Vá em Ajustes, depois Privacidade e Segurança, e percorra Serviços de Localização, Microfone, Câmera, Fotos e Contatos. Aqui você não está procurando spyware. Você está procurando apps comuns com permissões fora do comum, porque a forma mais frequente de vigilância no celular não é nenhum malware exótico. É um app de compartilhamento familiar, um serviço de backup de fotos ou um app de anotações que alguém instalou e, discretamente, apontou para a própria conta.

Aproveitando, abra Ajustes, toque no seu nome no topo e confira a lista de dispositivos conectados ao seu ID Apple. Um dispositivo que você não reconhece significa que alguém pode ler os seus backups do iCloud, e isso inclui as suas mensagens.

4. Procure sinais de jailbreak

A maior parte dos spywares persistentes para iPhone precisa de um aparelho com jailbreak. Se fizeram jailbreak no seu celular sem você saber, talvez você encontre um app que nunca instalou chamado Cydia, Sileo ou Zebra. Procure esses nomes no celular. A presença deles não prova espionagem, mas prova que alguém removeu as proteções da Apple do seu aparelho.

5. Compare bateria e dados com os seus hábitos

Abra Ajustes, depois Bateria, e veja os últimos dez dias. Depois, Ajustes, depois Celular, e confira o total de dados por app. Você está procurando algo que não combina com o jeito como você realmente usa o celular: um app que você nunca abre perto do topo da lista de bateria, ou dados em segundo plano medidos em gigabytes.

Trate isso como o sinal mais fraco dos cinco. Uma bateria com defeito, uma atualização do iOS ou uma biblioteca de fotos sincronizando depois das férias produzem o mesmo padrão. Um consumo sem explicação é um motivo para olhar com mais atenção, não um veredito.

O que essas verificações não conseguem dizer

Tudo o que está acima acontece dentro do sandbox, ou seja, tudo isso pode ser driblado por qualquer coisa sofisticada. Um spyware zero-click não deixa ícone, não pede permissão e não pede que você toque em nada. Ele pode ser instalado por uma mensagem que você nunca abriu, e algumas variantes nem sobrevivem a uma reinicialização, o que torna ainda mais difícil pegá-las em flagrante.

Vestígios existem. Só que não estão nos lugares em que o iOS deixa um app olhar. Eles ficam em registros de falhas, em bancos de dados que registram quais processos usaram a rede e quando, num pequeno arquivo do sistema que registra os desligamentos e nos metadados de um backup criptografado. Lê-los exige sair do sandbox, e só existe uma forma prática de fazer isso.

Como funciona a análise a partir de um computador

Conecte o iPhone a um computador por cabo e o celular gera um backup completo, junto com dados de diagnóstico que nenhum app no aparelho tem permissão para ler. Esse backup pode então ser examinado em busca de indicadores de comprometimento conhecidos: domínios que spywares mercenários costumam contatar, nomes de processos que eles criam, vestígios que deixam para trás.

Esse é o método usado pelos pesquisadores que de fato descobrem essas campanhas. O Security Lab da Amnesty International publica uma ferramenta de código aberto chamada Mobile Verification Toolkit que faz exatamente isso, e ela foi a base da investigação do Projeto Pegasus, em 2021. É gratuita, é bem conceituada, e é uma ferramenta de linha de comando que parte do princípio de que você sabe instalar pacotes Python e interpretar resultados forenses.

Essa última parte é o porém, para ser honesto. O método é sólido e as ferramentas são públicas, mas a distância entre uma pessoa preocupada e uma análise forense funcionando é grande. Encurtar essa distância é a razão de ser do Haris Shield: uma análise a partir do computador com base nos mesmos indicadores públicos, com um relatório que você consegue ler sem terminal. A versão atual não analisa um backup completo. Ela lê os registros de falhas e os perfis instalados pelo cabo, além de um sysdiagnose, se você importar um; a página como funciona traz a lista completa.

Se você encontrar alguma coisa, leia isto antes de apagar

Esta é a seção mais importante deste artigo, e é a que a maioria dos guias pula.

Se você suspeita que quem está monitorando você é alguém da sua vida — um parceiro ou parceira, um ex, alguém da família, um empregador —, então remover o spyware não é necessariamente o primeiro passo. Muitos produtos de stalkerware avisam quem os instalou no momento em que são desativados. Numa situação de controle ou abuso, o momento em que o monitoramento para é o momento em que a pessoa que vigia fica sabendo que você descobriu. Essa escalada é um risco documentado, não uma hipótese.

A Coalition Against Stalkerware, que reúne organizações de combate à violência doméstica e empresas de segurança, é explícita quanto a isso: apagar o stalkerware também apaga as provas, e essas provas podem ser importantes se você procurar a polícia.

Uma ordem mais segura de passos:

Não faça nada no celular por enquanto. Não confronte ninguém.
Busque orientação primeiro, usando um aparelho ao qual a outra pessoa nunca teve acesso. Uma organização de apoio a vítimas de violência doméstica pode ajudar você a planejar a sequência.
Documente o que encontrou. Um relatório forense vale mais do que um print.
Troque as senhas e ative a autenticação de dois fatores a partir de outro aparelho, não do celular de que você suspeita.
Só então decida sobre a remoção, de preferência já com apoio garantido.

Se você não está nessa situação e a invasão parece um crime comum ou obra de um atacante desconhecido, a conta é mais simples. Atualize o iOS, remova o que encontrou, troque a senha do seu ID Apple e considere uma redefinição de fábrica sem restaurar o backup suspeito.

Como se tornar um alvo mais difícil

Ative o Modo de Isolamento se você tem motivos reais para achar que é um alvo. Ele fica em Ajustes, Privacidade e Segurança, e desativa os tipos de anexo de mensagem e os recursos da web de que esses exploits dependem. A Apple afirma não ter conhecimento de nenhum ataque bem-sucedido de spyware mercenário contra um aparelho com o Modo de Isolamento ativado. Algumas coisas deixam de funcionar, e é exatamente essa a ideia.
Instale as atualizações do iOS no dia em que saírem. A maioria dessas campanhas depende de falhas que a Apple já corrigiu.
Use um código que ninguém mais saiba e confira se não foram adicionados rostos no Face ID ou digitais no Touch ID que não sejam seus.
Não faça jailbreak, nem deixe ninguém fazer por você.
Revise os dispositivos do seu ID Apple a cada poucos meses.

Resumindo

Não dá para verificar se há spyware num iPhone a partir do próprio iPhone. Qualquer coisa que diga o contrário está limitada por um sandbox do qual não consegue sair. O que você mesmo pode fazer é procurar notificações de ameaça da Apple, perfis de configuração inesperados, apps com permissões demais, vestígios de jailbreak e um consumo que não combina com os seus hábitos. Além disso, a única resposta de verdade é uma análise a partir de um computador.

E, se você encontrar algo e alguém da sua vida puder estar por trás, busque orientação antes de mexer em qualquer coisa. A verificação é a parte fácil.

Fontes

Apple, Sobre as notificações de ameaça da Apple e a proteção contra spyware mercenário: support.apple.com/en-us/102174
Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Mobile Verification Toolkit: mvt.re
Coalition Against Stalkerware, Information for survivors: stopstalkerware.org/information-for-survivors

Como detectar spyware no iPhone sem instalar nenhum app