Pesquise como remover spyware e o conselho é unânime: apague o app, troque as senhas, faça uma redefinição de fábrica. Simples, e para um tipo de invasão está correto.

Para o tipo mais comum, é o pior primeiro passo possível.

A diferença está em quem instalou. Se por trás está um criminoso desconhecido, remova hoje mesmo. Se é um parceiro ou parceira, um ex, alguém da família ou um empregador — e essa é a maioria dos casos reais —, apagar o app faz duas coisas que talvez você não queira. Avisa essa pessoa de que você descobriu, num momento que você não escolheu. E destrói as provas.

Descubra em qual situação você está

Alguém da sua vida pode estar envolvido se essa pessoa teve acesso físico ao celular, se sabe a sua senha, se configurou o aparelho ou paga a conta, ou se já soube de coisas que não teria como saber normalmente. Vá para a sequência cuidadosa abaixo.

Provavelmente é um atacante desconhecido se o celular foi comprometido por um app malicioso que você mesmo instalou, por um link de phishing ou por um jailbreak público, e ninguém da sua vida teve acesso de forma plausível. Pule para a seção de remoção direta. Ali, a rapidez joga a seu favor.

Se não tiver certeza, trate como o primeiro caso. O caminho cuidadoso custa alguns dias. O caminho rápido, escolhido por engano, não tem volta.

A sequência cuidadosa

1. Não mude nada por enquanto

Nem o app, nem as senhas, nem as configurações. Não confronte ninguém. Parta do princípio, por ora, de que o que você faz no celular está sendo visto, inclusive a leitura deste texto.

2. Busque orientação, usando outro aparelho

Use um celular ou computador ao qual a outra pessoa nunca teve acesso. O celular de um amigo, um computador do trabalho, um terminal de biblioteca.

As organizações de apoio a vítimas de violência doméstica lidam com isso toda semana e vão ajudar você a planejar a ordem dos passos de acordo com a sua situação real. A Coalition Against Stalkerware mantém um diretório; o projeto Safety Net, da NNEDV, nos Estados Unidos, e a Refuge, no Reino Unido, têm serviços voltados ao abuso por meio da tecnologia. Essas ligações são gratuitas e confidenciais.

3. Documente antes de apagar

Este é o passo que desaparece no instante em que você toca em desinstalar, e o que importa se algum dia houver um advogado, um policial ou uma vara de família envolvidos.

Prints das telas de configuração são melhores do que nada. Um relatório forense de uma análise externa é bem melhor: ele mostra o que foi instalado, que acesso tinha e quando, de um jeito que alguém sem conhecimento técnico consegue ler. Este é o caso em que uma ferramenta paga se justifica, e vale a pena providenciar isso antes da remoção, não depois. O Haris Shield gera exatamente esse tipo de relatório.

4. Proteja suas contas, a partir de outro aparelho, nesta ordem

O acesso às contas costuma ser o canal real, e ele sobrevive a uma formatação do celular.

Primeiro o e-mail. É por ele que se redefine todo o resto. Troque a senha, ative a autenticação de dois fatores e confira o e-mail e o número de telefone de recuperação. Um endereço de recuperação que pertence à outra pessoa devolve a conta direto para ela, por mais forte que seja a nova senha.
ID Apple ou Conta do Google. O mesmo tratamento, e ainda revise a lista de dispositivos conectados e remova os que você não reconhece. Lembre-se de que as remoções podem ser percebidas.
Mensagens. Procure aparelhos conectados: WhatsApp, Signal e Telegram permitem que outro aparelho continue conectado indefinidamente. Confira também se alguém acrescentou, sem alarde, uma regra de encaminhamento no seu e-mail.
Banco e compras, onde um cartão salvo também revela por onde você andou.

Faça tudo isso a partir de um aparelho em que a outra pessoa nunca encostou.

5. Planeje a remoção, não improvise

Escolha com calma, já com apoio garantido, entre três opções:

Limpar o celular, aceitando que a outra pessoa pode perceber.
Trocar de celular, configurando do zero, com um novo ID Apple ou uma nova Conta do Google, sem restaurar nada.
Deixar como está por enquanto e usar um segundo celular, só seu, para tudo o que for sensível. Às vezes o celular mais seguro é aquele que continua parecendo exatamente igual.

A terceira opção é a que ninguém menciona, e em algumas situações é a certa.

Remoção direta, quando ninguém da sua vida está envolvido

No Android

Revogue as permissões antes de desinstalar. Primeiro o administrador do dispositivo, em Configurações, Segurança, Apps de administrador do dispositivo — um app com direitos de administrador pode se recusar a ser desinstalado enquanto você não remover isso. Depois os serviços de Acessibilidade e, em seguida, o acesso a notificações.
Desinstale o app, em Configurações, Apps.
Reative o Play Protect e faça uma verificação.
Atualize o Android e as atualizações do sistema do Google Play.
Troque a senha do Google e saia dos dispositivos desconhecidos.

No iPhone

Remova os perfis de configuração que você não reconhece, em Ajustes, Geral, VPN e Gerenciamento de Dispositivos.
Atualize o iOS. A maioria das invasões de iPhone depende de falhas que a Apple já corrigiu, então só isso já elimina muitas delas.
Troque a senha do seu ID Apple e revise a lista de dispositivos.
Se o celular estava com jailbreak, atualizar o iOS remove o jailbreak, e uma redefinição de fábrica é a resposta mais segura.
Considere o Modo de Isolamento se você tem motivos reais para achar que foi alvo de propósito.

A armadilha do backup

É aqui que as pessoas desfazem o próprio trabalho.

Uma redefinição de fábrica apaga o celular. Aí você restaura o backup, porque senão perde fotos e mensagens, e, se esse backup foi feito enquanto o celular estava comprometido, você pode reinstalar o problema no primeiro dia do seu celular limpo.

Como evitar:

Configure como um aparelho novo, sem backup, se você aguentar.
Se precisar restaurar, use um backup feito antes do comprometimento, se conseguir saber a data. É a análise forense do passo 3 que indica mais ou menos quando as coisas mudaram.
Restaure os dados de forma seletiva: tire fotos e contatos do backup, em vez de restaurar apps e configurações em bloco.
Depois de restaurar, confira as telas de configuração de novo. Perfis de configuração e permissões podem voltar junto com a restauração das configurações.

E saiba o que uma redefinição de fábrica não resolve: ela não faz nada contra alguém que sabe a senha da sua conta. Se o caminho de acesso é a conta, apagar o celular não adianta absolutamente nada.

A redefinição de fábrica sempre funciona?

Para stalkerware comercial num aparelho comum, sim. Para qualquer coisa com root ou jailbreak, geralmente sim, já que a redefinição remove o sistema modificado. Para spyware de nível estatal, em geral sim quanto à persistência, porque a maioria dos implantes mercenários não sobrevive a uma redefinição e alguns nem sobrevivem a uma reinicialização — e é também por isso que eles são reinstalados, em silêncio, pelo mesmo caminho de antes.

Esse é o ponto principal. A remoção resolve a infecção. Não resolve a porta de entrada. Se a porta de entrada foi o acesso físico a um celular desbloqueado, e esse acesso continua existindo, você vai voltar a esta situação.

Como fechar a porta de entrada

Uma senha que ninguém mais saiba. Confira se não foram cadastradas digitais ou rostos extras.
Atualizações no dia em que saírem, tanto do sistema operacional quanto das lojas de apps.
Autenticação de dois fatores, começando pelo e-mail.
Nada de jailbreak ou root, nem por você, nem por ninguém.
Listas de dispositivos das contas revisadas a cada poucos meses.
Recursos de compartilhamento revistos. Um compartilhamento de localização configurado numa fase mais feliz e esquecido é, por si só, uma forma de monitoramento.

Resumindo

Se alguém que você conhece pode estar por trás: primeiro orientação, depois documentação, depois as contas, a remoção por último, e nunca um confronto antes de você estar pronto.

Se for um atacante desconhecido: no Android, revogue o administrador do dispositivo antes de desinstalar, atualize o sistema operacional, troque as senhas a partir de outro aparelho e tome cuidado com o backup que vai restaurar.

Em qualquer caso, a remoção acaba com a infecção, não fecha a porta. Se você não mudar a forma como entraram, a mesma coisa acontece de novo.

Fontes

Coalition Against Stalkerware, Information for survivors: stopstalkerware.org/information-for-survivors
NNEDV Safety Net, segurança tecnológica: techsafety.org
Apple, Sobre o Modo de Isolamento: support.apple.com/en-us/105120
Google, Play Protect: support.google.com/googleplay/answer/2812853

Como remover spyware sem alertar quem o instalou