Toda lista de sinais de alerta que você vai encontrar sobre esse assunto começa com os mesmos quatro itens: a bateria, o aquecimento, os dados, a lentidão. Os quatro são sintomas reais de vigilância no celular. Os quatro também são exatamente o que uma bateria de dois anos, uma atualização do sistema e uma biblioteca de fotos sincronizando depois das férias aparentam.

Isso é um problema, porque significa que o conselho mais repetido na internet não consegue distinguir um celular comprometido de um celular normal que está envelhecendo. Se você está aqui porque algo deixou você inquieto, ouvir que deve ficar de olho na bateria não ajuda muito.

Por isso, este guia divide os sinais em dois grupos: os que realmente têm peso e aqueles com que quase todo mundo começa, que você deve, em grande parte, desconsiderar quando aparecem sozinhos.

Os sinais que realmente têm peso

Cada um deles é difícil de explicar de outra forma. Qualquer um merece uma análise cuidadosa.

Um app com permissões de que só a vigilância precisa

No Android, abra as Configurações e confira três telas: Acessibilidade (serviços baixados), acesso a notificações, em acesso especial a apps, e apps de administrador do dispositivo, em Segurança. Um software comercial de monitoramento precisa delas, porque é por meio delas que ele lê a sua tela, as suas notificações e o que você digita. Num celular pessoal comum, a primeira e a terceira costumam estar vazias.

No iPhone, o equivalente é Ajustes, Geral, VPN e Gerenciamento de Dispositivos. Um perfil de configuração é uma ferramenta legítima para empresas e escolas, e uma das poucas formas oficialmente suportadas de colocar monitoramento persistente num iPhone sem explorar falhas. Num celular pessoal, essa tela deveria estar vazia.

Os nomes nessas listas são propositalmente sem graça: Serviço do Sistema, Saúde do Dispositivo, Gerenciador de Atualizações, Serviços de Sincronização. Um componente legítimo do sistema não aparece na seção de apps baixados.

Um dispositivo que você não reconhece na sua conta

Confira a lista de dispositivos do seu ID Apple (Ajustes, depois o seu nome) ou a sua Conta do Google em myaccount.google.com. Alguém conectado à sua conta não precisa de software nenhum no seu celular. Pode ler seus backups, suas mensagens e sua localização a partir do próprio aparelho.

Esse é o caminho mais esquecido em todos os guias, e um dos mais comuns na prática.

Play Protect desativado sem que você o tenha desativado

No Android: Play Store, ícone do perfil, Play Protect. Ele vem ativado de fábrica e avisa sobre apps instalados de fora da loja. Encontrá-lo desativado não é um sintoma; é a prova de uma decisão que alguém tomou.

Uma notificação de ameaça da Apple

A Apple avisa os usuários que ela acredita terem sido alvo de spyware mercenário. Entre em account.apple.com e veja se há um aviso em destaque.

Um alerta que importa: como esses avisos assustam e são muito conhecidos, eles são um disfarce preferido de golpistas. Uma notificação verdadeira da Apple nunca pede que você clique num link, instale alguma coisa ou informe uma senha. Confira digitando você mesmo account.apple.com.

Vestígios de jailbreak ou root

Procure no celular por Cydia, Sileo ou Zebra, no iPhone, ou por um gerenciador de root, no Android. A presença deles não prova que você está sendo vigiado, mas prova que alguém removeu as proteções do sistema operacional, e, a partir daí, o celular deixa de ser uma testemunha confiável sobre si mesmo.

A outra pessoa sabendo coisas que não deveria saber

Não é técnico, e muitas vezes é o sinal mais forte de todos. Se alguém sabe com frequência onde você está, quais são os seus planos ou o conteúdo de uma conversa particular, e não há nenhuma forma normal de saber, isso vale mais do que qualquer leitura de bateria.

Os sinais com que todo mundo começa, e quanto eles valem

Nenhum deles é inútil. Todos valem muito menos, sozinhos, do que a internet dá a entender, porque cada um tem uma explicação banal mais provável do que a vigilância.

Bateria acabando mais rápido. Baterias de íon-lítio perdem capacidade a cada ciclo de carga. Depois de uns dois anos, uma bateria visivelmente pior é o resultado esperado, não um sintoma. Só vale a pena reparar se a mudança foi repentina, num celular relativamente novo, sem nenhuma atualização no meio.

O celular esquentando parado. Atualização de apps em segundo plano, backup na nuvem, uma indexação depois de uma atualização. Os celulares modernos fazem muita coisa enquanto você não está olhando.

Uso de dados maior. Veja qual app. Se for o seu serviço de fotos ou um app de streaming que deixou de usar só o Wi-Fi, está aí a resposta. Software de monitoramento envia dados, sim, mas normalmente não é o maior número da lista.

O celular parecendo lento, ou reiniciando. Uma atualização do sistema operacional num aparelho mais antigo causa isso com toda a certeza.

Anúncios pipocando por todo lado. Sintoma real, mas de adware vindo de um app duvidoso, não de vigilância direcionada. O stalkerware é feito para ficar invisível; mostrar anúncios iria contra o próprio objetivo.

Mensagens estranhas enviadas do seu celular. Geralmente é um remetente falsificado, caso em que não há nada de errado com o seu celular, ou um app de fraude por SMS. Raramente é monitoramento.

Ruídos estranhos durante as ligações. A esta altura, isso é quase só folclore, herança da telefonia analógica. A qualidade das chamadas digitais varia por uma centena de motivos.

O resumo honesto: se tudo o que você tem é uma bateria pior e um celular quente, a explicação mais provável é um celular com uns dois anos de uso. Olhe a primeira lista.

O que você mesmo pode verificar em dez minutos

As três telas de permissões no Android, ou VPN e Gerenciamento de Dispositivos no iPhone.
A lista de dispositivos da sua conta, tanto na Apple quanto no Google.
O Play Protect no Android, inclusive se ele foi desativado.
A lista completa de apps, com os apps do sistema à mostra, procurando cópias duplicadas de ferramentas comuns e nomes que você não reconhece. Um app pode esconder o ícone, então rolar a tela inicial não prova nada.
As permissões de localização, microfone, câmera e fotos, procurando apps comuns com acesso fora do comum.
Bateria e dados, lidos como detalhe complementar e não como veredito.

Passo a passo para cada sistema: como detectar spyware no iPhone e como detectar spyware no Android.

Por que as verificações acima só levam você até certo ponto

Existe um limite estrutural para tudo o que se pode fazer a partir do próprio celular.

No iPhone, o sandbox faz com que nenhum app da App Store consiga verificar o sistema. É por isso que os antivírus para iPhone não fazem o que suas descrições sugerem: eles estão checando o seu Wi-Fi e avisando sobre sites perigosos. No Android dá para ver mais, mas um app continua sem conseguir ler os dados privados de outro, e qualquer coisa com acesso root consegue se esconder justamente das telas listadas acima.

Por baixo dos dois está o mesmo problema. Pede-se a um celular comprometido que relate sobre si mesmo, usando um software que o invasor pode controlar.

Superar isso significa analisar o celular de fora dele. Conecte-o a um computador por cabo e o aparelho gera um backup e dados de diagnóstico que nenhum app no próprio celular tem permissão para ler: registros de falhas, registros de quais processos usaram a rede e quando, vestígios deixados por spywares conhecidos. Esse material pode ser comparado com indicadores de comprometimento já publicados.

É assim que trabalham os pesquisadores que de fato descobrem essas campanhas. O Security Lab da Amnesty International publica o Mobile Verification Toolkit, de código aberto, que faz exatamente isso, e ele serviu de base para a investigação do Projeto Pegasus. É gratuito, bem conceituado, e é uma ferramenta de linha de comando que parte do princípio de que você se vira bem com Python e com resultados forenses.

Essa distância é o que o Haris Shield existe para encurtar: uma análise a partir do computador com base nos mesmos indicadores públicos, com um relatório que você consegue ler sem terminal. A versão atual lê o celular diretamente pelo cabo, em vez de analisar um backup completo; a página como funciona lista exatamente o que ele lê no iPhone e no Android.

Se você encontrar alguma coisa, a ordem importa

A seção mais importante daqui, e a que a maioria dos guias pula por completo.

Se a pessoa de quem você suspeita é um parceiro ou parceira, um ex, alguém da família ou um empregador, não apague nada ainda. Muitos produtos de monitoramento avisam quem os instalou no momento em que param de funcionar. Numa situação de controle, esse aviso conta à outra pessoa que você descobriu, num momento escolhido por ela, e não por você. A Coalition Against Stalkerware, que reúne organizações de combate à violência doméstica e empresas de segurança, alerta diretamente sobre isso e observa que apagar o software também destrói provas de que você pode precisar depois.

Uma sequência mais segura:

Não mude nada no celular e não confronte ninguém.
Busque orientação primeiro, usando um aparelho ao qual a outra pessoa nunca teve acesso.
Documente o que encontrou.
Proteja suas contas a partir de outro aparelho: primeiro o e-mail, depois Apple ou Google, depois mensagens e banco, conferindo em cada conta o endereço de recuperação e os dispositivos conectados.
Decida sobre a remoção por último, já com apoio garantido.

Nosso guia completo sobre essa situação é stalkerware: os sinais e o que não fazer.

Se ninguém da sua vida é uma origem plausível, a conta é mais simples: atualize o sistema operacional, remova o que encontrou, troque as senhas a partir de outro aparelho e considere uma redefinição de fábrica sem restaurar um backup que possa reinstalar o problema.

Como reduzir o risco depois

Uma senha que ninguém mais saiba, e nenhuma digital ou rosto extra que você não tenha cadastrado. Quase tudo isso começa com acesso físico ao aparelho.
Atualizações no dia em que saírem. A maioria das invasões reais depende de falhas que já foram corrigidas.
Autenticação de dois fatores, primeiro no e-mail, porque é pelo e-mail que se redefine todo o resto.
Não faça jailbreak nem root, nem deixe ninguém fazer por você.
Revise os dispositivos das suas contas a cada poucos meses.
Reveja o compartilhamento com a família. Um compartilhamento de localização configurado numa fase mais feliz e depois esquecido explica boa parte do que as pessoas vivem como estar sendo rastreadas.

Resumindo

Ignore as listas de bateria e aquecimento. Os sinais que pedem ação são: um app com permissões de acessibilidade, de notificações ou de administrador do dispositivo que você não concedeu; um perfil de configuração no iPhone que você não sabe explicar; um dispositivo desconhecido na sua conta Apple ou Google; o Play Protect desativado; uma notificação de ameaça da Apple; vestígios de jailbreak; e alguém sabendo coisas que não teria como saber normalmente.

Você consegue verificar tudo isso sozinho em uns dez minutos. O que não dá para fazer a partir do celular é verificar o próprio celular, e, se você encontrar algo e alguém da sua vida puder estar por trás, busque orientação antes de mexer em qualquer configuração.

Fontes

Apple, Sobre as notificações de ameaça da Apple e a proteção contra spyware mercenário: support.apple.com/en-us/102174
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
Coalition Against Stalkerware, Information for survivors: stopstalkerware.org/information-for-survivors
Google, Play Protect: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
National Domestic Violence Hotline (EUA): 1-800-799-7233. A Coalition Against Stalkerware lista organizações em outros países.

Como saber se o seu celular foi hackeado: os sinais que importam e os que não importam