Alerta vermelho no ecrã do seu iPhone: o que a Apple mudou (e não explica)

A Apple alterou a forma como avisa as pessoas que acredita estarem na mira de spyware mercenário — o software de vigilância comercial vendido a Estados, da mesma família do Pegasus. A empresa passou a mostrar o aviso diretamente no ecrã bloqueado do iPhone e nas Definições, em complemento às notificações por email e ao banner na página da conta Apple, precisamente para que um alerta de alto risco seja mais difícil de ignorar. A mudança foi acompanhada de uma nova vaga de notificações: a Apple confirmou ao BleepingComputer que enviou um novo lote de notificações de ameaça a 13 de agosto, a utilizadores visados em 110 países.

O que mudou exatamente

Na página de suporte revista, a Apple descreve três canais de notificação em simultâneo: um alerta “Apple Threat Notification” no iPhone, visível no ecrã bloqueado e nas Definições; uma mensagem de email para os endereços associados à conta Apple; e um banner no topo da página da conta, após a autenticação em account.apple.com. A empresa indica que, a partir de 2026, notifica os utilizadores visados diretamente no iPhone e por email enviado a partir de [email protected]. Note-se que as descrições variam entre versões da documentação e reportagens: há relatos de que a Apple envia também notificação por iMessage para os números associados à conta, canal que deixou de figurar na página atual, pelo que o mais prudente é validar sempre pela página da conta.

O texto do aviso é curto e direto: refere que a Apple detetou um ataque de spyware mercenário dirigido ao iPhone do utilizador e que há ações a tomar de imediato para proteger dados e dispositivo. A Apple explica no novo artigo de suporte que notifica diretamente no ecrã bloqueado com uma notificação push que insta a pessoa a agir, e disse ao TechCrunch que reformulou a experiência para facilitar o acesso à informação sobre os próximos passos.

Sobre o critério de deteção, a empresa mantém-se deliberadamente opaca. A Apple afirma basear-se exclusivamente em informação e investigações internas de threat intelligence e reconhece que as suas investigações nunca atingem certeza absoluta, embora classifique estas notificações como alertas de elevada confiança de que alguém foi individualmente visado. A empresa justifica ainda que não divulga o que motiva a emissão dos alertas porque isso poderia ajudar os operadores de spyware a adaptar comportamentos e escapar à deteção. Também não atribui alertas individuais a um governo, empresa ou região geográfica.

Cronologia do programa de notificações

A Apple indica que, desde 2021, enviou notificações de ameaça várias vezes por ano à medida que detetou estes ataques e que, até à data, notificou utilizadores em mais de 150 países no total. A empresa apresenta este número como indicador de quão longe se espalhou o spyware usado por governos.

Como confirmar se o alerta é genuíno

Um aviso deste tipo é um alvo óbvio para imitações. A Apple avisa sobre versões falsas destes alertas e indica que a forma de verificar a autenticidade é abrir account.apple.com: se a notificação foi realmente emitida, aparecerá no topo da página depois de iniciar sessão. A regra prática é simples: nunca clicar em ligações recebidas por email, SMS ou mensagem para “confirmar” o alerta; escrever o endereço da conta Apple no navegador e verificar aí.

O que fazer se receber a notificação

• Não desvalorizar. John Scott-Railton, do Citizen Lab, apelou aos destinatários para tratarem o alerta como um incidente de segurança sério e procurarem apoio especializado.
• Ativar o Modo de Isolamento. As notificações da Apple recomendam passos concretos de proteção da conta e do dispositivo, incluindo ativar o Lockdown Mode. Trata-se de uma proteção opcional e extrema, disponível desde o iOS 16, iPadOS 16 e macOS 13, pensada para quem possa ser alvo de ataques altamente sofisticados, como os de empresas privadas que desenvolvem spyware mercenário.
• Pedir ajuda a quem faz isto profissionalmente. A Apple sugere expressamente recorrer a apoio especializado, como a assistência de emergência da Digital Security Helpline da organização sem fins lucrativos Access Now.
• Reforçar a base. A Apple recomenda a todos os utilizadores atualizar os dispositivos para a versão mais recente do sistema, proteger o equipamento com código, Touch ID ou Face ID, usar autenticação de dois fatores e uma palavra-passe forte na conta Apple, e ativar a Proteção de Dispositivo Roubado.
• Preservar prova. Antes de reiniciar de fábrica ou trocar de equipamento, vale a pena falar com peritos: a análise dos registos do dispositivo é o que permite documentar a intrusão.

Porque é que este mecanismo tem valor além do destinatário

O historial europeu mostra que estes avisos funcionam como fio condutor de investigações. Em abril de 2025, um grupo restrito de utilizadores de iOS foi notificado pela Apple de que tinha sido visado por spyware avançado; dois jornalistas consentiram a análise técnica e o Citizen Lab confirmou com elevada confiança que um jornalista europeu de destaque, que pediu anonimato, e o jornalista italiano Ciro Pellegrino foram visados com o spyware Graphite, da Paragon. A Apple confirmou aos investigadores que o ataque de zero cliques usado nesses casos foi mitigado a partir do iOS 18.3.1 e atribuiu-lhe o identificador CVE-2025-43200, falha a que é apontada uma gravidade CVSSv3 de 9,8.

O caso tornou-se político. As federações internacional e europeia de jornalistas pediram ao Parlamento Europeu a criação de uma comissão de inquérito sobre o caso Graphite e a aplicação estrita do Regulamento Europeu da Liberdade dos Meios de Comunicação Social (EMFA), que estabelece novas proteções dos jornalistas contra vigilância indevida. A Amnistia Internacional, pela voz do responsável do seu Security Lab, considerou que o uso do Graphite contra defensores de direitos humanos e jornalistas em Itália sublinha o agravamento da crise de vigilância digital na Europa.

Há também um efeito de rede: segundo declarações citadas pela imprensa especializada, Scott-Railton descreveu as notificações push como uma melhoria significativa e argumentou que estes alertas “criam um sinal crítico de que uma comunidade está a ser visada”, porque alguns destinatários pedem ajuda e esses pedidos abrem investigações que revelam mais vítimas do que o alerta original alcançou.

Contexto: quem em Portugal deve prestar atenção

A Apple descreve estes ataques como dirigidos a um número muito reduzido de pessoas, escolhidas provavelmente por quem são ou pelo que fazem, com recursos excecionais, custos de milhões e curta vida útil — e sublinha que a esmagadora maioria dos utilizadores nunca será visada. Isso não retira relevância ao tema para quem trabalha em Portugal: jornalistas, advogados, investigadores, dirigentes de ONG, quadros de empresas com dossiês sensíveis e responsáveis políticos entram no perfil típico de alvo. E, como nota a análise da Malwarebytes que dá origem a esta notícia, técnicas criadas para operações cirúrgicas tendem a espalhar-se, por reutilização, revenda ou cópia por outros fornecedores e grupos criminosos.

Para as organizações, o enquadramento legal mudou. O Decreto-Lei n.º 125/2025, de 4 de dezembro, aprovou o novo Regime Jurídico da Cibersegurança, transpondo a Diretiva (UE) 2022/2555 (NIS2), e o quadro institucional atribui ao CNCS o papel de autoridade nacional de cibersegurança, ponto de contacto único para cooperação europeia e internacional e entidade que integra a equipa nacional de resposta a incidentes. Na prática, um telemóvel corporativo comprometido por spyware comercial é um incidente de segurança com potencial impacto em serviços e dados — e deve ser tratado nos processos internos de gestão de risco e reporte, com o CERT.PT como interlocutor técnico.

Há ainda a dimensão da proteção de dados: se um dispositivo comprometido der acesso a dados pessoais de clientes, colaboradores ou fontes, a organização entra no terreno das obrigações do RGPD em matéria de avaliação e notificação de violações de dados à CNPD. Para PME, a lição prática é menos exótica do que o tema sugere: atualizações aplicadas sem atrasos, autenticação forte, inventário de equipamentos móveis com acesso a informação sensível e um caminho claro para escalar um alerta como este, em vez de o descartar como phishing.

Perguntas frequentes

Recebi um alerta destes. É garantido que o meu iPhone está infetado?

Não é uma confirmação de infeção. A Apple reconhece que as suas investigações nunca alcançam certeza absoluta, mas classifica estes avisos como alertas de elevada confiança de que a pessoa foi individualmente visada, que devem ser levados muito a sério. A confirmação de comprometimento exige análise forense do dispositivo.

Como distingo um alerta legítimo de uma fraude?

A Apple alerta para versões falsas destas mensagens e recomenda a verificação em account.apple.com: se o alerta é genuíno, aparece no topo da página após iniciar sessão. Não use ligações recebidas por mensagem e desconfie de quem lhe ofereça serviços pagos para remover spyware.

O Modo de Isolamento vale a pena para um utilizador comum?

A Apple descreve o Lockdown Mode como uma proteção opcional e extrema, a usar apenas por quem acredite poder ser alvo de ciberataques altamente sofisticados, como os desenvolvidos por empresas privadas de spyware mercenário. Para a maioria das pessoas, as boas práticas de base são suficientes; para perfis de risco, é uma opção a considerar.

A Apple diz quem está por trás do ataque?

Não. A empresa não atribui alertas individuais a um governo, empresa ou região geográfica e recusa explicar o que motiva a emissão das notificações, alegando que isso ajudaria os atacantes a evitar a deteção no futuro.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple, pelo Citizen Lab, pela Access Now, pelo CNCS e por publicações especializadas de cibersegurança.