Uma investigação divulgada esta semana mostra que é possível registar uma máquina Linux nos serviços privados da Apple e receber, já desencriptada, a localização de uma pessoa que tenha optado por partilhá-la através do Find My. Não se trata de uma vulnerabilidade nem de uma forma de espiar utilizadores à distância: o trabalho, assinado por Zerotistic, exigiu credenciais válidas de uma Apple Account, autenticação em dois fatores e uma partilha de localização previamente consentida. Ainda assim, o caso levanta questões relevantes sobre o que sustenta a confiança do ecossistema Apple — e sobre o que acontece aos dados de geolocalização quando saem do jardim murado.
Resposta rápida: Um trabalho de engenharia inversa conseguiu inscrever um computador Linux na infraestrutura de identidade da Apple e obter, através do Find My, a localização partilhada de um contacto que deu consentimento. Não existe CVE associado, nem risco de alguém localizar arbitrariamente utilizadores Apple: é preciso a conta, o 2FA e uma partilha ativa. A ação recomendada é revisitar quem tem acesso à sua localização, rever a lista de dispositivos associados à Apple Account e reforçar a proteção dessa conta.
O que foi realmente demonstrado
O Find My combina duas funções distintas: localizar dispositivos e objetos e ver a posição de pessoas que decidiram partilhá-la. A Apple descreve a app como uma forma de acompanhar dispositivos e permitir que utilizadores partilhem a localização entre si, uma funcionalidade disponível em iPhone, iPad, Mac e Apple Watch. A componente de pessoas é precisamente a que não existe fora do hardware da Apple.
Foi essa lacuna que motivou o projeto. Segundo o relato publicado no blogue pessoal de Zerotistic, a ideia inicial era mundana: um amigo partilhava a localização através do Find My e a intenção era canalizar esses dados para automações — geofences e notificações no Discord quando chegasse ou saísse de determinados sítios, com autorização prévia. A síntese do próprio autor é clara: autenticar nos serviços privados da Apple, registar a máquina Linux como cliente IDS, receber a chave de partilha já existente do Find My e usá-la para obter e desencriptar a última localização de um amigo que deu consentimento.
A cobertura técnica do caso sublinha o mesmo enquadramento: não é um exploit que permita a qualquer pessoa obter arbitrariamente a localização de utilizadores Apple; trata-se de registar um dispositivo não-Apple na rede Find My e recuperar a localização de quem já tinha escolhido partilhá-la com o titular daquela conta. É uma distinção essencial para não transformar um exercício de interoperabilidade numa falsa notícia de segurança.
A cadeia técnica, passo a passo
O ponto de partida é a confiança: para receber dados de localização de pessoas, a Apple tem de confiar que a máquina pertence à sua rede e é capaz de os receber, uma vez que são entregues através do serviço de notificações push (APNs). A partir daí, a sequência descrita envolveu vários protocolos internos.
| Etapa | O que foi feito |
|---|---|
| Autenticação | Login via GrandSlam, com troca SRP e 2FA, obtendo um ADSID e um token de curta duração (PET) usado para pedir o delegate com.apple.private.ids |
| Certificado de dispositivo | Construção de um CSR em formato PKCS#10 com chave RSA de 2048 bits assinada com SHA-1, ligando a máquina Linux à conta |
| Inscrição | Envio de um ficheiro XML comprimido para o endpoint de enrolment authenticateDS da Apple |
| Ligação push | Inscrição da máquina na conta e ligação TLS binária persistente aos servidores APNs privados |
| Contexto de cliente | O initClient exigiu o host FMF da conta, o courier token do APNs, contexto detalhado do cliente e os cabeçalhos anisette, que funcionam como prova adicional de que o pedido vem de um cliente aprovisionado |
| Receção da chave | O registo não trouxe automaticamente as localizações já partilhadas; um pedido SubscribeAndFetch levou o dispositivo do amigo a enviar a chave de localização encriptada para a nova máquina |
| Desencriptação | Leitura dos dados obtidos do serviço SearchParty, com um script em Linux para abrir o envelope de mensagens da Apple, extrair a chave partilhada e desencriptar a localização |
O percurso não foi linear. Parte do código antigo de IDS e APNs veio de um commit anterior do projeto pypush, cujo método de login deixou de funcionar: a Apple aceitava a palavra-passe, pedia 2FA e depois rejeitava o código. A alternativa passou por bibliotecas abertas já existentes para o ecossistema. Vale ainda notar um detalhe revelador: os sinalizadores secureLocationsCapable: true e fallbackToLegacyAllowed: false indicaram que aquela partilha já usava o caminho de localização encriptada mais recente.
Porque é que isto não é um “hack” ao Find My
Não há aqui identificador CVE, pontuação CVSS, versões afetadas ou indicadores de comprometimento a monitorizar. O que existe é uma demonstração de que os controlos de acesso do Find My assentam sobretudo na identidade da conta e no aprovisionamento do cliente — e que ambos podem ser emulados por software fora do hardware oficial. Quem controla uma Apple Account (incluindo o segundo fator) pode, na prática, transportar para outra plataforma aquilo que essa conta já podia ver.
É um contraste útil com o caso nRootTag, divulgado em 2025 por investigadores da George Mason University. Aí, o ataque usava o endereço Bluetooth de um dispositivo combinado com a rede Find My para transformar equipamentos em balizas de localização, com uma taxa de sucesso de 90% e rastreio em poucos minutos. Também nesse caso a Apple recusou a classificação de vulnerabilidade nos seus produtos: a empresa afirmou que o trabalho demonstrava como atacantes que já controlassem um sistema Linux, Windows ou Android poderiam depois seguir a sua localização pela rede Find My, e que reforçou a rede em atualizações de 11 de dezembro de 2024.
O pano de fundo europeu: interoperabilidade obrigatória
Exercícios como este vivem numa zona cinzenta entre investigação, interoperabilidade e violação de termos de serviço. Na União Europeia, essa fronteira está a ser redesenhada por via regulatória. Em 19 de março de 2025, a Comissão Europeia adotou duas decisões ao abrigo do Regulamento dos Mercados Digitais que especificam medidas que a Apple tem de aplicar para cumprir a obrigação de interoperabilidade. Na sequência dessa decisão sobre dispositivos conectados, a Apple deve disponibilizar soluções de interoperabilidade para funcionalidades-chave do iOS, incluindo notificações e emparelhamento por proximidade, até 1 de junho de 2026. A empresa recorreu da decisão.
Por outras palavras: aquilo que hoje exige engenharia inversa para funcionar em Linux poderá, em partes do ecossistema, vir a ser suportado por interfaces documentadas — com os desafios de segurança e privacidade que essa abertura também implica.
O que fazer, do lado do utilizador e das organizações
- Rever periodicamente, no separador “Pessoas” do Find My, quem recebe a sua localização e terminar partilhas antigas ou esquecidas.
- Verificar a lista de dispositivos associados à Apple Account e remover os que não reconhece.
- Proteger a conta com uma palavra-passe única, 2FA ativo e atenção redobrada a pedidos de código inesperados — a conta é a chave-mestra de tudo o resto.
- Em contextos de violência doméstica ou perseguição, usar as funcionalidades de verificação de segurança do iPhone para cortar de uma só vez acessos e partilhas.
- Nas organizações, tratar contas pessoais em equipamentos usados para trabalho como superfície de risco: uma partilha de localização ativa é informação sobre deslocações de colaboradores.
Porque é que isto importa em Portugal
Dados de geolocalização são dados pessoais e, quando permitem inferir hábitos, rotinas e relações, exigem cuidados acrescidos ao abrigo do RGPD. Para empresas que fornecem viaturas, telemóveis ou aplicações de gestão de frota, o princípio é o mesmo que este caso ilustra: o consentimento é específico e revogável, e a localização não deve fluir para sistemas de terceiros sem base legal, transparência e limitação de finalidade.
Há também uma leitura de governação. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a Diretiva NIS2, coloca a gestão de risco e o controlo de acessos no centro das obrigações das entidades abrangidas. Um caso destes recorda que a fronteira de segurança de muitos serviços é a conta do utilizador, não o dispositivo — e que políticas de identidade fortes, inventário de dispositivos associados e formação de utilizadores valem mais do que a confiança implícita numa marca. O CNCS e o CERT.PT têm insistido nesse ponto ao promover autenticação multifator e higiene de contas como medidas de base.
Para o cidadão, a mensagem prática é simples: a partilha de localização é uma decisão que se toma uma vez e se esquece durante anos. Este trabalho mostra que, uma vez concedida, essa informação pode acabar em sítios que nunca imaginou — não por um ataque, mas porque alguém com acesso legítimo decidiu levá-la para outro sistema.
Perguntas frequentes
Isto significa que alguém pode ver a minha localização sem eu saber?
Não. A técnica exige credenciais válidas de uma Apple Account, incluindo o segundo fator, e só devolve a localização de quem já tinha aceitado partilhá-la com essa conta. Não permite localizar utilizadores arbitrários.
Existe alguma vulnerabilidade ou CVE que eu deva corrigir?
Não foi divulgado qualquer identificador CVE nem atualização de segurança associada a este trabalho. Trata-se de engenharia inversa de protocolos privados da Apple, não da exploração de uma falha conhecida.
Como verifico quem vê a minha localização?
Na app Find My, no separador de pessoas, é possível consultar e terminar cada partilha. Convém também rever os dispositivos associados à Apple Account e remover os que não reconhece.
Que implicações tem isto para empresas em Portugal?
Reforça que a segurança de muitos serviços depende da conta e não do equipamento. Recomenda-se autenticação multifator, inventário de dispositivos associados e políticas claras sobre tratamento de dados de localização, em linha com o RGPD e com as obrigações de gestão de risco do regime de cibersegurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo autor da investigação, pela Apple, pela Comissão Europeia e por investigadores da George Mason University.