O WhatsApp lança nesta quinta-feira, 3, um novo site sobre segurança digital na plataforma, que vai conter uma lista com atualizações de segurança no mensageiro. Inicialmente, serão divulgas seis vulnerabilidades encontradas na plataforma e que já foram corrigidas pelo time de segurança do Facebook, que é dono do WhatsApp.

Segundo Nathaniel Gleicher, diretor de política de cibersegurança no Facebook, a equipe trabalha com pesquisadores internos e externos para encontrar brechas de segurança e por isso quer usar o canal para divulgar com maior regularidade as correções de falhas no app. Ainda de acordo com Gleicher, existem atualmente práticas e políticas nas lojas de aplicativos que impedem que essas informações sejam divulgadas de maneira mais eficaz quando o WhatsApp passa por um update também.

"Estamos divulgando seis brechas que encontramos em versões anteriores que já foram consertadas. Não temos evidências de que essas falhas foram exploradas antes de terem sido arrumadas pela equipe", afirmou Gleicher, que disse que a maioria delas foi resolvida no mesmo dia em que foram descobertas. Uma das falhas, por exemplo, permitia ver o endereço IP de usuários pelo envio de figurinhas específicas.

As falhas divulgadas nesta quinta são parte de um conjunto que ainda não havia sido divulgado pelo WhatsApp. Gleicher afirmou que falhas antigas, que já foram abordadas pelo aplicativo publicamente, não serão publicadas nessa leva, mas que a empresa deve apresentar um arquivo com brechas já corrigidas para auxiliar no trabalho de pesquisadores e concentrar informações em um mesmo canal de divulgação.

Uma das falhas de segurança mais conhecidas do aplicativo aconteceu em 2019, com uma brecha que permitia a invasores ter acesso ao aparelho de usuários remotamente. A suspeita, na época, é que a invasão se dava por meio de uma brecha que instalava o software Pegasus, desenvolvido pela empresa israelense NSO Group, que negou envolvimento no caso. O WhatsApp chegou a emitir comunicado pedindo que usuários da plataforma atualizassem o aplicativo e disse que a falha tinha "as características de uma empresa privada que supostamente trabalha com governos” e que entrega spyware que assume as funções dos sistemas operacionais de smartphones.

Nova política de divulgação de bugs do Facebook

Além do canal de divulgação do WhatsApp, o Facebook também anunciou mudanças na política de divulgação de bugs em códigos desenvolvidos por terceiros e parceiros da rede social.

A partir de agora a plataforma vai contatar os responsáveis por códigos desenvolvidos por terceiros, incluindo software de código aberto, e informar "da maneira mais rápida possível" sobre uma falha encontrada. Caso não haja resposta em 21 dias, o Facebook irá divulgar a brecha publicamente. Se os responsáveis responderem mas não tomarem atitude para solucionar ou mitigar o problema, o Facebook deixará a falha pública depois de 90 dias.

Esses prazos podem ser flexibilizados e adiantados, caso, por exemplo, a falha em questão já esteja sendo explorada por criminosos, ou caso os responsáveis pelo programa estejam atrasando a implementação de uma solução já desenvolvida.

Falhas encontradas em algum dos aplicativos da família Facebook podem ser reportadas diretamente para a empresa, que conta com um programa de "caça de bugs", remunerando quem aponta problemas que podem ser explorados.