Uma brecha grave em um aplicativo de espionagem para Android chamado CatWatchful comprometeu dados sensíveis de dezenas de milhares de pessoas. O vazamento revelou não só informações sobre as vítimas monitoradas, como também a identidade do administrador da operação, colocando em evidência mais um caso de falhas em sistemas de spyware disfarçados de ferramentas de controle parental.
A falha foi descoberta pelo pesquisador de segurança Eric Daigle, que identificou que a API utilizada pelo app para enviar dados dos dispositivos infectados não exigia autenticação. Com isso, qualquer pessoa poderia acessar a base completa de dados da CatWatchful, incluindo endereços de e-mail e senhas em texto simples dos usuários que contrataram o serviço para espionar terceiros.
Aplicativo coleta fotos, áudios e localização em tempo real
- O CatWatchful se apresenta como um app de monitoramento invisível, mas atua como spyware, armazenando e transmitindo dados sigilosos dos celulares infectados.
- Entre as informações coletadas estão mensagens, fotos, localização em tempo real e até o áudio ambiente captado pelo microfone.
- O app também consegue acessar remotamente as câmeras frontal e traseira do aparelho, transformando o smartphone da vítima em um dispositivo de vigilância pessoal.
- Por não estar disponível em lojas oficiais, o CatWatchful exige que o responsável pela espionagem tenha acesso físico ao telefone da vítima para instalar o aplicativo.
- Esse tipo de software é classificado como stalkerware, frequentemente usado para monitoramento não consentido de cônjuges, o que caracteriza violação de privacidade e pode configurar crime em diversas jurisdições.
Mais de 26 mil celulares foram comprometidos
A base de dados exposta, datada de junho, revelou que a CatWatchful registrava informações de mais de 62 mil usuários e dados de 26 mil dispositivos monitorados, principalmente em países como México, Colômbia, Índia, Peru, Argentina, Equador e Bolívia. Alguns registros remontam a 2018.
Além dos dados das vítimas e clientes, o vazamento também identificou o administrador da operação: Omar Soca Charcov, desenvolvedor baseado no Uruguai. A descoberta ocorreu após seu nome aparecer como o primeiro registro em um dos arquivos vazados.
O endereço de e-mail usado na CatWatchful estava vinculado ao seu perfil no LinkedIn, que foi tornado privado após a revelação. A investigação também mostrou que Charcov configurou esse mesmo e-mail como contato de recuperação de senha para sua conta pessoal, reforçando o vínculo com o spyware.
Dados eram armazenados em servidores do Google
Outro ponto crítico da operação foi o uso da plataforma Firebase, do Google, para armazenar os dados roubados das vítimas. A investigação confirmou que o app utilizava uma instância específica do Firebase para guardar informações como fotos e gravações de áudio ambiente dos celulares espiados.
Questionado pela imprensa, o Google afirmou que os aplicativos que utilizam o Firebase precisam seguir suas políticas de uso. Após receber amostras do malware e detalhes da instância usada, a empresa informou que o caso está sob investigação, mas não se comprometeu de imediato a remover a operação da CatWatchful dos seus servidores.
Leia mais:
- WhatsApp: como aumentar a segurança e impedir spywares e malwares de ‘clique zero’
- 6 riscos de acessar a Dark Web que você precisa saber
- Windows Defender com defeito? Confira 5 dicas para resolver problemas
Como identificar e remover o CatWatchful do celular
Mesmo sendo projetado para operar de forma invisível, o CatWatchful pode ser detectado em aparelhos Android. Usuários podem digitar 543210 no discador do telefone e pressionar o botão de chamada. Se o aplicativo estiver instalado, ele será exibido na tela. Esse código é um mecanismo interno usado por quem instalou o app para acessá-lo novamente após ele ter sido ocultado.
Antes de tomar qualquer medida para desinstalar o spyware, é importante ter um plano de segurança, pois a remoção pode alertar o espião. Organizações como a Coalition Against Stalkerware oferecem orientações e suporte para vítimas desse tipo de vigilância.
Enquanto isso, Google Play Protect passou a emitir alertas quando detecta o CatWatchful ou seus instaladores em dispositivos Android, como forma de mitigar os impactos desse tipo de ameaça. Ainda assim, a continuidade da operação do app — mesmo após o vazamento — evidencia os riscos associados a falhas de segurança em ferramentas de vigilância comercializadas como “controle parental”.
O post Falha expõe app espião CatWatchful e dados de 26 mil celulares apareceu primeiro em Olhar Digital.
Fonte: https://olhardigital.com.br/2025/07/02/seguranca/falha-expoe-app-espiao-catwatchful-e-dados-de-26-mil-celulares/
