O Que um Celular Sabe Sobre Você
Como a identidade do assinante, o aparelho, a rede, a localização, as notificações, os aplicativos e a posse física formam um registro contínuo da vida cotidiana.
A.R.C. Revisado em
Não existe um único observador
"O celular sabe" é uma abreviação. Um telefone reúne componentes e organizações diferentes: operadora, sistema operacional, fabricante, lojas de aplicativos, serviços de notificação, aplicativos, sites, redes Wi-Fi e sensores locais. Cada um observa uma parte. O risco nasce quando identificadores estáveis ou rotinas permitem juntar essas partes.
Há dois estados radicalmente diferentes. Um aparelho desligado, cifrado e bloqueado expõe uma superfície diferente da de um aparelho aberto, conectado e com aplicativos em execução. Criptografia de disco é importante para apreensão ou perda. Ela não impede que o próprio aplicativo leia dados enquanto você o usa.
Assinante, linha e aparelho
Uma conexão celular identifica-se à operadora para obter serviço. Conta ou cadastro associam a linha ao assinante. O SIM ou eSIM representa a assinatura. O rádio e a rede lidam com identificadores técnicos, e o aparelho possui características próprias. GrapheneOS resume a limitação central: ao usar a rede celular, o telefone necessariamente se identifica para a operadora, e a rede pode estimar sua localização a partir das antenas com as quais o aparelho interage. [ref]
IMEI e outros identificadores de hardware não são equivalentes a um cookie apagável. O Android restringe o acesso de aplicativos comuns a identificadores imutáveis e recomenda que desenvolvedores usem identificadores de escopo mais estreito e reinicializáveis quando possível. [ref] A restrição reduz a coleta por aplicativos. Ela não elimina os identificadores necessários à própria rede ou disponíveis a componentes privilegiados.
Chamadas, SMS e uso de dados produzem registros operacionais. A Anatel informa que relatórios detalhados ao consumidor podem incluir números chamados, origem e destino de chamadas e mensagens, data, horário, duração e volume diário de dados, conforme o serviço. [ref] Isso demonstra por que conteúdo e metadados devem ser analisados separadamente.
Localização sem GPS
Desligar a permissão de GPS não retira o telefone do espaço físico. A rede celular conhece as células necessárias para manter a conexão. Redes Wi-Fi próximas, endereços de pontos de acesso, Bluetooth e sensores de movimento também podem contribuir para localização ou reconhecimento de ambiente, conforme acesso e implementação.
GPS fornece uma estimativa precisa ao sistema e aos aplicativos autorizados. A rede celular fornece outra classe de localização à operadora. Um aplicativo pode inferir lugar por IP, Wi-Fi, fuso horário, fotografias ou check-ins. Portanto, "localização desativada" normalmente significa que uma fonte ou API foi restringida. O aparelho ainda produz sinais geográficos.
Modo avião desliga os rádios de comunicação por padrão, embora Wi-Fi e Bluetooth possam ser religados separadamente. Para um aparelho dedicado que não deve tocar a rede celular, a ausência de SIM reduz o vínculo de assinatura, mas o modelo de ameaça ainda precisa considerar chamadas de emergência, configuração do rádio e a simples posse física. No Guia OpSec, a recomendação de GrapheneOS sem SIM busca separação operacional, sem prometer invisibilidade do hardware.
Contas, instalações e notificações
Uma conta do sistema conecta backups, compras, sincronização, contatos, fotos, histórico e recuperação. Mesmo sem uma conta ampla, cada aplicativo pode criar sua própria identidade de instalação. As recomendações do Android distinguem identificadores por escopo e persistência: quanto mais amplo e duradouro o identificador, maior sua capacidade de rastreamento. Combinações de modelo do aparelho, horário e outros dados quase identificadores também podem ser correlacionadas. [ref]
Notificações acrescentam uma infraestrutura intermediária. No Firebase Cloud Messaging, por exemplo, um token de registro identifica uma instância de aplicativo para entrega de mensagens. O serviço recomenda que servidores mantenham tokens e datas de atualização. [ref] O conteúdo visível e o que passa pelo provedor dependem de como o aplicativo implementa a notificação e sua criptografia.
Uma prévia na tela bloqueada pode revelar remetente, assunto, código bancário ou evento de calendário a qualquer pessoa próxima. Desativar prévias sensíveis é uma das poucas medidas que melhora imediatamente a privacidade sem mudar de plataforma.
Aplicativos, SDKs e permissões
O evento pode estar acessível a códigos além do aplicativo principal. Bibliotecas usadas para registrar falhas, medir uso, exibir publicidade, fazer login e enviar notificações podem receber dados conforme a integração. Políticas e telas de permissão não substituem a pergunta técnica: quais dados saem do aparelho, para quais domínios, com quais identificadores e por quanto tempo?
Permissões controlam capacidades importantes, como câmera, microfone, contatos, localização e arquivos. A lista de permissões cobre apenas parte dos dados disponíveis. Um aplicativo com rede pode enviar o que o usuário digitou nele, características básicas do ambiente e eventos de uso permitidos pela plataforma. Um navegador pode revelar IP ao site mesmo sem permissão de localização. Uma fotografia escolhida pelo usuário pode carregar metadados ou conteúdo visual identificável.
Revogar acesso a contatos reduz a criação direta do grafo de agenda. Ainda assim, outras pessoas podem ter enviado suas agendas, e números que conversam repetidamente constroem um grafo por atividade. A privacidade social depende de mais de uma pessoa.
Wi-Fi e endereço MAC
Redes Wi-Fi observam que um dispositivo se conectou, quando isso aconteceu e quanto tráfego passou. Cadastro em portal, câmeras, pagamento e localização física podem ligar aquela sessão a uma pessoa. Randomização de endereço MAC reduz o uso do endereço de hardware como identificador estável na rede local.
GrapheneOS oferece randomização por conexão além do modo persistente por rede e descreve outras reduções de sondagem Wi-Fi. [ref] A escolha tem custo operacional. Redes com controle por endereço MAC ou portais recorrentes podem exigir novo cadastro. O benefício desaparece se o usuário autenticar imediatamente numa conta civil ou se outro identificador do navegador for mais estável.
HTTPS impede que a rede Wi-Fi leia o conteúdo cifrado de uma sessão web corretamente protegida. Ela ainda vê que houve tráfego e os dados necessários ao transporte. O site continua recebendo a conexão. Tor muda a visibilidade do endereço de origem para o destino, mas não impede que a rede local saiba que o aparelho ficou ativo nem corrige identificação por conta.
Fotografias, arquivos e sensores
Fotos podem conter modelo de câmera, data, orientação e coordenadas, além de informação que não está em metadados: rosto, reflexo, tela, rua, clima, interior de casa e padrões de edição. Capturas de tela expõem barra de status, idioma, horário, notificações, nome de arquivo e dimensões próprias do aparelho.
Microfone e câmera são riscos óbvios, mas acelerômetro, giroscópio, proximidade e padrões de digitação também descrevem comportamento. Isso não significa que todo aplicativo use todos os sensores ou que seja possível identificar qualquer pessoa magicamente. Uma avaliação séria confere permissões, telemetria e finalidade, em vez de procurar apenas a palavra "GPS".
Posse física e rotina
Um telefone acompanha sono, deslocamento, trabalho e relações. Mesmo quando cada aplicativo é bem configurado, presença conjunta cria inferências: o mesmo aparelho passa noites num endereço, dias em outro e se desloca com um segundo aparelho. Horários de tela e de rede revelam rotina. Câmeras mostram quem segurava o dispositivo.
Separar perfis no sistema reduz a mistura entre aplicativos e contas. No GrapheneOS, perfis de usuário são uma fronteira de separação relevante. [ref] Eles não transformam um único objeto físico em dois aparelhos perante operadora, observação física ou identificadores fora do perfil.
O que a criptografia protege
Criptografia de ponta a ponta protege conteúdo entre participantes quando o protocolo e os endpoints são confiáveis. Ela não esconde necessariamente quem se conectou, quando, por quanto tempo, qual conta recebeu a mensagem ou qual notificação foi enviada. Cifra de armazenamento protege o aparelho bloqueado, mas não protege contra alguém que obtém a sessão aberta. HTTPS protege o trajeto entre aplicativo ou navegador e servidor, que ainda recebe o dado enviado.
Em todos os casos, o endpoint é parte da fronteira. Um teclado malicioso vê antes da cifra. Uma captura de tela vê depois da decifragem. Um backup sem a mesma proteção pode reintroduzir o conteúdo em outro sistema.
Redução realista de exposição
Para a vida comum, mantenha sistema e aplicativos atualizados e remova o que não usa. Instale a partir de fontes verificáveis, revise permissões e negue contatos e localização quando a função não exige. Desative identificadores publicitários ou a personalização quando disponíveis, esconda prévias sensíveis e use bloqueio forte com backup testado. Trate a recuperação de conta como parte da segurança.
Crie perfis ou aparelhos separados apenas quando houver uma finalidade clara. Não misture contas, contatos, arquivos e notificações entre ambientes que deveriam permanecer separados. Para anonimato, considere também compra, local, rede, horários, estilo e aparelho pessoal próximo. Uma segunda conta no mesmo perfil raramente é uma segunda identidade.
O risco que permanece
A operadora continua prestando o serviço celular. Aplicativos necessários continuam processando os dados de suas funções. Pessoas próximas continuam vendo posse e uso. Contatos guardam mensagens. Um aparelho aberto continua concentrando acesso a muitas contas. Uma sequência repetida de lugares e horários pode ser identificadora mesmo sem nome.
Reduzir coleta melhora privacidade e segurança. Não autoriza concluir que o telefone se tornou anônimo. Para entender como esses sinais se juntam aos demais, leia Anatomia de uma Identidade Digital.
Fontes e limites
As capacidades variam por aparelho, versão, operadora e aplicativo. Este texto descreve classes de dados e fronteiras. Não afirma que todo componente coleta todos os sinais citados.