De acordo com o estudo, aplicativos em sistemas Android podem ser usar o armazenamento externo e interno para salvar arquivos. No primeiro caso, o arquivo fica legível e pode ser modificado por outros aplicativos ou usuários. No segundo, ele é acessado apenas pelo próprio aplicativo.
O problema, chamado de "Media File Jacking", decorre de um intervalo de tempo entre o momento em que arquivos recebidos pelos aplicativos são gravados no armazenamento interno e quando eles são acessados por outros aplicativos, no armazenamento externo.
Essa janela é uma oportunidade para hackers intervirem e manipularem arquivos de mídia sem o conhecimento do usuário. Fotos, vídeos, documentos corporativos, faturas e áudios podem ser acessados.
É, segundo a pesquisa, semelhante a uma corrida entre o invasor e o aplicativo que está carregando os arquivos. Caso o hacker tenha acesso às fotos e vídeos, por exemplo, o usuário verá os arquivos manipulados antes de ter acesso aos originais.
Os dados podem ser alterados tanto no envio como no recebimento de arquivos.
Por padrão, o Whatsapp salva arquivos de mídia recebidos no armazenamento externo, como na galeria de fotos. No Telegram, o usuário precisa ativar recursos do aplicativo para que isso aconteça.
É possível evitar os ataques ao alterar algumas configurações nos aplicativos. No Whatsapp, usuários podem impedir que fotos, vídeos e áudios fiquem salvos no armazenamento externo ao desativaram a visibilidade de mídia. O mesmo pode ser feito no Telegram ao optar por não salvar os arquivos nas galerias do aplicativo.
Em resposta, o Whatsapp disse que analisou o problema mencionado pela pesquisa. De acordo com a nota, o aplicativo "segue as melhores práticas vigentes fornecidas pelos sistemas operacionais para armazenamento de mídia".
Para a empresa, as alterações sugeridas na pesquisa podem "criar complicações de privacidade para os usuários e limitar a maneira como fotos e arquivos podem ser compartilhados".
Até a conclusão deste texto, o Telegram não respondeu à reportagem sobre os efeitos da falha no aplicativo.
