A geolocalização permanente: como o seu telemóvel o segue mesmo quando julga tê-lo impedido

Sun, 02 Aug 2026 00:00:00 +0000

Em 2024, dois investigadores da Universidade do Maryland interrogaram repetidamente o serviço de posicionamento Wi-Fi da Apple, sem privilégios especiais nem equipamento específico, e reconstituíram num ano a posição precisa de mais de dois mil milhões de pontos de acesso Wi-Fi em todo o mundo. O artigo que publicaram, Surveilling the Masses with Wi-Fi-Based Positioning Systems , mostra o que esse mapa permite: seguir material que entra e sai da Ucrânia, observar a deslocação das populações após os incêndios de Maui, localizar uma pessoa através do seu router doméstico.

Nenhum destes aparelhos tinha o GPS ativado. A posição vinha de outro lado.

É o ponto cego mais comum em matéria de privacidade móvel: a convicção de que existe um interruptor de localização e de que, uma vez desligado, o telemóvel deixa de saber onde está. Essa convicção é falsa a sete níveis diferentes.

A localização não é uma funcionalidade que o seu telemóvel ativa. É uma propriedade daquilo que ele é.

O GPS, ou o vetor menos problemático

O único mecanismo que toda a gente identifica é também aquele que menos deveria preocupá-lo.

O GNSS, termo genérico que agrupa o GPS americano, o Galileo, o GLONASS e o BeiDou, funciona por escuta. Os satélites emitem continuamente sinais com marca temporal, o recetor capta vários e calcula a sua posição a partir das diferenças de tempo de propagação. Precisão corrente ao ar livre e sem obstáculos: três a cinco metros, muitas vezes várias dezenas de metros na cidade, onde as fachadas refletem os sinais.

O ponto decisivo é que este cálculo é passivo. O telemóvel não emite nada em direção aos satélites, nenhum operador de satélite sabe que existe. Se o GNSS fosse o único elemento em jogo, desligar o GPS bastaria.

Existe, no entanto, uma nuance. Para acelerar o primeiro cálculo, os telemóveis usam o A-GPS: descarregam as efemérides dos satélites a partir de um servidor, através do protocolo SUPL . Para obter os dados corretos, o telemóvel transmite a esse servidor o identificador da célula de rede à qual está ligado. O GNSS puro não o trai, mas o acelerador que lhe enxertaram trai.

A rede móvel: o que o operador sabe por construção

Para que uma chamada lhe possa chegar, a rede tem de saber em que zona se encontra. Não é uma opção que se ative, é a condição de existência do serviço. O seu telemóvel assinala-se permanentemente à antena mais próxima, e esse registo deixa rasto do lado do operador. Nenhuma aplicação instalada, nenhuma permissão concedida: basta um cartão SIM ativo.

A precisão depende do método:

Identificador de célula apenas: de 200 metros em meio urbano denso a mais de 30 quilómetros em zona rural, onde uma antena cobre um raio muito amplo.
Cell ID enriquecido, que acrescenta o setor da antena (a maioria dos sítios está dividida em três setores de 120 graus) e a potência do sinal: de 100 metros a alguns quilómetros.
Timing advance, que mede o tempo de ida e volta entre o telemóvel e a antena: na ordem dos 550 metros em GSM, cerca de 78 metros em LTE.
Multilateração sobre três antenas ou mais: 50 a 300 metros em LTE urbano.

O 5G muda a escala por duas razões cumulativas. A densidade, primeiro: as células 5G cobrem raios muito mais curtos, pelo que a simples ligação já é uma informação fina. A normalização, depois: desde a Release 16, o 3GPP integra sinais de posicionamento nativos. Os objetivos comerciais apontam para menos de 3 metros no interior e menos de 10 metros no exterior para 80 % dos terminais, e a Release 18 desce ao centímetro para certas utilizações industriais.

A infraestrutura que o liga torna-se assim um sistema de posicionamento de qualidade comparável à do GPS, sem que tenha ativado o que quer que seja. Estes dados são conservados segundo regras nacionais e acessíveis às autoridades por procedimentos variáveis. É o mesmo debate de fundo que o tratado a propósito da jurisdição aplicável aos dados alojados : proteção técnica e proteção jurídica não se sobrepõem.

O Wi-Fi: um mapa do mundo feito de endereços de hardware

Cada ponto de acesso Wi-Fi difunde permanentemente um identificador de hardware único, o BSSID. Estes identificadores são fixos e geograficamente estáveis: um router doméstico fica anos no mesmo sítio.

A Apple, a Google e alguns atores especializados mantêm bases que associam cada BSSID a coordenadas, construídas pelos telemóveis dos seus próprios utilizadores, que reportam a lista de pontos visíveis ao mesmo tempo que uma posição GNSS. A operação inverte-se depois: um telemóvel que vê quatro pontos conhecidos deixa de precisar de um único satélite. Em zona urbana densa, a precisão atinge correntemente algumas dezenas de metros, e desce abaixo disso no interior.

Duas propriedades tornam este mecanismo difícil de neutralizar. Primeiro, o telemóvel procura redes mesmo quando o Wi-Fi parece desativado: desde o Android 4.3, o sistema mantém uma varredura periódica destinada a melhorar a localização, independentemente do interruptor do painel rápido. Este comportamento depende de uma definição distinta, enterrada nos serviços de localização, que a quase totalidade dos utilizadores nunca abriu.

Segundo, a base pode ser interrogada do exterior. É a falha explorada por Rye e Levin: as interfaces de posicionamento devolvem não só a posição pedida mas também a de pontos de acesso vizinhos, o que permite colher o mapa sem nunca se aproximar fisicamente dos locais.

Bluetooth e BLE: localizado pelos telemóveis dos outros

O Bluetooth Low Energy acrescenta uma camada de proximidade, com um alcance de alguns metros a algumas dezenas de metros, portanto de uma granularidade bem mais fina do que a rede móvel. Coexistem duas utilizações. As balizas comerciais, instaladas em lojas, aeroportos ou centros comerciais, emitem um identificador que as aplicações presentes no telemóvel reconhecem, o que revela diante de que prateleira parou e durante quanto tempo. E as redes de localização colaborativas, das quais o Find My da Apple é o modelo, retomado desde então pela Google e pela Samsung.

Este segundo mecanismo inverte uma hipótese implícita. A análise de referência, Who Can Find My Devices? , publicada nas atas do PETS 2021 por investigadores da Universidade Técnica de Darmstadt, reconstituiu o protocolo da Apple por engenharia inversa. Um aparelho sem ligação emite um sinal BLE, qualquer aparelho Apple nas imediações capta-o, junta-lhe a sua própria posição e transmite-a cifrada aos servidores da Apple, sem o conhecimento nem do seu portador nem do portador do aparelho localizado.

A consequência é estrutural: um aparelho sem cartão SIM, sem Wi-Fi, sem ligação de rede de qualquer espécie permanece localizável, desde que um desconhecido passe por perto com um telemóvel no bolso. O seu isolamento já não depende das suas definições, mas das dos transeuntes.

Os sensores inerciais: localizar sem permissão de localização

Um telemóvel contém um acelerómetro, um giroscópio, um magnetómetro e frequentemente um barómetro. Estes sensores pertencem a uma categoria de permissões distinta da localização: uma aplicação pode lê-los sem nunca ter perguntado onde está.

Investigadores de Princeton demonstraram-no com o PinMe . A sua aplicação parte do endereço IP e do fuso horário para uma posição grosseira, e lê depois os sensores: o acelerómetro dá o perfil de aceleração e travagem, o giroscópio a sequência das curvas, o magnetómetro o rumo, o barómetro as variações de altitude. Uma rede neuronal identifica o modo de transporte, a pé, automóvel, comboio ou avião, e o trajeto é ajustado sobre dados públicos de cartografia, altimetria e meteorologia. Resultado: uma trajetória com uma precisão comparável à do GPS, sem permissão de localização. O método tem limites, que os autores documentam, já que falha nas zonas sem estradas e degrada-se nas malhas quadriculadas uniformes, onde numerosos trajetos produzem a mesma assinatura. Continua a ser a demonstração de que uma permissão recusada não é uma porta fechada.

O barómetro acrescenta ainda a dimensão que o GNSS trata mal, a vertical. As exigências americanas para as chamadas de emergência impõem uma precisão ao nível do piso de mais ou menos 3 metros para 80 % das chamadas feitas no interior. Saber em que piso alguém se encontra é de outra natureza do que saber em que quarteirão está.

O mercado dos dados: o vetor mais banal

Os mecanismos anteriores descrevem como uma posição é calculada. Falta saber para onde ela vai, e é aí que se joga o essencial do risco quotidiano.

Milhares de aplicações integram SDK publicitários, componentes de software fornecidos por terceiros que um programador acrescenta para monetizar o seu trabalho ou medir a sua audiência. Esses componentes herdam as permissões da aplicação anfitriã: uma aplicação de meteorologia que legitimamente precisa da sua posição transmite-a a atores cujo nome nunca leu. A isso somam-se os fluxos de leilões publicitários, onde a sua posição aproximada é difundida a dezenas de compradores potenciais a cada exibição de um banner, incluindo àqueles que não compram nada e se limitam a escutar.

Esta matéria-prima alimenta uma indústria. A Electronic Frontier Foundation documentou o caso da Fog Data Science , que reivindicava milhares de milhões de pontos de dados sobre mais de 250 milhões de aparelhos, vendidos a polícias locais americanas. Brian Krebs descreveu o Locate X , um produto que permite traçar um polígono num mapa e visualizar o histórico dos aparelhos que entraram e saíram dessa zona.

Este vetor não exige nenhuma proeza técnica, apenas que alguém aceite pagar. O preço é modesto.

Os IMSI catchers: a localização ativa

Os mecanismos vistos até aqui exploram um funcionamento normal. Existe também uma localização ativa, conduzida por um terceiro que intervém sobre a rede.

Um IMSI catcher, ou simulador de célula, é um equipamento que se faz passar por uma antena legítima. Os telemóveis ao alcance ligam-se-lhe, revelando o seu identificador de assinante e a sua presença num perímetro restrito.

O 5G deveria fechar essa porta, substituindo o identificador permanente em claro por um identificador cifrado, o SUCI. O fecho é parcial. Os trabalhos apresentados sob o título 5G SUCI-catchers: still catching them all? documentam ataques de ligação que permitem voltar a correlacionar sessões apesar da cifragem. Sobretudo, a proteção cai por completo se o atacante forçar o terminal a recuar para uma geração anterior, o 2G em particular, cuja autenticação é unilateral. Um telemóvel 5G permanece vulnerável a um ataque concebido para uma rede dos anos 1990, porque continua a aceitar descer até lá.

As contramedidas e a sua eficácia real

Cada medida abaixo faz alguma coisa. Nenhuma faz tudo, e a distância entre o que fazem e o que lhes é atribuído produz as más decisões.

O modo de voo

O modo de voo corta a emissão do modem celular, do Wi-Fi e do Bluetooth. É real, e é o melhor resultado para um esforço tão reduzido.

O que não faz: não para os sensores inerciais, não elimina as posições já em cache, que partirão na reconexão, e permite na maioria dos aparelhos reativar o Wi-Fi ou o Bluetooth separadamente sem sair dele. É, por fim, um estado de software, não um corte de alimentação: a sua fiabilidade depende da integridade do sistema que o aplica.

Um pormenor subestimado: a desativação e a reativação da ligação à rede são elas próprias acontecimentos com marca temporal do lado do operador. Um telemóvel que desaparece às 21 h numa célula e reaparece às 23 h noutra produziu uma informação, não um silêncio.

A aleatorização do endereço MAC

Os sistemas móveis emitem hoje endereços MAC aleatórios durante as varreduras, para impedir o seguimento de um local para outro. A intenção é boa, o resultado incompleto. Os trabalhos de referência, entre os quais Why MAC Address Randomization is not Enough , mostram que o conteúdo das tramas de descoberta basta muitas vezes para reidentificar o aparelho: o número de elementos de informação, os seus valores e a sua ordem formam uma impressão digital. A isso juntam-se os números de sequência, incrementais e portanto encadeáveis, e a assinatura temporal própria de cada modelo. Alguns estudos relatam um seguimento correto de metade dos aparelhos durante pelo menos vinte minutos.

Limite conceptual, por fim: a aleatorização só diz respeito à fase de descoberta. Assim que se liga a uma rede, o endereço utilizado é estável para essa rede, por conceção, para que a ligação funcione. O café onde vai todas as manhãs reconhece-o.

Cortar verdadeiramente as varreduras

É a definição mais rentável e a mais ignorada. No Android, a pesquisa Wi-Fi e a pesquisa Bluetooth são duas opções distintas, situadas nos serviços de localização, independentes dos interruptores do painel rápido. Enquanto estiverem ativas, desligar o Wi-Fi a partir do painel não chega: a varredura continua.

Desativá-las suprime uma camada inteira de recolha, sem outro custo que um primeiro cálculo de posição um pouco mais lento. Para a maioria dos leitores, é a melhor relação entre o esforço despendido e o resultado obtido.

As permissões das aplicações

Revogar a permissão de localização às aplicações que manifestamente não precisam dela continua a ser útil, e os sistemas recentes oferecem três graduações: a autorização pontual, a autorização limitada à utilização ativa e a localização aproximada, que apenas transmite uma zona na ordem do quilómetro.

Isso não protege, em contrapartida, nem dos SDK alojados numa aplicação com uma razão legítima para aceder à sua posição, nem dos sensores inerciais, nem das camadas de rede, que não passam por permissão nenhuma.

O que a VPN não protege

Ponto a esclarecer, porque a crença contrária é muito difundida: uma VPN não oculta a sua posição. Oculta o seu endereço IP público, pelo que falseia a geolocalização por IP, que é de qualquer forma o mecanismo mais grosseiro da lista.

Uma VPN não toca no recetor GNSS, nem na varredura Wi-Fi, nem no Bluetooth, nem nos sensores. Não muda nada daquilo que o seu operador sabe, uma vez que o túnel cifrado transita pelas antenas dele e a ligação à célula continua a ser-lhe visível. Não impede uma aplicação com permissão de localização de transmitir coordenadas exatas dentro do túnel. A VPN protege o conteúdo e o destino das suas comunicações numa rede não fiável, e isso já é muito. A localização não está no seu perímetro.

Os limites físicos

Uma bolsa de Faraday funciona no sentido literal: bloqueia emissões e receções. A remoção da bateria também, quando ainda é possível. O aparelho dedicado, ou deixar o telemóvel noutro sítio, continua a ser a medida mais robusta.

Estas soluções partilham um defeito que é preciso encarar de frente: produzem uma anomalia. Um telemóvel que se cala duas horas todas as terças à noite diz alguma coisa. Contra um adversário que analisa padrões em vez de posições instantâneas, a ausência é um dado.

Três adversários, três estratégias

É a distinção mais importante deste artigo, e aquela que menos se lê.

Contra um anunciante ou um corretor de dados, o combate é ganhável. Disciplina de permissões, desativação das varreduras, sistema sem serviços de localização proprietários, reposição do identificador publicitário: o conjunto reduz fortemente o volume recolhido. Este adversário procura volume a baixo custo, não o seu caso particular.

Contra o seu operador, nenhuma configuração basta. A localização celular é a condição do serviço. As únicas variáveis reais são jurídicas, aquilo que a lei autoriza a conservar e a transmitir, e materiais: que aparelho, que cartão SIM, em nome de quem, ligado onde.

Contra um adversário estatal dirigido, o raciocínio muda outra vez, já que combina o acesso legal aos dados do operador, a localização ativa por simulador de célula, a requisição junto das plataformas e, se for caso disso, o comprometimento do terminal. As contramedidas de software reduzem a superfície, mas o objetivo realista não é o desaparecimento: é saber com precisão o que permanece exposto.

A abordagem do ArpokratOS

O ArpokratOS responde a este panorama com uma escolha que decorre da distinção acima: aquilo que deve ser neutralizado é-o ao nível do sistema, não num menu.

No GNSS, o controlador de hardware é removido. O aparelho comporta-se como se o chip não existisse, tanto para as aplicações como para o próprio sistema. A diferença face a um interruptor nas definições não é cosmética. Um interruptor é uma política: é aplicado por uma camada que pode ser contornada por um componente suficientemente privilegiado, reativada por uma atualização ou ignorada por um sistema comprometido. Retirar o caminho de código elimina a questão, uma vez que já não há nada para ativar.

O Bluetooth é tratado ao nível Core, com a mesma lógica. Um Bluetooth desativado nas definições deixa na prática a pilha de software viva em muitos aparelhos, para alimentar os serviços de proximidade e as redes de localização colaborativas. Ausente ao nível do sistema, não pode dialogar com uma baliza de loja, nem participar numa rede do tipo Find My, nem servir de superfície de ataque sem interação.

É preciso dizer claramente o que isto não faz. O ArpokratOS não torna um telemóvel indetetável. Enquanto um cartão SIM estiver ativo, o operador conhece a célula de ligação, e nenhum sistema operativo muda isso, nem sequer com a totalidade do tráfego encaminhada por Tor. O encaminhamento protege o conteúdo e o destino, não a geometria rádio. Quem promete a invisibilidade vende uma história.

O que uma arquitetura destas traz é mais modesto: a supressão das camadas aplicacionais e de proximidade, por onde passa a esmagadora maioria da recolha real, e um modelo de ameaça explícito sobre aquilo que subsiste. É o raciocínio aplicado à escolha de um sistema de secretária, detalhado no nosso comparativo dos sistemas operativos : a questão útil não é saber se uma ferramenta protege, mas de que protege e a que preço.

Conclusão

Este artigo não fornece um método para desaparecer. Esse método não existe, e os textos que pretendem o contrário produzem sobretudo falsa confiança, mais perigosa do que a ausência de proteção porque leva a correr riscos.

O objetivo era substituir uma pergunta binária, sou localizável ou não, por uma pergunta útil: por quem, com que precisão, a que custo para eles, e isso importa-me? A resposta difere para um jornalista que protege uma fonte, um dirigente em deslocação numa jurisdição sensível, um advogado cujos encontros revelam uma estratégia, ou um particular irritado por um anunciante conhecer os seus hábitos.

O que deveria reter a atenção não é, aliás, o desempenho de cada um destes mecanismos tomado isoladamente, mas o facto de se cruzarem. Uma posição com cinquenta metros de margem não é muito interessante. Uma posição com cinquenta metros de margem, de quinze em quinze minutos, durante dois anos, desenha um domicílio, um local de trabalho, uma confissão religiosa, um estado de saúde, uma ligação amorosa, uma fonte. O dado de localização é o metadado que torna todos os outros legíveis, e é por essa razão que vale caro.

Fontes

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Vigilância on Arpokrat