Vulnerabilidades no AirDrop e Quick Share expõem bilhões de dispositivos

O Centro de Segurança da Informação CISPA Helmholtz, na Alemanha, publicou um estudo revelando falhas graves nos sistemas de compartilhamento de arquivos AirDrop, da Apple, e Quick Share, desenvolvido pelo Google em parceria com a Samsung. A análise técnica aponta que as vulnerabilidades podem comprometer até cinco bilhões de dispositivos globalmente. Um invasor, utilizando apenas um notebook, pode explorar essas brechas a uma distância de até 30 metros, sem que a vítima precise clicar em links maliciosos, estar conectada à mesma rede Wi-Fi ou manter contato físico com o atacante. O estudo levanta preocupações sobre a arquitetura de segurança desses serviços amplamente utilizados.

A raiz do problema, segundo os pesquisadores, está na forma como ambos os recursos foram projetados. Tanto o AirDrop quanto o Quick Share ativam automaticamente serviços em segundo plano ao detectar um dispositivo compatível nas proximidades. Esses serviços processam dados recebidos antes mesmo de confirmar a identidade do remetente ou solicitar autorização ao usuário, criando uma janela de exploração pré-autenticação. No AirDrop, três vulnerabilidades foram mapeadas: uma no serviço sharingd, que também gerencia AirPlay, Handoff e Área de Transferência Universal, pode travar o sistema com uma requisição malformada; outra no analisador de arquivos XML não consegue lidar com dados encadeados, podendo causar travamento por sobrecarga de memória em iOS, macOS, watchOS, tvOS e visionOS; e uma terceira no analisador HTTP, onde cabeçalhos malformados geram uma falha de ponteiro nulo, levando à instabilidade.

No ecossistema do Quick Share, as descobertas são igualmente sérias. Em dispositivos Samsung, falhas podem burlar etapas de autenticação porque a implementação processa dados imediatamente após o pedido inicial de conexão, antes da conclusão da troca de chaves de segurança UKEY2. Além disso, o sistema chega a processar quadros de dados sem criptografia, permitindo que um invasor mantenha uma conexão ativa. No aplicativo Quick Share para Windows, do Google, foi identificado um erro de memória do tipo use-after-free. Embora essas brechas não permitam o roubo direto de arquivos, elas podem travar transferências, degradar funções do sistema e deixar o dispositivo instável, representando um risco de negação de serviço local.

As empresas responsáveis já iniciaram ações corretivas. A Apple lançou uma atualização que corrige uma das três vulnerabilidades do AirDrop. O Google, por sua vez, corrigiu a falha use-after-free no Quick Share para Windows e recompensou os pesquisadores pela descoberta. Os casos envolvendo a Samsung ainda estão sob investigação, e as demais falhas seguem em processo de correção por meio de divulgação coordenada, medida que retarda a revelação de detalhes técnicos até que as atualizações estejam disponíveis. Especialistas recomendam que usuários ajustem as configurações de privacidade: no iOS, deve-se acessar Ajustes > Geral > AirDrop e selecionar "Apenas Contatos" ou "Recepção Inativa"; no Android, deve-se manter pressionado o ícone do Quick Share no painel rápido e escolher "Apenas contatos" ou "Ninguém".

Este episódio ressalta a necessidade de uma abordagem mais rigorosa na segurança de serviços de proximidade. A descoberta do CISPA expõe uma fragilidade fundamental em protocolos que priorizam a conveniência em detrimento da verificação prévia. Para o futuro, espera-se que Apple, Google e Samsung adotem mecanismos de autenticação mais robustos antes de qualquer processamento de dados. Enquanto as correções não são globalmente implementadas, a melhor defesa do usuário é restringir ao máximo a visibilidade desses serviços, mantendo-os configurados para contatos ou desativados quando não estiverem em uso. A indústria de tecnologia precisará repensar o equilíbrio entre fluidez na experiência do usuário e a segurança dos dados pessoais.

O impacto potencial de cinco bilhões de dispositivos vulneráveis coloca em perspectiva a escala do desafio de segurança em ecossistemas integrados. A pesquisa do CISPA serve como um alerta para que empresas de tecnologia invistam em auditorias contínuas de código e testes de penetração. A proliferação de serviços que compartilham dados automaticamente exige padrões de segurança mais elevados, especialmente quando envolvem a troca de informações em ambientes públicos. Medidas como a criptografia de ponta a ponta obrigatória e a autenticação multifator mesmo em transferências locais podem se tornar necessárias para prevenir explorações futuras.