Uma única mensagem de texto pode bloquear um telemóvel Android — e o Android 12 e 13 não vão receber uma correção

Um investigador publicou código funcional para explorar uma falha no Android que permite a qualquer pessoa que saiba o seu número bloquear o seu telemóvel com uma única mensagem de texto. Apelidada de «SMS da Morte», a mensagem nunca aparece na caixa de entrada e não exige que toque no ecrã. Derruba o componente do Android que gere as chamadas e o sinal móvel, terminando qualquer chamada em curso, incluindo uma chamada para os serviços de emergência. A Google corrigiu a falha nas versões atuais do Android, mas os telemóveis mais antigos que deixaram de receber atualizações de segurança continuarão vulneráveis.

Para a maioria das pessoas, a questão é simples: o telemóvel já instalou a atualização de segurança mais recente? A falha encontra-se no código de base do Android responsável pelas comunicações telefónicas, incluído por todos os fabricantes, pelo que não está associada a uma marca específica. O investigador, que publica com o nome Mark B, diz que conseguiu reproduzir o bloqueio sempre que tentou num Google Pixel e em vários telemóveis Samsung Galaxy, incluindo os modelos mais económicos da série A, que ainda não tinham recebido a correção.

O ataque explora o WAP Push, um formato antigo de mensagens que as operadoras utilizam para enviar definições aos telemóveis em segundo plano. Uma mensagem malformada leva o Android a tentar reservar uma quantidade negativa de memória, fazendo com que o processo que gere as chamadas e o sinal falhe. Cada mensagem deixa a vítima sem serviço durante um ou dois segundos. É a repetição que causa os danos mais graves. As operadoras voltam a enviar mensagens que o telemóvel nunca confirmou ter recebido e, nos testes do investigador, uma única mensagem provocou falhas intermitentes de serviço durante até uma semana. Cerca de 20 mensagens deixaram um telemóvel inutilizável.

As mensagens maliciosas também ficam na fila e são processadas novamente sempre que o telemóvel arranca. Durante os testes, um telemóvel com Android 12 reiniciava no modo de recuperação aproximadamente a cada 90 segundos; um ciclo do qual um utilizador comum só conseguiria sair repondo as definições de fábrica, o que apaga todos os dados do dispositivo. Um colaborador do projeto conhecido como Sakis descobriu uma forma de apagar apenas as mensagens problemáticas, mas é necessário ter um computador, as ferramentas de programador do Android e agir depressa, durante o curto intervalo após cada reinício.

O investigador enquadra a falha em torno do número de emergência australiano Triple Zero e chama a atenção para um efeito secundário invulgar naquele país. As regras australianas obrigam as operadoras a identificar telemóveis que não conseguem contactar os serviços de emergência e, mais tarde, a desligá-los da rede; a Telstra afirma que bloqueia esses telemóveis se a situação não mudar no prazo de 28 dias. Segundo a interpretação do investigador, um atacante capaz de fazer um telemóvel falhar chamadas de emergência sempre que quiser poderia levar a que o próprio aparelho da vítima fosse bloqueado na rede.

Há, no entanto, limites para o alarme. Trata-se de um ataque de negação de serviço, não de uma intrusão: a mensagem não consegue ler os seus dados, instalar nada nem assumir o controlo do telemóvel. O atacante precisa de saber o seu número e de ter uma forma de enviar mensagens de dados em bruto. A ferramenta publicada envia-as a partir de outro telemóvel Android com um cartão SIM, o que deixa um registo junto da operadora. Até agora, não há relatos públicos de que a falha tenha sido utilizada contra pessoas. Como observou o BleepingComputer, o boletim de segurança de outubro da Google também não menciona a correção, pelo que os proprietários de telemóveis mais antigos não receberam qualquer aviso oficial de que estão vulneráveis.

Para verificar, abra as Definições, aceda a Acerca do telefone ou Segurança e consulte a data da atualização de segurança do Android. Qualquer atualização de outubro de 2026 ou posterior inclui a correção. A Samsung, a Motorola, a Xiaomi e outros fabricantes distribuem as atualizações segundo os seus próprios calendários, e as operadoras podem atrasá-las; por isso, um telemóvel com uma versão mais recente do Android pode ainda estar à espera. Para os telemóveis que ficaram presos no Android 12 ou 13, a única proteção completa é mudar para um dispositivo que continue a receber atualizações.

O investigador comunicou a falha ao programa de recompensas da Google para vulnerabilidades do Android a 5 de maio. Um engenheiro da Google escreveu a correção em meados de junho, e esta foi incluída na atualização de segurança de outubro de 2026 para o Android 14 a 17. A descrição pública e a prova de conceito foram divulgadas a 29 de outubro. A Google não acrescentou a verificação do comprimento da mensagem proposta pelo investigador: a correção impede o bloqueio e apaga a mensagem problemática, para que não volte a ser acionada.

Os telemóveis Android mais antigos ficam, assim, numa situação invulgar. Continuam a fazer chamadas normalmente. Simplesmente, não é possível contar que consigam terminá-las.

Etiquetas: Google, cibersegurança, Android, Google Pixel, Samsung Galaxy, BleepingComputer