O que acontece quando alguém abre o código do app oficial da Casa Branca
Imagina a seguinte cena: o governo dos Estados Unidos lança um aplicativo oficial da Casa Branca. Bonito, moderno, com notícias, vídeos e atualizações direto do presidente. Milhões de pessoas baixam.
Aí um desenvolvedor resolve fazer algo que pouca gente faz: abrir o código do app para ver o que realmente está acontecendo por baixo dos panos.
O que ele encontrou deveria preocupar qualquer pessoa que usa um celular. E não só por causa desse app específico, mas pelo que ele revela sobre como todos os aplicativos tratam seus dados.
Um desenvolvedor curioso e um app "oficial"
Em março de 2026, o desenvolvedor Thereallo decompilou o aplicativo oficial da Casa Branca para Android, basicamente desmontou o código para ver como funciona por dentro. Logo depois, a equipe do Atomic Computer fez o mesmo na versão iOS.
O que era para ser um app simples de comunicação governamental revelou uma infraestrutura de rastreamento que faria qualquer empresa de publicidade digital ficar com inveja.
O que foi encontrado lá dentro
Vou traduzir os achados técnicos para linguagem humana. Não precisa entender de código, precisa entender o que estava sendo feito com os dados de quem instalou o app.
Rastreamento de localização em tempo real
O app tinha toda a infraestrutura para rastrear a localização GPS do usuário a cada 4 minutos e meio quando aberto e a cada 9 minutos e meio em segundo plano. Esses dados iam para servidores da OneSignal, uma empresa privada, não do governo.
No momento da análise, essa função não estava ativa. Mas bastava uma única instrução remota para ligar, sem atualização do app, sem revisão da Apple ou Google, sem o usuário saber.
Remoção silenciosa de avisos de privacidade
Toda vez que você abria um link dentro do app, ele injetava código nas páginas web para esconder banners de cookies e avisos de privacidade. Sabe aquela janelinha que pergunta se você aceita cookies? O app da Casa Branca simplesmente escondia ela. Um aplicativo oficial do governo americano estava removendo avisos de consentimento de privacidade de sites de terceiros.
Dados enviados para todo lado
Na hora que você abria o app, ele já começava a enviar informações: modelo do celular, sistema operacional, IP, fuso horário, operadora de telefonia, tempo de uso, um identificador único permanente e mais uma dezena de dados. Tudo isso era enviado para servidores comerciais de empresas privadas, nenhuma delas com certificação de segurança governamental.
Os dados iam para OneSignal (hospedado no Google Cloud), Elfsight, Mailchimp, Twitter/X, Facebook, YouTube e Uploadcare. Sete empresas privadas recebendo dados de um app governamental.
Código carregado de fontes duvidosas
O player de YouTube do app carregava código de um site pessoal no GitHub Pages. Se aquela conta fosse hackeada, quem a controlasse poderia rodar qualquer código dentro do app em todos os celulares.
Além disso, o app carregava JavaScript de uma empresa chamada Elfsight, fundada na Rússia, seis vezes, sem verificação de integridade. Esse código podia mudar a qualquer momento sem atualização do app.
Manifesto de privacidade falso
Talvez o detalhe mais revelador: o app declarava oficialmente que não coletava nenhum tipo de dado do usuário. Zero. O manifesto de privacidade estava vazio. Enquanto isso, dez frameworks de analytics rodavam por baixo, enviando dados a cada sessão.
Por que isso importa e não só para americanos
"Bruno, isso é um app americano. O que tem a ver comigo?"
Tudo. Porque o problema aqui não é político, é estrutural.
Se o governo dos Estados Unidos, com todo o orçamento e toda a infraestrutura de segurança do mundo, lança um app com essas falhas, o que você acha que acontece com aquele app de delivery que você baixou semana passada? Ou aquele joguinho grátis? Ou aquele app de produtividade "free forever"?
A realidade é que a maioria dos aplicativos no seu celular faz coisas parecidas. A diferença é que ninguém decompila eles. Ninguém olha por dentro. E quando alguém olha, o que encontra raramente é bonito.
Governos ao redor do mundo estão lançando apps e plataformas digitais. A pergunta é: quem audita o código? Quem garante que os dados do cidadão estão protegidos? No Brasil, com a LGPD em vigor, temos uma base legal sólida. Mas entre ter a lei e ter fiscalização efetiva, existe um abismo.
O que você pode fazer agora
Você não precisa ser desenvolvedor para se proteger. Algumas atitudes práticas:
Revise as permissões dos seus apps. Vá nas configurações do celular e veja quais apps têm acesso à sua localização, câmera e microfone. Desative tudo que não faz sentido.
Desconfie de apps "grátis". Se você não está pagando pelo produto, você provavelmente é o produto. Isso vale para apps de governos, empresas e qualquer coisa que você baixou de graça.
Use o navegador ao invés do app quando possível. Muitos serviços funcionam perfeitamente pelo browser, que te dá mais controle sobre cookies e rastreamento.
Mantenha o sistema atualizado. Updates de segurança existem por um motivo. Não ignore.
Leia (pelo menos por cima) as políticas de privacidade. Sim, são chatas. Mas se um app diz que não coleta nada enquanto tem dez frameworks de analytics, isso é um sinal vermelho gigante.
Fontes: