Sim. Para qualquer software de monitoramento legítimo e funcional capturar chamadas, mensagens, localização, teclas digitadas ou atividade de apps, ele deve ser instalado diretamente no dispositivo alvo. Não existe exploit remoto "over-the-air" que bypass esse requisito em iOS ou Android modernos e patcheados.
Por Que Instalação Remota é Mito
- Arquitetura Sandbox: iOS (App Store apenas, code signing, entitlements) e Android (Play Protect, SELinux, scoped storage) isolam apps. Nenhuma instalação silenciosa via SMS, MMS, link email ou Bluetooth.
- Prompts de Consentimento do Usuário: Instalação exige toques explícitos: "Instalar", "Permitir desta fonte", "Serviço Acessibilidade Ligado", "Admin Dispositivo", "Acesso Uso". Não pode ser automatizado remotamente.
- Persistência: Spyware precisa daemons/serviços rodando no boot. Requer permissão `RECEIVE_BOOT_COMPLETED` concedida na instalação.
O Que Produtos "Sem Instalação" Realmente Vendem
| Claim Marketing | Realidade |
|---|
| "Instalação remota via número telefone" | Link phishing → vítima *instala* APK/perfil ela mesma. Engenharia social, não exploit remoto. |
| "Apenas credenciais iCloud" | Sincroniza apenas *dados de backup* (contatos, fotos, iCloud Drive, **não** chamadas ao vivo, SMS, WhatsApp, keystrokes). Requer bypass 2FA (phishing/sim swap). |
| "SS7 / IMSI catcher" | Ferramentas estado-nação / LEO. Intercepta sinalização SS7 *não criptografada*. Não software consumidor. Ilegal. |
| "Bluetooth / Wi-Fi proximidade" | Requer aceitação pareamento, aceitação transferência arquivo, aceitação instalação. Não silencioso. |
Monitoramento Legítimo Exige
- Acesso Físico: 5–15 minutos desbloqueado.
- Senha/PIN: Para desbloquear, habilitar depuração USB (Android) ou instalar perfil MDM (iOS).
- Compatibilidade SO: Cheque versões SO suportadas pelo vendor (ex.: mSpy, FlexiSPY, Hoverwatch, uMobix listam Android 10–14 / iOS 14–17 específicos).
- Root / Jailbreak (para features *avançadas*): Gravação chamada, microfone ambiente, keylogger, descriptografia apps criptografados (WhatsApp, Signal) frequentemente precisam root (Magisk) ou jailbreak (palera1n, doppler). **SO stock = dataset limitado.**
Fronteira Legal e Ética
- Próprio Dispositivo / Filho Menor / Consentimento Explícito Funcionário (política BYOD): Geralmente legal (varia por jurisdição).
- Cônjuge / Parceiro / Adulto Sem Conhecimento: **Crime federal wiretapping / fraude computador** na maioria estados EUA (consentimento 1 parte vs 2 partes), UE (GDPR), UK (RIPA).
Detecção e Remoção
- Android: Ajustes > Apps > Acesso Especial > Admin Dispositivo / Acessibilidade / Acesso Uso → revogue desconhecidos. Scan Play Protect. Reset fábrica (única certeza).
- iOS: Ajustes > Geral > VPN e Gestão Dispositivo → delete perfis desconhecidos. Lockdown Mode (iOS 16+) bloqueia maioria vetores. Reset fábrica.
Se alguém alega que pode espionar telefone "apenas sabendo o número", estão vendendo **óleo de cobra ou kit de crime**. Saia fora.
