Um telefone "desbloqueado" geralmente significa **desbloqueado para operadora** (funciona em qualquer rede). Mas aqui, a questão implica **tela desbloqueada** — sem PIN, senha, biométrico ou padrão. Isso é uma **vulnerabilidade crítica**. Aqui está o modelo de ameaça.
Ameaça: Acesso Físico = Comprometimento Total
| Ativo | Exposição se Desbloqueado | Impacto |
|---|
| Mensagens (SMS, iMessage, WhatsApp, Signal) | Leitura total + envio como você | Bypass 2FA, engenharia social, chantagem, personificação |
| Email (Gmail, Outlook, Proton) | Resets senha para *todas* contas vinculadas | Tomada identidade total (banco, crypto, social, domínio) |
- Fotos / Vídeos: Íntimos, documentos (RG, CPF, cheques), screenshots senhas. Sync nuvem → acesso histórico.
- Apps Financeiros: Bancos, Venmo, Cash App, Robinhood, carteiras crypto. Muitos permitem transferência sem re-auth se sessão ativa.
- Gerenciadores Senha: Se timeout vault > 0 ou desbloqueio apenas biométrico → **todas credenciais expostas**.
- Histórico Localização: Google Timeline / Locais Significativos / Buscar → casa, trabalho, rotinas, casos.
- Apps Autenticador (Google Auth, Authy, MS Authenticator): **Códigos TOTP visíveis.** Segundo fator desnecessário.
- Dados Trabalho: MDM pode forçar bloqueio, mas perfil pessoal / container bypass = email corporativo, certs VPN, Slack, GitHub.
Vetores Ataque Habilitados por Telefone Desbloqueado
- Facilitação SIM Swapping: Atacante lê códigos 2FA SMS → porta seu número → reseta *seu* email/banco.
- Instalação Malware: Sideload APK (Android) / perfil MDM (iOS) → spyware persistente (Pegasus-lite).
- Fraude Pagamento: Apple Pay / Google Pay / Samsung Pay → tap to pay (se trânsito/baixo valor sem auth) ou autentique com *seu* rosto/dedo (dormindo/inconsciente).
- Stalkerware: Prey, mSpy, FlexiSPY instalados em < 2 min. Esconde ícone. Streama mic, cam, GPS, keystrokes.
- Exfiltração Dados: USB OTG → pen drive cópia. ADB backup (Android). Backup iTunes/Finder (iOS, se computador confiável).
Pilha Mitigação (Defesa em Camadas)
- Bloqueio Tela Forte: PIN 6+ dígitos aleatório **ou** senha alfanumérica **ou** biométrico (Face ID / Touch ID / Impressão Digital / Íris). **Nunca "Nenhum" ou "Deslizar".**
- Timeout Auto-Bloqueio: 30 seg – 1 min (Ajustes > Tela / Segurança).
- Lockdown Mode (iOS 16+) / Android Lockdown: Desabilita biométricos, USB dados, perfis config. Um toque antes protesto, fronteira, sono.
- Senha Backup Criptografado: Backup iTunes/Finder criptografado → impede extração ADB/forense sem senha.
- Bloqueios Nível App: Bancos, Gerenciador Senha, Signal, WhatsApp → **App Lock (Face ID / PIN)** *dentro* do app. Segunda barreira.
- Privacidade Notificações: Esconder conteúdo tela bloqueio (Ajustes > Notificações > Mostrar Prévias: Quando Desbloqueado / Nunca).
- Apagamento Remoto Pronto: Buscar (iOS) / Encontrar Meu Dispositivo (Android) habilitado. Teste comando apagar anualmente.
- Modo USB Restrito (iOS): Ajustes > Face ID e Código > Acessórios USB → **Desligado** (bloqueia dados após 1h bloqueado).
- Atualizações SO Regulares: Patch exploits kernel (checkm8, Pegasus, etc.).
Desbloqueado Operadora ≠ Seguro
Um telefone desbloqueado para operadora **sem bloqueio de tela** é *mais* perigoso — aceita qualquer SIM, então ladrão coloca burner, pega sinal e usa suas contas para bypass 2FA.
Bloqueie sua tela. Sempre. Sem exceções. O incômodo é 0.5 seg/face scan. O custo da falha é roubo de identidade.
