Uma chamada no WhatsApp pode revelar sua cidade

Em novembro de 2023, os engenheiros do WhatsApp explicaram um dilema em que a maioria das pessoas nunca pensa ao atender uma chamada. Para obter o melhor som e a melhor imagem, os aplicativos de chamada costumam conectar dois celulares diretamente, o que significa, segundo eles, que “os endereços IP são visíveis para os dois participantes em uma chamada 1:1”. E um endereço IP pode carregar uma “localização geográfica ampla ou o provedor de internet”.

A resposta deles foi uma opção chamada Proteger endereço IP nas chamadas, que a Meta descreve como opcional: nada muda até você ativá-lo. Algumas semanas antes, o TechCrunch havia mostrado por que isso importa. Um pesquisador de segurança ligou para uma conta recém-criada no Telegram que o tinha salvo como contato e, pouco depois, enviou ao TechCrunch o endereço IP do computador em que ela estava rodando.

Sem essa opção, o WhatsApp escolhe a rota por você. A empresa disse ao TechCrunch, em 2023, que alterna entre chamadas diretas e retransmitidas automaticamente, conforme a latência e a qualidade oferecida. Chamadas em grupo já passam pelos servidores dela, segundo a central de ajuda do WhatsApp, reportada pelo BleepingComputer. A exposição está nas chamadas um a um, inclusive as feitas por pessoas que você mal conhece.

A retransmissão esconde seu endereço da outra pessoa, não do WhatsApp, cujos servidores então carregam a chamada inteira. Cooper Quintin, pesquisador de segurança da Electronic Frontier Foundation, disse ao TechCrunch que não existe um design perfeito: ou as pessoas que ligam revelam seus endereços IP umas às outras, ou os servidores de retransmissão de um aplicativo acabam guardando uma lista de quem liga para quem.

A MaxMind, empresa que vende dados de localização por IP, faz duas ressalvas. Redes móveis podem espalhar um mesmo endereço por uma área grande, então uma consulta pode parar na região. E, atrás de uma VPN, a consulta encontra o servidor da VPN, não a pessoa que a usa.

Então uma chamada não levará ninguém até a sua porta, mas ainda pode importar. Runa Sandvik, especialista em segurança digital que trabalha com pessoas em risco, diz que um endereço IP exposto ainda pode ser um risco, sobretudo para vítimas de abuso, segundo o TechCrunch. Para alguém que se esconde de um ex-parceiro, “em algum lugar deste país” e “nesta cidade” são respostas muito diferentes.

1. Step 1Abra as configurações avançadas de privacidadeNo WhatsApp, vá em Configurações > Privacidade > Avançado. No iPhone, a tela de configurações pode aparecer como Você, observou o Tech Advisor em fevereiro de 2026.
2. Step 2Ative Proteger endereço IP nas chamadasA partir daí, suas chamadas são retransmitidas pelos servidores do WhatsApp, e a outra pessoa vê o endereço de um servidor, não o seu. O Trusted Reviews observa que a qualidade da chamada pode cair como resultado.
3. Step 3Ative Disable link previewsA opção fica no mesmo menu. Ao enviar um link, o WhatsApp busca uma prévia a partir do seu telefone, o que mostra ao site o seu endereço IP. Com as prévias desligadas, o site só vê você se tocar no link.
4. Step 4Ou use Strict account settingsLançado em janeiro de 2026 para pessoas em maior risco, ele ativa várias proteções de uma vez. O TechCrunch informou que ele desliga as prévias de links, silencia chamadas de números desconhecidos e limita sua foto de perfil, o Recado e o visto por último aos contatos.

Menus mudam e configurações são renomeadas, então trate os caminhos como um guia e procure as palavras relay, peer-to-peer ou IP address. O dilema é o mesmo em todos. O porta-voz do Telegram disse ao TechCrunch que chamadas diretas entre contatos oferecem melhor qualidade e menor latência, e que a desvantagem é que os dois lados precisam conhecer o endereço IP um do outro.

A rota do documento pega as pessoas de surpresa. Uma foto enviada do jeito normal é comprimida e perde seus metadados, enquanto o mesmo arquivo anexado como documento chega intacto. Quais apps removem dados EXIF explica o motivo, e remover a localização você mesmo leva um minuto.

A localização em tempo real é o único vazamento que você escolhe. O WhatsApp a compartilha com um único chat, pelo tempo que você escolher, e você pode parar a qualquer momento, diz a empresa. O mapa do Snapchat vai além, mostrando aos amigos o nível da bateria e quando você chega em casa, como explica quem pode ver sua localização no Snapchat.

Fotos de perfil são mais públicas do que a maioria das pessoas imagina. Quando pesquisadores da Universidade de Viena verificaram 3,5 bilhões de contas do WhatsApp em 2025, conseguiram ver uma foto de perfil pública em cerca de 57% delas e um recado em pelo menos 29%. O WhatsApp desde então acrescentou limites de taxa e regras de visibilidade mais rígidas para informações de perfil, diz a SBA Research. O que a foto mostra é outra questão: uma selfie pode revelar onde você mora por meio de um número de casa ou da vista de uma janela.

O estudo, chamado Careless Whisper, veio da Universidade de Viena e da SBA Research e ganhou o prêmio de melhor artigo na conferência de segurança RAID 2025. O truque é uma reação a uma mensagem que não existe. O telefone do alvo devolve um recibo de entrega, mas não mostra nada, e o tempo de um fluxo constante desses recibos traça o dia da pessoa.

Em um teste, um voluntário desligou o computador de casa às 19h28 e saiu para o escritório. Os recibos mostraram o telefone trocando o Wi-Fi pelos dados móveis e voltando ao Wi-Fi às 19h45, quando o voluntário chegou ao trabalho e um notebook de trabalho ficou online. A conclusão do artigo é direta: um atacante precisa apenas do número de telefone do alvo.

A equipe informou a falha à Meta e ao Signal em setembro de 2024. Em dezembro de 2025, a CyberInsider noticiou que nenhuma das duas a corrigiu no nível do protocolo e que uma ferramenta pública baseada no método apareceu no GitHub. Os limites de taxa mais rígidos do Signal reduzem o consumo de bateria e de dados; o WhatsApp não tinha esses limites. A melhor defesa que a CyberInsider sugere é Bloquear mensagens de contas desconhecidas, em Configurações > Privacidade > Avançado, que bloqueia grandes volumes de mensagens de contas desconhecidas, embora sondagens mais lentas ainda possam passar.

Teste uma cópia com os dados de localização removidos (uma captura de tela funciona), para que a estimativa se baseie no que a câmera viu. No geospys.com, a análise de fotos vem com o GeoSpy Premium, uma assinatura de US$ 7,99 por semana ou US$ 29,99 por ano, com uso ilimitado dentro do uso justo, que você pode cancelar a qualquer momento. Ela estima uma cidade e um país, nunca um endereço, e as fotos enviadas não são armazenadas. O app GeoSpy para iPhone tem teste gratuito.

1. Confira os aparelhos vinculados. O guia de segurança do WhatsApp da Refuge sugere revisar a lista de aparelhos que podem acessar sua conta e sair de qualquer um que você não reconheça.
2. Revise quem vê o quê. A Refuge sugere limitar Visto por último, Foto de perfil e Recado a Meus contatos ou a Ninguém, ajustar quem vê seu status e definir a localização em tempo real como Nenhum.
3. Oculte seu endereço IP. Ative Proteger endereço IP nas chamadas e Disable link previews, ou Strict account settings, para ligar um conjunto de proteções de uma vez.
4. Pense primeiro na segurança. A Refuge alerta que algumas medidas podem ser perigosas se você mora com quem faz mal a você. No Reino Unido, a National Domestic Abuse Helpline é gratuita pelo número 0808 2000 247; nos EUA, a National Domestic Violence Hotline atende pelo 1-800-799-7233.