Estudo acadêmico mostra que apps 'vault' de fotos no iOS não escondem evidências como prometem
Publicado no Journal of Digital Forensics, Security and Law (JDFSL), o estudo testou cinco aplicativos de 'cofre' (vault) para ocultar fotos no iOS usando três kits forenses distintos. Todos os cinco apps deixaram evidência recuperável no dispositivo, e as ferramentas forenses divergiram entre si nos resultados dos escaneamentos, revelando que a suposta proteção desses apps é baseada em ofuscação simples, não em controles de segurança reais.
Aplicativos vault prometem ocultar fotos e vídeos sensíveis atrás de senha ou disfarçados como outro app (uma calculadora, por exemplo), sendo usados tanto para privacidade legítima quanto, em contextos investigativos, para esconder material ilícito ou evidências de um crime. O estudo comparou cinco desses aplicativos no iOS, submetendo cada um a três kits forenses comerciais diferentes para avaliar o que sobrevivia de rastro recuperável no sistema de arquivos do aparelho.
O achado central é que nenhum dos cinco apps ofereceu proteção real: mídia e metadados ficaram recuperáveis em todos os casos. A explicação técnica é que esses aplicativos, em vez de implementar criptografia forte com chaves derivadas de senha do usuário, dependem majoritariamente de ofuscação — por exemplo, renomear extensões de arquivo, mover conteúdo para diretórios não indexados pela Fototeca padrão do iOS, ou usar bancos SQLite proprietários sem cifrar o conteúdo em si. Esse tipo de proteção barra o usuário casual, mas não resiste a uma extração forense que analisa o sistema de arquivos completo do dispositivo.
Um segundo achado relevante para a prática pericial é a inconsistência entre ferramentas: os três kits forenses usados produziram resultados diferentes entre si ao escanear os mesmos dispositivos. Isso significa que a ausência de evidência recuperada por uma ferramenta não prova ausência de artefato — um exame que usa apenas um toolkit pode simplesmente não ter o parser específico para aquele app de vault, mesmo que o dado esteja fisicamente presente no dump.
Na prática, esse tipo de trabalho é diretamente acionável para peritos: reforça a necessidade de validar resultados com múltiplas ferramentas antes de concluir por ausência de evidência, e mostra que uma análise manual do sistema de arquivos (procurando diretórios ocultos, bancos SQLite não catalogados, arquivos com extensões trocadas) continua sendo relevante mesmo com toolkits automatizados maduros no mercado. Os autores indicam como próximo passo avaliar se controles de segurança mais recentes desses apps continuam igualmente detectáveis.