Falha Broadcom: Roteadores Viram Porta para Clonagem de WhatsApp

No dia 16 de outubro, o pesquisador de segurança Quentin Kaiser divulgou uma vulnerabilidade no software Wi-Fi da Broadcom que permite a invasores executarem códigos com privilégios de root em roteadores e pontos de acesso — sem precisar de senha ou de qualquer autenticação. A falha, que ainda não tem identificação CVE nem correção oficial, pode afetar milhões de dispositivos globalmente. Mas, enquanto a indústria minimiza o problema, eu pergunto: quem realmente paga o preço? A resposta é você, e talvez da forma mais íntima possível: com o seu WhatsApp clonado.

O que a Broadcom não está dizendo: a falha é um convite para criminosos

A vulnerabilidade reside na implementação do Wi-Fi Protected Setup (WPS) da Broadcom. O WPS foi criado para facilitar a conexão de dispositivos, mas agora se tornou um vetor de ataque. Ao enviar mensagens WPS fragmentadas e maliciosas, um invasor dentro do alcance do sinal pode corromper a memória do roteador e, a partir daí, executar código arbitrário com privilégios administrativos. Em testes, Kaiser conseguiu extrair a senha Wi-Fi de um roteador Askey TCG3000 e estabelecer uma reverse shell em um BBOX3V+ da Sagemcom, controlando o dispositivo remotamente via quadros Wi-Fi.

O mais perturbador? A Broadcom sabia dessa falha desde 2018, segundo o pesquisador. A empresa teria até lançado uma correção incompleta e orientado clientes a migrarem para outro software, mas nunca emitiu um comunicado público ou registrou um CVE. Para os chipsets antigos baseados em eCos (BCM3380, BCM3383, BCM33834), não há correção funcional — são os chamados forever days, vulnerabilidades que permanecerão para sempre. Enquanto isso, os usuários continuam expostos, sem saber que seus roteadores são portas abertas.

A lista de dispositivos potencialmente afetados inclui equipamentos de Cisco, Huawei, ARRIS e roteadores fornecidos por operadoras belgas como Proximus, Orange Belgium e VOO. No Brasil, a Broadcom é amplamente utilizada em roteadores de ISPs e equipamentos domésticos. A ausência de transparência da fabricante é um desrespeito ao consumidor e uma falha ética grave.

Do roteador ao seu WhatsApp: o caminho silencioso da clonagem

Você pode pensar: "E daí que invadiram meu roteador? O que tem de importante lá?" A resposta é: tudo. O roteador é a porta de entrada da sua rede doméstica. Uma vez comprometido, o invasor pode redirecionar o tráfego, interceptar dados e lançar ataques de phishing sofisticados. E é aí que a clonagem de WhatsApp entra em cena.

A clonagem de WhatsApp geralmente ocorre por engenharia social: o criminoso convence a vítima a fornecer o código de verificação enviado por SMS. Mas com o roteador sob controle, o ataque fica muito mais fácil e discreto. O invasor pode, por exemplo, redirecionar a vítima para páginas falsas que imitam o WhatsApp Web, capturar credenciais ou até mesmo interceptar o SMS de verificação se a rede for comprometida. Além disso, com a senha Wi-Fi em mãos, o criminoso pode se conectar à rede e explorar outros dispositivos, como celulares e computadores, em busca de dados pessoais.

O resultado? Seu WhatsApp é clonado, seus contatos recebem mensagens fraudulentas pedindo dinheiro, e sua identidade digital é usada para golpes. E quando você perceber, o estrago já está feito. A culpa? Da Broadcom, que escondeu a falha por anos, e das operadoras que não atualizam seus equipamentos.

O discurso oficial das empresas: minimizar, negar, adiar

Quando uma falha como essa vem à tona, o padrão das empresas é previsível. Primeiro, minimizam: "não há evidências de exploração em ataques reais". Depois, negam responsabilidade: "a vulnerabilidade está no software de terceiros". Por fim, adiam soluções: "recomendamos que os usuários substituam seus equipamentos". Mas quem paga por um roteador novo? Você. Quem fica com os dados vazados? Você.

A Broadcom não registrou um CVE, não emitiu um alerta público e, pelo que se sabe, não pressionou os fabricantes de roteadores a corrigirem o problema. O CERT Coordination Center encerrou o caso no mesmo dia porque a Broadcom, como autoridade de atribuição de CVEs para seus produtos, simplesmente não o fez. Isso é um absurdo. A responsabilidade pela segurança dos dispositivos deveria ser compartilhada, mas na prática, recai sobre o usuário final, que não tem conhecimento técnico para se proteger.

E não para por aí. A falha é particularmente perigosa para empresas e organizações. Kaiser destacou que invasores podem se aproximar fisicamente de instalações e comprometer redes sem fio, uma tática já usada por hackers associados ao governo russo. Imagine o estrago em um escritório, um hospital ou uma escola.

Como se proteger agora: medidas práticas (e um alerta sobre a clonagem)

Como não há correção para muitos dispositivos, a única solução definitiva é substituir o roteador por um modelo que não use o software vulnerável da Broadcom. Mas isso custa dinheiro e nem todos podem arcar. Enquanto isso, algumas medidas podem reduzir o risco:

• Desative o WPS no seu roteador, se possível. Isso pode mitigar o vetor de ataque, embora não elimine totalmente o risco em alguns casos.
• Atualize o firmware do roteador regularmente, caso o fabricante disponibilize correções.
• Use uma rede separada para dispositivos IoT, isolando-os do seu computador e celular principais.
• Monitore sua rede com ferramentas de segurança, se tiver conhecimento técnico.

Mas a proteção não termina no roteador. Com a ameaça de clonagem de WhatsApp, é essencial ativar a verificação em duas etapas no aplicativo. Isso adiciona uma camada extra de segurança, exigindo um PIN além do código SMS. Além disso, nunca compartilhe códigos de verificação com ninguém, mesmo que a pessoa se identifique como suporte técnico. Desconfie de mensagens urgentes pedindo dinheiro, mesmo que venham de contatos conhecidos — ligue para confirmar antes de agir.

E, acima de tudo, verifique se seus dados já vazaram. A Kzarka oferece um serviço de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Com ele, você pode descobrir se suas informações pessoais, como número de telefone e e-mail, estão circulando na dark web. Se estiverem, os criminosos podem usá-las para clonar seu WhatsApp ou cometer outros golpes.

Conclusão: a era da irresponsabilidade corporativa

O caso Broadcom é um retrato sombrio da indústria de tecnologia: falhas graves escondidas por anos, falta de transparência e usuários abandonados à própria sorte. Enquanto as empresas não forem responsabilizadas, continuaremos sendo alvos fáceis. A clonagem de WhatsApp é apenas uma das consequências possíveis — e talvez a mais dolorosa, porque atinge nossa vida pessoal e financeira.

Não espere que as empresas mudem. Tome o controle da sua segurança digital agora. Visite Kzarka para verificar se seus dados vazaram e monitorar sua identidade digital. Porque, no fim das contas, a única pessoa que pode proteger você é você mesmo.