Aplicativos de cofre de fotos são seguros? Uma auditoria de segurança de 2026

A maioria dos aplicativos iOS de cofre de fotos protege a tela, não os arquivos. Em nossa auditoria de junho de 2026 dos 12 aplicativos de cofre mais instalados, apenas um nomeou um algoritmo de criptografia específico em sua listagem na App Store, e 7 de 12 declararam que rastreiam você. Os aplicativos dignos de confiança são a minoria que nomeia um algoritmo real, não possui nenhuma chave dos seus dados e não coleta nada.

Aplicativos de cofre de fotos não são uniformemente seguros. Em nossa auditoria de junho de 2026 dos 12 aplicativos de cofre iOS mais instalados, 7 de 12 declararam que rastreiam usuários em aplicativos e sites, apenas 1 nomeou um algoritmo específico em sua listagem, e uma década de pesquisa independente encontrou repetidamente aplicativos que comercializam "criptografia" enquanto armazenam arquivos em texto claro ou por trás de ofuscação trivial. Os seguros nomeiam um algoritmo real, não exigem conta e não possuem nenhuma chave dos seus dados.

O que auditamos e o que não testamos

Obtivemos o rótulo de privacidade do app, a política de privacidade publicada e a descrição na App Store dos principais aplicativos de cofre de fotos e ocultação de fotos na App Store dos EUA em junho de 2026, classificados por posição na loja e volume de avaliações. Classificamos cada aplicativo pelo seu modelo de segurança real e cruzamos uma década de falhas documentadas de aplicativos de cofre, mantendo apenas incidentes rastreados a uma fonte primária ou corroborada.

Dois limites são importantes. Primeiro, os rótulos de privacidade da App Store são autodeclarados; a Apple não os audita, então um aplicativo poderia declarar menos do que coleta. Segundo, esta e uma revisão de rótulos, políticas e arquitetura mais um registro de incidentes públicos. Não realizamos captura de rede ao vivo, portanto não fazemos nenhuma afirmação sobre o tráfego que não observamos pessoalmente. Tudo aqui é verificável em relação às fontes listadas na parte inferior desta página.

Descoberta 1: "Criptografia" geralmente é uma palavra, não um fato verificável

A categoria funciona com a frase "criptografia de nível militar". Ela não significa nada por si só. AES-256 é um padrão público sem nível militar; a frase é marketing que sobrevive porque soa como uma especificação. O que realmente importa é se um aplicativo nomeia um algoritmo, um comprimento de chave e um método de derivação de chave que você possa avaliar.

Na auditoria de rótulos dos 12 aplicativos, exatamente um nomeou um algoritmo específico em sua descrição na App Store: Secret Photos KYMS, que diz "AES". Todos os outros disseram "criptografia de nível militar", "armazenamento criptografado", "arquitetura zero-knowledge", ou não nomearam nenhuma criptografia. Ao aprofundar a análise nos sites de desenvolvedores e políticas de oito aplicativos, apenas três nomearam um algoritmo real em algum lugar de seus materiais oficiais: LockMyPix nomeia AES-CTR, o cofre em nuvem opcional do Private Photo Vault nomeia AES-256, e Calculator# divulga AES-256 com PBKDF2 a 200.000 iterações. Esses três merecem crédito por mostrar seu trabalho.

Há uma distinção que a maioria das listagens de cofres obscurece: ocultar uma foto não é criptografá-la. Ocultar move um arquivo para um lugar menos visível. Criptografar o transforma em texto cifrado que é inútil sem uma chave. Uma tela de PIN que protege uma pasta de arquivos comuns é uma cortina, não uma parede. Qualquer pessoa que acesse os arquivos subjacentes por meio de um backup, ferramenta forense ou comando adb entra diretamente.

Descoberta 2: Os rótulos de privacidade dizem mais do que o marketing

Os rótulos de privacidade de apps da Apple são a página mais honesta da App Store, porque mentir neles é uma violação de política. É onde o texto de marketing e as práticas reais de dados param de concordar. Nossa auditoria de junho de 2026 descobriu que 7 dos 12 aplicativos declaram "Dados usados para rastrear você", que é o termo da Apple para dados compartilhados para rastrear você em aplicativos e sites de outras empresas. Apenas 2 de 12 carregam o rótulo "Nenhum dado coletado" da Apple, a mais forte atestação de privacidade da loja: Safe Lock e Secret Photo Vault Lock Photos.

Os dois aplicativos com maior avaliação do conjunto, Private Photo Vault (Pic Safe) e SV Private Photo Vault PRO, são ambos publicados pela Legendary Software Labs e juntos têm aproximadamente 1,026 milhão de avaliações combinadas. Ambos rastreiam usuários e, de acordo com seus próprios rótulos, vinculam suas fotos, vídeos e identificadores de dispositivo à sua identidade. Best Secret Folder tem a pegada mais ampla "vinculado a você" do conjunto: localização, informações de contato completas incluindo nome, e-mail e telefone, e suas fotos, vídeo e áudio, enquanto exibe anúncios. Um aplicativo de fotos privadas que vincula suas fotos à sua identidade e rastreia você em outros aplicativos está resolvendo um problema diferente daquele para o qual você o baixou.

Os demais aplicativos da auditoria contam sua própria história. Private Photo Vault (Pic Safe) e SV Private Photo Vault PRO não nomeiam nenhum algoritmo em suas listagens, usando apenas a frase "valor secreto para criptografar/descriptografar". Keepsafe descreve sua criptografia como "de nível militar" sem nomear um algoritmo. Privault diz "armazenamento criptografado". HiddenVault afirma "arquitetura zero-knowledge", mas não nomeia nenhum algoritmo. Calculator# não nomeia nenhum algoritmo em sua listagem na App Store. Best Secret Folder e Hide It Pro não nomeiam nada. Apenas KYMS nomeia AES, é apenas Encamera e de código aberto, o que oferece um tipo diferente de verificabilidade.

Descoberta 3: Uma conta e um backend na nuvem são uma segunda superfície de ataque

O tratamento local de arquivos pode ser impecável e o aplicativo ainda pode vazar dados, porque o backend é uma superfície de ataque separada. Aplicativos que exigem uma conta e armazenam seus arquivos em seus servidores pedem que você confie em um banco de dados que não pode inspecionar.

Keepsafe é o exemplo mais claro dessa escolha estrutural. Ele exige um endereço de e-mail antes de você poder usá-lo, armazena conteúdo em seus próprios servidores, e uma análise de segurança independente descobriu que a empresa mantém a capacidade de acessar as fotos dos usuários. Sua política de privacidade é também a única do nosso conjunto que admite que algum compartilhamento de dados pode ser classificado pela lei da Califórnia como venda ou compartilhamento de suas informações pessoais. Essa é uma divulgação que os outros não fizeram, e ela diz quem possui a chave. Quando um fornecedor possui a chave de criptografia, uma violação do fornecedor é a sua violação. O modelo que evita isso é a criptografia zero-knowledge, onde o provedor não pode ler seus dados porque nunca possui a chave.

O exemplo concreto do que da errado chegou em 2025. Um aplicativo separado chamado Photo Vault, publicado pelo desenvolvedor Brain Craft, deixou seu banco de dados Firebase sem proteção por senha. A exposição foi relatada pela Cybernews em 2025 e corroborada pela The Dead Pixels Society. Ela expôs endereços de e-mail de usuários, senhas em texto simples, nomes de arquivos e pastas, e o conteúdo do recurso de notas seguras do aplicativo, para um aplicativo com cerca de 72.000 downloads. Para ser preciso: este aplicativo Brain Craft não é o mesmo produto que Private Photo Vault ou Pic Safe da Legendary Software Labs, apesar do nome semelhante. As fotos em si não estavam no banco de dados, mas tudo necessário para atacar as contas estava lá, incluindo senhas armazenadas em texto simples, que um aplicativo de cofre nunca deveria possuir em forma legível, muito menos expor.

Descoberta 4: O SDK de publicidade dentro do aplicativo "privado"

Sete das oito políticas de privacidade que lemos faziam referência à publicidade de terceiros. O caso mais notável é o NQ Vault, também distribuído como Vault-Hide, cuja política lista seis SDKs de publicidade embutidos no aplicativo: AdMob, Facebook Audience Network, InMobi, MoPub, AppLovin e Unity. O trabalho de uma rede de publicidade é construir um perfil do usuário. Embutir seis delas dentro de um aplicativo cuja premissa inteira é privacidade e a ironia definitiva da categoria, e está declarada no texto da política, não em nossa especulação.

O padrão mais amplo da revisão de políticas dos oito aplicativos: apenas um dos oito, LockMyPix, se posiciona como sem anúncios em seu modelo principal. Private Photo Vault menciona cookies de terceiros e publicidade. Privault lista AdMob e analytics da Umeng. Best Secret Folder faz referência a anúncios personalizados, Google Analytics e Firebase. Hide It Pro faz referência a um SDK de publicidade de terceiros. Os aplicativos que não têm nuvem, não exigem conta e nomeiam um algoritmo são a exceção, não o padrão.

Uma década de falhas documentadas

Nada disso é novo. O padrão de "criptografia" que não é criptografia tem sido documentado repetidamente desde 2014, por pesquisadores identificados e estudos revisados por pares. O que se segue é o registro de incidentes com níveis de confiança, porque alguns são mais bem documentados do que outros.

Em setembro de 2014, o pesquisador forense Jonathan Zdziarski mostrou que o Private Photo Vault, que então relatava mais de 3 milhões de usuários, não aplicava nenhuma criptografia além do armazenamento padrão do iOS. As fotos eram recuperáveis em texto claro em cerca de cinco minutos. Este incidente é verificado contra uma fonte primária em zdziarski.com.

Em abril de 2015, The Register e Slate relataram que o NQ Mobile Vault, que comercializava "criptografia" e tinha mais de 10 milhões de downloads, aplicava uma operação XOR de um único byte apenas nos primeiros 128 bytes de cada arquivo. Isso deixa 256 chaves possíveis e o restante de cada arquivo em texto simples. Este incidente é verificado.

Em novembro de 2015, o pesquisador da IOActive Michael Allen testou Private Photo Vault, um aplicativo chamado "My Media" e Keepsafe e invadiu todos os três em menos de 30 minutos cada. Os métodos incluíam PINs em texto simples armazenados em arquivos de lista de propriedades, um servidor web não autenticado rodando na porta 5555 e senhas de álbum retornadas em texto simples do servidor. Este incidente é verificado.

Em 2017, Zhang, Baggili e Breitinger publicaram um estudo revisado por pares em Computers and Security (volume 70) analisando 18 aplicativos de cofre Android com aproximadamente 220 milhões de downloads combinados. Seis não criptografavam fotos armazenadas, 7 armazenavam senhas em texto claro e 10 expunham dados ocultos sem acesso root. A pesquisa ajudou a recuperar evidências em um caso criminal: 66 imagens e 18 vídeos. Este estudo é verificado.

Em junho de 2019, um pesquisador publicando como forensicmike1 descobriu que o Private Photo Vault havia adicionado criptografia AES via RNCryptor, mas a chave mestra estava armazenada estaticamente no iOS Keychain e nunca era rotacionada quando o usuário mudava seu PIN. Um PIN de 4 dígitos tornava a chave trivialmente quebrável por força bruta. Este incidente é verificado.

Em 2022, Ruffin e colegas publicaram um estudo revisado por pares no ACM WPES analisando 20 aplicativos de cofre Android populares com mais de 10 milhões de downloads cada. Apenas 5 de 20 tentaram criptografia de arquivos. 15 eram completamente recuperáveis com um simples adb pull, e 7 armazenavam PINs ou e-mails de recuperação em texto claro. Este estudo é verificado.

Em fevereiro de 2025, a Kaspersky relatou a campanha SparkCat: malware encontrado em aplicativos tanto na App Store quanto no Google Play que usava reconhecimento óptico de caracteres no dispositivo para escanear as bibliotecas de fotos dos usuários em busca de frases-semente de criptomoedas e capturas de tela de senhas, e então exfiltrava as correspondências. Apple e Google removeram os aplicativos. Foi o primeiro ladrão de fotos baseado em OCR conhecido a passar pela revisão da App Store. Este incidente é verificado.

Dois incidentes adicionais têm verificação parcial e devem ser lidos com essa ressalva. Uma análise de 2021 encontrou uma família de aplicativos de cofre estilo calculadora no Android compartilhando uma única chave AES-CBC codificada em todos os instalações, o que significa que uma chave conhecida descriptografava a mídia de cada usuário. Isso é parcialmente verificado, de um único pesquisador tecnicamente específico. Separadamente, o aplicativo Vault-Hide foi sinalizado pelo Ministério de Eletrônica e Tecnologia da Informação da Índia em 2017 por exfiltrar números de telefone, números IMEI e listas de aplicativos instalados, e supostamente evitou a remoção renomeando-se. Isso é parcialmente verificado via fontes secundárias da Cybernews e CPO Magazine.

Um ponto de dados é notável por sua ausência: não encontramos nenhum CVE atribuído a qualquer aplicativo de cofre de fotos para consumidores. A divulgação formal mais próxima é um aviso de 2018 sobre um produto "Photo cofre" não relacionado com um servidor WiFi não autenticado, classificado como gravidade média (CVSS 4.8), sem CVE emitido (seclists.org Full Disclosure, janeiro de 2018). A categoria não é formalmente rastreada, o que significa que a maioria dessas falhas foi detectada por pesquisadores independentes fora de qualquer processo de divulgação coordenada.

Como realmente avaliar um aplicativo de cofre

Você não precisa fazer engenharia reversa de nada. Cinco perguntas filtram a maior parte do risco. Primeiro: ele nomeia um algoritmo? "AES-256" ou "AES-GCM" é uma afirmação que você pode verificar. "Nível militar" não é. Segundo: exige uma conta? Um e-mail e uma senha criam um repositório de credenciais que pode vazar, como o incidente do Firebase da Brain Craft mostrou. Terceiro: se ele faz backup na nuvem, quem possui a chave? Se o fornecedor puder redefinir sua senha e recuperar suas fotos, o fornecedor pode ler suas fotos, e qualquer um que viole o fornecedor também pode.

Quarto: o que o rótulo de privacidade do app e a política dizem? Abra a seção de privacidade do app. Se ele rastreia você ou vincula suas fotos à sua identidade, acredite. Leia a política para divulgações de SDK de publicidade. Quinto: é auditável? "Nenhum dado coletado", algoritmos nomeados com detalhes de derivação de chave e código-fonte aberto são sinais de que um aplicativo espera ser examinado. Aplicativos que não podem ser verificados estão contando que você não verifica.

Onde o Vaultaire se encaixa nesse cenário

Construímos o Vaultaire em torno das classes de falha específicas documentadas acima, por isso é justo nos avaliar em relação a elas e não em relação ao marketing. Um padrão 5 por 5 e em todo o dispositivo Keychain alimentação com sal PBKDF2-HMAC-SHA512 para derivar a chave do cofre local. Essa chave autentica o índice criptografado e abre uma chave mestra aleatória separada para a criptografia de arquivos com AES-256-GCM. O padrão protegido é o material de recuperação permanecem em um banco de dados criptografado do Keychain, e a autenticação AES-GCM fornece ao armazenamento copiado um teste de verificação de padrão off-line.

O Vaultaire não requer conta de identidade e não envia arquivos legíveis do cofre ou chaves de descriptografia de texto simples do Wraxle. O backup no iCloud, ativado por padrão, é criptografado antes do upload em uma chave de backup separada. A Apple ainda pode observar metadados de conta e de serviço do CloudKit e o aplicativo, iOS, Keychain e um dispositivo desbloqueado permanecem dentro do limite de confiança. Esta não é uma afirmação de que Vaultaire seja a única escolha segura. É um limite de chave do provedor que pode ser comparado com as falhas documentadas acima e verificado em relação ao modelo de segurança publicado.

Leitura relacionada:

• Aplicativos de cofre de fotos são seguros? A versão resumida
• O que a criptografia AES-256 realmente significa
• Criptografia zero-knowledge explicada
• O que as políticas de privacidade de armazenamento de fotos na nuvem realmente dizem
• Como a chave do cofre derivada do padrão do Vaultaire desbloqueia a chave mestra

Perguntas frequentes

Aplicativos de cofre de fotos são realmente seguros?

Depende inteiramente do aplicativo, e a maioria é mais fraca do que parece. Em nossa auditoria de junho de 2026, 7 de 12 dos aplicativos de cofre iOS mais instalados declararam que rastreiam você, e apenas 1 nomeou um algoritmo específico em sua listagem. Uma década de pesquisa tem encontrado repetidamente aplicativos que comercializam "criptografia" enquanto armazenam arquivos em texto claro ou por trás de ofuscação trivial. Os seguros nomeiam um algoritmo real, não exigem conta e não possuem nenhuma chave dos seus dados.

Um desenvolvedor de aplicativo de cofre pode ver minhas fotos?

Se o aplicativo armazena suas fotos em sua própria nuvem e pode recuperar sua conta quando você esquece a senha, então sim: o desenvolvedor possui a chave de criptografia e pode tecnicamente acessar suas fotos, assim como qualquer pessoa que viole os servidores do desenvolvedor. Uma análise independente descobriu que este é o caso do Keepsafe. Aplicativos zero-knowledge ou somente locais não podem ver suas fotos porque nunca possuem a chave.

O Private Photo Vault (Pic Safe) é realmente criptografado?

O Cloud Vault opcional do Private Photo Vault nomeia AES-256, que é um algoritmo real. Mas o aplicativo tem um histórico documentado de fraquezas: nenhuma criptografia encontrada em 2014 (Zdziarski), invadido em menos de 30 minutos em 2015 (IOActive), e uma chave mestra estática e não rotacionada encontrada em 2019 (forensicmike1). Seu rótulo de privacidade atual na App Store também declara que ele rastreia você e vincula suas fotos à sua identidade.

Aplicativos de cofre realmente usam criptografia ou apenas um PIN?

Muitos usam apenas um PIN sobre uma pasta oculta, o que não é criptografia. Ocultar move um arquivo para um local menos visível; o arquivo permanece legível por qualquer pessoa que o acesse por meio de um backup ou ferramenta forense. Um estudo revisado por pares de 2022 sobre 20 aplicativos de cofre Android (Ruffin et al., ACM WPES) descobriu que apenas 5 tentavam criptografia real de arquivos, e 15 eram completamente recuperáveis com um simples adb pull. A criptografia real transforma o arquivo em texto cifrado que requer uma chave.

O que acontece com minhas fotos se eu excluir um aplicativo de cofre?

Se o aplicativo apenas ocultou os arquivos (sem criptografia), os arquivos podem permanecer no dispositivo em um local acessível ou em backups. Se o aplicativo criptografou os arquivos localmente e você exclui o aplicativo sem exportar, o texto cifrado pode se tornar irrecuperável porque a chave desapareceu. Se o aplicativo usava armazenamento na nuvem, os arquivos podem persistir nos servidores do fornecedor. Verifique a documentação de exportação e exclusão do aplicativo antes de desinstalá-lo.

Ferramentas forenses ou a polícia podem contornar o PIN de um cofre de fotos?

A proteção apenas por PIN oferece pouca resistência a ferramentas de extração forense. Pesquisas de 2014, 2015, 2017 e 2022 mostraram que PINs de aplicativos de cofre eram contornados em minutos ou arquivos eram recuperados sem nenhuma autenticação. Um PIN de 4 dígitos encontrado na implementação de 2019 do Private Photo Vault foi notado como trivialmente quebrável por força bruta. A criptografia real de arquivos com uma função de derivação de chave robusta eleva significativamente a barra; uma barreira de PIN sozinha não faz isso.

O Keepsafe vende meus dados?

A política de privacidade do Keepsafe é a única em nosso conjunto de auditoria que declara explicitamente que algum compartilhamento de dados pode ser classificado pela lei da Califórnia como "venda" ou "compartilhamento" de informações pessoais. A política também faz referência a parceiros de publicidade. Essa é uma divulgação que os outros aplicativos em nosso conjunto não fizeram. Se isso constitui uma venda depende da definição legal aplicada, mas a política é a mais explícita da categoria neste ponto.

Qual é a diferença entre ocultar fotos e criptografá-las?

Ocultar move um arquivo para um local menos visível no dispositivo; o arquivo subjacente é inalterado e legível por qualquer pessoa com acesso ao armazenamento, incluindo ferramentas de backup ou software forense. Criptografar transforma o arquivo em texto cifrado ilegível sem a chave correta. Muitos aplicativos de cofre apenas ocultam. Um estudo acadêmico de 2022 (Ruffin et al.) descobriu que 15 de 20 aplicativos de cofre Android populares eram recuperáveis com um adb pull básico, sem necessidade de descriptografia.

É seguro ativar o backup na nuvem em um aplicativo de cofre de fotos?

Somente se o backup for criptografado antes de sair do seu dispositivo e o provedor não puder descriptografá-lo. Se o fornecedor puder recuperar seus arquivos quando você perder a senha, o backup é legível pelo fornecedor e exposto em qualquer violação de servidor. O incidente do Firebase da Brain Craft em 2025 expôs e-mails, senhas em texto simples e nomes de pastas exatamente porque o lado da nuvem não tinha proteção. Procure arquitetura zero-knowledge com criptografia antes do upload.

Qual aplicativo de cofre de fotos não exige conta ou acesso a internet?

Vários aplicativos funcionam totalmente offline, sem conta. Em nossa auditoria, dois carregavam o rótulo “Dados não coletados” da Apple: Safe Lock e Secret Photo Vault Lock Photos. O Vaultaire não requer conta de identidade, endereço de e-mail ou conexão de rede para criptografar e armazenar arquivos. Isso remove um armazenamento de credenciais de conta administrado por desenvolvedor, a classe de exposição demonstrada pelo incidente do Brain Craft Firebase em 2025. Não elimina dispositivo, Keychain, CloudKit, análises ou superfícies de ataque ao sistema operacional.