As Aplicações de Cofre de Fotografias são Seguras? Uma Auditoria de Segurança para 2026

A maioria das aplicações de cofre de fotografias iOS protege o ecrã, não os ficheiros. Na nossa auditoria de junho de 2026 de 12 das aplicações de cofre mais instaladas, apenas uma indicou um algoritmo de cifragem específico na sua listagem da App Store, e 7 das 12 declararam que te seguem. As aplicações dignas de confiança são a minoria que indica um algoritmo real, não detém a chave dos teus dados e não recolhe nada.

As aplicações de cofre de fotografias não são uniformemente seguras. Na nossa auditoria de junho de 2026 de 12 das aplicações de cofre iOS mais instaladas, 7 das 12 declararam que seguem utilizadores em aplicações e sites, apenas 1 indicou um algoritmo específico na sua listagem, e uma década de investigação independente encontrou repetidamente aplicações a comercializar "encriptação" enquanto armazenam ficheiros em texto simples ou por trás de uma ofuscação trivial. As seguras indicam um algoritmo real, não requerem conta e não detêm a chave dos teus dados.

O que auditámos e o que não testámos

Obtivemos a etiqueta App Privacy, a política de privacidade publicada e a descrição da App Store para as aplicações de cofre de fotografias e ocultação de fotografias mais bem colocadas na App Store dos EUA em junho de 2026, classificadas por posição na loja e volume de avaliações. Classificámos cada aplicação pelo seu modelo de segurança real e cruzámos com uma década de falhas documentadas de aplicações de cofre, retendo apenas os incidentes rastreáveis a uma fonte primária ou corroborada.

Dois limites importam. Primeiro, as etiquetas de privacidade da App Store são autodeclaradas; a Apple não as audita, pelo que uma aplicação pode declarar menos do que recolhe. Segundo, esta é uma análise de etiqueta, política e arquitetura mais um registo de incidentes públicos. Não realizámos captura de rede em direto, pelo que não fazemos qualquer afirmação sobre tráfego que não observámos pessoalmente. Tudo aqui é verificável com as fontes indicadas no final desta página.

Descoberta 1: "Encriptação" é normalmente uma palavra, não um facto verificável

A categoria funciona com base na expressão "encriptação de grau militar". Não significa nada por si só. O AES-256 é um padrão público sem qualificação militar; a expressão é marketing que sobrevive porque soa a especificação. O que realmente importa é se uma aplicação indica um algoritmo, um comprimento de chave e um método de derivação de chave que possas avaliar.

Na auditoria das etiquetas das 12 aplicações, exatamente uma indicou um algoritmo específico na sua descrição da App Store: Secret Photos KYMS, que refere "AES". Todas as outras aplicações disseram "encriptação de grau militar", "armazenamento encriptado", "arquitetura de conhecimento zero", ou não indicaram qualquer encriptação. Analisando mais a fundo os sites e políticas de programadores de oito aplicações, apenas três indicaram um algoritmo real em qualquer parte dos seus materiais oficiais: o LockMyPix indica AES-CTR, o cofre de nuvem opcional do Private Photo Vault indica AES-256, e o Calculator# divulga AES-256 com PBKDF2 a 200.000 iterações. Essas três merecem crédito por mostrarem o seu trabalho.

Há uma distinção que a maioria das listagens de cofre obscurece: ocultar uma fotografia não é o mesmo que encriptá-la. Ocultar move um ficheiro para um lugar menos visível. Encriptar transforma-o em texto cifrado inútil sem uma chave. Um ecrã PIN que protege uma pasta de ficheiros comuns é uma cortina, não uma parede. Quem aceder aos ficheiros por baixo através de uma cópia de segurança, uma ferramenta forense ou um comando adb entra diretamente.

Descoberta 2: As etiquetas de privacidade dizem mais do que o marketing

As etiquetas App Privacy da Apple são a página mais honesta da App Store, porque mentir nelas é uma violação de política. É aí que o texto de marketing e as práticas de dados reais deixam de concordar. A nossa auditoria de junho de 2026 concluiu que 7 das 12 aplicações declaram "Dados Utilizados para Te Seguir", que é o termo da Apple para dados partilhados para te seguir nas aplicações e sites de outras empresas. Apenas 2 das 12 trazem a etiqueta "Data Not Collected" da Apple, a atestação de privacidade mais forte na loja: Safe Lock e Secret Photo Vault Lock Photos.

As duas aplicações com classificação mais alta no conjunto, Private Photo Vault (Pic Safe) e SV Private Photo Vault PRO, são ambas publicadas pela Legendary Software Labs e juntas têm cerca de 1,026 milhões de avaliações combinadas. Ambas seguem os utilizadores e, de acordo com as suas próprias etiquetas, associam as tuas fotografias, vídeos e identificadores de dispositivo à tua identidade. O Best Secret Folder tem a pegada "associado a ti" mais ampla do conjunto: localização, informações de contacto completas incluindo nome, e-mail e telefone, e as tuas fotografias, vídeo e áudio, enquanto exibe anúncios. Uma aplicação de fotografias privadas que associa as tuas fotografias à tua identidade e te segue noutras aplicações está a resolver um problema diferente daquele para o qual a transferiste.

As restantes aplicações na auditoria contam a sua própria história. O Private Photo Vault (Pic Safe) e o SV Private Photo Vault PRO não indicam nenhum algoritmo nas suas listagens, usando apenas a expressão "valor secreto para encriptar/desencriptar". O Keepsafe descreve a sua encriptação como "de grau militar" sem indicar um algoritmo. O Privault diz "armazenamento encriptado". O HiddenVault afirma "arquitetura de conhecimento zero", mas não indica nenhum algoritmo. O Calculator# não indica nenhum algoritmo na sua listagem da App Store. O Best Secret Folder e o Hide It Pro não indicam nada. Apenas o KYMS indica AES, e apenas o Encamera é de código aberto, o que oferece um tipo diferente de verificabilidade.

Descoberta 3: Uma conta e um backend na nuvem são uma segunda superfície de ataque

O tratamento local de ficheiros pode ser impecável e a aplicação pode ainda assim ter fugas, porque o backend é uma superfície de ataque separada. As aplicações que requerem uma conta e armazenam os teus ficheiros nos seus próprios servidores pedem-te que confies numa base de dados que não podes inspecionar.

O Keepsafe é o exemplo mais claro desta escolha estrutural. Requer um endereço de e-mail antes de poderes usa-lo, armazena o conteúdo nos seus próprios servidores, e uma análise de segurança independente concluiu que a empresa mantém a capacidade de aceder a fotografias dos utilizadores. A sua política de privacidade é também a única no nosso conjunto que admite que alguma partilha de dados pode ser classificada ao abrigo da lei da Califórnia como venda ou partilha das tuas informações pessoais. É uma divulgação que os outros não fizeram, e diz-te quem detém a chave. Quando um fornecedor detém a chave de encriptação, uma violação do fornecedor é a tua violação. O modelo que evita isto é a encriptação de conhecimento zero, em que o fornecedor não pode ler os teus dados porque nunca possui a chave.

O exemplo prático do que corre mal chegou em 2025. Uma aplicação separada chamada Photo Vault, publicada pelo programador Brain Craft, deixou a sua base de dados Firebase sem proteção por palavra-passe. A exposição foi relatada pela Cybernews em 2025 e corroborada pelo The Dead Pixels Society. Expôs endereços de e-mail dos utilizadores, palavras-passe em texto simples, nomes de ficheiros e pastas, e o conteúdo da função de notas seguras da aplicação, para uma aplicação com cerca de 72.000 transferências. Para ser preciso: esta aplicação Brain Craft não é o mesmo produto que o Private Photo Vault ou Pic Safe da Legendary Software Labs, apesar do nome semelhante. As próprias fotografias não estavam na base de dados, mas tudo o necessário para atacar as contas estava lá, incluindo palavras-passe armazenadas em texto simples, o que uma aplicação de cofre nunca deveria possuir em forma legível, quanto mais expor.

Descoberta 4: O SDK de publicidade dentro da aplicação "privada"

Sete das oito políticas de privacidade que lemos faziam referência a publicidade de terceiros. O caso de destaque é o NQ Vault, também distribuído como Vault-Hide, cuja política lista seis SDKs de publicidade incorporados na aplicação: AdMob, Facebook Audience Network, InMobi, MoPub, AppLovin e Unity. A função de uma rede de publicidade é construir um perfil do utilizador. Incorporar seis delas numa aplicação cuja premissa inteira é a privacidade é a ironia definidora da categoria, e está indicada no texto da política, não na nossa especulação.

O padrão mais amplo da análise das políticas das oito aplicações: apenas uma das oito, o LockMyPix, se posiciona como sem publicidade no seu modelo principal. O Private Photo Vault menciona cookies e publicidade de terceiros. O Privault lista o AdMob e a análise do Umeng. O Best Secret Folder faz referência a anúncios personalizados, Google Analytics e Firebase. O Hide It Pro faz referência a um SDK de publicidade de terceiros. As aplicações que não mantêm nuvem, não requerem conta e indicam um algoritmo são a exceção, não a regra.

Uma década de falhas documentadas

Nada disto é novo. O padrão de "encriptação" que não é encriptação tem sido documentado repetidamente desde 2014, por investigadores identificados e estudos com revisão por pares. O que se segue é o registo de incidentes com níveis de confiança, porque alguns destes estão melhor documentados do que outros.

Em setembro de 2014, o investigador forense Jonathan Zdziarski mostrou que o Private Photo Vault, que então reportava mais de 3 milhões de utilizadores, não aplicava qualquer encriptação além do armazenamento iOS padrão. As fotografias podiam ser recuperadas em texto simples em cerca de cinco minutos. Este incidente é verificado com base numa fonte primária em zdziarski.com.

Em abril de 2015, The Register e Slate relataram que o NQ Mobile Vault, que comercializava "encriptação" e tinha mais de 10 milhões de transferências, aplicava uma operação XOR de um byte apenas aos primeiros 128 bytes de cada ficheiro. Isso deixa 256 chaves possíveis e o resto de cada ficheiro em texto simples. Este incidente é verificado.

Em novembro de 2015, o investigador da IOActive Michael Allen testou o Private Photo Vault, uma aplicação chamada "My Media" e o Keepsafe, e invadiu as três em menos de 30 minutos cada. Os métodos incluiram PINs em texto simples armazenados em ficheiros property-list, um servidor web não autenticado a correr na porta 5555, e palavras-passe de álbuns devolvidas em texto simples pelo servidor. Este incidente é verificado.

Em 2017, Zhang, Baggili e Breitinger publicaram um estudo com revisão por pares em Computers and Security (volume 70) analisando 18 aplicações de cofre Android com cerca de 220 milhões de transferências combinadas. Seis não encriptavam as fotografias armazenadas, 7 armazenavam palavras-passe em texto simples, e 10 expunham dados ocultos sem acesso root. A investigação ajudou a recuperar evidências num processo criminal: 66 imagens e 18 vídeos. Este estudo é verificado.

Em junho de 2019, um investigador que publica como forensicmike1 concluiu que o Private Photo Vault tinha adicionado encriptação AES via RNCryptor, mas a chave mestra estava armazenada estaticamente no iOS Keychain e nunca era rotacionada quando o utilizador alterava o PIN. Um PIN de 4 dígitos tornava a chave trivialmente vulnerável a ataques de força bruta. Este incidente é verificado.

Em 2022, Ruffin e colegas publicaram um estudo com revisão por pares no ACM WPES analisando 20 aplicações de cofre Android populares com mais de 10 milhões de transferências cada. Apenas 5 das 20 tentaram encriptação de ficheiros. 15 eram totalmente recuperáveis com um simples adb pull, e 7 armazenavam PINs ou e-mails de recuperação em texto simples. Este estudo é verificado.

Em fevereiro de 2025, a Kaspersky relatou a campanha SparkCat: malware encontrado em aplicações na App Store e no Google Play que usava reconhecimento ótico de caracteres no dispositivo para analisar as bibliotecas de fotografias dos utilizadores em busca de frases-semente de criptomoeda e capturas de ecrã de palavras-passe, e depois exfiltrava as correspondências. A Apple e o Google removeram as aplicações. Foi o primeiro ladrão de fotografias baseado em OCR conhecido por passar na revisão da App Store. Este incidente é verificado.

Dois incidentes adicionais têm verificação parcial e devem ser lidos com essa ressalva. Uma análise de 2021 encontrou uma família de aplicações de cofre no estilo de calculadora no Android que partilhavam uma única chave AES-CBC fixa no código em cada instalação, o que significa que uma chave conhecida desencriptava os ficheiros multimédia de cada utilizador. Isto é parcialmente verificado, com base num único investigador tecnicamente específico. Separadamente, a aplicação Vault-Hide foi sinalizada pelo Ministério da Eletrónica e Tecnologia de Informação da Índia em 2017 por exfiltrar números de telefone, números IMEI e listas de aplicações instaladas, e alegadamente evitou a remoção renomeando-se a si mesma. Isto é parcialmente verificado através de fontes secundárias da Cybernews e da CPO Magazine.

Um ponto de dados é notável pela sua ausência: não encontrámos nenhum CVE atribuído a qualquer aplicação de cofre de fotografias de consumo. A divulgação formal mais próxima é um aviso de 2018 sobre um produto "Photo Vault" não relacionado com um servidor WiFi não autenticado, classificado como gravidade média (CVSS 4,8), sem CVE emitido (seclists.org Full Disclosure, janeiro de 2018). A categoria não é formalmente rastreada, o que significa que a maioria destas falhas foi detetada por investigadores independentes fora de qualquer processo de divulgação coordenado.

Como avaliar realmente uma aplicação de cofre

Não precisas de fazer engenharia inversa de nada. Cinco perguntas filtram a maioria dos riscos. Primeiro: indica um algoritmo? "AES-256" ou "AES-GCM" é uma afirmação que podes verificar. "De grau militar" não é. Segundo: requer uma conta? Um e-mail e palavra-passe criam um repositório de credenciais que pode ter fugas, como o incidente Firebase da Brain Craft mostrou. Terceiro: se faz cópia de segurança para a nuvem, quem detém a chave? Se o fornecedor pode repor a tua palavra-passe e recuperar as tuas fotografias, o fornecedor pode ler as tuas fotografias, bem como qualquer pessoa que viole o fornecedor.

Quarto: o que dizem a etiqueta App Privacy e a política? Abre a secção App Privacy. Se te segue ou associa as tuas fotografias à tua identidade, acredita. Lê a política para detetar referências a SDKs de publicidade. Quinto: é auditável? "Data Not Collected", algoritmos indicados com detalhes de derivação de chaves e código de fonte aberta são sinais de que uma aplicação espera ser escrutinada. As aplicações que não podem ser verificadas estão a contar com o facto de tu não as verificares.

Onde o Vaultaire se enquadra nesta panorâmica

Construímos o Vaultaire em torno das classes de falha específicas documentadas acima, por isso é justo avaliares-nos em relação a elas e não em relação ao marketing. Um padrão numa grelha de 5 por 5 e um sal do dispositivo guardado no Keychain alimentam o PBKDF2-HMAC-SHA512 para derivar a chave local do cofre. Essa chave autentica o índice encriptado e desembrulha uma chave mestra aleatória separada, usada para encriptar os ficheiros com AES-256-GCM. O padrão protegido e o material de recuperação ficam numa base de dados encriptada no Keychain, e a autenticação AES-GCM dá a quem tiver armazenamento copiado um teste offline para verificar padrões.

O Vaultaire não exige conta de identidade e não envia à Wraxle ficheiros legíveis do cofre nem chaves de desencriptação em texto simples. A cópia de segurança no iCloud, ativada por predefinição e que podes desativar, é encriptada antes do envio com uma chave de cópia de segurança separada. A Apple pode ainda observar a conta e os metadados do serviço CloudKit, e a aplicação, o iOS, o Keychain e um dispositivo desbloqueado continuam dentro da fronteira de confiança. Isto não é uma afirmação de que o Vaultaire seja a única escolha segura. É uma fronteira de chaves do lado do fornecedor que pode ser comparada com as falhas documentadas acima e verificada face ao modelo de segurança publicado.

Leitura relacionada:

• As aplicações de cofre de fotografias são seguras? A versão resumida
• O que a encriptação AES-256 realmente significa
• Encriptação de conhecimento zero, explicada
• O que as políticas de privacidade de armazenamento de fotografias na nuvem realmente dizem
• Como a chave do cofre derivada do padrão do Vaultaire desbloqueia a chave mestra

Perguntas Frequentes

As aplicações de cofre de fotografias são realmente seguras?

Depende inteiramente da aplicação, e a maioria é mais fraca do que aparenta. Na nossa auditoria de junho de 2026, 7 das 12 aplicações de cofre iOS mais instaladas declararam que te seguem, e apenas 1 indicou um algoritmo específico na sua listagem. Uma década de investigação encontrou repetidamente aplicações que comercializam "encriptação" enquanto armazenam ficheiros em texto simples ou por trás de uma ofuscação trivial. As seguras indicam um algoritmo real, não requerem conta e não detêm a chave dos teus dados.

Pode o programador de uma aplicação de cofre ver as minhas fotografias?

Se a aplicação armazenar as tuas fotografias na sua própria nuvem e puder recuperar a tua conta quando esqueceres a palavra-passe, então sim: o programador detém a chave de encriptação e pode tecnicamente aceder às tuas fotografias, assim como qualquer pessoa que viole os servidores do programador. Uma análise independente concluiu que este é o caso do Keepsafe. As aplicações de conhecimento zero ou apenas locais não podem ver as tuas fotografias porque nunca detêm a chave.

O Private Photo Vault (Pic Safe) está realmente encriptado?

O Cloud Vault opcional do Private Photo Vault indica AES-256, que é um algoritmo real. Mas a aplicação tem um histórico documentado de fraquezas: nenhuma encriptação encontrada em 2014 (Zdziarski), invadida em menos de 30 minutos em 2015 (IOActive), e uma chave mestra estática e não rotacionada encontrada em 2019 (forensicmike1). A sua etiqueta de privacidade atual na App Store também declara que te segue e associa as tuas fotografias à tua identidade.

As aplicações de cofre de fotografias usam realmente encriptação, ou apenas um PIN?

Muitas usam apenas um PIN sobre uma pasta oculta, o que não é encriptação. Ocultar move um ficheiro para uma localização menos visível; o ficheiro permanece legível por qualquer pessoa que o alcance através de uma cópia de segurança ou ferramenta forense. Um estudo com revisão por pares de 2022 sobre 20 aplicações de cofre Android (Ruffin et al., ACM WPES) concluiu que apenas 5 tentaram encriptação real de ficheiros, e 15 eram totalmente recuperáveis com um simples adb pull. A encriptação real transforma o ficheiro em texto cifrado que requer uma chave.

O que acontece às minhas fotografias se eu eliminar uma aplicação de cofre?

Se a aplicação apenas ocultou os ficheiros (sem encriptação), os ficheiros podem permanecer no dispositivo numa localização acessível ou em cópias de segurança. Se a aplicação encriptou os ficheiros localmente e eliminares a aplicação sem exportar, o texto cifrado pode tornar-se irrecuperável porque a chave desapareceu. Se a aplicação usou armazenamento na nuvem, os ficheiros podem persistir nos servidores do fornecedor. Verifica a documentação de exportação e eliminação da aplicação antes de a desinstalar.

Ferramentas forenses ou a polícia podem contornar um PIN de aplicação de cofre de fotografias?

A proteção apenas por PIN oferece pouca resistência às ferramentas de extração forense. Investigações de 2014, 2015, 2017 e 2022 mostraram PINs de aplicações de cofre contornados em minutos ou ficheiros recuperados sem qualquer autenticação. Um PIN de 4 dígitos encontrado na implementação de 2019 do Private Photo Vault foi assinalado como trivialmente vulnerável a ataques de força bruta. A encriptação real de ficheiros com uma função de derivação de chave forte eleva significativamente a fasquia; uma barreira de PIN por si só não o faz.

O Keepsafe vende os meus dados?

A política de privacidade do Keepsafe é a única no nosso conjunto de auditoria que afirma explicitamente que alguma partilha de dados pode ser classificada ao abrigo da lei da Califórnia como "venda" ou "partilha" de informações pessoais. A política também faz referência a parceiros de publicidade. É uma divulgação que as outras aplicações do nosso conjunto não fizeram. Se isso constitui uma venda depende da definição jurídica aplicada, mas a política é a mais explícita na categoria sobre este ponto.

Qual é a diferença entre ocultar fotografias e encriptá-las?

Ocultar move um ficheiro para um lugar menos visível no dispositivo; o ficheiro subjacente é inalterado e legível por qualquer pessoa com acesso ao armazenamento, incluindo ferramentas de cópia de segurança ou software forense. Encriptar transforma o ficheiro em texto cifrado que é ilegível sem a chave correta. Muitas aplicações de cofre apenas ocultam. Um estudo académico de 2022 (Ruffin et al.) concluiu que 15 das 20 aplicações de cofre Android populares podiam ser recuperadas com um adb pull básico, sem necessidade de desencriptação.

É seguro ativar a cópia de segurança na nuvem numa aplicação de cofre de fotografias?

Apenas se a cópia de segurança for encriptada antes de sair do teu dispositivo e o fornecedor não puder desencriptá-la. Se o fornecedor puder recuperar os teus ficheiros quando perdes a tua palavra-passe, a cópia de segurança é legível pelo fornecedor e fica exposta em qualquer violação de servidor. O incidente Firebase da Brain Craft em 2025 expôs e-mails, palavras-passe em texto simples e nomes de pastas precisamente porque o lado da nuvem não tinha proteção. Procura arquitetura de conhecimento zero com encriptação antes do carregamento.

Qual aplicação de cofre de fotografias não requer conta ou acesso à internet?

Várias aplicações funcionam totalmente offline, sem conta. Na nossa auditoria, duas tinham a etiqueta “Dados não recolhidos” da Apple: Safe Lock e Secret Photo Vault Lock Photos. O Vaultaire não exige conta de identidade, endereço de e-mail nem ligação de rede para encriptar e guardar ficheiros. Isso elimina um repositório de credenciais de conta gerido pelo programador, a classe de exposição demonstrada pelo incidente Firebase da Brain Craft em 2025. Não elimina as superfícies de ataque do dispositivo, do Keychain, do CloudKit, da análise de dados nem do sistema operativo.