Principais destaques
- Falha contorna a VPN: um mecanismo de keepalive do Android pode enviar pacotes diretamente pela interface Wi-Fi, ignorando regras de bloqueio da VPN.
- Basta permissão comum: o método não exige root, ADB ou privilégios elevados e pode ser acionado por aplicativos com acesso padrão à internet.
- IP real pode vazar: um servidor controlado pelo app malicioso pode identificar o endereço IP público do dispositivo e registrar quando ele está ativo.
A VPN está ligada. Mas o tráfego pode escapar? 🔓
Um pesquisador de segurança descobriu uma falha no Android que pode permitir que aplicativos revelem o endereço IP real de um usuário mesmo quando o aparelho está configurado para impedir qualquer conexão fora da VPN.
O problema envolve duas configurações que, em teoria, deveriam funcionar como uma espécie de cofre de rede: Always-on VPN e Block connections without VPN.
A combinação foi criada justamente para garantir que o tráfego de aplicativos não consiga sair diretamente para a internet.
Mas existe uma exceção escondida no caminho.
O pequeno pacote que passa por fora
O pesquisador de segurança Armin Šupuk descobriu que o Android possui um mecanismo público de NAT-T keepalive, utilizado para manter determinadas conexões de rede ativas.
Normalmente, são pacotes pequenos enviados periodicamente. O detalhe está em quem faz o trabalho.
📡 O Wi-Fi assume a tarefa: em determinadas situações, o Android pode delegar diretamente ao hardware de rede a transmissão desses pacotes, sem aplicar antes as regras de roteamento da VPN.
É aí que aparece o problema.
Segundo Šupuk, o mecanismo pode fazer com que esses pacotes saiam pela interface física de rede em vez de atravessarem o túnel criptografado da VPN.
💡 A VPN pode continuar aparecendo como ativa enquanto um tipo específico de tráfego consegue escapar por fora dela.
E um aplicativo comum consegue explorar isso? 📱
Sim.
A técnica demonstrada pelo pesquisador não depende de root, ADB ou permissões especiais. Um aplicativo com a tradicional permissão de acesso à internet pode provocar o comportamento.
Isso torna o problema particularmente interessante do ponto de vista de privacidade.
O aplicativo não ganha, com isso, uma espécie de canal livre para enviar qualquer coisa pela conexão desprotegida. O Android controla rigorosamente o conteúdo dos pacotes de keepalive.
Mas isso não significa que o vazamento seja irrelevante.
O que exatamente pode vazar?
O principal objetivo seria descobrir o endereço IP público real do aparelho.
Um aplicativo malicioso poderia direcionar os pacotes para um servidor controlado por seu desenvolvedor. Ao receber essas comunicações, o servidor conseguiria observar o endereço de origem.
Além disso, os pacotes podem funcionar como uma espécie de sinal de presença.
⏱️ O intervalo também importa: segundo a pesquisa, eles podem chegar aproximadamente a cada 10 segundos, permitindo registrar quando o dispositivo está ativo.
Na prática, o ataque poderia revelar:
• o IP público real associado à conexão;
• horários aproximados de atividade do dispositivo;
• informações de rede que a VPN deveria ajudar a ocultar.
O problema pode atingir muitos aparelhos
A pesquisa aponta que a questão não estaria limitada a um único fabricante.
O mecanismo relevante pode afetar uma parcela significativa de aparelhos com Android 12 ou versões posteriores, já que chipsets Wi-Fi compatíveis com a funcionalidade estariam presentes em uma estimativa de 91% dos dispositivos Android atuais.
Esse número, porém, representa uma estimativa de compatibilidade com o mecanismo, e não significa que 91% dos aparelhos estejam necessariamente exploráveis nas mesmas condições.
Pixel, Samsung e Nothing entraram nos testes 🔎
Šupuk reproduziu o comportamento em aparelhos de diferentes fabricantes.
No Google Pixel 8 Pro, o pesquisador conseguiu capturar os pacotes por meio de um roteador controlado por ele e confirmou que eles estavam saindo fora do túnel VPN.
Testes realizados em aparelhos Samsung e Nothing também demonstraram que o mecanismo vulnerável podia ser acionado.
Há uma diferença importante: nesses dois últimos casos, os testes não incluíram captura dos pacotes pelo ar.
Não é um vazamento de arquivos
Vale separar duas coisas.
A vulnerabilidade não transforma o keepalive em um túnel secreto para enviar fotos, documentos ou mensagens através da conexão física.
O conteúdo desses pacotes é limitado pelo próprio Android.
O risco está em outro lugar: a possibilidade de um aplicativo descobrir que existe uma rota de rede fora da VPN e associá-la ao IP público real do usuário.
Para quem utiliza VPN principalmente para ocultar a origem da conexão, isso pode ser uma informação bastante relevante.
A promessa da VPN fica mais complicada 🛡️
Uma VPN costuma ser entendida pelo usuário como uma barreira simples: o tráfego entra no túnel e não sai dele.
O caso descoberto no Android mostra que sistemas modernos de rede são mais complexos do que essa representação.
Existem componentes do sistema operacional, hardware Wi-Fi e mecanismos de otimização que podem operar em níveis diferentes do roteamento convencional.
E justamente nessas camadas mais específicas podem aparecer exceções que não são óbvias para quem simplesmente ativa uma opção de “bloquear conexões sem VPN”.
O próximo passo é a correção
A descoberta coloca a responsabilidade principalmente sobre o ecossistema Android e os fabricantes de dispositivos.
Enquanto mecanismos de baixo nível continuarem capazes de executar determinadas transmissões sem respeitar integralmente as políticas de roteamento da VPN, usuários que dependem desse bloqueio para privacidade não terão uma garantia tão simples quanto a interface do sistema sugere.
A pesquisa de Šupuk transforma uma pergunta aparentemente trivial, “minha VPN está ligada?”, em outra bem mais interessante: quais partes da conexão realmente estão obedecendo a ela?
