Falhas recentes no Apple Private Relay estão colocando em xeque uma das principais promessas de privacidade da Apple: ocultar o endereço IP real dos usuários. Pesquisadores de segurança cibernética identificaram vulnerabilidades que permitem contornar o recurso e expor o IP verdadeiro, o que, na prática, compromete o objetivo central do serviço oferecido exclusivamente a assinantes do iCloud+.
As vulnerabilidades foram descritas em detalhes em uma publicação técnica, na qual os especialistas criaram inclusive uma página de teste capaz de verificar se o endereço IP real está vazando, mesmo com o Private Relay ativado. Em avaliações realizadas pelo site TechCrunch, a ferramenta foi capaz de detectar corretamente o IP público do dispositivo testado, demonstrando que a proteção pode falhar em determinados cenários.
De acordo com os pesquisadores Talal Haj Bakry e Tommy Mysk, a origem do problema está ligada a três funcionalidades específicas do WebKit, o motor de renderização usado pelo Safari e por todos os navegadores no iOS. Como o WebKit é obrigatório em apps de navegação na plataforma da Apple, qualquer falha nesse componente afeta, em maior ou menor grau, toda a experiência de navegação na web em dispositivos iPhone e iPad.
O Apple Private Relay foi projetado para mascarar o endereço IP do usuário durante o acesso a sites pelo Safari, tornando mais difícil que plataformas, anunciantes e outros serviços online rastreiem a identidade e local aproximado da pessoa. Ele funciona como uma espécie de “túnel de privacidade em duas etapas”, no qual a Apple e um parceiro de infraestrutura dividem as informações de roteamento, impedindo que uma única entidade veja tudo ao mesmo tempo. Apesar disso, ele não é uma VPN completa e não se propõe a proteger todo o tráfego de rede do aparelho.
Essa limitação é um ponto crucial: o Private Relay atua somente na navegação feita pelo Safari (e recursos relacionados) e está atrelado à conta iCloud+, não ao sistema operacional como um todo. Isso significa que conexões feitas por outros aplicativos, jogos, clientes de e-mail ou navegadores alternativos não entram automaticamente na proteção. Segundo os pesquisadores, essa arquitetura, somada às brechas identificadas no WebKit, abre espaço para que sites consigam, em algumas condições, obter o endereço IP real do usuário, neutralizando o benefício que o Private Relay deveria trazer.
Tommy Mysk declarou que optou por não reportar previamente o problema diretamente à Apple antes da divulgação pública. De acordo com ele, experiências anteriores com o programa de recompensas por vulnerabilidades da empresa foram frustrantes: longos períodos de espera, trocas de mensagens irregulares e, em certos casos, a tentativa de reduzir a gravidade dos problemas reportados. Essa decisão reforça o debate sobre a relação entre pesquisadores independentes e grandes fabricantes de tecnologia, e sobre como falhas críticas de privacidade devem ser tratadas.
Até o momento da publicação do relatório técnico, a Apple ainda não havia se manifestado oficialmente sobre as vulnerabilidades. A ausência de posicionamento levanta questionamentos sobre prazos de correção, possíveis atualizações de software e orientações formais para usuários que acreditavam estar com o IP devidamente protegido ao ativar o Private Relay.
Os especialistas responsáveis pela descoberta também desenvolvem o navegador Psylo, focado em privacidade, e afirmam que já implementaram proteções específicas para evitar o tipo de vazamento de IP demonstrado no estudo. Isso inclui mecanismos adicionais para bloquear tentativas de contornar o mascaramento do endereço IP dentro do próprio navegador, reforçando a ideia de que apenas um recurso isolado não é suficiente para garantir anonimato robusto.
É importante frisar que, mesmo antes dessas falhas virem à tona, o Private Relay nunca foi apresentado como substituto completo de uma VPN tradicional. Enquanto a VPN opera em nível de sistema – criptografando e roteando todo o tráfego de rede do dispositivo por um túnel seguro – o serviço da Apple se concentra exclusivamente na navegação via Safari, com foco em diminuir rastreamento e fingerprinting de usuário, e não em oferecer anonimato total ou bypass de censura.
Na prática, o que isso significa para o usuário comum? Em primeiro lugar, que o Private Relay deve ser encarado como um reforço de privacidade, não como uma solução absoluta. Em cenários sensíveis – como conexões em redes Wi-Fi públicas, atividades que envolvem dados corporativos, pesquisas de temas delicados ou uso em países com forte vigilância digital – a recomendação continua sendo o uso combinado de ferramentas: uma VPN confiável em nível de sistema, configurações de privacidade ajustadas no sistema operacional e navegadores, além de boas práticas de segurança digital.
Do ponto de vista técnico, o vazamento de IP tem implicações diretas no rastreamento online. O endereço IP é um dos dados mais valiosos para identificar e correlacionar a atividade de um usuário ao longo do tempo, podendo ser cruzado com cookies, impressões digitais de navegador (browser fingerprinting), identificadores de dispositivo e dados de login. Quando um serviço promete esconder o IP e falha, abre-se uma brecha que pode ser explorada por anunciantes invasivos, empresas de analytics e, em certos contextos, até por atores maliciosos.
Para quem já utiliza o Apple Private Relay, algumas atitudes podem ajudar a reduzir riscos enquanto a empresa não se pronuncia com correções claras:
– Revisar as configurações de privacidade do Safari, desativando funcionalidades que permitam carregamento de conteúdo externo desnecessário.
– Evitar o uso de sites suspeitos ou ferramentas de teste de IP não confiáveis, que possam explorar exatamente essas falhas.
– Considerar o uso simultâneo de uma VPN de boa reputação, principalmente em redes não confiáveis.
– Manter o sistema iOS, iPadOS e o próprio Safari sempre atualizados, pois correções de segurança muitas vezes são aplicadas de forma silenciosa em patches menores.
Outra camada importante de análise é a expectativa criada pelo marketing de privacidade. A Apple construiu, nos últimos anos, uma imagem de empresa que prioriza a proteção de dados dos usuários, com recursos como bloqueio de rastreamento entre apps e relatórios de privacidade. Quando um serviço anunciado como escudo contra a exposição do IP falha, mesmo que em cenários específicos, a confiança desse discurso tende a ser questionada. Isso mostra como é essencial que empresas sejam transparentes sobre os limites e escopos de cada ferramenta.
Esse caso também reforça um ponto já conhecido por especialistas: não existe solução mágica em segurança digital. Toda tecnologia tem pontos fortes e fracos, e muitas camadas de privacidade dependem de componentes que fogem ao controle direto do usuário – como é o caso do WebKit no ecossistema iOS. Ao basear toda a navegação em um único motor de renderização, qualquer vulnerabilidade descoberta ali se torna, automaticamente, um risco amplificado.
Para profissionais e entusiastas de segurança, as falhas no Apple Private Relay funcionam como um lembrete de que auditorias independentes e pesquisas contínuas são essenciais. Mesmo recursos desenvolvidos por gigantes da tecnologia, com grandes orçamentos, podem apresentar problemas de implementação ou design. A divulgação responsável dessas brechas, acompanhada de pressão por correções rápidas e comunicação clara com o público, é parte fundamental do amadurecimento do ecossistema de cibersegurança.
Em resumo, o Apple Private Relay continua sendo uma ferramenta útil para elevar a privacidade na navegação via Safari, mas não deve ser visto como um escudo absoluto – especialmente diante das vulnerabilidades agora reveladas. Usuários que valorizam anonimato e proteção de tráfego em todos os aplicativos precisam complementar o recurso com soluções adicionais, como VPNs, navegadores orientados à privacidade e hábitos mais conscientes ao navegar. Enquanto isso, resta aguardar como a Apple irá responder tecnicamente e publicamente a esse novo desafio à sua imagem de campeã da privacidade digital.