Guillem Alsina Gonzàlez
O envio de URLs por SMS consolidou-se como um mecanismo de acesso rápido a serviços digitais para a realização de validações, comunicação de notificações e retomada de procedimentos sem atritos. No entanto, um estudo recente intitulado «Private Links, Public Leaks: Consequences of Frictionless User Experience on the Security and Privacy Posture of SMS-Delivered URLs» e disponível publicamente na plataforma Arxiv da Universidade de Cornell (Estados Unidos) indica que atribuir confiança “de facto” ao SMS como canal privado pode abrir a porta a acessos não autorizados se os links funcionarem, na prática, como credenciais.
Os autores do trabalho abordaram a análise de um ângulo pouco comum, utilizando gateways SMS públicos que permitem ler mensagens recebidas em números descartáveis. A partir desta observação, os investigadores recolheram 33 128 103 mensagens associadas a 30 203 números e localizaram 485 286 mensagens com pelo menos um URL válido, das quais extraíram 322 949 links únicos distribuídos por 10 903 domínios.
Para ir além do texto da mensagem e entender o que cada link realmente expõe, a equipa automatizou o acesso às URLs e capturou evidências do cliente (interface web, registos de rede e HTML) quando o link estava acessível. No total, obtiveram atributos dinâmicos de 147.251 URLs (45,60% do total), enquanto o restante foi descartado por duplicidade (de acordo com o hash do destino final) ou por erros de conexão e expirações.
O conceito central que descreve o estudo é um padrão de design que podemos chamar de “URL como credencial”, em que possuir o link (muitas vezes com um token) é tratado como autorização suficiente para ver e, em alguns casos, modificar informações pessoais.
A partir do seu pipeline de deteção de PII (sigla em inglês para Personally Identifiable Information), os autores afirmam ter validado 701 endpoints com exposição de dados pessoais que afetam 177 serviços, com exemplos de informações sensíveis como data de nascimento, número de conta bancária ou faixas de pontuação de crédito.
O alcance não se limita a “ver” dados. O estudo distingue entre exposição estática (somente leitura) e exposição com capacidade de edição em formulários pré-carregados, e aponta quinze serviços nos quais um invasor poderia modificar registros do utilizador após acessar o link. Além disso, identifica seis serviços nos quais o link leva a um contexto autenticado que permite o controle da conta, com a possibilidade de alterar dados críticos, como endereço de e-mail ou senha.
Outro vetor destacado é a enumeração: se o token do link tiver baixa “entropia” (pouca aleatoriedade efetiva), o invasor pode testar variações até encontrar links válidos de outros utilizadores. O estudo estima em 125 os serviços potencialmente vulneráveis por entropia insuficiente e documenta treze casos em que obtiveram um “acerto” em menos de dez tentativas durante verificações manuais.
A este risco soma-se o que o trabalho denomina overfetching (sobrecarga ou obtenção excessiva de dados), que consiste em respostas de API ou HTML que incluem mais dados pessoais do que os mostrados pela interface. Os autores identificam 76 serviços nos quais o cliente recebe mais informações do que o necessário, mesmo que não sejam visíveis à primeira vista no ecrã, o que amplia a superfície de exposição a qualquer pessoa que inspecione o tráfego do navegador.
Paralelamente, são descritos quatro serviços com mecanismos de “segunda camada” (por exemplo, data de nascimento, código postal ou apelidos) que seriam enumeráveis se não houvesse limites estritos de tentativas. Na prática, isso torna os atributos pessoais relativamente previsíveis uma barreira fraca quando combinados com um link que já funciona como chave de acesso.
O fator tempo também agrava o cenário. A medição do «tempo de exposição» (antiguidade do link ainda ativo) é calculada como a diferença entre a data do SMS e a data de rastreamento (26 de julho de 2025), e o estudo indica que aproximadamente 46% dos links com PII continuavam ativos após dois anos, com casos que remontam a 2019.
Por setores, o trabalho classifica os domínios e observa uma presença relevante em “Negócios e Economia” (27 serviços), “Tecnologia da Informação” (23) e “Dados e Serviços Financeiros” (19). Neste último grupo, os autores destacam que muitos casos estavam ligados a fluxos de empréstimos com formulários pré-preenchidos, o que, na sua interpretação, aumenta a atratividade para a fraude.
Por fim, o estudo recolhe atritos habituais na divulgação responsável de incidentes, uma vez que os investigadores revisaram as políticas de privacidade e apontam que poucas organizações oferecem orientações claras para comunicar falhas. Os autores do estudo indicam que enviaram 150 relatórios, dos quais dezoito obtiveram resposta e sete resultaram em correções implementadas, e estimam que o impacto dessas ações teria protegido mais de 120 milhões de utilizadores, de acordo com sua metodologia de estimativa.
