A NebuSec, empresa de cibersegurança, afirmou que descobriu uma falha no Telegram para Android que permitia invadir o celular de uma pessoa apenas porque ela atendeu uma ligação no aplicativo. A informação foi divulgada pelo site The Hacker News, com base em comunicado da própria empresa, e reproduzida pelo Canaltech na quinta-feira (29).
A NebuSec comunicou o problema ao Telegram, que corrigiu o erro em uma atualização recente. A brecha existiu em versões do aplicativo para Android publicadas entre 2022 e setembro de 2026, ou seja, ao longo de quase quatro anos.
Como a falha funcionava
Durante uma chamada, os dois celulares envolvidos trocam dados entre si. De acordo com a NebuSec, o erro fazia o aplicativo acessar mais informações do que o necessário nessa troca, e isso abria espaço para ataques.
Segundo a empresa, a vítima não precisa realizar nenhuma outra ação para que o aparelho seja invadido remotamente. Atender a ligação bastava. Não havia, na descrição da NebuSec, link para clicar nem arquivo para baixar.
O papel do GPT-5.4
A NebuSec disse que o problema foi encontrado com a ajuda do GPT-5.4, modelo de IA da OpenAI lançado em março deste ano. A fonte consultada não detalha como a ferramenta foi usada, nem quanto da análise ficou a cargo de pesquisadores humanos.
O caso mostra um uso concreto de modelos de linguagem na segurança: a falha estava em código publicado havia anos, em um dos mensageiros mais usados do mundo, e só foi apontada agora. A reportagem não informa se o Telegram pagou recompensa à NebuSec ou se a falha recebeu algum código de catalogação.
O que o usuário de Android deve fazer
A correção está na versão 12.10.4 do Telegram para Android. A recomendação é atualizar o aplicativo pela Play Store o quanto antes. Para conferir qual versão está instalada, basta olhar o fim da tela de configurações do próprio app ou abrir Configurações do Android, depois Aplicativos e Telegram.
Não há informação sobre hackers que tenham explorado a falha em golpes. O texto também não diz quantos usuários foram expostos, nem se a versão do Telegram para iPhone tinha problema semelhante: a descrição da NebuSec se refere apenas ao Android.
