Você paga pelo iCloud+ acreditando que sua navegação no Safari está protegida, que seu endereço IP — aquele identificador único que pode revelar sua localização aproximada e provedor de internet — está oculto. Se, então, um site qualquer descobre esse mesmo endereço IP real sem nenhum aviso, a promessa de privacidade se desfaz. É exatamente isso que está acontecendo com o Private Relay da Apple, de acordo com pesquisadores de segurança que publicaram suas descobertas no início de agosto de 2026. A falha, que reside nas entranhas do motor de renderização WebKit, permite que qualquer site contorne a proteção e veja o IP real do usuário, mesmo com a funcionalidade ativada. Vamos desmontar como isso funciona, quem está afetado e o que você pode fazer agora.
O que é o Private Relay e por que ele deveria funcionar como um túnel seguro
O Private Relay é um recurso opt-in, ou seja, que o usuário precisa ativar manualmente, disponível apenas para assinantes do plano iCloud+. A ideia dele é simples: quando você usa o Safari, o tráfego da sua navegação é roteado através de dois relés distintos. O primeiro relé, operado pela Apple, recebe seu IP real, mas não consegue ver o site que você está visitando porque o nome do site está criptografado. O segundo relé, operado por um parceiro terceiro, vê o site que você quer acessar, mas recebe apenas um endereço IP genérico e aproximado, não o seu real. A lógica é que nenhuma entidade isolada — nem a Apple, nem o provedor de internet, nem o site visitado — consiga montar um perfil completo da sua atividade online.
No entanto, como apontado pelos pesquisadores Talal Haj Bakry e Tommy Mysk, da Mysk Inc., essa proteção não é absoluta. O Private Relay não é uma VPN de sistema completo; ele protege apenas o tráfego do Safari e as consultas DNS do sistema. Isso significa que qualquer aplicativo que não seja o Safari, ou qualquer processo do sistema operacional que faça uma requisição de rede diretamente, ignora completamente o túnel do Private Relay. O problema é que, dentro do próprio Safari e de todos os outros navegadores no iOS, existem recursos do WebKit que podem escapar por essa fresta.
As três brechas no WebKit que expõem seu endereço IP
Os pesquisadores Haj Bakry e Mysk detalharam, em um post publicado no dia 4 de agosto de 2026, três características específicas do WebKit — o motor que a Apple exige que todos os navegadores no iOS usem — que enviam tráfego diretamente do dispositivo, ignorando a configuração de proxy do Private Relay. A primeira delas é o DNS prefetching, um recurso de otimização onde o navegador tenta resolver o endereço IP de um nome de domínio antes mesmo de você clicar no link, carregando a página mais rápido. Esse recurso, disponível desde o iOS 26.0, resolve o nome do host usando o caminho DNS normal do dispositivo, não o túnel criptografado do Private Relay, permitindo que seu provedor de internet veja quais domínios você está prestes a acessar.
A segunda brecha, e a mais impactante, está relacionada a passkeys, a tecnologia de login sem senha que a Apple tem promovido. Quando um site suporta passkeys, o sistema operacional, por meio de seu serviço de credenciais nativo, faz uma requisição direta para a URL https://<rpId>/.well-known/webauthn para verificar a autenticidade do site. Essa requisição, que existe desde o iOS 18.0, é feita fora do Safari, diretamente pelo sistema operacional, portanto, fora do caminho protegido pelo Private Relay. O site visitado recebe seu IP real sem nenhum prompt, sem nenhum aviso, e sem nenhuma indicação visível de que a proteção foi contornada.
A terceira vulnerabilidade envolve o WebTransport, uma tecnologia mais recente que permite a comunicação de baixa latência usando o protocolo HTTP/3 sobre QUIC. Disponível desde o iOS 26.4, o WebTransport abre uma conexão direta que também ignora as configurações de proxy do navegador. De forma combinada, esses três recursos representam um vetor de ataque que vai desde a simples espionagem de padrões de navegação até a identificação inequívoca de um usuário específico que acreditava estar protegido.
Como qualquer site pode descobrir seu IP real, mesmo fingindo suportar passkeys
A implicação prática da falha no WebAuthn é a mais grave. Para explorar essa brecha, um site malicioso nem precisa realmente oferecer suporte a passkeys. Basta que ele finja suportar a tecnologia. Ao carregar a página, o site pode simplesmente solicitar a verificação de uma passkey, o que aciona a requisição do sistema operacional para /.well-known/webauthn. O servidor então recebe a requisição e, com ela, o endereço IP real do dispositivo da vítima. Segundo o site de teste criado pelos pesquisadores, o leaks.psylo.app, a verificação é instantânea e não requer nenhuma interação por parte do usuário, como clicar em um botão ou inserir credenciais.
O mais preocupante é que essa falha não se limita ao Safari. Como a Apple exige que todos os navegadores no iOS e no iPadOS usem o WebKit como motor de renderização, navegadores de terceiros como o Chrome, o Firefox e até navegadores projetados para máxima privacidade, como o Onion Browser — que é baseado no Tor —, são igualmente afetados. A publicação de tecnologia 404 Media foi a primeira a reportar a questão, e seus jornalistas verificaram que o site de teste realmente revelou seus endereços IP reais. A TechCrunch também confirmou o vazamento em seus testes. Em resposta, a Apple disse ao 404 Media que está investigando o problema. Mas, como veremos, essa resposta não convenceu os pesquisadores.
Por que os pesquisadores decidiram não reportar a falha à Apple primeiro
Em um movimento incomum, os pesquisadores Tommy Mysk e Talal Haj Bakry optaram por divulgar a vulnerabilidade publicamente, no dia 4 de agosto de 2026, antes de reportá-la à Apple. Em uma postagem no X (antigo Twitter), Mysk explicou que a decisão foi motivada por experiências passadas. “Infelizmente, nossa experiência passada com a Apple nos diz que reportar esse problema envolveria meses de atrasos, comunicação inconsistente e, em alguns casos, negação do impacto da questão”, escreveu Mysk.
Os pesquisadores também entraram em contato com o Projeto Tor, que classificou a questão como “dire” (grave), mas não forneceu um prazo para uma correção. Enquanto isso, o desenvolvedor do Psylo, um navegador focado em privacidade que também é desenvolvido por Mysk, já lançou a versão 1.3.1, que inclui correções específicas para as três falhas, bloqueando o dns-prefetch e desabilitando o WebTransport e o WebAuthn por padrão. A postura da Apple até agora foi apenas confirmar que está investigando, mas os usuários do Safari permanecem desprotegidos até que uma atualização de software seja lançada.
O histórico de falhas em ferramentas de privacidade pagas da Apple
Essa falha no Private Relay não é um incidente isolado. Ela representa a segunda vez em dois meses que uma ferramenta de privacidade paga da Apple, parte do pacote iCloud+, falha em cumprir sua promessa. No mês de julho de 2026, a Apple corrigiu uma vulnerabilidade no recurso Hide My Email (Esconder Meu E-mail), que gerava endereços de e-mail aleatórios para proteger a identidade do usuário. A falha permitia que endereços de e-mail reais fossem expostos por mais de um ano, um problema que a 9to5Mac descreveu como uma falha de privacidade significativa.
Quando você paga por um serviço como o iCloud+, a expectativa é que as funcionalidades premium, especialmente as relacionadas a segurança e privacidade, funcionem conforme o prometido. A repetição de falhas graves em um curto período de tempo levanta questões sérias sobre a confiabilidade dessas ofertas. Enquanto a Apple não corrige a falha do Private Relay, os usuários que dependem exclusivamente dessa ferramenta para proteger sua identidade online estão, na prática, navegando com uma falsa sensação de segurança.
O que você pode fazer agora para proteger seu endereço IP
Se você utiliza o Private Relay e está preocupado com a possibilidade de seu endereço IP real estar sendo exposto, existem algumas medidas imediatas que você pode tomar. A mais eficaz, de acordo com as recomendações dos pesquisadores e de publicações como o MacRumors, é utilizar uma VPN (Rede Privada Virtual). Ao contrário do Private Relay, que protege apenas o tráfego do Safari, uma VPN de boa reputação criptografa todo o tráfego de rede do seu dispositivo, incluindo requisições feitas por outros aplicativos e processos do sistema operacional, como as chamadas do WebAuthn.
Outra medida imediata é acessar o site de teste dos pesquisadores, leaks.psylo.app, para verificar se o seu dispositivo está realmente vazando seu IP. Se você for um usuário avançado que valoriza a privacidade acima de tudo, considerar a troca do Safari pelo navegador Psylo, na versão 1.3.1 ou superior, pode ser uma alternativa viável, já que o desenvolvedor já implementou as correções necessárias. Para a maioria dos usuários, a melhor abordagem é manter o Private Relay desativado até que a Apple lance uma atualização de software que corrija definitivamente as três falhas no WebKit. Até lá, o conselho é claro: não confie cegamente em uma única camada de proteção, especialmente quando se trata de dados tão sensíveis quanto seu endereço IP.