Quatro horas na noite de segunda-feira

Ao fim da segunda-feira, 3 de agosto, o Telegram deixou de aparecer na pesquisa da App Store. Utilizadores de vários países verificaram que já não conseguiam descarregá-lo no iPhone ou no iPad. A Mac App Store não foi afetada. O Google Play também não. Os relatos de descargas falhadas começaram a chegar pouco depois das 01:00 GMT, e por volta das 23:00 da costa leste dos Estados Unidos a app estava de volta.

A Apple deu a razão oficialmente. "Retirámos brevemente o Telegram da App Store depois de a nossa revisão ter encontrado conteúdo que viola as nossas diretrizes rigorosas que proíbem material de abuso sexual de crianças", afirmou a empresa. "A app foi posteriormente reposta depois de o programador ter removido prontamente o conteúdo e banido o utilizador que o publicou." O Telegram confirmou o desfecho por palavras suas: "O Telegram foi reposto na App Store e deverá em breve estar de novo disponível para todos os utilizadores." Não comentou a causa e assinalou o regresso no X com uma linha sobre serem exageradas as notícias do seu fim.

Não foi a primeira vez. O Telegram já tinha sido retirado em 2018 por conteúdo inadequado, no Brasil em 2023 na sequência de pedidos de informação, e na China em 2024 por ordem regulatória. O que distingue este caso é ter sido global, desencadeado por conteúdo e resolvido antes de a maior parte da Europa acordar.

A regra que o tornou possível

Nada no software do Telegram causou isto. Releia a frase da Apple: o gatilho foi conteúdo publicado por um utilizador, e a solução foi o programador remover esse conteúdo e banir essa conta. A app em si nunca foi o problema, e a correção não exigiu qualquer alteração de código.

As App Store Review Guidelines da Apple tornam isso regra e não exceção. A diretriz 1.2 exige a qualquer app com conteúdo gerado por utilizadores ou funções sociais um método para filtrar material ofensivo, um mecanismo para denunciar conteúdo ofensivo com respostas atempadas, a capacidade de bloquear utilizadores abusivos e contactos publicados. Depois coloca a obrigação onde o incidente a colocou: "É da sua responsabilidade remover conteúdo que viole esta diretriz, os seus termos de serviço ou as suas normas de comunidade."

A consequência está escrita no mesmo parágrafo. Se a Apple encontrar esse conteúdo, pedirá ao programador que o remova e que apresente um plano para melhorar o cumprimento e, consoante essa resposta, a app pode ser retirada da App Store até se demonstrarem melhorias. Comportamentos graves ou repetidos são fundamento para remoção imediata tanto da App Store como do Apple Developer Program. A diretriz 1.1.4, sobre material abertamente sexual, acompanha-a como fundamento de rejeição e remoção.

A variável que decidiu a duração

Duas apps podiam receber a mesma constatação e ter terças-feiras muito diferentes. A diretriz liga o desfecho à resposta do programador, e essa resposta é um problema operacional: encontrar o objeto, removê-lo, identificar e banir a conta e responder, fora de horas, à hora a que a revisão chegar. O Telegram conseguiu-o numa única noite. Uma app cujo engenheiro de piquete vê o email às nove da manhã seguinte, não.

É esta a parte que se generaliza muito para lá das mensagens. Qualquer superfície onde um desconhecido possa colocar bytes no seu produto é, para este efeito, conteúdo gerado por utilizadores: um campo de avaliações, uma caixa de comentários pública, uma fotografia de perfil, um documento partilhado, um anexo num pedido de apoio, uma conversa dentro de um jogo. A maioria das empresas que opera uma destas coisas não se vê a exercer uma função de moderação, e descobre o contrário na noite em que isso conta.

Em resumo: nas categorias de conteúdo mais sérias, conte com a remoção a preceder a negociação. A Apple descreve uma escada que começa com um pedido, mas reserva também a remoção imediata para casos graves, e o material de abuso sexual de crianças é o exemplo mais claro. Isso significa que o seu tempo de reposição, e não a sua narrativa de prevenção, é o número que governa a sua exposição.

Meça o seu próprio número esta semana

Faça o exercício em vez de ler a política. Escolha uma superfície viva com conteúdo de utilizadores, peça a alguém que apresente uma denúncia sobre um item concreto às três da manhã de um domingo, e cronometre quatro coisas: quanto tempo até um humano a ver, quanto até o item desaparecer, quanto até a conta ser bloqueada, e quanto até alguém poder responder à loja com o que foi feito. Esse tempo total é o seu risco de distribuição, expresso em horas. Todo o resto da sua documentação de confiança e segurança descreve intenções.

Duas notas estruturais sobre as quais agir. Mantenha a via de contacto publicada da diretriz 1.2 vigiada por uma escala de piquete e não por uma caixa de correio de que ninguém é dono, porque é o canal que uma loja vai usar. E confirme quais dos seus canais de distribuição são independentes: a Mac App Store e o Google Play continuaram a servir o Telegram todo o tempo, e só por isso o incidente foi um incómodo para a maioria dos utilizadores em vez de uma paragem.

A acusação de extorsão a que a Apple não respondeu

O relato de Durov muda o tipo de incidente que este foi. Disse que o atacante era "um extorsionário de remoções: alguém que exige resgate aos administradores de grupos em troca de não visar as suas comunidades", e que o método concreto foi editar uma mensagem antiga num grupo já público para inserir material de abuso sexual de crianças alterado por IA. Como as ferramentas de moderação do Telegram destacam publicações novas para revisão, e não edições de mensagens antigas, os membros do grupo nunca viram a alteração aparecer como algo a denunciar, e o extorsionário denunciou a mensagem adulterada diretamente à Apple para provocar a remoção antes de os próprios sistemas do Telegram a detetarem.

A Apple não comentou a acusação de extorsão; a sua declaração pública trata apenas do conteúdo encontrado e do facto de o programador o ter removido. Esse silêncio importa para quem gere uma plataforma com grupos ou canais públicos: significa que um atacante que compreenda o vosso processo de revisão pode transformar a própria promessa de segurança da plataforma numa arma contra vós, provocando uma remoção em vez de invadir um servidor, e nenhuma revisão de código ou reforço de infraestrutura o apanha. A defesa não é técnica. É um processo de moderação e recurso suficientemente rápido e documentado para mostrar a um revisor, em minutos, que alteração foi feita por quem.

Leia a seguir: A App Store da Apple perdeu o seu último defensor  |  Apple fixa novas taxas na App Store da UE de 1 out