MSG Gov é seguro? Entenda o “WhatsApp do governo” e os riscos por trás do aplicativo
A Abin regulamentou o MSG Gov para comunicações sensíveis dentro do Sistema Brasileiro de Inteligência. O aplicativo possui criptografia própria, acesso controlado e regras para os dispositivos utilizados. Mas isso significa que ele é realmente seguro?
Quando começaram a aparecer as notícias sobre o MSG Gov, muita gente resumiu a história chamando o aplicativo de “WhatsApp do governo”.
Fui olhar um pouco além da manchete porque, para quem trabalha com Segurança da Informação, a parte interessante não é saber se o aplicativo tem mensagem, grupo, áudio ou chamada de vídeo.
O que interessa é entender como ele protege as comunicações, quem pode acessar, em quais dispositivos será utilizado e o que acontece quando alguma coisa dá errado.
E já adianto uma coisa: ser uma ferramenta criada para comunicação governamental não torna o aplicativo automaticamente seguro. Assim como ter criptografia não elimina todos os riscos.
O governo regulamentou o uso do MSG Gov
A Agência Brasileira de Inteligência regulamentou a utilização do MSG Gov por meio da Portaria GAB/DG/ABIN/CC/PR nº 4.628/2026.
A Portaria é datada de 28 de julho de 2026 e foi publicada no Diário Oficial da União em 8 de setembro de 2026.
O regulamento estabelece regras para utilização da plataforma dentro do Sistema Brasileiro de Inteligência, o Sisbin, incluindo requisitos relacionados a acesso, responsabilidade dos usuários, dispositivos utilizados e tratamento de incidentes de segurança.
Então existe uma primeira informação importante para corrigir.
O aplicativo pode ser encontrado nas lojas, mas seu acesso depende de habilitação. Atualmente ele está sendo implantado para usuários autorizados dentro dos órgãos que integram o Sisbin.
O que é o MSG Gov?
O MSG Gov é uma plataforma de comunicação desenvolvida em um projeto envolvendo a Abin, a Universidade Federal do Ceará e o Serpro.
Para quem olha a interface, a experiência não parece tão diferente dos mensageiros que utilizamos todos os dias.
Existem mensagens, grupos, arquivos, áudios, chamadas de voz e vídeo e outros recursos de comunicação.
Mas o objetivo da plataforma é diferente.
Ela foi pensada para comunicações institucionais que exigem controles específicos de segurança.
Isso muda bastante a análise.
Quando estamos falando de informações sensíveis, segurança não depende somente da mensagem estar criptografada. É preciso controlar também identidade, dispositivo, infraestrutura, credenciais, acesso e resposta a incidentes.
Como as mensagens do MSG Gov são protegidas?
Materiais divulgados sobre o projeto informam que a plataforma utiliza duas camadas de criptografia.
A regulamentação classifica o MSG Gov como um recurso criptográfico baseado em algoritmo de Estado.
Esse recurso possui tratamento de acesso restrito e exige procedimentos específicos para acesso, manutenção, armazenamento, transferência, trânsito e descarte.
O desenvolvimento da tecnologia criptográfica envolve o Centro de Pesquisa e Desenvolvimento para a Segurança das Comunicações, o CEPESC, ligado à Abin.
Pesquisadores envolvidos no desenvolvimento também informaram que a plataforma utiliza o protocolo Matrix e possui infraestrutura sob gestão do Serpro.
É uma arquitetura interessante. Mas segurança não pode ser medida apenas pela quantidade de criptografia utilizada.
Criptografia forte não protege um celular comprometido
Esse é o ponto que considero mais importante nessa história.
Imagine que uma mensagem saia de um telefone protegida por uma excelente criptografia e chegue ao outro lado da mesma maneira.
Durante a transmissão, tudo funciona perfeitamente.
Agora imagine que um dos celulares esteja infectado por malware.
O criminoso talvez nem precise tentar quebrar a criptografia.
Ele pode tentar acessar a informação quando ela já estiver aberta no dispositivo.
O mesmo raciocínio vale para roubo de credenciais, phishing, engenharia social, acesso físico ao aparelho e vulnerabilidades no próprio sistema operacional.
Quando alguém me diz que um aplicativo é seguro porque usa criptografia, minha próxima pergunta é sobre o dispositivo. A mensagem pode estar muito bem protegida no caminho e completamente exposta na ponta.
A própria regulamentação considera o celular pessoal um risco adicional
Esse ponto da Portaria me chamou atenção porque mostra que o problema do endpoint foi considerado.
Quando o órgão fornece um aparelho corporativo, a regra é utilizar o MSG Gov nesse dispositivo de uso funcional.
A instalação em celular particular ou utilizado ao mesmo tempo para atividades pessoais e profissionais é tratada pela regulamentação como risco adicional à Segurança da Informação.
Nesse caso, o uso deve passar por avaliação e autorização.
Isso faz bastante sentido.
Pense no celular que usamos todos os dias.
- WhatsApp pessoal
- Instagram e outras redes sociais
- Aplicativos bancários
- E mail
- Navegadores
- Jogos
- Aplicativos de compras
- Arquivos pessoais
- Links recebidos por SMS e mensageiros
Agora coloque nesse mesmo aparelho uma plataforma destinada a comunicações sensíveis.
A superfície de ataque muda.
O atacante pode simplesmente tentar enganar o usuário
Tem outra coisa que nenhum algoritmo resolve sozinho.
O usuário.
Um atacante pode tentar enviar um e mail falso.
Pode criar uma página de autenticação falsa.
Pode se passar por suporte.
Pode tentar roubar uma credencial.
Pode convencer alguém a instalar um aplicativo.
Pode explorar uma vulnerabilidade em outro software existente no mesmo aparelho.
É por isso que ataques de engenharia social continuam funcionando mesmo em empresas que gastam muito dinheiro com tecnologia.
Nem sempre o caminho mais fácil é quebrar a proteção.
Às vezes é convencer alguém que possui acesso legítimo a abrir a porta.
O regulamento também fala em incidentes de segurança
A Portaria estabelece responsabilidades para quem utiliza a plataforma.
Entre elas está a obrigação de aplicar medidas de segurança sobre as informações acessadas e se responsabilizar pelas ações executadas com suas credenciais.
O regulamento também recomenda que incidentes relacionados ao MSG Gov sejam comunicados ao Gestor de Segurança da Informação e à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do órgão.
Essa parte é tão importante quanto a criptografia.
Porque não existe ambiente tecnológico em que a pergunta correta seja:
Será que algum dia teremos um incidente?
A pergunta mais realista é:
Quando alguma coisa acontecer, vamos perceber e saber responder?
Um sistema seguro precisa considerar prevenção, detecção, investigação e resposta.
Até viagens internacionais aparecem nas regras de segurança
A regulamentação também estabelece recomendações específicas para utilização da ferramenta em viagens internacionais a serviço.
Entre os cuidados previstos estão autorização da administração, comunicação ao responsável pela Segurança da Informação e medidas para manter o controle físico do dispositivo.
Isso pode parecer exagero para quem olha um celular apenas como telefone.
Em segurança, porém, um dispositivo que possui acesso a informações sensíveis é um ativo.
O valor não está no aparelho.
Está na informação e nos acessos existentes dentro dele.
MSG Gov é mais seguro que WhatsApp?
Eu não responderia essa pergunta simplesmente com sim ou não.
Estamos comparando ferramentas criadas para situações diferentes.
O WhatsApp atende bilhões de usuários e precisa funcionar em praticamente qualquer celular.
O MSG Gov está sendo utilizado em um ambiente institucional restrito, no qual existe controle sobre quem recebe acesso e existem regras específicas para utilização.
A grande diferença não está apenas na criptografia.
Está na possibilidade de controlar melhor todo o ambiente.
- Quem pode acessar?
- Qual dispositivo pode utilizar o aplicativo?
- Como uma conta é autorizada?
- Como as credenciais são protegidas?
- Quem responde por um incidente?
- Como um dispositivo comprometido é tratado?
- Como vulnerabilidades serão corrigidas?
Essas respostas dizem muito mais sobre segurança do que simplesmente colocar um selo dizendo que determinada solução é segura.
Ser um aplicativo estatal não significa ser invulnerável
Também precisamos evitar o outro extremo dessa discussão.
O fato de existir uma tecnologia criptográfica própria, infraestrutura controlada e regras de utilização não significa que o MSG Gov esteja livre de vulnerabilidades.
Software possui falhas.
Sistemas operacionais possuem falhas.
Bibliotecas possuem falhas.
Usuários cometem erros.
Configurações podem ser feitas incorretamente.
O que vai mostrar a maturidade da plataforma ao longo do tempo será a forma como esses problemas serão identificados e tratados.
Pesquisadores precisam ter um canal claro para comunicar problemas de segurança sem transformar uma descoberta técnica em uma dificuldade burocrática.
O que eu gostaria de saber daqui para frente
Depois de ler a regulamentação, algumas perguntas ficaram na minha cabeça.
- Como serão realizados os testes de segurança da plataforma?
- Existirá programa formal para reporte de vulnerabilidades?
- Como as atualizações críticas serão distribuídas?
- Como será feito o gerenciamento dos celulares corporativos?
- Quais controles existirão contra dispositivos comprometidos?
- Como serão monitoradas tentativas de acesso indevido?
- Como ocorrerá a revogação de acesso quando um servidor mudar de função?
- Quais informações de auditoria ficam registradas?
Essas respostas vão permitir uma avaliação muito mais interessante do que simplesmente perguntar se o aplicativo possui criptografia.
Você pode baixar o MSG Gov?
O aplicativo pode aparecer disponível nas lojas oficiais, mas isso não significa que qualquer pessoa possa utilizá lo.
O acesso depende de habilitação.
A regulamentação publicada agora trata especificamente da utilização dentro do Sistema Brasileiro de Inteligência.
Portanto, não estamos falando neste momento de um aplicativo criado para substituir o WhatsApp dos brasileiros.
É uma ferramenta institucional para um grupo específico de usuários.
Dúvidas sobre o MSG Gov
O MSG Gov vai substituir o WhatsApp?
Não para a população. A regulamentação atual trata do uso institucional por pessoas habilitadas dentro do Sistema Brasileiro de Inteligência.
Qualquer pessoa pode criar uma conta no MSG Gov?
Não. Mesmo que o aplicativo esteja disponível para instalação, o acesso depende de habilitação.
O MSG Gov utiliza criptografia?
Sim. A regulamentação classifica a solução como recurso criptográfico baseado em algoritmo de Estado e materiais divulgados pelo projeto descrevem uma arquitetura com duas camadas de criptografia.
O MSG Gov pode ser instalado em celular pessoal?
A regulamentação prevê essa possibilidade mediante avaliação e autorização, mas considera o uso em aparelho particular ou de uso misto um risco adicional à Segurança da Informação.
O MSG Gov é impossível de invadir?
Não existe sistema que possa ser considerado invulnerável. A proteção depende do aplicativo, do dispositivo, das credenciais, da infraestrutura, dos usuários e da capacidade de detectar e responder a incidentes.
O teste de verdade começa quando o aplicativo entra na rotina dos usuários
O MSG Gov possui características técnicas interessantes.
Existe criptografia própria, controle de acesso, preocupação com dispositivos corporativos, regras para incidentes e cuidados específicos para determinados cenários.
Mas criar o aplicativo é apenas uma parte do trabalho.
Segurança de verdade aparece quando alguém começa a tentar quebrar aquilo que foi construído.É quando surge o phishing.
É quando aparece uma vulnerabilidade.
É quando um celular é perdido.
É quando uma credencial é comprometida.
É quando um usuário comete um erro.
E principalmente quando a equipe responsável precisa detectar o problema e responder rapidamente.
Por isso vou acompanhar a evolução do MSG Gov com bastante atenção.
Não porque seja o chamado “WhatsApp do governo”, mas porque estamos falando de uma plataforma destinada a transportar informações sensíveis.
E quanto mais importante é a informação, maior será o interesse de alguém em tentar chegar até ela.
Em Segurança da Informação eu prefiro não trabalhar com a palavra invulnerável. Prefiro saber quais riscos existem, quais controles foram implementados e, principalmente, o que a organização fará no dia em que algum desses controles falhar.
Referências consultadas
Esta análise foi escrita em palavras próprias a partir da regulamentação e das informações técnicas publicadas nas fontes abaixo.
