Baixar um software envolve riscos que a maioria dos usuários subestima. Um falso site oficial, um instalador modificado ou uma simples caixa pré-selecionada são suficientes para comprometer um computador. Os mecanismos de verificação integrados aos sistemas operacionais e aos gerenciadores de pacotes reduzem esses riscos, mas sua eficácia varia conforme o canal de download escolhido.
Assinatura digital e gerenciador de pacotes: comparação dos canais de download
Nem todos os canais de download são iguais. Alguns verificam automaticamente a integridade do arquivo; outros deixam o usuário sozinho diante de um instalador cuja origem não pode confirmar.
| Canal | Verificação automática da impressão digital | Assinatura do editor verificada | Risco de software modificado |
|---|---|---|---|
| winget (Windows Package Manager) | Sim | Sim | Baixo |
| Microsoft Store | Sim (SmartScreen integrado) | Sim | Baixo |
| Ninite | Sim | Sim | Baixo |
| Site oficial do editor | Não (manual, por hash) | Varia conforme o editor | Moderado |
| Site de terceiros / espelho não oficial | Não | Não | Alto |
Um levantamento de 14 softwares gratuitos mostra que 11 dos 14 estão disponíveis no winget e que 9 dos 11 presentes no winget têm uma assinatura reconhecida pelo Windows. Seis também estão disponíveis na Microsoft Store. Esses números confirmam que os gerenciadores de pacotes já abrangem a maioria das ferramentas mais usadas.
Quando você procura instalar um software com segurança, a escolha do canal é tão importante quanto a escolha do próprio software.
Falsos sites oficiais e instaladores maliciosos: diferenças de risco entre as fontes
No fim de outubro de 2022, um anúncio do Google para o GIMP exibia o endereço gimp.org. Ao clicar, o usuário era redirecionado para gilimp.org, um clone que hospedava um instalador de 700 MB com o Vidar, um ladrão de senhas. A diferença entre o site exibido e o site real era apenas uma letra.
Esse tipo de ataque explora a confiança visual. O nome de domínio se parece com o original, o design do site é copiado e o arquivo oferecido tem o nome esperado. Conferir o nome de domínio letra por letra continua sendo a primeira medida antes de baixar qualquer arquivo por meio de um mecanismo de busca.
Verifique a impressão digital do arquivo antes de executá-lo
A maioria dos desenvolvedores de software livre publica a impressão digital (hash SHA-256 ou MD5) dos arquivos para download. Dos 8 softwares livres do levantamento mencionado acima, 7 publicam a impressão digital em sua página oficial. Nenhum editor comercial faz o mesmo em suas páginas públicas.
Verificar essa impressão digital leva menos de um minuto no Windows, usando o comando certutil -hashfile no Prompt de Comando. Se o hash não corresponder, o arquivo foi modificado entre o servidor do editor e o seu computador.
- Obtenha o hash publicado no site oficial do editor (não em um fórum ou site de terceiros)
- Abra o Prompt de Comando e digite: certutil -hashfile caminho_do_arquivo SHA256
- Compare as duas sequências de caracteres: elas devem ser exatamente iguais
- Em caso de dúvida, envie a impressão digital ao VirusTotal antes de enviar o próprio arquivo, para evitar compartilhar um documento potencialmente confidencial
Alertas do SmartScreen e aplicativos sem assinatura no Windows
Quando o Windows exibe a mensagem “O Windows protegeu o seu computador”, o SmartScreen indica que o aplicativo não é reconhecido ou que não tem assinatura. Por padrão, esse filtro bloqueia executáveis sem reputação estabelecida.
Desativar o SmartScreen para forçar a instalação é um erro comum. Um alerta do SmartScreen não significa que o arquivo seja perigoso, mas que ele não foi verificado. A diferença é importante: um software legítimo, mas pouco baixado, acionará o mesmo alerta que um malware recente.
O que fazer diante de um alerta
Antes de clicar em “Executar mesmo assim”, faça duas verificações:
- Confirme que o arquivo realmente veio do site oficial do editor (verifique o URL no histórico de downloads do navegador)
- Clique com o botão direito no arquivo, abra as propriedades e acesse a guia “Assinaturas digitais”: o nome do editor deve corresponder ao desenvolvedor esperado
- Se não houver assinatura e o software não for de código aberto, cancele a instalação e procure uma alternativa no winget ou na Microsoft Store
Cyber Resilience Act: o que o regulamento europeu muda nas atualizações de software
A segurança de um software não depende apenas do momento do download. Um software sem manutenção acumula vulnerabilidades que os invasores exploram meses após a instalação.
O regulamento europeu de ciber-resiliência (Cyber Resilience Act, Regulamento UE 2024/2847) estabelece obrigações de acompanhamento para os editores de produtos digitais. As obrigações de notificação de vulnerabilidades passam a valer a partir de 11 de setembro de 2026. A aplicação principal do regulamento, que abrange os requisitos de segurança ao longo do ciclo de vida dos produtos, entra em vigor em 11 de dezembro de 2027.
Os softwares de código aberto não estão automaticamente isentos. O regulamento também abrange determinados softwares distribuídos de forma independente, com obrigações que variam conforme o papel do agente e o modo de distribuição. Um software gratuito mantido por uma fundação comercial pode estar sujeito ao regulamento.
Esse quadro regulatório oferece um critério concreto de seleção: prefira editores que publiquem um calendário de atualizações e um processo para comunicar falhas. Um software cuja última atualização tenha sido há mais de um ano, sem qualquer informação sobre uma política de segurança, representa um risco cada vez maior com o passar do tempo.
O canal de download, a verificação da impressão digital e o acompanhamento das atualizações são três filtros complementares. Nenhum deles é suficiente por si só. O dado mais revelador continua sendo o do levantamento: dos 14 softwares testados, 11 estão disponíveis no winget com verificação automática. Para a maioria das instalações mais comuns, esse é o caminho mais rápido para ter um computador confiável.
