O Google anunciou durante o Cloud Next de abril de 2026 o “Cloud Fraud Defense”, descrito como a pr\u00f3xima evolu\u00e7\u00e3o do reCAPTCHA. Clientes existentes foram migrados automaticamente. O que n\u00e3o foi amplamente comunicado \u00e9 o que acontece quando o sistema considera o tr\u00e1fego suspeito: em vez das tradicionais grades de imagens para clicar, o novo fluxo pode exibir um QR code para verifica\u00e7\u00e3o \u2014 e escanear esse QR code exige dispositivos com Google Play Services no Android ou os mecanismos equivalentes da Apple no iOS.<\/p>\n\n\n\n
O problema surge para usu\u00e1rios de sistemas operacionais Android focados em privacidade como GrapheneOS e CalyxOS, que deliberadamente removem os servi\u00e7os do Google e podem ser incapazes de completar a verifica\u00e7\u00e3o. Para esses usu\u00e1rios, a consequ\u00eancia pr\u00e1tica \u00e9 ser bloqueado de qualquer site que utilize o novo reCAPTCHA de forma exclusiva.<\/p>\n\n\n\n
O GrapheneOS<\/a> \u2014 sistema operacional Android recomendado pela Electronic Frontier Foundation e pela Soberano no guide<\/a> do indiv\u00edduo soberano \u2014 publicou uma an\u00e1lise do mecanismo<\/strong><\/a>. Segundo o projeto, o novo fluxo do reCAPTCHA est\u00e1 ligado \u00e0 Play Integrity API do Google e ao App Attest da Apple: frameworks que permitem que sites e aplicativos verifiquem se o usu\u00e1rio est\u00e1 rodando hardware e software aprovados antes de conceder acesso.<\/p>\n\n\n\n O argumento do Google \u00e9 preven\u00e7\u00e3o de fraude e abuso por bots. O argumento dos cr\u00edticos \u00e9 que o mesmo mecanismo concede ao Google e \u00e0 Apple controle crescente sobre quais dispositivos podem acessar grandes por\u00e7\u00f5es da internet \u2014 independentemente da inten\u00e7\u00e3o do usu\u00e1rio.<\/p>\n\n\n\n O projeto tamb\u00e9m tra\u00e7ou uma linha entre o novo reCAPTCHA e a proposta Web Environment Integrity (WEI) que o Google abandonou em 2023 ap\u00f3s forte rejei\u00e7\u00e3o de desenvolvedores, fornecedores de navegadores e grupos de padr\u00f5es.<\/p>\n\n\n\n A WEI propunha APIs de atesta\u00e7\u00e3o no n\u00edvel do navegador para verificar se o ambiente do dispositivo atendia a requisitos espec\u00edficos. A conclus\u00e3o do GrapheneOS \u00e9 que o Cloud Fraud Defense chega ao mesmo resultado por um caminho diferente \u2014 via verifica\u00e7\u00e3o de dispositivo por QR code.<\/p>\n\n\n\n A MEGA, servi\u00e7o de armazenamento em nuvem focado em privacidade, alertou<\/a> publicamente que usu\u00e1rios sem “dispositivo certificado” j\u00e1 n\u00e3o conseguem completar o fluxo de verifica\u00e7\u00e3o por QR, e que o Google pode eventualmente remover os m\u00e9todos alternativos de fallback ainda acess\u00edveis via \u00edcones secund\u00e1rios na tela de verifica\u00e7\u00e3o.<\/p>\n\n\n\n