“Sua tela está sendo observada” no Mac: o que isso realmente significa

Essa resposta é a parte fácil. A parte difícil, e o motivo pelo qual você provavelmente chegou aqui depois de ler três outros guias, é que o conselho de sempre não sobrevive ao contato com a realidade. Você desliga o Compartilhamento de Tela, revoga algumas permissões, reinicia, e a mensagem continua aparecendo ou volta dois dias depois. Este artigo explica o mecanismo por trás disso, que é o que de fato deixa você encontrar o culpado em uns dois minutos.

O que a mensagem realmente significa#

O macOS exibe esse aviso na tela de bloqueio quando algo está capturando o conteúdo da sua tela. A própria documentação da Apple é clara quanto à intenção: quando um software está compartilhando ou gravando sua tela, a tela de bloqueio avisa. Ele aparece justamente na tela de bloqueio porque esse é o único momento em que você não consegue ver a barra de menus, onde ficam os indicadores de privacidade em tempo real. Você se afasta, o Mac bloqueia, e o macOS garante que a última coisa que você vê seja um aviso de que algo ainda está observando.

A permissão por trás disso fica em Ajustes do Sistema > Privacidade e Segurança > Gravação de Tela e Áudio do Sistema. Qualquer app que queira acessar os pixels da sua tela precisa aparecer nessa lista e estar habilitado. Não existe atalho, nenhum caminho oculto e nenhuma exceção antiga: desde o macOS Catalina isso é obrigatório no nível do sistema para todo app, assinado ou não.

A distinção que todo outro guia ignora: ter a permissão não é a mesma coisa que usá-la#

É aí que a maioria das investigações erra o alvo. Um app pode ficar na sua lista de Gravação de Tela e Áudio do Sistema com o botão ligado por dezoito meses sem nunca disparar a mensagem da tela de bloqueio. A permissão é uma autorização permanente. A mensagem rastreia algo bem mais específico: um processo que está, agora mesmo, abrindo de fato um fluxo de captura.

A consequência prática importa. Quando um guia manda você revogar todos os apps dessa lista, a mensagem costuma sumir, e você conclui que o último app que desligou era o culpado. Provavelmente não era. Você revogou onze permissões de uma vez, uma delas era a que estava capturando de verdade, e agora tem uma ferramenta de captura de tela quebrada, um app de videochamada que não consegue mais compartilhar janela, e nenhuma ideia de qual mudança fez o quê.

Faça o caminho inverso. Identifique o que está capturando agora e só depois decida se deveria estar. Isso leva alguns minutos e deixa o resto do seu Mac intacto.

Como encontrar o app que está realmente observando sua tela#

Na ordem, começando pela checagem mais simples. Pare assim que um desses passos identificar o app, porque as etapas seguintes só servem quando as anteriores não dão em nada.

• Abra a Central de Controle e olhe o topo do painel. Quando algo está capturando sua tela ou o áudio do sistema, o macOS lista o app responsável ali. Nas versões recentes do macOS, um indicador colorido aparece ao lado do ícone da Central de Controle na barra de menus enquanto a captura estiver ativa. É a resposta mais rápida que existe, e a maioria dos guias nem menciona isso.
• Confira os serviços de compartilhamento. Ajustes do Sistema > Geral > Compartilhamento. Compartilhamento de Tela, Gerenciamento Remoto e Login Remoto são os três que importam. O Gerenciamento Remoto, em especial, é aquele que alguém liga uma vez para uma sessão de suporte anos atrás e nunca mais desliga.
• Confira o AirPlay e o espelhamento. Ajustes do Sistema > Geral > AirDrop e Handoff para o AirPlay Receiver, além do bloco Espelhamento de Tela na Central de Controle. Espelhar para uma TV ou outro Mac é observação sob qualquer definição razoável, e o macOS relata isso como tal.
• Leia a lista de Gravação de Tela e Áudio do Sistema como uma lista curta, não como uma lista de acusados. Você não vai revogar tudo. Está procurando um ou dois itens que não consegue explicar, e qualquer coisa instalada na semana em que a mensagem começou a aparecer.
• Abra o Monitor de Atividade e ordene por CPU. Um processo capturando sua tela continuamente dificilmente fica em zero. Cruze qualquer nome desconhecido com a lista de permissões do passo anterior.
• Confira o que abre sozinho. Ajustes do Sistema > Geral > Itens de Login e Extensões cobre tanto os itens de login quanto os agentes em segundo plano que nem mostram mais uma janela. É aqui que uma ferramenta desinstalada meses atrás ainda pode ter um auxiliar rodando por baixo.

"Your Screen Is Being Observed on Mac": Is Someone Really Watching?Moonlock by MacPawYouTube

Por que o macOS moderno continua pedindo de novo (e por que isso não é um bug)#

Se o seu Mac começou a incomodar você com pedidos de permissão de gravação de tela periodicamente, isso é proposital. A partir do macOS Sequoia, a Apple passou a expirar as autorizações de gravação de tela: apps que capturam sua tela precisam pedir de novo periodicamente, em vez de manter a permissão para sempre. As primeiras betas pediam toda semana, o que gerou bastante crítica, e a Apple ajustou para algo em torno de uma vez por mês antes do lançamento.

Vale entender isso porque muda o que um pedido recorrente significa. Um pedido mensal de um app que você usa todo dia é o sistema fazendo o que deveria. Um pedido de um app que você não reconhece, ou um que aparece com muito mais frequência do que uma vez por mês, merece os dois minutos de investigação descritos acima. Pesquisadores de segurança criticaram bastante essa frequência na época, argumentando que a fadiga de pedidos ensina as pessoas a clicar em Permitir sem ler, e essa crítica fazia sentido. É exatamente por isso que vale a pena ler o nome do app no pedido em vez de descartá-lo no automático.

O KeepingYouAwake causa isso? Não, e veja como ter certeza#

Isso aparece o tempo todo, porque no momento em que as pessoas começam a auditar a barra de menus, ficam desconfiadas de todo utilitário pequeno que está lá. KeepingYouAwake, Amphetamine e o comando `caffeinate`, nativo do sistema, são os suspeitos de sempre. Eles são inocentes, e vale entender o motivo.

Um app para manter o Mac acordado funciona por meio de asserções de energia: ele pede ao macOS para não deixar a tela dormir. Isso é um pedido de gerenciamento de energia. Ele nunca toca no conteúdo da sua tela, não precisa da permissão de Gravação de Tela e Áudio do Sistema, e por isso não pode gerar a mensagem “sua tela está sendo observada”. Se quiser confirmar em vez de confiar na minha palavra, abra Privacidade e Segurança > Gravação de Tela e Áudio do Sistema e veja: um app para manter a tela acordada nem aparece na lista, porque nunca teve motivo para pedir.

A confusão é compreensível. As duas categorias são ferramentas invisíveis na barra de menus que fazem algo com o seu Mac que você não vê, e as duas aparecem na mesma sessão de busca desesperada. Mas se você está caçando a origem da mensagem, um app para manter a tela acordada é um beco sem saída, e dá para descartá-lo de cara. O que esses apps realmente merecem é atenção ao problema oposto: um app para manter um MacBook acordado vai manter a tela ligada a tarde toda de bom grado, o que é uma questão de bateria e cansaço visual, não de privacidade.

Por que meu MacBook diz que minha tela está sendo observada?#

No mecanismo, é idêntico: um MacBook é um Mac, e a mensagem vem da mesma permissão. Mas os laptops acrescentam quatro gatilhos que um desktop raramente vê, e se você está buscando especificamente a frase do MacBook, provavelmente um destes é o seu caso.

• Telas externas e modo clamshell. Conectar, desconectar e espelhar para um monitor ou uma TV envolvem o pipeline de tela, e o espelhamento em especial é relatado como observação.
• Sidecar e Continuity. Usar um iPad como segunda tela é uma forma legítima de compartilhamento de tela, criada pela própria Apple, e ela se anuncia como tal.
• Um laptop de trabalho com gerenciamento de dispositivo. Esse é o principal gatilho, e o que outros guias evitam abordar. Se o seu MacBook foi fornecido por um empregador, confira Ajustes do Sistema > Geral > Gerenciamento de Dispositivo. Um perfil de MDM pode autorizar observação remota da tela, e a mensagem na tela de bloqueio pode ser o único sinal visível disso. Isso não é um mau funcionamento e não é algo que você deveria tentar desativar: é uma conversa para ter com o seu departamento de TI, e em muitas jurisdições o seu empregador tem obrigação de informar sobre isso.
• Hábitos de viagem. Um MacBook entra em mais redes e mais reuniões do que um desktop, o que simplesmente significa que mais apps de videochamada pediram direitos de captura ao longo da vida dele.

Quando vale a pena levar a sério de verdade#

Todo artigo sobre esse tema termina recomendando uma varredura antimalware, geralmente uma que o próprio site vende. Vamos ser diretos sobre a base estatística: a grande maioria dessas mensagens tem origem em um app de videochamada, um utilitário de captura de tela, uma sessão de espelhamento ou uma configuração de compartilhamento esquecida. Malware é a explicação rara, não a padrão, e tratá-la como padrão é o que vende software de limpeza.

Dito isso, raro não é nunca. Leve a sério quando vários destes forem verdade ao mesmo tempo:

• A mensagem aparece em um Mac onde você já passou pelas checagens acima e realmente não consegue explicar nenhum item na lista de permissão de captura.
• Você encontra em Itens de Login e Extensões um app que nunca instalou e não consegue identificar pelo nome.
• O Gerenciamento Remoto está ativado em um Mac pessoal que nunca foi cadastrado por um empregador ou uma assistência técnica.
• O Mac foi configurado por outra pessoa, comprado usado, ou ficou fora do seu controle por um período (um conserto, uma casa compartilhada, um ex-parceiro que sabia a senha).
• Começou logo depois que você instalou um software de fora da App Store ou do site do próprio desenvolvedor, principalmente algo anunciado como grátis que normalmente é pago.

Se isso descreve a sua situação, as respostas úteis são: revogue todos os itens em Gravação de Tela e Áudio do Sistema e conceda de novo só o que você usa de fato, desligue todos os serviços em Geral > Compartilhamento, troque a senha da sua Conta Apple a partir de outro dispositivo, e confira Geral > Gerenciamento de Dispositivo em busca de um perfil que você não instalou. Se o Mac pode ter sido acessado fisicamente por alguém com motivo para monitorar você, e principalmente se isso envolve uma situação doméstica, trate como uma questão de segurança pessoal, não técnica: um reset de fábrica feito a partir de um dispositivo que você controla, e o apoio de uma organização especializada, valem mais do que qualquer ferramenta de limpeza.

“Observada” não significa “enviada para algum lugar”#

Uma última distinção, porque é a que causa mais alarme desnecessário. O macOS informa que sua tela está sendo lida. Ele não diz absolutamente nada sobre para onde esses pixels vão. São duas perguntas completamente diferentes, e o indicador do sistema só responde à primeira.

Muito software legítimo lê sua tela e nunca envia um byte para lugar nenhum. Uma ferramenta de captura de tela lê sua tela. Um seletor de cor lê sua tela. Um gerenciador de janelas lê sua tela. O nosso próprio app também: o Pausr aparece nessa lista de permissão porque ele olha o que está na sua tela, localmente, para descobrir se você está em uma reunião, em uma chamada ou no meio de um jogo, e assim segurar a pausa em vez de jogar um overlay em tela cheia por cima da sua apresentação. Essa leitura acontece no seu Mac e para por aí. Sem conta, sem envio, sem servidor que possa vazar isso.

Mencionamos isso não para vender nada neste ponto do artigo, mas porque é a ilustração mais clara do princípio: a pergunta certa sobre um app na sua lista de permissão de captura não é “por que ele consegue ver minha tela”, e sim “o que ele faz com o que vê, e dá para verificar isso”. Um app que processa localmente e um que transmite sua área de trabalho para um servidor parecem idênticos para a mensagem da tela de bloqueio. Eles não têm absolutamente nada a ver um com o outro.

Pausr