É seguro abrir um arquivo MBOX?

É. Um arquivo MBOX é texto simples e não consegue executar nada sozinho; abrir um é tão perigoso quanto abrir um documento de texto, ou seja, nada. Os riscos estão no que o arquivo contém e no que o seu leitor faz — três coisas específicas, todas administráveis.

Risco um: os anexos

O arquivo em si é inerte, mas uma mensagem lá dentro pode carregar um anexo que não é. Uma planilha cheia de macros de 2012 é exatamente tão nociva hoje quanto era então, e um arquivo antigo é justamente onde esse tipo de coisa mora.

Nada acontece enquanto ela está parada dentro da caixa de correio. Os anexos ficam guardados como texto em base64 — uma foto, uma nota fiscal e um malware são todos só caracteres até que algo os decodifique e execute. O momento de risco é quando você salva um em disco e dá dois cliques nele, e aí valem as regras de sempre: veja o que é, desconfie de executáveis e de macros, deixe o antivírus olhar.

Ler a mensagem é seguro. Agir sobre o que há dentro dela é onde entra o bom senso.

Risco dois: as imagens remotas

Esse é mais sutil e afeta muito mais gente, porque cair nele não custa nada a você.

Muitos e-mails em HTML não embutem as imagens; eles apontam para elas. Abra a mensagem e o seu computador vai buscar esses arquivos num servidor, e essa requisição conta ao remetente que a mensagem foi aberta, mais ou menos quando e mais ou menos de onde. Num arquivo é pior do que no e-mail vivo: abra uma caixa de correio de 2015 e você pode anunciar discretamente a algumas centenas de remetentes que um endereço que eles já tinham dado por morto está vivo e lendo.

A resposta não é evitar abrir o seu e-mail. É usar um leitor que não busca nada sem você pedir. O Mbox Viewer bloqueia imagens remotas e higieniza o HTML por padrão; nada é carregado da internet até você decidir que sim, numa mensagem que você já olhou e quer ver direito.

Risco três: o próprio leitor

Aqui está o risco que ninguém menciona, e é o maior de todos.

Procure um jeito de abrir um arquivo MBOX e boa parte dos resultados são sites: envie a sua caixa de correio, nós a mostramos no navegador. Releia essa oferta pensando no conteúdo. Uma exportação do Gmail são todas as mensagens que você recebeu em vinte anos — o seu banco, o seu médico, o seu advogado, as redefinições de senha, tudo. Subir isso para o servidor de um desconhecido para dar uma olhada não é uma troca razoável e, se o arquivo estiver coberto por um pedido de registros, por uma retenção legal ou por qualquer dever de proteção de dados, é uma troca que você nem sequer tem permissão de fazer.

Os aplicativos de desktop merecem a mesma pergunta, só que formulada de outro jeito: ele conversa com algum servidor por conta própria, exige conta, o que faz com um relatório de falha?

A resposta do Mbox Viewer é que tudo roda localmente. Sem nuvem, sem telemetria, sem conta, sem servidor de licenças. Tire o cabo de rede e ele se comporta igualzinho — que é a única versão dessa afirmação que dá para testar de verdade, e nós preferimos que você teste.

E o seu arquivo, corre risco ao ser aberto?

Pergunta diferente, e justa: abrir o arquivo pode danificá-lo?

Aqui não. O aplicativo é estritamente somente leitura — nunca escreve na caixa de correio que você abriu. Até a função de reparo, que reconstrói fronteiras de mensagem danificadas, grava uma cópia reparada num arquivo novo e deixa o original exatamente como o encontrou. Vale o mesmo para exportar uma seleção como um MBOX novo: sai um arquivo novo, o original fica intacto.

Vale conferir isso em qualquer ferramenta que você use, porque “abrir” quer dizer coisas diferentes. Uma importação copia o seu e-mail para dentro do banco de dados de outro programa. Não é isso que acontece quando um leitor abre um arquivo.

A versão curta

O arquivo é seguro. Tenha cuidado com os anexos que você salva, use um leitor que bloqueie imagens remotas e não suba vinte anos da sua correspondência para um site só para não instalar um aplicativo.

---

Mais sobre o que o aplicativo faz e não faz com os seus dados na página de recursos e na política de privacidade.