Um simples pedido de voto em um concurso de dança infantil, vindo do número de um amigo ou familiar, tornou-se a isca mais eficiente para sequestrar contas do WhatsApp no Brasil. O golpe não instala vírus: ele convence a própria vítima a entregar as chaves da conta, transformando-a em uma arma para atacar a lista de contatos inteira.
Especialistas em segurança da Eset identificaram a campanha ativa em dezenas de países, da Europa à Ásia, antes de chegar por aqui com nomes como “Mia” e “Sophie”. A mecânica é sempre a mesma: explorar a confiança no remetente para burlar a autenticação de dois fatores.
Como a armadilha é montada sem que você perceba
A mensagem chega de um contato legítimo — cuja conta já foi invadida. O texto pede ajuda para uma criança ganhar uma bolsa de estudos ou um curso de dança gratuito. Ao clicar no link, a vítima cai em uma página clone de votação que solicita o número de telefone.
Até aqui, nenhum dano ocorreu. O perigo começa na etapa de “verificação”, que opera em duas frentes:
- Modalidade SMS: O site pede o código de 6 dígitos enviado oficialmente pelo WhatsApp via mensagem de texto.
- Modalidade “Dispositivo Vinculado” (mais comum agora): A página gera um código numérico e orienta a vítima a inseri-lo no WhatsApp, no menu Configurações > Dispositivos conectados > Vincular aparelho.
Em ambos os casos, a ação autoriza um novo dispositivo — controlado pelo criminoso — a acessar a conta em tempo real, sem derrubar a sessão do celular original.
Por que profissionais e donos de negócio são o alvo principal
Para um empresário ou investidor, a invasão vai além do incômodo pessoal. Com acesso às conversas, o invasor mapeia fornecedores, clientes e sócios. O passo seguinte costuma ser o envio de pedidos urgentes de transferência via Pix, alegando emergências médicas ou problemas bancários, aproveitando a credibilidade do número verificado.
Relatórios indicam que grupos de trabalho e listas de transmissão corporativas amplificam o alcance da fraude exponencialmente. Cada conta comprometida vira um nó de propagação confiável, dificultando o bloqueio pelas plataformas.
Sinais de que sua conta pode já estar sendo espionada
Diferente do golpe clássico onde você perde o acesso ao app, aqui o WhatsApp continua funcionando no seu celular. Fique atento a:
- Notificações de “Novo dispositivo vinculado” que você não fez.
- Mensagens lidas que você não abriu (marcações azuis inesperadas).
- Contatos perguntando sobre pedidos de dinheiro ou links estranhos que “você enviou”.
Blindagem prática: 5 passos inegociáveis para sua segurança
A defesa não depende de antivírus, mas de procedimento. Implemente hoje:
- Regra de ouro: Nunca compartilhe códigos recebidos por SMS nem digite códigos de sites externos no menu “Vincular aparelho”. O WhatsApp nunca pede isso para votações.
- Confirmação fora de banda: Recebeu pedido estranho de um conhecido? Ligue ou mande áudio para confirmar. Não responda pelo próprio chat.
- Auditoria semanal: Acesse Configurações > Dispositivos conectados. Encerre sessões antigas ou desconhecidas imediatamente.
- Ative a Verificação em Duas Etapas: Em Configurações > Conta > Confirmação em duas etapas, crie um PIN de 6 dígitos. Isso impede o registro do seu número em outro chip sem a senha.
- Desconfie de urgência: Golpistas criam pressão de tempo (“a votação acaba em 10 minutos”). Pare, respire, verifique.
O protocolo de emergência se você clicou e forneceu o código
Se você inseriu o código ou suspeita de acesso indevido, aja em minutos:
- Vá em Dispositivos conectados e remova todas as sessões ativas, exceto a do seu celular atual.
- Ative a Confirmação em Duas Etapas (PIN) imediatamente.
- Se perdeu o acesso total: reinstale o WhatsApp, registre com seu número e use o código SMS para recuperar a posse. O aparelho do invasor será desconectado automaticamente.
- Avise sua rede: “Minha conta foi comprometida, ignore pedidos de dinheiro ou links enviados nas últimas horas”.
O que observar daqui para frente
A tendência é a sofisticação das páginas falsas, imitando não só votações, mas pesquisas de satisfação, atualizações de cadastro e suporte técnico falso. A engenharia social migra do “clique aqui” para “faça este procedimento de segurança no seu app”.
Para quem gere negócios, a recomendação estratégica é tratar a higiene digital da equipe como ativo financeiro: treinamentos curtos mensais sobre phishing e a obrigatoriedade da verificação em duas etapas em todos os dispositivos corporativos reduzem a superfície de ataque a quase zero. A próxima mensagem suspeita pode não vir de um desconhecido — virá do seu melhor cliente.
