Uma nova onda de ataques no WhatsApp transforma contas legítimas em armas de disseminação em massa. O gatilho é um link de votação falso — supostamente para concursos de dança ou bolsas de estudo — que, na prática, entrega o controle do seu número a criminosos em segundos.
O perigo não está no clique, mas na ação seguinte: fornecer um código ou autorizar um “novo dispositivo”. Entender a diferença entre abrir o link e executar o comando é o que separa um susto de um prejuízo real.
Como a armadilha é montada para parecer inofensiva
A mensagem chega de um conhecido: um familiar, um colega de trabalho, um amigo próximo. O texto pede ajuda para “Mia” ou “Sophie”, meninas que estariam disputando prêmios em dinheiro ou cursos gratuitos. Como o remetente é real — a conta dele já foi invadida —, a desconfiança natural desaparece.
Pesquisadores da Eset América Latina rastrearam essa mecânica na Europa e Ásia antes de chegar ao Brasil. Uma versão anterior usava o nome do Teatro Real, na Espanha. A estrutura é modular: mudam-se nomes, prêmios e idiomas, mas o motor do golpe permanece idêntico.
O golpe do “Dispositivo Vinculado”: a evolução técnica que engana até atentos
Esqueça apenas o pedido de código por SMS. A variante dominante hoje exibe um código na própria página falsa e orienta a vítima a digitá-lo no WhatsApp, na área de Dispositivos Conectados.
Ao fazer isso, a vítima autoriza, voluntariamente, que o navegador do criminoso funcione como um “WhatsApp Web” paralelo. O celular original continua funcionando normalmente, sem notificações de queda de sessão. O invasor lê conversas, acessa grupos e exporta contatos em silêncio.
- Modalidade 1 (Legacy): Página pede o código de 6 dígitos recebido via SMS.
- Modalidade 2 (Atual): Página gera um código e manda digitar em “Vincular Dispositivo”.
Em ambos os casos, a conta passa a disparar a mesma mensagem para toda a agenda, escalando a rede de confiança exponencialmente. Não é vírus; é engenharia social pura.
Riscos diretos para profissionais e negócios
Para quem usa o app no ambiente corporativo, a invasão silenciosa expõe dados sensíveis: negociações em andamento, dados bancários compartilhados em áudios, contatos de fornecedores e clientes.
Com a identidade validada, o criminoso dispara pedidos de Pix urgente (“estou sem acesso ao banco, me ajuda”), vende produtos inexistentes ou usa o histórico para montar golpes direcionados (spear phishing) contra a empresa da vítima. Especialistas alertam para a criação de “bancos de contas” comprometidas, ativos valiosos para fraudes futuras em larga escala.
Checklist de defesa: o que fazer agora (leva 2 minutos)
A proteção eficaz não exige ferramentas caras, apenas higiene digital rigorosa. Aplique hoje:
- Verifique canais paralelos: Recebeu pedido estranho de um contato? Ligue ou mande áudio fora do WhatsApp antes de clicar.
- Código é senha: Nunca compartilhe o código de 6 dígitos (SMS) nem digite códigos de páginas externas no app.
- Audite sessões ativas: Vá em Configurações > Dispositivos Conectados. Encerre tudo que não reconhecer — especialmente “Chrome”, “Firefox” ou “Edge” em horários suspeitos.
- Ative a Verificação em Duas Etapas: Configurações > Conta > Verificação em duas etapas. Crie um PIN de 6 dígitos. Isso impede o registro do número em outro aparelho mesmo se o código SMS for roubado.
- Desconfie de QR Codes: Criminosos também enviam imagens pedindo para escanear “para confirmar presença”. Não faça.
Já clicou ou forneceu o código? Protocolo de contenção imediato
Se apenas abriu o link e fechou a aba: respire. Provavelmente não houve comprometimento. Limpe o histórico do navegador e siga a vida.
Se digitou código ou autorizou dispositivo: corra para Dispositivos Conectados e derrube todas as sessões ativas agora. Se perdeu o acesso total (o app pede registro no seu próprio número), reinicie o processo de verificação via SMS no seu chip. Ao recuperar, ative a verificação em duas etapas imediatamente e avise sua rede: “Minha conta foi clonada, ignorem pedidos de dinheiro”.
O que observar daqui para frente
A tendência é a migração total para o modelo de “Dispositivo Vinculado”, pois ele elimina a necessidade de interceptar SMS e mantém a vítima logada — aumentando o tempo de exploração. O WhatsApp tem endurecido avisos visuais ao vincular novos aparelhos, mas a decisão final continua nas mãos do usuário.
Para gestores de equipes: inclua a checagem de “Dispositivos Conectados” na rotina de onboarding e offboarding de funcionários. Uma conta corporativa órfã, logada num navegador esquecido, é uma porta aberta. A segurança do ativo “identidade digital no WhatsApp” deixou de ser opcional para se tornar requisito básico de governança.
