O que é clonagem e “sequestro” de conta em apps de mensageria
Em mensageiros como o WhatsApp, os golpes mais comuns não dependem de “invadir” tecnicamente o seu celular. Na maioria dos casos, o criminoso tenta assumir o controle da sua conta explorando o processo de verificação por código (SMS/ligação) e a confiança que seus contatos têm em você. Quando ele consegue ativar sua conta em outro aparelho, você pode perder o acesso temporariamente e seus contatos passam a receber mensagens como se fossem suas.
É útil separar três situações, porque a resposta muda em cada uma:
- Clonagem/assunção de conta (mais comum): o golpista registra seu número no WhatsApp dele e obtém o código de verificação (por engenharia social, interceptação de SMS, ou convencendo você a informar o código). Sua conta “migra” para o aparelho do criminoso.
- Sequestro com bloqueio: além de ativar a conta, o criminoso tenta dificultar sua recuperação, por exemplo ativando a verificação em duas etapas (PIN) e/ou alterando e-mail de recuperação (quando aplicável). Você fica travado por um período e precisa seguir o fluxo de recuperação.
- Comprometimento do aparelho: alguém tem acesso físico ao seu celular desbloqueado, ou você instalou algo que permite leitura de notificações/espelhamento. Aqui o criminoso pode ver códigos e mensagens sem necessariamente “migrar” a conta.
Em todos os cenários, o objetivo costuma ser o mesmo: usar sua identidade para pedir dinheiro, coletar dados, ou aplicar golpes em cadeia com seus contatos e grupos.
Como os golpes acontecem na prática (sem repetir o básico)
1) Golpe do código de verificação
O criminoso inicia o registro do seu número no aparelho dele. O WhatsApp envia um código por SMS ou ligação para o seu número. Em seguida, o golpista tenta fazer você repassar esse código. Ele pode alegar que “mandou um código por engano”, que “é para confirmar um cadastro”, ou que “precisa validar um anúncio”. Se você informa o código, ele conclui a ativação e assume a conta.
2) SIM swap (troca/duplicação do chip)
O criminoso tenta transferir seu número para um chip em posse dele, enganando a operadora ou usando dados vazados. Se ele consegue, passa a receber seus SMS e ligações, incluindo códigos de verificação. Esse cenário costuma vir acompanhado de perda repentina de sinal no seu celular (sem motivo aparente) e falhas para receber SMS.
Continue em nosso aplicativo
Você poderá ouvir o audiobook com a tela desligada, ganhar gratuitamente o certificado deste curso e ainda ter acesso a outros 5.000 cursos online gratuitos.
ou continue lendo abaixo...
Baixar o aplicativo
3) Acesso físico e “aproveitamento de sessão”
Se alguém pega seu celular desbloqueado por alguns minutos, pode abrir o WhatsApp e iniciar ações que facilitam o golpe: mudar configurações, ativar recursos, ou até vincular dispositivos. Em ambientes de trabalho, eventos e transporte, isso pode acontecer rapidamente.
4) Vinculação indevida de dispositivos (WhatsApp Web/Dispositivos conectados)
Se o criminoso consegue escanear um QR Code no seu WhatsApp (ou se você escaneia um QR Code malicioso achando que é algo legítimo), ele pode manter uma sessão conectada em um computador. Isso não “tira” sua conta do celular, mas permite ler e enviar mensagens enquanto a sessão estiver ativa.
5) “Conta nova, mesmo número”: migração legítima usada como golpe
O WhatsApp foi desenhado para permitir que você troque de celular. O criminoso explora esse fluxo: ele não precisa quebrar criptografia; basta passar pelo processo de verificação como se fosse você.
Sinais de alerta: como perceber cedo
- Mensagem do WhatsApp informando registro em outro aparelho ou aviso de que o código foi solicitado.
- Você perde acesso de repente e o app pede para verificar o número novamente.
- Contatos relatam pedidos estranhos (dinheiro, “urgência”, mudança de número, solicitação de dados).
- Notificações de SMS/ligação de verificação que você não solicitou.
- Em “Dispositivos conectados”, aparece um computador/navegador desconhecido ou em local/horário incompatível.
- Seu chip fica sem sinal sem explicação (pode indicar tentativa de SIM swap).
Quanto mais cedo você agir, menor a chance de o criminoso alcançar muitos contatos ou consolidar o controle com PIN.
Configurações essenciais de proteção (com passo a passo)
1) Ative a verificação em duas etapas (PIN)
Esse é um dos controles mais importantes porque adiciona um PIN que será solicitado periodicamente e também em processos sensíveis. Ele não substitui o código por SMS, mas dificulta muito a tomada de conta e, principalmente, o “sequestro” com bloqueio.
Passo a passo (WhatsApp):
- Abra o WhatsApp > Configurações (ou Ajustes no iPhone).
- Toque em Conta > Confirmação em duas etapas (ou Verificação em duas etapas).
- Toque em Ativar.
- Crie um PIN de 6 dígitos que não seja óbvio (evite datas, 123456, sequências).
- Cadastre um e-mail de recuperação (se o app oferecer). Use um e-mail que você controla bem e que tenha autenticação forte.
Boas práticas do PIN: memorize; não anote em papel junto do celular; não compartilhe; não use o mesmo PIN de cartão/caixa eletrônico.
2) Revise “Dispositivos conectados” e encerre sessões desconhecidas
Isso reduz o risco de alguém estar lendo suas mensagens via computador.
Passo a passo:
- WhatsApp > Configurações > Dispositivos conectados.
- Veja a lista de sessões (navegador, sistema, data/hora).
- Toque em qualquer sessão que você não reconheça > Sair.
- Se estiver em dúvida, saia de todas e reconecte apenas as necessárias.
Dica prática: crie o hábito de checar essa tela após usar computadores compartilhados, viagens, ou sempre que houver qualquer alerta de segurança.
3) Proteja o acesso ao app com biometria/senha do aparelho
Mesmo que alguém pegue seu celular, um bloqueio adicional no WhatsApp reduz danos imediatos.
Passo a passo (varia por sistema):
- WhatsApp > Configurações > Privacidade.
- Procure por Bloqueio por impressão digital (Android) ou Bloqueio de tela (iPhone).
- Ative e defina o tempo para exigir desbloqueio (ideal: imediato ou após 1 minuto).
4) Ajuste privacidade para reduzir “coleta” e engenharia por observação
Quanto mais informações públicas, mais fácil para um golpista personalizar abordagem e convencer seus contatos.
- Foto de perfil: defina para Meus contatos (ou Meus contatos, exceto…).
- Recado/Sobre e Status: limite para contatos.
- Visto por último e Online: considere restringir para reduzir monitoramento.
- Grupos: configure para que apenas contatos possam adicionar você (reduz inclusão em grupos de golpe).
Passo a passo: WhatsApp > Configurações > Privacidade e revise item por item.
5) Notificações e prévias na tela bloqueada
Códigos de verificação e mensagens sensíveis podem aparecer na tela bloqueada. Se alguém estiver por perto, pode ver o código.
Ação recomendada: nas configurações do sistema do celular, desative prévias de conteúdo sensível na tela bloqueada (mantenha apenas “Você tem uma mensagem”).
Proteção dos seus contatos: como evitar que usem seu nome para enganar outras pessoas
Crie uma “palavra de segurança” com família e pessoas próximas
Uma palavra ou frase combinada previamente funciona como verificação rápida quando alguém pedir dinheiro, dados ou qualquer ação fora do padrão. O criminoso, mesmo com sua conta, não saberá responder.
Como implementar:
- Escolha uma palavra/frase que não esteja em redes sociais e não seja óbvia.
- Combine com familiares, parceiro(a), sócios e amigos próximos.
- Regra: qualquer pedido financeiro ou “urgente” precisa dessa palavra antes de continuar.
Defina um canal alternativo de confirmação
Se o WhatsApp for comprometido, você precisa de um caminho para avisar e confirmar identidade.
- Combine que confirmações importantes serão feitas por ligação telefônica para um número já conhecido, ou por outro app.
- Para trabalho, use um procedimento: confirmar por ramal, chamada de vídeo, ou e-mail corporativo (quando existir).
Evite expor lista de contatos e vínculos
Você não controla a lista de contatos do WhatsApp como um “perfil público”, mas controla o quanto revela em grupos e status. Em grupos grandes, golpistas observam relações (“mãe do fulano”, “contador”, “cliente”) e usam isso para criar pedidos plausíveis.
- Evite publicar rotinas e viagens em tempo real.
- Em grupos, desconfie de mensagens privadas de pessoas que “parecem” conhecidas mas nunca falaram com você.
Resposta a incidente: o que fazer se sua conta foi tomada
Quando a conta é assumida, o tempo é crítico. O objetivo é (1) recuperar o acesso, (2) cortar sessões do criminoso, (3) avisar contatos e (4) reduzir chance de repetição.
1) Tente recuperar imediatamente pelo próprio WhatsApp
Passo a passo:
- Abra o WhatsApp no seu celular.
- Faça login com seu número e solicite o código de verificação.
- Digite o código recebido por SMS/ligação.
Quando você registra sua conta novamente, a sessão do criminoso tende a ser desconectada. Se houver PIN de verificação em duas etapas ativado pelo criminoso, pode aparecer uma tela pedindo esse PIN.
2) Se aparecer exigência de PIN que você não configurou
Isso indica que alguém ativou a verificação em duas etapas. Nessa situação, você pode ter que aguardar o período de segurança do WhatsApp para redefinir (o tempo pode variar). Enquanto isso, foque em avisar contatos e impedir que o criminoso continue usando sua identidade.
Ações imediatas:
- Tente usar a opção de Esqueci o PIN (se disponível) e siga o fluxo com e-mail de recuperação (se houver).
- Se você não cadastrou e-mail, prepare-se para o período de espera e não caia em “suportes” por mensagem prometendo destravar.
3) Verifique e recupere o controle do seu número (risco de SIM swap)
Se seu chip ficou sem sinal, se SMS não chegam, ou se ligações falham, trate como prioridade.
- Entre em contato com a operadora por canais oficiais e verifique se houve troca de chip ou portabilidade não reconhecida.
- Solicite bloqueio do chip indevido e reativação do seu número em um chip sob seu controle.
- Peça para reforçar segurança no atendimento (senha de atendimento, bloqueio de portabilidade, ou medidas equivalentes disponíveis).
4) Avise seus contatos de forma rápida e objetiva
O criminoso vai tentar monetizar rápido, então o aviso precisa chegar antes.
Modelo de mensagem (para enviar por outro canal, ou após recuperar):
Pessoal, minha conta do WhatsApp foi invadida. Não façam pagamentos nem enviem dados se receberem pedidos em meu nome. Confirmem comigo por ligação antes de qualquer coisa. Assim que eu recuperar, aviso por aqui.Onde avisar: grupos principais (família, trabalho), contatos mais próximos e qualquer pessoa que possa ser alvo fácil (idosos, pessoas com menos familiaridade digital).
5) Use o suporte oficial do WhatsApp quando necessário
Se você não consegue recuperar pelo app, use os canais oficiais do WhatsApp (dentro do aplicativo, ou e-mail de suporte indicado pelo próprio WhatsApp). Evite buscar “suporte” em redes sociais ou números que aparecem em mensagens, pois isso é frequentemente usado para novos golpes.
6) Após recuperar: faça uma “higienização” de segurança
- Ative/reestruture a verificação em duas etapas com PIN forte e e-mail de recuperação.
- Revise Dispositivos conectados e encerre tudo que não for seu.
- Revise Privacidade (foto, status, grupos).
- Atualize o WhatsApp e o sistema do celular.
- Se suspeitar de acesso físico, revise bloqueio de tela, biometria e senhas do aparelho.
Rotinas antifraude específicas para mensageria no dia a dia
Regra do “código é intransferível”
Código de verificação recebido por SMS/ligação é equivalente a uma chave de acesso. Não existe situação legítima em que outra pessoa precise desse código. Se alguém pedir, a resposta padrão é: “Não envio códigos”.
Regra do “pedido fora do padrão exige confirmação fora do chat”
Mesmo que a mensagem venha do número conhecido, trate como suspeito quando houver:
- Urgência e pressão por resposta imediata.
- Pedido de dinheiro, dados, foto de documento, selfie, ou qualquer informação sensível.
- Pedido para “não avisar ninguém” ou “manter sigilo”.
- Mudança repentina de tom, vocabulário ou erros incomuns.
Passo a passo de checagem rápida:
- Não responda com informações sensíveis.
- Ligue para a pessoa em um número já salvo (ou faça chamada de voz/vídeo).
- Use a palavra de segurança combinada.
- Se não confirmar, encerre e avise a pessoa por outro canal.
Cuidados com QR Codes e convites
Trate QR Code como “login”. Se você escanear um QR Code para conectar dispositivos, faça isso apenas em ambiente controlado e com certeza de que é seu computador.
- Nunca escaneie QR Code enviado por mensagem com promessa de “verificação”, “brinde” ou “atualização”.
- Ao conectar um dispositivo, confira o nome do navegador/sistema e desconecte ao terminar.
Áudio e vídeo: golpes com imitação e pedidos “com voz”
Mensagens de áudio e vídeo aumentam a credibilidade. Mesmo assim, mantenha a regra: pedido financeiro ou de dados precisa de confirmação fora do chat. Se a pessoa “não pode falar agora”, isso é exatamente o cenário em que você deve esperar e confirmar depois.
Exemplos práticos (situações comuns e como agir)
Exemplo 1: “Oi, troquei de número, salva aí”
Você recebe mensagem de um contato conhecido dizendo que mudou de número e precisa de ajuda. A ação segura é não migrar confiança automaticamente.
- Confirme por ligação no número antigo (se ainda existir) ou por outro canal.
- Peça a palavra de segurança.
- Se for alguém do trabalho, confirme com outra pessoa do time.
Exemplo 2: “Preciso que você me mande um código que chegou aí”
Isso é tentativa direta de tomada de conta.
- Não envie o código.
- Responda apenas: “Não compartilho códigos”.
- Ative/cheque verificação em duas etapas e revise dispositivos conectados.
Exemplo 3: Você perdeu sinal e, em seguida, o WhatsApp desconectou
Trate como possível SIM swap.
- Contate a operadora imediatamente por canal oficial.
- Recupere o número/chip.
- Depois, recupere o WhatsApp com o código.
- Avise contatos por outro canal enquanto resolve.
Checklist rápido de proteção (para revisar mensalmente)
- Verificação em duas etapas (PIN) ativa e e-mail de recuperação atualizado.
- Dispositivos conectados: apenas os seus, com datas/horários coerentes.
- Bloqueio do WhatsApp por biometria/senha ativado.
- Prévia de notificações na tela bloqueada ajustada para não exibir conteúdo.
- Privacidade (foto, status, grupos) restrita a contatos.
- Palavra de segurança combinada com pessoas-chave.
