Golpe no WhatsApp invade contas e envia mensagens a contatos; veja como se proteger

Mensagens chegam de contatos conhecidos e levam a uma página falsa de votação; objetivo é obter o código de acesso e usar a conta para espalhar a fraude.  Foto: Freepik

Mensagens que pedem votos para crianças em supostos concursos de dança ou disputas por bolsas de estudo estão circulando no WhatsApp como parte de um golpe para invadir contas. Enviadas em nome de amigos ou familiares, elas levam a uma página falsa de votação que tenta obter o código de acesso da vítima e, assim, assumir o controle do aplicativo.

Com a conta invadida, os criminosos usam o número da vítima para mandar a mesma mensagem aos contatos dela. Como o pedido parte de alguém conhecido, quem recebe tende a confiar no remetente e não desconfia do endereço do site nem das informações solicitadas.

Nos exemplos que circulam no Brasil, os textos pedem ajuda para meninas chamadas Mia e Sophie, que estariam concorrendo a uma bolsa de estudos em dinheiro ou a um curso gratuito de dança. Versões em francês e em português de Portugal, com endereços diferentes, também já apareceram.

Golpe já circulou na Europa e na Ásia

De acordo com Rodrigo Alvarez, pesquisador de segurança da informação da Eset América Latina, campanhas com o mesmo mecanismo já foram identificadas em países da Europa e da Ásia. Uma versão anterior usava um falso concurso de dança associado ao Teatro Real, na Espanha.

Os criminosos trocam o nome da participante, o tipo de concurso e o prêmio, mas mantêm a mesma estratégia para chegar às contas, segundo o pesquisador.

Como funciona o golpe

Ao clicar no link, a vítima chega a uma página que imita uma votação. Para confirmar o voto, o site pede o número de telefone e, em seguida, apresenta uma etapa de verificação.

A Eset identificou duas formas de ataque. Em uma delas, a página pede o código de verificação que o WhatsApp envia por SMS. Na outra, hoje mais frequente, o próprio site mostra um código e orienta a pessoa a digitá-lo no aplicativo, na opção de vincular um dispositivo. Nos dois casos, o criminoso passa a controlar a conta.

Alvarez explicou que apenas abrir o link não significa que o celular ou a conta tenham sido comprometidos. O risco surge quando a vítima informa o código ou faz a vinculação pedida pela página.

A fraude não se espalha como um vírus de um aparelho para outro. A propagação ocorre por engenharia social, técnica que manipula as pessoas para que forneçam informações ou realizem ações que favorecem os golpistas, e cada nova conta invadida vira mais um ponto de disseminação.

Quais são os riscos

Quando vincula um dispositivo à conta, o criminoso pode acessar conversas, contatos e grupos e escrever em nome da vítima. Nesse caso, o WhatsApp continua funcionando normalmente no celular original, e o usuário pode demorar a perceber a invasão. Se a conta for registrada em outro aparelho, a vítima pode perder o acesso ao aplicativo.

Com a identidade da pessoa, os golpistas podem pedir transferências a amigos e familiares alegando uma emergência, oferecer produtos falsos ou usar informações das conversas para montar fraudes mais convincentes. Segundo Alvarez, também pode haver uma estratégia de acumular o maior número de contas para ampliar golpes futuros.

Como se proteger

A principal orientação é desconfiar de mensagens inesperadas com links de votação, prêmios ou pedidos de confirmação de dados, mesmo quando enviadas por conhecidos. O especialista recomenda:

• Confirme por outro canal: ligue para a pessoa antes de abrir o link;
• Não compartilhe códigos: nunca informe o código recebido por SMS nem digite no WhatsApp um código fornecido por uma página externa;
• Evite QR codes suspeitos: eles podem ser usados para vincular dispositivos à conta;
• Confira os dispositivos conectados: em Configurações, acesse Dispositivos conectados e encerre as sessões que não reconhecer;
• Ative a confirmação em duas etapas: o PIN de segurança dificulta o registro da conta em outro aparelho;
• Mantenha o celular atualizado: instale as atualizações do sistema e dos aplicativos e baixe programas só pelas lojas oficiais.

O que fazer se já clicou no link

Quem só abriu a página, sem fornecer códigos nem fazer vinculações, provavelmente não teve a conta comprometida e deve apenas fechá-la. Se inseriu um código ou suspeita de invasão, precisa verificar os dispositivos conectados e encerrar as sessões desconhecidas.

Para quem perdeu o acesso, uma das medidas é registrar a conta de novo no próprio celular, com o número de telefone e o código enviado pelo WhatsApp. Depois, a orientação é ativar a confirmação em duas etapas, avisar amigos e familiares para que não atendam a pedidos de dinheiro e verificar a segurança de outras contas, caso dados pessoais tenham sido compartilhados.