WhatsApp clonado: 6 sinais e o que fazer nos primeiros minutos

Você abre o WhatsApp e ele pede para verificar o número de novo. Ou, pior: o app abre normal, mas um amigo manda mensagem perguntando por que você pediu R$ 800 emprestados. Nos dois casos, alguém além de você está usando a sua conta. "Clonagem" é o nome popular, mas tecnicamente quase nunca se trata de copiar nada: o golpista convence a vítima a entregar o código de ativação ou a escanear um QR code, e passa a operar a conta como se fosse o dono.

Como a conta do WhatsApp é clonada na prática

Segundo a ESET, os caminhos mais comuns são três, e nenhum depende de falha no aplicativo:

• Código de ativação pedido sob pretexto: o golpista aciona o cadastro do seu número no WhatsApp e você recebe um SMS com um código de seis dígitos. Em seguida ele pede esse código dizendo que foi enviado "por engano", que é de um sorteio ou de uma vaga de emprego. Quem informa o código entrega a conta.
• WhatsApp Web via QR code: o atacante consegue que você escaneie um QR code, ou usa um celular desbloqueado seu por alguns segundos, e fica com uma sessão aberta no computador dele. Você continua usando o app normalmente, sem perceber.
• Engenharia social em cima da conta já tomada: com o acesso, ele escreve para seus contatos pedindo dinheiro. É o mesmo roteiro do golpe do "oi, mãe", só que agora vindo do seu número verdadeiro, o que o torna muito mais convincente.

Se o golpista tiver controle do seu chip, o código chega direto para ele. Esse caso é diferente e está explicado em SIM swap: o golpe do chip que esvazia contas bancárias.

6 sinais de que seu WhatsApp foi clonado

1. O app pede verificação do número do nada, ou avisa que o número já está registrado em outro aparelho. O WhatsApp não permite a mesma conta ativa em dois celulares ao mesmo tempo, então um novo registro derruba o seu.
2. Contatos relatam mensagens que você não enviou, quase sempre com pedido de dinheiro ou de código.
3. Mensagens aparecem como lidas e áudios como reproduzidos sem que você tenha tocado em nada. É o sinal típico de uma sessão invasora no WhatsApp Web.
4. Aparece em "Aparelhos conectados" um dispositivo que você não reconhece, ou um navegador em horário em que você não estava usando.
5. Você recebeu SMS com código de seis dígitos que não pediu. Alguém tentou registrar o seu número, e o código chegando é sinal de que a tentativa está em andamento.
6. Conversas apagadas ou grupos dos quais você foi removido sem explicação.

Como saber se alguém está usando meu WhatsApp no computador?

Abra o menu do WhatsApp, entre em "Aparelhos conectados" e confira a lista. Qualquer sessão que você não reconheça deve ser tocada e encerrada em "Desconectar". A tela mostra o horário do último uso, o que ajuda a separar o seu notebook de uma sessão alheia.

O que fazer nos primeiros minutos

Ainda tenho acesso ao app

1. Em "Aparelhos conectados", desconecte tudo que não for seu.
2. Ative a verificação em duas etapas agora (passo a passo abaixo). Isso trava um novo registro mesmo que o golpista consiga outro código por SMS.
3. Avise seus contatos, por outro canal ou pelo status, para ignorar pedidos de dinheiro vindos de você.

Perdi o acesso à conta

1. Instale o WhatsApp de novo, informe seu número e peça o código por SMS. Se o chip é seu, o código chega para você e o registro derruba o do golpista.
2. Se aparecer pedido de PIN de seis dígitos que você não criou, o atacante ativou a verificação em duas etapas na sua conta. Nesse caso use o suporte do WhatsApp (Ajuda > Fale conosco, ou o e-mail de suporte indicado na própria tela) e aguarde o prazo de liberação.
3. Avise contatos e, se houve Pix, procure o banco imediatamente e registre um boletim de ocorrência.
4. Troque a senha do e-mail e de outras contas que usam o mesmo número como segundo fator.

Como ativar a verificação em duas etapas no WhatsApp

Caminho citado pela ESET: Configurações > Conta > Confirmação em duas etapas > Ativar. Você cria um PIN de seis dígitos e confirma. A partir daí, qualquer registro do seu número em outro aparelho exige esse PIN.

• Evite PIN óbvio: sequências, data de nascimento ou parte do telefone são o primeiro palpite de quem conhece você.
• Cadastre um e-mail de recuperação que você realmente acessa, e que tenha o seu próprio 2FA ativo.
• Nunca informe o PIN nem o código SMS a ninguém. Nenhum suporte legítimo do WhatsApp pede essas informações por mensagem.

Esse PIN é diferente do 2FA por aplicativo usado em outras contas, e vale configurar os dois. Para o segundo caso, há um passo a passo em como configurar 2FA com TOTP no Gmail, Instagram e WhatsApp.

Hábitos que reduzem o risco

• Não escaneie QR codes de origem duvidosa. A variante com QR falso é detalhada em quishing: o golpe do QR code falso.
• Bloqueie o celular com biometria ou senha forte e reduza o tempo de bloqueio automático.
• Revise "Aparelhos conectados" de vez em quando, mesmo sem suspeita.
• Desconfie de qualquer mensagem urgente com pedido de dinheiro, mesmo vinda de contato conhecido. Ligue de volta antes de pagar.

A lição maior

O WhatsApp quase nunca é "hackeado": ele é entregue. O ataque funciona porque o golpista precisa de uma única coisa, um código de seis dígitos que a vítima digita por conta própria. Quem trata esse código como senha de banco e ativa o PIN de duas etapas fecha a porta principal. Para entender por que esse tipo de golpe funciona mesmo com antivírus instalado, leia engenharia social: o ataque que nenhum antivírus bloqueia. Se este guia ajudou, os botões de compartilhamento no rodapé levam o alerta para quem ainda não ativou o PIN.