A clonagem de WhatsApp continua sendo uma das principais armas dos cibercriminosos para aplicar golpes financeiros.
No entanto, a distância entre ter o seu aplicativo invadido ou manter seus dados totalmente seguros resume-se a apenas duas configurações simples.
Se você quer entender como blindar o seu aplicativo contra invasões e o que fazer para não cair nas táticas mais recentes dos criminosos, este guia prático vai te ajudar.
O cenário da clonagem de WhatsApp no Brasil e no mundo
Para entender a importância da segurança do WhatsApp, precisamos olhar para o tamanho do problema.
Os ataques de engenharia social não são recentes: dados consolidados da PSafe para o Brasil no ano de 2020 já revelavam que mais de 8.5 milhões de brasileiros haviam sido vítimas de clonagem,
Hoje, os riscos se tornaram globais devido ao vazamento massivo de dados na internet.
Um estudo da Universidade de Viena descobriu uma vulnerabilidade que permitiu o mapeamento de 3,5 bilhões de contas no mundo inteiro — expondo mais de 137 milhões de números apenas nos Estados Unidos e mais de 206 milhões no Brasil.
Importante observar: essa vulnerabilidade já foi corrigida pela Meta após divulgação responsável pelos pesquisadores.
A Meta inclusive agradeceu aos envolvidos pela revelação, pois assim a empresa pôde efetuar a devida correção.
O estudo foi conduzido por pesquisadores da universidade Viena em conjunto com a SBA Research.
⚠️ Fique atento: Esses vazamentos massivos não significam que as contas foram hackeadas de forma direta.
Na verdade, os criminosos utilizam essas listas de números ativos como “combustível” para direcionar ataques de falsificação de identidade e engenharia social.
Empresas como a Meta enfrentam grandes batalhas judiciais de espionagem digital sofisticada — como o caso da empresa NSO Group, condenada a pagar inicialmente US$ 167 milhões ao WhatsApp — valor posteriormente reduzido para US$ 4 milhões.
A empresa também foi proibida permanentemente por decisão judicial de atacar usuários do aplicativo.
Todavia, o prejuízo do cidadão comum acontece no dia a dia, por meio de transferências via PIX feitas por familiares que acreditam estar ajudando a vítima.
O que é e como funciona a verificação em duas etapas no WhatsApp?
A verificação em duas etapas é uma camada adicional de segurança que adiciona um PIN de 6 dígitos (uma senha numérica) criado por você dentro do aplicativo.
Quando essa função está ativa, qualquer tentativa de registrar o seu número de telefone em um novo aparelho exigirá duas coisas:
- O código de confirmação enviado por SMS.
- O seu PIN secreto de 6 dígitos.
No Brasil, muitos órgãos oficiais já adotaram e recomendam essa prática de segurança.
Desde 2020, um alerta oficial de segurança do TJSP reforça que a ativação desse recurso “elimina o risco da clonagem pelo uso de duas senhas”.
Tecnicamente, a única forma de um criminoso assumir o controle da sua conta com essa barreira ativa é se a própria vítima entregar o PIN voluntariamente.
A evolução da segurança: O que são as Passkeys do WhatsApp?
Além do PIN, o aplicativo evoluiu e agora oferece suporte às Passkeys (Chaves de Acesso).
Essa tecnologia permite que você valide novos acessos à sua conta utilizando a biometria do seu próprio smartphone (impressão digital ou reconhecimento facial).
Isso impede que golpistas interceptem o seu acesso por meio do SIM Swap, tornando o aplicativo ainda mais impenetrável.
O SIM Swap é uma fraude em que o criminoso convence a operadora a transferir seu número de telefone para um chip novo em posse dele
O grande ponto cego: O “Golpe do Falso Novo Número”
Muitos usuários ativam a segurança em duas etapas e acreditam que estão 100% protegidos contra qualquer ameaça.
É aqui que mora o perigo. Como os criminosos não conseguem furar o bloqueio do PIN, eles mudaram a estratégia para a falsificação de identidade.
Entenda a diferença crucial entre as duas principais táticas:
| Tipo de Golpe | Como funciona | A Verificação em 2 Etapas protege? | Qual é a real solução? |
| Clonagem de Conta | O criminoso tenta instalar o seu número no celular dele. | Sim. O PIN de 6 dígitos barra o acesso. | Ativar o PIN e as Passkeys nas configurações. |
| Falso Novo Número | O golpista usa um chip qualquer, baixa sua foto de perfil e diz aos seus contatos que você mudou de número. | Não. A conta dele é nova e “legítima” perante o aplicativo. | Mudar a privacidade da sua foto de perfil. |
Passo a passo: Como ativar a verificação em duas etapas e blindar seu app
Não espere virar estatística para proteger seus dados. Siga este checklist de proteção que leva menos de dois minutos para ser concluído:
- Ative o PIN de 6 dígitos: Vá em Configurações > Conta > Verificação em duas etapas > Ativar. Crie uma senha segura e adicione um e-mail de recuperação que você tenha acesso.
- Cadastre sua Chave de Acesso (Passkey): Acesse Configurações > Conta > Chaves de acesso e configure a validação por biometria digital ou facial.
- Esconda sua foto de perfil (Crucial): Vá em Configurações > Privacidade > Foto do perfil e mude a visibilidade para “Meus contatos”.
Ao ocultar sua foto de perfil de pessoas desconhecidas, você impede que robôs e golpistas salvem a sua imagem para criar contas fakes e se passar por você.
Lembre-se: o seu PIN e a sua imagem são suas maiores defesas digitais — nunca os compartilhe com supostos suportes técnicos, agendamentos ou organizadores de eventos.
Reflexão
Para além das informações acima, blinde-se de ser alvo de um criminoso se passando por algum contato teu.
Se você já tem seu Whatsapp protegido, pode ser que muitas pessoas de tua agenda ainda não o tenham. Desconfie de mensagens de contatos teus pedindo dinheiro.
Antes de efetuar qualquer transferência para quem quer seja, fale pessoalmente com essa pessoa.
Se não for possível falar pessoalmente — e muitas vezes não é mesmo, efetue ligação direto na linha. Procure amigos em comum.
A questão é: nunca faça uma transferência de valores para qualquer pessoa, contato teu ou não, até você confirmar a identidade.
Um exemplo real de golpe ‘quase’ consumado
Quero citar uma situação real que aconteceu com este que vos escreve.
Certa feita, João, um vizinho de porta do meu apartamento deixou, pessoalmente, recado com o porteiro de nosso condomínio para eu falar com a Carla, que é esposa do João.
João, porém, não disse que se tratava; apenas pediu para eu entrar em contato com a esposa dele, pois ela queria um orientação com relação a determinada situação.
Eu conheço tanto Carla quanto João e tenho ambos em minha agenda.
No mesmo dia, menos de duas horas depois de eu receber o recado, que era verdadeiro e de pessoa real, recebo uma mensagem no meu WhatsApp pessoal de Carla, esposa do João.
Ela disse que gostaria de pedir um favor.
Como eu já tinha esse recebido o recado de João, imaginei que ela iria falar do que se tratava — e, principalmente, de que estava falando com Carla.
Na mensagem, Carla disse que estava com o salário atrasado e perguntou se eu podia pagar uma conta para ela.
Como João havia deixado recado, mas não falou do que se tratava, eu imaginei que ele teria ficado sem graça de falar já a questão envolvia pedido de dinheiro emprestado.
Nem João e nem Carla jamais haviam pedido dinheiro emprestado para mim.
Perguntei a Carla quanto era, e ela informou o valor — 800 reais. Pedi pra mandar a conta, ao que Carla enviou dados de um terceiro. Aí acendeu o alerta.
Até cheguei a abrir o aplicativo do banco, mas parei quando vi que o destinatário seria outra pessoa.
Fui pessoalmente ao apartamento de Carla, ao que ela afirmou que teve seu WhatsApp clonado e havia uma pessoa se passando por ela pedindo dinheiro — prática típica.
O ponto fora da curva, porém, foi o recado resumido de João antes de eu receber a mensagem do golpista — pedindo para eu entrar em contato com Carla.
Lembremos ainda que João não disse do que se tratava o assunto.
Eu acreditei mesmo que, a priori, seria a Carla mesmo pedindo dinheiro; crendo que João não mencionou que o assunto era esse justamente por ter ficado constrangido, talvez.
Possivelmente por estar com a cabeça cheia, talvez por estar correndo tentando verificar possíveis prejuízos, João esquecera o mais importante: avisar que sua esposa teve o WhatsApp clonado.
Seguramente sem ter intenção — e sem saber, João colaborou indiretamente (ou diretamente) com os golpistas na tentativa de golpe contra minha pessoa.
Mas importante frisar: João jamais teve essa intenção.
Estou contando esse caso para os leitores deste artigo reforçarem a checagem de quem pede dinheiro para vocês.
Depois que o valor saiu de tua conta, dificilmente você o recuperará.
Entendo que muitas vezes, pelo stress e correria do dia a dia, fora situações que drenam nosso psicológico, podemos falhar na confirmação da identidade de quem nos pede pix.
Principalmente quando é pessoa conhecida ou amiga.
Mas fica o alerta: além de ativarmos todos os dispositivos de segurança de nossos aplicativos, busquemos nos prevenir de sermos vítimas de outros que roubaram a identidade alheia.
Gostou? Compartilhe com alguém, este texto pode ser útil!