Golpe no WhatsApp invade contas e envia mensagens a contatos; veja como se proteger

Mensagens enviadas pelo WhatsApp em nome de amigos ou familiares têm circulado com pedidos de votos para crianças que supostamente participam de concursos de dança ou disputam bolsas de estudo. O link direciona a uma página falsa de votação, mas o objetivo dos criminosos não é contabilizar votos: é assumir o controle da conta e usar o número da vítima para enviar a mesma mensagem a outros contatos.

O golpe se espalha porque as mensagens partem de contas legítimas que já foram invadidas. Assim, quem recebe o pedido tende a confiar no remetente e pode não desconfiar do endereço eletrônico ou das informações solicitadas pela página.

Em exemplos que circulam no Brasil, os textos pedem ajuda para meninas chamadas Mia e Sophie. A suposta participante concorre a uma bolsa de estudos em dinheiro ou um curso gratuito de dança. As mensagens também já apareceram em francês e português de Portugal, com endereços de sites diferentes.

Segundo Rodrigo Alvarez, pesquisador de segurança da informação da Eset América Latina, campanhas com esse mecanismo já foram identificadas em países da Europa e da Ásia. Uma das versões anteriores usava um falso concurso de dança associado ao Teatro Real, na Espanha.

No método, afirma o pesquisador, os criminosos alteram o nome da participante, o tipo de concurso e o prêmio anunciado, mas mantêm a mesma estratégia para conseguir acesso às contas.

COMO FUNCIONA O GOLPE

Depois de clicar no endereço, a vítima é direcionada a uma página que imita uma votação legítima. Para confirmar o suposto voto, o site solicita o número de telefone e, em seguida, apresenta uma etapa de verificação.

Há duas modalidades identificadas pela Eset. Na primeira, a página pede o código de verificação enviado pelo WhatsApp por SMS. Na segunda, mais frequente atualmente, o próprio site apresenta um código e orienta a vítima a digitá-lo no aplicativo, na opção de vincular um dispositivo. Nos dois casos, a finalidade é permitir que o criminoso assuma o controle da conta.

Alvarez diz que apenas abrir o link não significa necessariamente que o celular ou a conta tenham sido comprometidos. O risco aparece quando a pessoa fornece o código recebido ou realiza o procedimento de vinculação solicitado pelos criminosos.

Depois de conseguir acesso à conta, o criminoso pode usar o WhatsApp da vítima para enviar a mesma mensagem a contatos e grupos. Como o remetente é conhecido, a possibilidade de outras pessoas acreditarem na história aumenta.

Não se trata, nesse caso, de um vírus que se reproduz de um celular para outro. A propagação ocorre por meio da engenharia social, técnica que manipula as pessoas para que forneçam informações ou realizem ações que favorecem os criminosos.

Cada nova conta invadida se transforma em mais um ponto de disseminação da fraude.

QUAIS SÃO OS RISCOS PARA QUEM TEM A CONTA INVADIDA

O criminoso que vincula um dispositivo à conta pode ter acesso a conversas, contatos e grupos, além de escrever em nome da vítima. Nesse cenário, o WhatsApp pode continuar funcionando normalmente no celular original, sem que o usuário perceba imediatamente a invasão.

Em outra modalidade, quando a conta é registrada em um aparelho diferente, a vítima pode perder o acesso ao aplicativo.

Com a identidade da pessoa em mãos, os criminosos podem pedir transferências bancárias a amigos e familiares, alegando uma emergência, oferecer produtos falsos ou utilizar informações obtidas nas conversas para elaborar fraudes mais convincentes.

Segundo Alvarez, também pode haver uma estratégia de acumular o maior número possível de contas comprometidas para ampliar o alcance de golpes posteriores.

COMO SE PROTEGER

A principal recomendação é desconfiar de mensagens inesperadas que peçam para acessar links de votação, receber prêmios ou confirmar informações, mesmo quando chegam de pessoas conhecidas.

O especialista recomenda:

• Confirme a solicitação por outro canal: ligue para a pessoa que supostamente enviou a mensagem antes de acessar o link.
• Não compartilhe códigos: nunca informe a terceiros o código recebido por SMS nem digite no WhatsApp o código fornecido por uma página externa.
• Não escaneie QR codes suspeitos: criminosos podem usar esse recurso para tentar vincular dispositivos à conta.
• Confira os dispositivos conectados: no WhatsApp, acesse Configurações e depois Dispositivos conectados. Encerre as sessões que não reconhecer.
• Ative a confirmação em duas etapas: o recurso adiciona um PIN de segurança e dificulta o registro da conta em outro aparelho.
• Mantenha o celular atualizado: instale atualizações do sistema e dos aplicativos e baixe programas somente pelas lojas oficiais.

O QUE FAZER SE JÁ CLICOU NO LINK

Quem apenas abriu o endereço, mas não forneceu códigos nem realizou procedimentos de vinculação, provavelmente não teve a conta comprometida. Nesse caso, a recomendação é fechar a página e não fornecer outras informações.

Se a pessoa inseriu um código ou suspeita que alguém tenha conseguido acesso ao WhatsApp, deve verificar imediatamente os dispositivos conectados e encerrar as sessões desconhecidas nas configurações do aplicativo.

Se perdeu o acesso à conta, uma das medidas é tentar registrá-la novamente no próprio celular, utilizando o número de telefone e o código de verificação enviado pelo WhatsApp. Depois de recuperar o acesso, deve ativar a confirmação em duas etapas e avisar amigos e familiares para que não atendam a pedidos de dinheiro enviados pela conta.

Também é importante verificar a segurança de outras contas e serviços caso informações pessoais tenham sido compartilhadas.