O WhatsApp faz parte da rotina de milhões de brasileiros e concentra conversas pessoais, profissionais, documentos, fotos e contatos. Essa popularidade também transforma as contas do aplicativo em alvos atraentes para criminosos interessados em aplicar golpes ou obter informações pessoais.
Uma invasão nem sempre significa que alguém “quebrou” a criptografia das mensagens. Em muitos casos, o criminoso consegue acesso por engenharia social, convencendo a vítima a fornecer códigos de verificação, autorizar um dispositivo ou escanear um QR Code malicioso.
Há ainda situações nas quais o próprio celular ou uma conta associada ao aparelho é comprometida.
Por isso, saber identificar os sinais de que o WhatsApp foi invadido pode reduzir os danos e evitar que criminosos usem a identidade da vítima para pedir dinheiro a familiares e amigos.
Leia mais:
INSS usa WhatsApp para avisar quem ainda precisa fazer a prova de vida
Como saber se o WhatsApp foi invadido?
Alguns comportamentos do aplicativo merecem atenção, principalmente quando surgem sem nenhuma ação do usuário.
Mensagens enviadas sem autorização, dispositivos desconhecidos conectados à conta, códigos de registro recebidos inesperadamente e mudanças feitas no perfil são alguns dos sinais que precisam ser investigados.
O CERT.br, mantido pelo NIC.br, recomenda que usuários de aplicativos de mensagens verifiquem as sessões ativas, não compartilhem códigos de autenticação e desconectem acessos desconhecidos.
1. Existem dispositivos desconhecidos conectados
Uma das primeiras verificações deve ser feita na área de aparelhos vinculados do WhatsApp.
O recurso permite utilizar a conta em outros dispositivos. Isso é útil para quem acessa o serviço pelo computador, por exemplo, mas também significa que uma sessão desconhecida precisa ser tratada com atenção.
Se aparecer um computador ou outro equipamento que o usuário não reconhece, o recomendado é desconectá-lo.
O CERT.br também orienta que as pessoas verifiquem regularmente as sessões ativas dos aplicativos de mensagens e encerrem aquelas que pareçam suspeitas.
2. Mensagens aparecem como enviadas sem você ter escrito
Outro sinal importante são mensagens que constam como enviadas pela própria conta, mas que o titular não escreveu.
O problema é especialmente grave quando aparecem conversas solicitando dinheiro, dados bancários, códigos ou transferências via Pix.
Também vale prestar atenção a mensagens apagadas ou conversas que apresentam movimentações incompatíveis com o uso normal da conta.
Antes de concluir que houve invasão, porém, é importante verificar os aparelhos vinculados e considerar se outra pessoa com acesso autorizado ao dispositivo pode ter usado o aplicativo.
3. Um código de registro chega sem ter sido solicitado
Receber inesperadamente um código de verificação relacionado ao WhatsApp é um dos alertas mais importantes.
O código pode ser solicitado quando há uma tentativa de registrar o número em outro aparelho. Se o próprio titular não iniciou o procedimento, não deve compartilhar a sequência com ninguém.
O CERT.br recomenda expressamente ignorar códigos de autenticação que não tenham sido solicitados e nunca repassá-los a terceiros.
Criminosos podem entrar em contato logo depois tentando obter o número sob algum pretexto.
A história pode variar: confirmação de cadastro, atualização de sistema, atendimento de uma empresa, promoção, anúncio de venda ou até suposto procedimento de segurança.
Independentemente da justificativa apresentada, códigos de autenticação não devem ser informados a desconhecidos.
4. O aplicativo informa que a conta foi registrada em outro aparelho
Um alerta ainda mais sério ocorre quando o usuário perde o acesso e recebe uma informação relacionada ao registro do número em outro telefone.
Nesse cenário, é necessário agir rapidamente para tentar registrar novamente a conta no aparelho legítimo.
Quanto maior o período durante o qual o criminoso consegue se passar pela vítima, maior é o risco de abordar contatos e tentar aplicar golpes.
5. Foto, nome ou informações do perfil mudaram
Alterações que o titular não realizou também são motivo para investigação.
Foto de perfil, nome, recado e outras informações modificadas inesperadamente podem indicar que outra pessoa conseguiu algum nível de acesso.
É especialmente importante agir quando essas mudanças aparecem acompanhadas de outros sinais, como dispositivos desconhecidos ou mensagens não reconhecidas.
Cuidado com QR Codes usados para conectar dispositivos
O QR Code merece atenção especial porque criminosos podem utilizar engenharia social para convencer a vítima a autorizar uma sessão que não reconhece.
A pessoa pode acreditar que está validando uma promoção, acessando algum serviço ou realizando uma confirmação, quando na realidade está permitindo uma conexão indevida.
O CERT.br recomenda verificar cuidadosamente a página onde o QR Code está sendo apresentado e evitar escanear códigos encontrados em sites desconhecidos.
Portanto, não é recomendável escanear um QR Code relacionado ao WhatsApp simplesmente porque alguém enviou a imagem ou pediu a leitura.
O usuário deve primeiro entender exatamente qual autorização está concedendo.
Como verificar aparelhos conectados ao WhatsApp?
Quem suspeita de uma invasão deve conferir os dispositivos associados à conta.
No aplicativo, procure a opção Dispositivos conectados ou equivalente apresentada na versão instalada.
Analise os aparelhos exibidos e procure sessões que não reconheça.
Encontrou uma conexão suspeita? Encerre a sessão.
Essa verificação também pode ser adotada preventivamente, mesmo quando não existem indícios de fraude.
O objetivo é evitar que uma autorização antiga permaneça ativa em um computador compartilhado ou em um equipamento ao qual o usuário não tem mais acesso.
Verificação em duas etapas dificulta o roubo da conta
Uma das principais medidas preventivas é ativar a verificação em duas etapas.
Esse recurso adiciona uma camada extra de autenticação à conta.
O CERT.br recomenda a utilização da verificação em duas etapas sempre que disponível, porque exigir uma segunda etapa torna o acesso indevido mais difícil.
No WhatsApp, o usuário pode configurar um PIN para reforçar a proteção do registro da conta.
É importante escolher uma combinação que não seja óbvia e evitar números facilmente associados ao proprietário, como aniversário ou sequências simples.
Nunca entregue códigos recebidos por SMS ou no aplicativo
Grande parte da segurança depende também do comportamento do próprio usuário.
Nenhum código de autenticação deve ser entregue por telefone ou mensagem a uma pessoa que alegue representar banco, loja, empresa de tecnologia ou outro serviço.
O CERT.br alerta que golpistas que obtêm senhas e códigos de verificação podem invadir contas e praticar fraudes em nome da vítima.
O mesmo princípio vale para solicitações urgentes.
Fraudadores costumam tentar impedir que a vítima tenha tempo para avaliar a situação. Pressa, ameaça de bloqueio, promoção prestes a acabar ou necessidade de confirmação imediata são estratégias comuns de engenharia social.
Como programas espiões podem comprometer o celular?
Existe outra situação que precisa ser diferenciada do sequestro tradicional da conta: o comprometimento do próprio smartphone.
Programas maliciosos podem tentar capturar informações armazenadas ou exibidas no aparelho.
Isso torna particularmente importante manter Android ou iOS atualizados e evitar aplicativos obtidos de fontes desconhecidas.
O CERT.br recomenda baixar aplicativos somente de lojas oficiais, manter equipamentos atualizados e utilizar mecanismos de segurança disponíveis.
Alterações incomuns no funcionamento do celular, como consumo excessivo de bateria ou dados, podem justificar uma investigação.
Esses sintomas, entretanto, não comprovam sozinhos a existência de um programa espião. Bateria desgastada, aplicativos legítimos funcionando em segundo plano e problemas no sistema também podem provocar comportamentos semelhantes.
O que fazer imediatamente se o WhatsApp foi invadido?
Gostou? Siga o Seu Crédito Digital no Google e receba notícias de benefícios, INSS e crédito em primeira mão.
+311 mil seguidores
Se houver evidências de comprometimento, a prioridade é recuperar o controle da conta e impedir que o criminoso continue se passando pela vítima.
Algumas medidas devem ser tomadas rapidamente:
- Verifique os dispositivos conectados e encerre sessões que não reconheça.
- Tente registrar novamente seu número no aplicativo oficial caso tenha perdido o acesso.
- Não forneça códigos de verificação recebidos por SMS ou pelo próprio aplicativo.
- Ative ou revise a verificação em duas etapas assim que recuperar o controle.
- Proteja o e-mail e as contas associadas ao celular, principalmente se houver suspeita de comprometimento mais amplo.
- Avise familiares, amigos e colegas por outro canal para que ignorem pedidos de dinheiro enviados pela conta comprometida.
- Procure os canais oficiais de suporte do WhatsApp se não conseguir recuperar a conta.
A recomendação de avisar os contatos é especialmente importante no Brasil por causa das tentativas de fraude envolvendo transferências instantâneas.
Se alguém já realizou um Pix acreditando estar falando com o verdadeiro titular, essa pessoa deve entrar em contato imediatamente com sua instituição financeira para informar a fraude e receber orientações sobre as medidas disponíveis.
Golpistas podem usar a conta para pedir Pix
Uma conta comprometida oferece ao fraudador algo extremamente valioso: credibilidade.
Imagine que um criminoso tenha acesso ao WhatsApp de uma pessoa e envie para a mãe dela uma mensagem dizendo que precisa pagar urgentemente uma conta de R$ 800.
Como a conversa vem do contato conhecido, a solicitação pode parecer legítima.
É justamente por isso que uma boa prática é confirmar pedidos de dinheiro por outro meio.
Uma ligação telefônica ou conversa presencial pode impedir a transferência.
O CERT.br também recomenda que, ao desconfiar de que a conta de alguém conhecido foi clonada ou comprometida, o usuário confirme a situação por outros canais.
É possível proteger melhor o backup das conversas?
Sim. Além da proteção das mensagens durante a comunicação, o usuário também deve considerar a segurança das cópias de backup.
O WhatsApp oferece proteção adicional para backups com criptografia de ponta a ponta.
Em 2026, o próprio WhatsApp também passou a destacar o uso de passkeys para proteger backups criptografados, permitindo utilizar recursos como reconhecimento facial, impressão digital ou código de bloqueio do aparelho para reforçar a proteção do histórico.
Essa camada é importante porque histórico de mensagens, fotografias e outros conteúdos podem permanecer armazenados por longos períodos.
O usuário também deve proteger adequadamente a conta Google ou Apple associada ao aparelho, utilizando senha exclusiva e autenticação forte.
Criptografia não impede todos os tipos de golpe
Um ponto frequentemente confundido é o papel da criptografia de ponta a ponta.
Ela protege o conteúdo das mensagens durante a comunicação, mas não impede que um criminoso leia informações caso consiga acesso legítimo ao dispositivo, à conta ou a uma sessão previamente autorizada.
É semelhante a uma porta muito resistente: ela oferece excelente proteção enquanto permanece fechada, mas não resolve o problema se alguém convencer o proprietário a entregar a chave.
Por isso, segurança no WhatsApp depende da combinação entre recursos tecnológicos e hábitos do usuário.
Como deixar o WhatsApp mais seguro no dia a dia?
Algumas medidas simples reduzem significativamente o risco de comprometimento.
Mantenha a verificação em duas etapas ativada, revise periodicamente os dispositivos conectados, evite QR Codes desconhecidos e nunca compartilhe códigos de autenticação.
Também é recomendável utilizar bloqueio de tela no smartphone, manter o sistema operacional atualizado e instalar aplicativos somente de fontes confiáveis.
Senhas de e-mail e outras contas importantes não devem ser reutilizadas. O CERT.br recomenda senhas diferentes e a alteração imediata das credenciais quando houver suspeita de vazamento ou comprometimento.
Outra prática importante é desconfiar de qualquer pedido inesperado envolvendo dinheiro ou informações pessoais, mesmo quando a mensagem parece ter vindo de alguém conhecido.
Suspeitou de invasão? Velocidade faz diferença
Identificar rapidamente uma invasão pode evitar que um problema de segurança se transforme em prejuízo financeiro para a vítima e seus contatos.
Códigos de autenticação não solicitados, aparelhos desconhecidos conectados, mensagens enviadas sem autorização e perda inesperada de acesso são situações que não devem ser ignoradas.
Ao mesmo tempo, é importante não atribuir qualquer comportamento estranho do celular automaticamente a uma invasão. A confirmação deve partir da análise dos acessos, sessões e alterações efetivamente realizadas na conta.
A estratégia mais segura é combinar verificação em duas etapas, proteção do backup, controle dos dispositivos conectados, atualização do celular e atenção contra engenharia social.
No fim, muitas tentativas de roubo do WhatsApp não dependem de técnicas sofisticadas para quebrar sistemas. Elas dependem de convencer alguém a entregar justamente aquilo que deveria permanecer secreto: um código, uma autorização ou o acesso ao próprio aparelho.
