Mensagens que circulam no WhatsApp estão sendo usadas por criminosos para invadir contas do aplicativo. O golpe consiste em pedir votos para crianças que supostamente participam de concursos de dança ou disputam bolsas de estudo. Ao clicar no link, a vítima é direcionada para uma página falsa que pode capturar dados e permitir o acesso de terceiros à conta. A fraude foi identificada em diferentes países e tem sido usada para aplicar outros golpes.
Segundo o especialista em tecnologia e cibersegurança Luiz Milagres, o ataque não depende de um vírus instalado no celular. Os criminosos usam engenharia social, técnica que manipula o comportamento das pessoas para obter informações e permissões de acesso. “Esse ataque vem acontecendo não só no Brasil, mas também na Europa e na Ásia. Não é um vírus instalado no celular. É uma técnica de engenharia social”, afirma.
Como o golpe funciona
A fraude começa com uma abordagem em nome de alguém conhecido, como familiares ou amigos. Isso acontece porque os próprios criminosos usam contas anteriormente comprometidas para encaminhar novas mensagens, aproveitando a confiança entre os contatos. Ao acessar a página indicada, a vítima pode ser induzida a fornecer informações que permitem a entrada de terceiros no aplicativo.
De acordo com a empresa de segurança Eset, há duas modalidades de abordagem. Em uma delas, a página solicita o código de verificação enviado por SMS; na outra, atualmente mais frequente, o próprio site fornece um código e orienta a vítima a inseri-lo no aplicativo, na função de vinculação de dispositivos. Nos dois casos, o objetivo é permitir que o criminoso tenha acesso à conta.
O pesquisador Rodrigo Alvarez, da Eset América Latina, ressalta que apenas abrir o link não significa necessariamente que o celular ou o WhatsApp tenham sido invadidos. O comprometimento ocorre quando a pessoa fornece o código recebido ou segue as instruções para vincular um dispositivo desconhecido.
Com o acesso à conta, os criminosos passam a enviar mensagens em nome da vítima para contatos e grupos. A estratégia não depende da instalação de um vírus que se espalha entre celulares, mas da engenharia social. Assim, cada nova conta comprometida se torna um canal para ampliar a disseminação da fraude.
Exemplos e alcance
Entre os exemplos identificados no Brasil estão mensagens sobre meninas chamadas Mia e Sophie. Os textos pedem votos para uma suposta concorrente que estaria disputando uma bolsa de estudos em dinheiro ou um curso gratuito de dança. Há versões em português e francês, além de mensagens em português de Portugal, com diferentes endereços eletrônicos.
Segundo a Eset, campanhas com esse método já foram identificadas na Europa e na Ásia. Uma das versões anteriores utilizava um falso concurso de dança associado ao Teatro Real, na Espanha. Embora os nomes das participantes, os concursos e os prêmios sejam modificados, a estratégia permanece a mesma: convencer a vítima a fornecer informações que permitam o acesso à conta.
O que fazer para se proteger
Para Milagres, um dos principais sinais de alerta é receber um link acompanhado de um pedido inesperado, especialmente quando há alguma solicitação de código. Ele recomenda confirmar a informação diretamente com o remetente. “Na dúvida, ligue para o seu contato para saber se foi mesmo ele que enviou. Faça essa verificação por telefone, não por mensagem, porque o WhatsApp do contato já está invadido”, orienta.
A recomendação é evitar o compartilhamento de códigos recebidos por SMS e não inserir sequências em páginas cuja finalidade não esteja clara. Também é importante consultar periodicamente a lista de dispositivos conectados ao aplicativo.
“O caminho é acessar as configurações do WhatsApp e selecionar a opção ‘Dispositivos conectados’. Caso apareça algum aparelho ou sessão que não tenha sido autorizado pelo titular, remova imediatamente”, orienta Milagres.
A confirmação em duas etapas também é uma medida recomendada, pois acrescenta uma camada de proteção ao processo de acesso. Outra orientação é manter o aplicativo atualizado. Quem já acessou uma página suspeita deve conferir os dispositivos vinculados à conta e encerrar as sessões que não reconhecer.
Se o usuário inseriu um código ou suspeita que outra pessoa tenha acessado sua conta, deve verificar imediatamente a lista de dispositivos conectados e encerrar as sessões que não reconhecer. Caso tenha perdido o acesso ao WhatsApp, uma das medidas é tentar registrar novamente o número no próprio celular, utilizando o código de verificação enviado pelo aplicativo.
Depois de recuperar a conta, é importante ativar a confirmação em duas etapas e avisar amigos e familiares sobre a invasão. O alerta ajuda a evitar que outras pessoas façam transferências ou atendam a pedidos enviados pelos criminosos em nome da vítima. Também é recomendado verificar a segurança de outros serviços caso informações pessoais tenham sido compartilhadas durante a tentativa de golpe.
Procurada pela CNN Brasil, a Meta, empresa responsável pelo WhatsApp, não se pronunciou sobre o ocorrido.
Com informações de CNN Brasil, Diário do Centro do Mundo e Portal 98 FM Natal.