Golpe do WhatsApp clonado: como funciona e como se proteger

Poucos golpes são tão dolorosos quanto aquele em que um criminoso se passa por você para enganar as pessoas que confiam em você. É exatamente isso que acontece na fraude conhecida popularmente como golpe do WhatsApp clonado. O criminoso assume o controle de uma conta de mensagens, seja a sua ou a de alguém do seu círculo, e começa a mandar mensagens para os contatos pedindo dinheiro com alguma justificativa urgente. Como as mensagens vêm de um número conhecido e com um tom familiar, muita gente transfere sem desconfiar. O prejuízo é financeiro para quem paga e emocional para quem teve o nome usado. Este artigo explica como esse golpe realmente funciona, desfaz o mito de que ele é uma mágica invencível, e mostra as proteções concretas que tornam a sua conta muito mais difícil de tomar e a sua rede muito mais difícil de enganar.

Entender o mecanismo é meio caminho andado, porque quase todas as variações do golpe dependem de você entregar, sem perceber, uma informação que deveria ser secreta. Quando você conhece qual é essa informação e por que ninguém legítimo jamais a pediria, a fraude perde a força.

Como o golpe realmente funciona#

Apesar do nome popular sugerir uma clonagem tecnológica sofisticada, a maioria esmagadora desses golpes não envolve invasão de aparelho nem cópia mágica de conta. O que acontece é mais simples e, por isso mesmo, mais perigoso: o criminoso convence você a entregar o controle da sua própria conta. Existem duas formas principais.

A primeira e mais comum é o roubo do código de ativação. Quando alguém instala um aplicativo de mensagens em um novo aparelho usando o seu número, o serviço envia um código de confirmação por mensagem de texto para o seu celular, para provar que quem está instalando é o dono do número. O golpista, então, tenta ativar a sua conta no aparelho dele e faz o código chegar a você. Em seguida, com alguma desculpa, ele te convence a repassar esse código. Pode se passar por uma empresa, por um suporte, por um sorteio, por um contato que "enviou por engano" um código e pede para você devolver. No instante em que você entrega esse número, o criminoso conclui a ativação no aparelho dele e a sua conta migra para as mãos dele. Você é desconectado, e ele assume sua identidade.

A segunda forma é o sequestro pela conexão web ou pela transferência de conta, em que o golpista, muitas vezes após induzir você a escanear um código ou a confirmar algo, passa a acessar as suas conversas em paralelo. Em ambos os casos, o denominador comum é o mesmo: em algum momento, houve uma ação sua, tomada sob engano, que abriu a porta. Não foi um super-hacker invisível; foi uma manipulação psicológica bem executada.

O verdadeiro alvo não é você, é a sua confiança#

Vale entender o objetivo do criminoso, porque ele explica a urgência e o tom das mensagens. Depois de assumir a conta, o golpista não costuma se interessar pelo seu histórico de conversas. O que ele quer é a sua lista de contatos e a confiança que essas pessoas depositam em você. Ele passa a escrever para seus amigos e familiares fingindo ser você, com uma história de emergência: um problema urgente, uma conta a pagar naquele instante, um imprevisto que exige uma transferência rápida. Costuma pedir sigilo e pressa, justamente para que a pessoa não tenha tempo de confirmar por outro meio.

Por isso, esse golpe tem duas vítimas: você, que perdeu a conta e teve o nome usado, e quem transfere o dinheiro acreditando estar ajudando você. A defesa, portanto, tem duas frentes: proteger a sua conta para que ela não seja tomada, e combinar com as pessoas próximas uma forma de confirmar pedidos, para que ninguém caia mesmo se uma conta for comprometida.

A regra de ouro: o código de ativação é secreto e só seu#

Se você guardar uma única frase deste artigo, guarde esta: o código de ativação que chega por mensagem de texto quando alguém tenta entrar na sua conta nunca deve ser compartilhado com ninguém, sob nenhum pretexto. Esse código é a chave da sua conta. Nenhuma empresa de verdade, nenhum suporte, nenhum contato legítimo vai pedir que você leia ou repasse esse número. Qualquer pessoa que peça esse código está tentando roubar a sua conta, sem exceção.

Os golpistas criam justificativas engenhosas para conseguir o código. Dizem que enviaram por engano e pedem para você devolver. Alegam que é para "confirmar seu cadastro", "validar uma entrega", "liberar um prêmio" ou "reativar sua conta". Fingem ser um amigo em apuros. Todas essas histórias, por mais convincentes que pareçam, têm o mesmo pedido no fundo: que você entregue o código. Ao reconhecer esse pedido como a assinatura do golpe, você fica imune à variação principal da fraude. Recebeu um código que não solicitou? Ignore. Alguém pediu para você repassar um código? É golpe, encerre a conversa.

As proteções que blindam a sua conta#

Além de nunca entregar o código, existe uma proteção que fecha a porta mesmo que, por descuido, o código vaze: a confirmação em duas etapas dentro do próprio aplicativo de mensagens. Vale a pena entender por que ela é tão importante e ativá-la agora.

• Ative a confirmação em duas etapas do aplicativo. Nas configurações de segurança do seu aplicativo de mensagens existe uma opção de confirmação em duas etapas, que consiste em cadastrar uma senha ou um código pessoal, criado por você, que passa a ser exigido sempre que a conta for registrada em um novo aparelho. Com ela ativa, mesmo que o golpista consiga o código de ativação enviado por mensagem, ele ainda vai esbarrar nessa senha adicional que só você conhece. É a diferença entre uma tranca e duas. Essa é a proteção mais eficaz contra a tomada de conta e deve ser considerada obrigatória.
• Cadastre um e-mail de recuperação quando o aplicativo oferecer, pois ele ajuda a recuperar o acesso caso você esqueça o código pessoal, sem depender de terceiros.
• Proteja o próprio aparelho com bloqueio de tela por senha, biometria ou padrão, e mantenha o sistema atualizado. Um celular protegido é uma barreira a mais.
• Desconfie de mensagens que pedem qualquer código ou confirmação, mesmo que pareçam vir de contatos conhecidos, porque contas comprometidas são usadas para espalhar o golpe adiante.
• Revise periodicamente os aparelhos conectados à sua conta, uma opção presente nas configurações, e encerre qualquer sessão que você não reconheça.

Essas medidas, somadas, tornam a sua conta um alvo pouco atraente. O golpista busca vítimas fáceis; quando encontra confirmação em duas etapas ativa e um dono atento que nunca repassa códigos, ele simplesmente segue em frente.

Combine um código de confiança com a família#

A segunda frente da defesa é combinar com as pessoas próximas uma forma de confirmar pedidos de dinheiro. Como o golpe se apoia em fingir ser você, a maneira mais simples de derrubá-lo é criar um hábito de verificação dentro da família e do círculo de amigos. Converse com seus contatos mais próximos e estabeleça um combinado: nenhum pedido de dinheiro feito por mensagem será atendido sem uma confirmação por voz, ou seja, sem uma ligação para o número conhecido da pessoa, para ouvir a voz dela e confirmar que o pedido é real.

Esse combinado é poderoso porque o criminoso controla o texto, mas não a voz nem o outro canal. Se todos na sua rede souberem que "a gente sempre liga antes de transferir", o golpe morre na origem, porque ninguém vai pagar sem a tal ligação. Você pode até definir uma pergunta de segurança informal, algo que só vocês saibam responder, para casos em que a pessoa realmente não possa atender uma chamada. O importante é ter um jeito combinado de checar a identidade que não dependa apenas da mensagem escrita.

Sinais de que um pedido pode ser golpe#

Mesmo sem combinar nada previamente, alguns sinais nas mensagens devem sempre acender o alerta e levar você a confirmar por outro canal antes de qualquer transferência.

• Urgência e pressão. O pedido vem com pressa, dizendo que precisa ser resolvido agora, que é uma emergência, que não dá para esperar. A urgência existe para impedir você de pensar e conferir.
• Pedido de sigilo. A mensagem sugere que você não comente com ninguém, o que serve para evitar que você confirme a história com outras pessoas.
• Mudança na forma de contato ou de pagamento. A pessoa alega estar com um número novo, pede para você salvar outro contato, ou solicita transferência para uma conta em nome de terceiro, com a desculpa de que a conta dela está com problema.
• Tom ligeiramente diferente. Palavras, saudações ou jeitos de escrever que fogem do habitual daquela pessoa. Confie na sua intuição quando algo soar estranho.
• História emocional pronta. Um problema comovente ou uma situação aflitiva que justifica a pressa e desarma sua desconfiança.

Diante de qualquer um desses sinais, a atitude é sempre a mesma e é infalível: pare e confirme por voz, ligando para o número que você já conhece daquela pessoa. Não responda à pressão pela própria mensagem, porque, se for golpe, quem está do outro lado é o criminoso.

Se a sua conta foi tomada ou um contato caiu#

Se você perceber que perdeu o acesso à sua conta, aja rápido, porque cada minuto conta para limitar o alcance do golpista sobre seus contatos. Tente reinstalar o aplicativo e ativar novamente a sua conta com o seu número; ao receber o código de ativação legítimo, você costuma conseguir reaver o acesso e desconectar o invasor. Se houver a confirmação em duas etapas, a senha pessoal que você cadastrou vai ajudar a barrar quem tomou a conta. Assim que recuperar, avise imediatamente seus contatos, por outros meios se necessário, de que sua conta foi comprometida e que ignorem qualquer pedido de dinheiro recente feito em seu nome.

Se foi um contato seu que teve a conta tomada e você chegou a transferir dinheiro, entre em contato o quanto antes com o seu banco pelos canais oficiais, usando o telefone impresso no verso do cartão ou o aplicativo oficial da instituição, relate a fraude e pergunte sobre as possibilidades de contestação do pagamento, que dependem de rapidez. Registre um boletim de ocorrência, inclusive pela delegacia eletrônica do seu estado, descrevendo o ocorrido e guardando todas as evidências, como as mensagens e os comprovantes. Se houver uso indevido de documentos ou de serviços ligados ao governo, o portal oficial gov.br reúne orientações sobre os próximos passos. E, tenha você caído ou não, avise as pessoas ao redor sobre o golpe, porque o alerta que circula em uma rede de contatos é uma das defesas mais eficazes que existem.

O golpe do WhatsApp clonado sobrevive de duas coisas: da entrega descuidada de um código secreto e da confiança que temos em mensagens que parecem vir de quem amamos. Você desarma a primeira ativando a confirmação em duas etapas e jamais repassando códigos, e desarma a segunda combinando com seus contatos que todo pedido de dinheiro passa por uma confirmação de voz. São medidas simples, ao alcance de qualquer pessoa, que transformam um golpe assustador em uma tentativa que bate numa parede. Proteja a sua conta hoje e converse com sua família a respeito; a segurança de vocês está, em boa parte, nesse combinado.