Mensagens que circulam pelo WhatsApp com pedidos de votos para crianças supostamente participantes de concursos de dança ou disputas por bolsas de estudo escondem uma tentativa de invasão de contas.
A fraude utiliza páginas falsas de votação para obter códigos de verificação ou induzir usuários a vincular dispositivos ao aplicativo, permitindo que criminosos assumam o controle dos números das vítimas.
Depois de invadir uma conta, os golpistas utilizam o próprio perfil da vítima para encaminhar a mesma mensagem a amigos, familiares e grupos. Como o conteúdo chega de um contato conhecido, a abordagem pode parecer legítima e aumentar as chances de novas pessoas caírem no golpe.
Entre os exemplos identificados no Brasil estão mensagens sobre meninas chamadas Mia e Sophie. Os textos pedem votos para uma suposta concorrente que estaria disputando uma bolsa de estudos em dinheiro ou um curso gratuito de dança. Há versões em português e francês, além de mensagens em português de Portugal, com diferentes endereços eletrônicos.
Segundo Rodrigo Alvarez, pesquisador de segurança da informação da Eset América Latina, em entrevista a Folha São Paulo, disse que essas campanhas com esse método já foram identificadas na Europa e na Ásia. Uma das versões anteriores utilizava um falso concurso de dança associado ao Teatro Real, na Espanha.
Embora os nomes das participantes, os concursos e os prêmios sejam modificados, a estratégia permanece a mesma: convencer a vítima a fornecer informações que permitam o acesso à conta.
Como funciona o golpe no WhatsApp
Ao clicar no link, o usuário é direcionado a uma página que imita uma plataforma legítima de votação. Para registrar o suposto voto, o site solicita o número de telefone e apresenta uma etapa de verificação.
A Eset identificou duas modalidades de abordagem. Na primeira, a página solicita o código de verificação enviado pelo WhatsApp por SMS. Na segunda, atualmente mais frequente, o próprio site fornece um código e orienta a vítima a inseri-lo no aplicativo, na função de vinculação de dispositivos. Nos dois casos, o objetivo é permitir que o criminoso tenha acesso à conta.
Alvarez ressalta que apenas abrir o link não significa, necessariamente, que o celular ou o WhatsApp tenham sido invadidos. O comprometimento ocorre quando a pessoa fornece o código recebido ou segue as instruções para vincular um dispositivo desconhecido.
Com o acesso à conta, os criminosos passam a enviar mensagens em nome da vítima para contatos e grupos. A estratégia não depende da instalação de um vírus que se espalha entre celulares, mas da chamada engenharia social, técnica que manipula usuários para que realizem ações que favorecem os golpistas. Assim, cada nova conta comprometida se torna um canal para ampliar a disseminação da fraude.
Quais são os riscos para quem tem a conta invadida?
Quando os criminosos conseguem vincular um dispositivo ao WhatsApp, podem acessar conversas, contatos e grupos, além de enviar mensagens como se fossem o titular da conta. Nesse tipo de invasão, o aplicativo pode continuar funcionando normalmente no celular original, o que dificulta a identificação imediata do problema.
Em outra modalidade, quando a conta é registrada em um aparelho diferente, o usuário pode perder o acesso ao aplicativo.
Com o controle do número, os golpistas podem utilizar a identidade da vítima para solicitar transferências bancárias a amigos e familiares, alegar falsas emergências, oferecer produtos inexistentes ou aproveitar informações das conversas para elaborar abordagens mais convincentes.
O pesquisador também alerta para a possibilidade de os criminosos acumularem contas comprometidas para ampliar o alcance de outras campanhas fraudulentas.
Como se proteger do golpe
A principal orientação é desconfiar de mensagens inesperadas que solicitem votos, ofereçam prêmios ou peçam a confirmação de informações, mesmo quando enviadas por pessoas conhecidas.
Entre as medidas recomendadas estão:
- Confirme a solicitação por outro canal: ligue para a pessoa que supostamente enviou a mensagem antes de acessar o endereço.
- Não compartilhe códigos de verificação: nunca informe a terceiros códigos recebidos por SMS nem digite no WhatsApp códigos fornecidos por páginas externas.
- Evite escanear QR codes suspeitos: o recurso pode ser utilizado pelos criminosos para vincular dispositivos à conta.
- Verifique os dispositivos conectados: acesse as configurações do WhatsApp, entre em “Dispositivos conectados” e encerre sessões desconhecidas.
- Ative a confirmação em duas etapas: o PIN de segurança cria uma camada adicional de proteção contra tentativas de registro da conta em outros aparelhos.
- Mantenha o celular atualizado: instale atualizações do sistema e dos aplicativos e faça downloads apenas pelas lojas oficiais.
O que fazer se já clicou no link?
Quem apenas abriu o endereço, mas não forneceu códigos nem realizou procedimentos de vinculação, provavelmente não teve a conta comprometida. A orientação é fechar a página e não compartilhar nenhuma informação solicitada.
Se o usuário inseriu um código ou suspeita que outra pessoa tenha acessado sua conta, deve verificar imediatamente a lista de dispositivos conectados e encerrar as sessões que não reconhecer.
Caso tenha perdido o acesso ao WhatsApp, uma das medidas é tentar registrar novamente o número no próprio celular, utilizando o código de verificação enviado pelo aplicativo.
Depois de recuperar a conta, é importante ativar a confirmação em duas etapas e avisar amigos e familiares sobre a invasão. O alerta ajuda a evitar que outras pessoas façam transferências ou atendam a pedidos enviados pelos criminosos em nome da vítima.
Também é recomendado verificar a segurança de outros serviços caso informações pessoais tenham sido compartilhadas durante a tentativa de golpe.
Com informações da Folha de São Paulo