Uma colega de trabalho teve o WhatsApp sequestrado numa tarde de quarta-feira. Alguém ligou fingindo ser da operadora, pediu o código SMS que tinha acabado de chegar. Ela passou. Em cinco minutos, mensagens pedindo dinheiro emprestado estavam sendo enviadas para todos os contatos dela.
Fiquei olhando para o meu próprio celular naquele momento e percebi que nunca tinha revisado minhas configurações de segurança. Passei a tarde seguinte ativando tudo que está neste texto. Levou menos de 20 minutos e desde então não tive problema nenhum.
O WhatsApp tem criptografia de ponta a ponta por padrão, o que protege suas mensagens em trânsito. O problema é que a maioria dos roubos de conta não acontece quebrando essa criptografia. Acontece por descuido com configurações básicas, por golpes que enganam o próprio usuário ou por aparelhos mal protegidos.
Verificação em duas etapas: a proteção mais importante
Sem verificação em duas etapas, se alguém conseguir o código SMS de 6 dígitos que o WhatsApp envia, consegue registrar seu número em outro aparelho e assumir a conta. Com a verificação ativa, mesmo com o código SMS, ainda precisa de um PIN de 6 dígitos que só você sabe.
Como ativar: Configurações > Conta > Confirmação em duas etapas. Crie um PIN que não seja data de nascimento, sequência numérica ou número repetido. Cadastre um e-mail de recuperação real, que você acessa regularmente. Esse e-mail é o caminho de volta se você esquecer o PIN.
Bloqueio por biometria no app e no aparelho
Dois níveis de bloqueio independentes que vale ter ativos ao mesmo tempo.
Bloqueio do celular: use impressão digital ou reconhecimento facial como método principal. Evite padrão de desenho (fácil de observar) e PIN curto com dígitos óbvios. Se alguém desbloqueia o celular, o WhatsApp fica acessível a não ser que você tenha o segundo bloqueio.
Bloqueio dentro do WhatsApp: Configurações > Privacidade > Bloqueio por impressão digital (Android) ou Face ID/Touch ID (iPhone). Com isso ativo, mesmo com o celular desbloqueado, abrir o WhatsApp exige autenticação biométrica. Configure para bloquear imediatamente ao fechar o app.
Backup criptografado: o detalhe que quase todo mundo ignora
As mensagens dentro do app têm criptografia. Mas o backup salvo no Google Drive ou iCloud, por padrão, pode ser acessado se alguém invadir essas contas de nuvem. A criptografia de backup do WhatsApp resolve isso.
Como ativar: Configurações > Conversas > Backup de conversas > Criptografia de backup de ponta a ponta. Você cria uma senha ou chave de 64 dígitos que criptografa o backup antes de enviar para a nuvem. Guarde essa chave em algum lugar seguro, porque o WhatsApp não consegue recuperá-la se você perder.
Controlar quais dispositivos têm acesso à sua conta
O WhatsApp Web e os dispositivos vinculados permitem que sua conta fique ativa em computadores e tablets mesmo sem o celular por perto. Se você usou em algum computador e esqueceu de sair, aquela sessão ainda está ativa.
Para verificar e encerrar: Configurações > Aparelhos conectados. O app mostra todos os dispositivos com sessão ativa, com data e localização aproximada do último acesso. Encerre qualquer um que não reconheça ou que não use mais. Faço isso pelo menos uma vez por mês como rotina.
Configurações de privacidade que limitam o que estranhos veem
Com foto e informações visíveis para qualquer pessoa, você facilita o trabalho de golpistas que se passam por você para aplicar golpes nos seus contatos. O recomendado para cada configuração em Configurações > Privacidade:
- Foto de perfil: Meus contatos
- Visto por último: Meus contatos ou Ninguém
- Status: Meus contatos
- Recado: Meus contatos
- Grupos: Meus contatos
- Chamadas silenciosas: ativar (Config. > Privacidade > Chamadas)
Como evitar o golpe do sequestro de conta
O golpe mais comum, o mesmo que aconteceu com minha colega: alguém liga ou manda mensagem fingindo ser do WhatsApp, banco ou operadora e pede o código de verificação que acabou de chegar por SMS. Esse código é exatamente o que permite registrar seu número em outro aparelho.
A regra simples: nenhuma empresa, banco ou serviço legítimo pede o código de verificação do WhatsApp por telefone ou mensagem. Se alguém pedir esse código, é golpe, independente de qual história for contada. Para entender os padrões completos desse tipo de ataque, vale ver também como não cair em golpes digitais no geral.
O que fazer se a conta for sequestrada
Se alguém conseguiu acessar sua conta, aja rápido: instale o WhatsApp no seu celular e faça login com seu número. O app vai enviar um novo código SMS para o seu chip. Após confirmar, todos os outros dispositivos são desconectados automaticamente. Se a pessoa ativou verificação em duas etapas na conta com o PIN dela, o processo demora 7 dias, mas o acesso dela fica suspenso nesse período.
Avise seus contatos imediatamente por outra plataforma (SMS, ligação, e-mail) para que não caiam em golpes enviados em seu nome durante o período de invasão. Para entender mais sobre segurança da conta no WhatsApp e recursos que você pode não conhecer, o guia completo do WhatsApp cobre privacidade, backup e configurações avançadas.
Para acompanhar as atualizações de segurança diretamente da empresa, o FAQ oficial de segurança do WhatsApp explica cada recurso de proteção disponível na plataforma.
Dúvidas frequentes sobre segurança no WhatsApp
A verificação em duas etapas impede o golpe do chip clonado?
Parcialmente. O golpe do SIM swap (troca do chip pela operadora de forma fraudulenta) permite ao golpista receber o código SMS. Mas com a verificação em duas etapas ativa, ele ainda precisaria do PIN de 6 dígitos que só você tem, o que torna a invasão muito mais difícil. Por isso a verificação em duas etapas é a proteção mais importante do WhatsApp.
Preciso reativar as configurações de segurança quando troco de celular?
Sim. A maioria das configurações de segurança, especialmente o bloqueio por biometria, precisa ser reativada no aparelho novo. O backup e a verificação em duas etapas migram junto com a conta, mas o bloqueio biométrico é uma configuração local do dispositivo.
O WhatsApp Web fica ativo mesmo quando o celular está desligado?
Com os dispositivos vinculados (função de multi-dispositivo), sim. A sessão no computador ou tablet fica ativa independentemente do status do celular por até 14 dias de inatividade. Por isso verificar e encerrar sessões desconhecidas em Aparelhos conectados é importante.
Criptografar o backup faz com que eu perca o histórico se trocar de celular?
Não, desde que você saiba a senha ou tenha a chave de criptografia que criou. O backup continua sendo restaurado normalmente ao instalar o WhatsApp num aparelho novo, mas o app vai pedir essa senha durante a restauração. O risco é perder a chave: sem ela, o backup criptografado não pode ser restaurado.
Por onde começar agora
Se você vai fazer apenas uma coisa hoje, ative a verificação em duas etapas. Leva dois minutos e elimina o risco de sequestro de conta via código SMS, que é de longe o ataque mais comum. Depois ative o bloqueio biométrico dentro do app e verifique os aparelhos conectados. Com essas três configurações no lugar, sua conta está em um nível de segurança bem acima da média.
