Você recebe uma mensagem no WhatsApp de um amigo de verdade, alguém que você conhece há anos. Ela pede para você clicar em um link e votar no filho dele em um concurso de dança, ou no cachorro dele em um concurso de fotos, ou na escola dele em alguma campanha de arrecadação de fundos. Nada nela grita golpe — não está pedindo a senha do seu banco, e vem de um contato em quem você confia, em uma conversa que vocês têm há anos.

É exatamente esse o ponto. Pesquisadores de segurança da Malwarebytes documentaram esse padrão no início de agosto de 2026: a mensagem não vem de um número falsificado. Ela vem da conta real do seu amigo no WhatsApp, que foi sequestrada. O atacante não está se passando por ele — está dentro da conta dele, enviando mensagens como se fosse ele, para todos os contatos da lista, incluindo você.

Como a conta é tomada sem uma senha

O WhatsApp permite que uma conta fique conectada em até quatro dispositivos extras ao mesmo tempo — seu celular, além do WhatsApp Web em um navegador, um aplicativo de desktop, e assim por diante — por meio de um recurso chamado dispositivos vinculados. Vincular um novo dispositivo normalmente significa abrir o WhatsApp no celular, ir até Configurações e escanear um código QR exibido no novo dispositivo. Nenhuma senha é necessária, porque o celular já está conectado e serve de aval para a nova sessão.

O golpe sequestra esse fluxo em vez do próprio login. A vítima clica em um link — às vezes no domínio real wa.me — que a conduz por algo que parece ser a "configuração do WhatsApp Web", ou instrui a digitar um código na própria tela de dispositivos vinculados. Seguir esses passos faz exatamente uma coisa: aprova o dispositivo do atacante como uma nova sessão vinculada na conta da vítima. A partir desse momento, o atacante pode ler e enviar mensagens como se fosse o dono da conta, em um dispositivo que a vítima nunca vê.

É por isso que ele não dispara nenhum dos alarmes que as pessoas são treinadas a observar. Não há mudança de senha, então não há e-mail de "sua senha foi alterada". Não há tentativa de login malsucedida, então não há alerta de segurança. O próprio celular do dono da conta continua funcionando normalmente. O único rastro é uma entrada extra e desconhecida, discretamente parada na lista de dispositivos vinculados — e quase ninguém verifica essa lista, a menos que saiba que precisa olhar.

Verifique agora mesmo os seus próprios dispositivos vinculados

Faça isso independentemente de você ter recebido ou não uma dessas mensagens, já que leva menos de dois minutos e não custa nada:

  • No iPhone ou Android: Abra o WhatsApp → toque em Configurações (ou no menu de três pontos no Android) → Dispositivos vinculados.
  • Revise cada entrada. Cada uma mostra um tipo de dispositivo (Chrome, Windows, Mac, outro celular) e quando esteve ativa pela última vez. Se você só usa o WhatsApp no seu próprio celular, essa lista deve estar vazia. Se você usa o WhatsApp Web em um computador de casa ou do trabalho, deve reconhecer cada uma das entradas.
  • Qualquer coisa que você não reconheça — remova imediatamente. Toque no dispositivo e depois em "Sair", ou use "Sair de todos os dispositivos" se não tiver certeza de qual entrada é o problema. Isso corta instantaneamente o acesso do atacante; não é necessário mudar sua senha ou número de telefone.

Depois, tranque a porta atrás de você

Remover o dispositivo intruso interrompe o acesso imediato, mas não impede que alguém vincule outro da mesma forma. Dois passos seguintes são importantes:

  • Ative a verificação em duas etapas. Configurações → Conta → Verificação em duas etapas → Ativar. Isso adiciona um PIN de 6 dígitos exigido para certas ações sensíveis e dificulta que alguém restabeleça o controle mesmo que consiga enganá-lo novamente.
  • Nunca digite um código nas suas próprias configurações do WhatsApp porque uma mensagem mandou. Esse é o real mecanismo desse golpe. A vinculação legítima de dispositivos sempre começa com você mesmo abrindo o WhatsApp Web ou o Desktop e escaneando um código QR com a câmera do celular — nunca é iniciada digitando um código que chegou em uma conversa, mensagem de texto ou link. Se alguma página pedir que você faça isso, feche-a.

Se a mensagem veio de um amigo, não de você

Não clique no link, e não envie dinheiro caso a conversa evolua para um pedido nesse sentido — esse costuma ser o próximo passo assim que o atacante tem acesso, já que uma mensagem pedindo dinheiro emergencial vinda da conta de um amigo de verdade é muito mais convincente do que a mesma mensagem vinda de um estranho. Em vez disso, entre em contato com esse amigo por um canal totalmente diferente — uma ligação, uma mensagem de texto, um e-mail, qualquer coisa que não seja a própria conversa no WhatsApp, já que essa conversa pode não ser realmente ele. Conte o que você recebeu e sugira que ele verifique sua própria lista de dispositivos vinculados. Se ficar constatado que a conta dele foi comprometida, ele também deve avisar os outros contatos da mesma forma, já que toda a estratégia do atacante depende de a mensagem parecer exatamente tão confiável quanto parece agora.

Nada disso exige antivírus, gerenciador de senhas ou qualquer ferramenta além do próprio menu de configurações do WhatsApp. Exige saber que "dispositivos vinculados" é uma lista que vale a pena verificar — e que um pedido de favor vindo de alguém real não é prova de que o pedido realmente veio dessa pessoa.