Golpe: bandidos invadem contas de WhatsApp para pedir ajuda em falsas votações a conhecidos

A aparente mensagem de um conhecido no WhatsApp também pode fazer parte da trama de um golpe. Quando ela pede dinheiro, muita gente já sabe que deve ligar e checar se o celular está em posse do contato verdadeiro antes de fornecer a ajuda. Mas mesmo uma solicitação simples, e aparentemente sem viés financeiro, deve ser encarada com cuidado. Os bandidos têm disparado mensagens pedindo apoio em supostas votações populares, para levar as pessoas a darem cliques perigosos, conforme identificaram as empresas de cibersegurança Kapersky e Eset.

As histórias contadas podem ser em favor de uma sobrinha participando de um concurso de dança ou de um vizinho que concorre a uma bolsa de estudos, por exemplo. Mas, no link da falsa votação, os bandidos começam o procedimento do roubo da conta do WhatsApp e solicitam um código enviado para o celular a fim de supostamente confirmar o voto. Sem perceber que se tratar de um código de verificação de conta do WhatsApp, a vítima o fornece. É neste momento que o golpe se concretiza.

Como funciona o roubo

A artimanha já foi identificada em páginas em inglês, espanhol, alemão, turco, dinamarquês, búlgaro e outros idiomas. As histórias contadas para sensibilizar a rede de contatos podem mudar. Mas o ataque tem algumas etapas padronizadas no mundo todo.

Segundo a Kapersky, os cibercriminosos, primeiro, se preparam para o ataque criando páginas na internet que hospedam falsas votações. Os sites parecem autênticos: incluem fotos de participantes reais, botões para votar e contadores mostrando quantas pessoas já participaram.

Depois, começa o trabalho de engenharia social. Ou seja, o convencimento das vítimas para participarem da falsa votação. E aí sim, na página maliciosa, quando a vítima clica em votar, aparece um aviso dizendo que, para combater fraudes na votação, é necessário iniciar uma sessão com o WhatsApp. A partir do fornecimento do número do celular vinculado ao aplicativo, há duas formas principais de o golpista se conectar ao WhatsApp da vítima:

Na primeira, a página mostra um código de oito caracteres e pede que a vítima o insira no próprio WhatsApp, na opção de vincular um aparelho. Isso conecta à conta dela um novo dispositivo, que está em posse do atacante.
Na segunda, a página pede que a vítima digite o código que chega por SMS para “validar o voto”. Esse código é justamente o que permite registrar o WhatsApp no aparelho do atacante.

Quais são os riscos

Levados pelo impulso de ajudar alguém, muitos usuários não leem com atenção o aviso que o próprio WhatsApp emite de que alguém está acessando sua conta, e continua com o procedimento que dá a conta de WhatsApp para um bandido. E, apesar de se tratar de um aplicativo de mensagens, esse roubo não é nada inofensivo, lembra Jonathan Ramos, pesquisador de segurança da ESET no Brasil:

— Dependendo da forma de acesso, os criminosos podem visualizar conversas e informações disponíveis na conta. Inclusive, podem enviar o mesmo pedido de votação para outras pessoas, criando uma cadeia de atingidos pelo golpe. E podem aplicar outros aos contatos, principalmente fraudes financeiras: pedem dinheiro a parentes, amigos e colegas, que acreditam estar conversando com o verdadeiro dono do número — enumera Ramos.

Caiu no golpe? Tome providências

O golpe não é concluído só por acessar a página de votação. O roubo da conta de WhatsApp somente acontece quando é fornecido esse código de verificação solicitado pelos bandidos.

Se isso acontecer, há algumas providências a tomar para minimizar os danos e recuperar a conta rapidamente. Ramos orienta:

Desconectar os aparelhos desconhecidos: se você ainda tem acesso à conta, abra o WhatsApp, acesse “Configurações”, entre em “Aparelhos conectados” e desconecte todos os aparelhos que não reconhece.
Recuperar o acesso, caso tenha sido desconectado: se vítima perdeu o acesso ao WhatsApp, deve iniciar o procedimento de registro do número novamente no aplicativo, solicitando um novo código por SMS e seguindo as etapas de recuperação.
Avisar os contatos por outro canal: ligue fora do WhatsApp, mande uma mensagem pelo Instagram ou fale pessoalmente. Explique que a conta foi comprometida, e que você não está pedindo votos nem dinheiro.
– Aja rapidamente se houve transferência de dinheiro: se alguém tiver feito um Pix para o golpista, essa pessoa deve procurar o banco imediatamente, solicitar a devolução pelo MED (Mecanismo Especial de Devolução do Pix), e registrar um boletim de ocorrência.

Como se proteger de armadilhas

Para não cair em armadilhas como essa, há atitudes que devem fazer parte do cotidiano dos usuários de internet. Veja, abaixo, dicas de segurança formuladas pela Kapersky.

Não clique em links suspeitos em mensagens, mesmo que venham de amigos ou parentes. Ligue para seus contatos para confirmar a procedência da mensagem.
Nunca participe de concursos ou votações duvidosas, especialmente se exigirem autenticação por aplicativo de mensagens.
Nunca insira dados pessoais em sites desconhecidos, principalmente aqueles acessados por meio de links enviados em mensagens ou redes sociais.
Tenha antivírus atualizados nos celulares e nos PCs e não ignore os avisos sobre sites inseguros.
Ative a verificação de dois fatores nas configurações do WhatsApp. Isso exige um código PIN de seis dígitos para fazer login em um novo dispositivo, dificultando o trabalho dos atacantes mesmo que seu número esteja comprometido.
Use chaves de acesso em vez de senhas tradicionais sempre que possível. O WhatsApp já oferece suporte a chaves de acesso para verificação de conta.
Verifique regularmente a lista de dispositivos conectados nas configurações do aplicativo. Tanto o WhatsApp quanto o Telegram mostram todas as sessões ativas, e você pode desconectar qualquer uma que pareça suspeita. No Telegram, você pode até ativar o encerramento automático de sessões inativas.
Use somente versões oficiais dos aplicativos de mensagens, baixados de lojas de aplicativos oficiais (como Google Play, App Store ou Galaxy Store).
Redobre a atenção ao usar as versões para desktop dos aplicativos de mensagens, especialmente em computadores do trabalho.