Sequestrar a conta de WhatsApp virou moda. Criminosos desenvolveram diversas ações para clonar as contas do aplicativo de conversas. Algumas delas nem ao menos precisam usar qualquer ciberataque. Basta uma ligação e um bom papo para conseguir o objetivo.

O principal interesse do criminoso no WhatsApp é o alcance da plataforma, segundo Fabio Assolini, analista sênior de segurança da Kaspersky. Afinal, mais de 110 milhões de brasileiros usam o aplicativo, um alcance superior a 50% da população do país. “Quando eles disseminam uma campanha maliciosa na plataforma, os resultados são muito positivos devido à popularidade”, explica.

Uma característica desse golpe é que os bandidos fazem a lição de casa. Para isso, acessam perfis abertos de Instagram e Facebook, anúncios em sites de compra e venda ou até mesmo o Linkedin de possíveis vítimas.

O objetivo dos criminosos segue o mesmo: pedir dinheiro para os contatos em nome da vítima. Para isso, usam o famoso golpe de engenharia social, uma ação que costuma ser bastante efetiva por conta da relação de confiança entre as vítimas.

No caso, os golpistas convencem o usuário a informar por telefone o código de seis números enviado pelo WhatsApp por mensagem SMS, necessário para concluir a autenticação da conta em outro celular.

Para se ter uma ideia, um áudio que viralizou recentemente mostra um criminoso em contato com uma possível vítima falando sobre um anúncio de motocicleta em um site de classificados. Após o golpista falar que iria enviar um código por SMS, o rapaz percebe que se trata de um golpe e inicia uma conversa com a pessoa do outro lado da linha.

Surpreendentemente, o criminoso começa a revelar algumas informações ao homem dizendo que “se fizer 50 ligações no dia, umas 39 eu consigo” [aplicar o golpe]. Depois disso, o golpista ainda debocha: “R$ 6 mil em dois dias está bom, não? Imagina R$ 20 mil em duas semanas?”.

Além desse tipo de golpe, outra maneira de sequestrar a conta do WhatsApp é por meio do SIM swap, conhecido como clonagem dos chips do celular com a ajuda de funcionários mal intencionados das telefônicas.

Essa tática exige um pouco mais dos criminosos, mas dificulta muito a defesa do usuário. Afinal, o telefone da vítima perde a conexão (voz e dados) e o fraudador recebe todos os SMS e chamadas de voz destinados à vítima.

De acordo com o especialista da Kaspersky, esse tipo de golpe é possível devido a um problema no login do WhatsApp. O app identifica o acesso pelo número de telefone e não por um nome de usuário e senha.

“O número de telefone não foi criado para ser um id. Para mim, isso é um fundamento ao qual o WhatsApp está baseado que é péssimo. Analisando pelo ponto de vista de segurança, isso é algo que desaprova a plataforma”, comenta.

Em contato com a reportagem, o WhatsApp disse que “implementou um alerta nas mensagens de verificação de conta, avisando seus usuários a não compartilharem o código recebido via SMS, uma vez que essa senha é pessoal e dá ao usuário a segurança de acesso”.

Além disso, afirmou que, “em caso de tentativa de roubo de conta, o WhatsApp também ressalta que a criptografia de ponta a ponta do aplicativo não é comprometida. Ou seja, o golpista não tem acesso a mensagens anteriores que estão armazenadas no seu telefone”.

Como proteger o WhatsApp de ser clonado?
A boa notícia é que se proteger dos golpes no WhatsApp não é tão difícil. Basta adotar medidas de segurança no próprio aplicativo, como a verificação em duas etapas.

Para isso, abra o app, clique em “Ajustes”, depois em “Conta” e então ative “verificação em duas etapas”. A senha de seis dígitos será solicitada sempre que a conta for instalada em um novo aparelho, além de ser pedida com frequência no uso do aplicativo.

Segundo Fábio Assolini, essa atitude vai impedir que os criminosos acessem seu aplicativo, mesmo quando tiverem o código de acesso por SMS. “Mesmo quando o criminoso fizer o SIM swap e receber os SMS da vítima, essa ação vai dificultar a vida do fraudador, já que ele vai precisar saber a senha”, alerta.

Outra dica está relacionada ao WhatsApp Web. Pode ocorrer de o usuário esquecer o sistema conectado no trabalho ou em algum computador que não seja dele, o que possibilitaria que alguém leia suas mensagens.

Para saber se está com esse problema, fique atento às notificações do smartphone. Nessa área, o usuário é informado que o WhatsApp Web está logado. Basta apenas acessar o aplicativo e desativar todos os dispositivos em que a conta estivar conectada, da seguinte forma:

• Android: Menu principal (três pontos no topo direito da tela inicial do WhatsApp) > WhatsApp Web > Sair de todas as sessões?
• iOS: Ajustes (canto direito da tela inicial do WhatsApp) > WhatsApp Web/computador > Sair de todas as sessões

Além disso, recomenda-se que os usuários estejam alerta com as mensagens ou ligações, especialmente as com promessas que parecem imperdíveis. Vale, por exemplo, sempre verificar se a mesma promoção está disponível no site oficial da marca e se a URL do link condiz com a verdadeira —a que aparece logo na primeira página de busca no Google.

Marcus Farbiarz, gerente de desenvolvimento do SiDi, instituto de tecnologia localizado em Campinas, afirma que a educação do usuário é fundamental. Para isso, é importante que o usuário alerte amigos e familiares com informações e notícias sobre o tema. “Isso diminui a eficácia dos golpes aplicados pelo atacante”, recomenda.

Uma saída mais radical é pagar para usar números virtuais como conta do WhstsApp. Esses números estão disponíveis em plataformas como Skype ou Google Voice. “Além disso, esses números pertencem a uma empresa de tecnologia, que está acostumada a lidar com fraude e te dá uma proteção maior. Se um fraudador tentar fazer SIM swap, por exemplo, ele não vai conseguir”, diz Fabio Assolini.

Como saber se meu WhatsApp foi clonado?
Se acha que caiu em um golpe, fique atento se existem mensagens não enviadas por você constando em seu celular. Além disso, observe também se algumas conversas constam como lidas, mesmo você não tendo sido notificado das mensagens. Isso pode ser um sinal de que sua conta foi clonada.

Lembre-se também que se você deixou a conta logada em um computador, seu aplicativo pode não ter sido clonado. Isso significaria apenas que alguém está usando isso para observar suas conversas ou mexer no seu WhatsApp.

Como restaurar WhatsApp clonado?
Se você caiu no golpe e passou o código ao criminoso, acalme-se. Nem tudo está perdido. Mas é necessário um pouco de sorte para recuperar a conta logo de cara. Isso porque os golpistas, ao acessarem o WhatsApp, costumam ativar a verificação de duas etapas.

Se foi o caso, o único jeito de retomar a conta é digitar a senha de seis dígitos criada pelo golpista —uma tarefa não muito fácil. Caso tenha sorte e consiga acessar o WhatsApp antes de o fraudador criar a senha, você terá que colocar a verificação de duas etapas imediatamente para o golpista perder o acesso.

Fui clonado, o que fazer?
Caso não dê tempo de recuperar o acesso ao aplicativo, a primeira recomendação é notificar a família e os amigos sobre a fraude. Isso porque os golpistas provavelmente vão utilizar sua lista de contatos para solicitar informações sigilosas e pedir depósitos em dinheiro.

Além disso, o WhatsApp deve ser notificado. Para isso, o usuário deve enviar um email com a seguinte frase no assunto e no corpo do texto: “Perdido/Roubado: Por favor, desative minha conta”. Inclua também o seu telefone no formato internacional: +55 (código do Brasil), o DDD de sua área e o número do celular. O endereço de destino é o support@whatsapp.com.

Esse processo pode demorar alguns dias. Sua conta será desativada e você terá 30 dias para reativá-la.

Outra recomendação importante dos especialistas é fazer um boletim de ocorrência. Somente assim, a polícia conseguirá iniciar as investigações e coletar dados sobre a frequência do golpe.

Como se proteger?

• Jamais divulgue o código de segurança do SMS, nem para amigos ou familiares;
• Desconfie de ligações que solicitam a confirmação de recebimento de um número por SMS. Se necessário, peça para a pessoa retornar a ligação e pesquise se não se trata de um golpe;
• Ative a verificação em duas etapas. Assim, mesmo que o criminoso tenha acesso ao código enviado por SMS, ele não conseguirá acessar sua conta.

Fonte: Tilt/UOL