Assunção de conta no WhatsApp: quando o número não é seu

Imagine que alguém troque a fechadura da sua casa enquanto você está dentro, e então comece a convidar estranhos em seu nome, pedir empréstimos a vizinhos em seu nome e sussurrar segredos pessoais para seus melhores amigos – tudo isso enquanto eles têm total certeza de que é você. No espaço digital do século XXI, a nossa conta do WhatsApp é muito mais do que um aplicativo de mensagens; é o corredor principal da nossa vida social, profissional e pessoal. Quando ele é subtraído de nós, não perdemos apenas uma ferramenta de comunicação, perdemos a nossa própria identidade perante aqueles que nos rodeiam.

Este capítulo trata de um dos golpes mais comuns e dolorosos: o "sequestro" de uma conta do WhatsApp. Ao contrário de invasões complexas a servidores bancários, aqui a principal arma não é um código de software sofisticado, mas um entendimento profundo da psicologia humana. Esta é uma história sobre a confiança abusada, sobre um momento de desatenção e sobre a luta jurídica e técnica para reverter a situação.

O cenário a seguir é um exemplo educacional baseado em padrões de fraude comuns. Os personagens e eventos visam apenas fins ilustrativos.

A história de Eyal: um código a mais

Eyal, um empreiteiro renomado, estava sentado certa noite na sala de sua casa. Seu telefone vibrou. Uma mensagem de Yossi, um amigo próximo do tempo das reservas militares: "Eyal, meu irmão, enviei por engano para você um código de verificação do WhatsApp que era para mim. Você poderia me passar rápido? Estou preso lá fora sem acesso ao e-mail". Eyal, sem pensar duas vezes, viu que naquele exato momento chegou uma mensagem SMS com um código de seis dígitos. "Claro, Yossi, aqui está o código: 482-193", digitou e enviou.

Segundos depois, a tela do WhatsApp de Eyal escureceu. Uma mensagem branca apareceu no centro: "Seu número de telefone não está mais registrado neste aparelho". Eyal tentou entrar novamente, mas o aplicativo solicitou um código de verificação. Ele aguardou o SMS, mas este não chegou. Ele tentou ligar para Yossi, mas a linha estava ocupada. Ele não sabia que naquele momento, o "Yossi" que lhe enviou a mensagem era, na verdade, um hacker que havia assumido a conta de Yossi pouco tempo antes, pelo mesmo método idêntico.

Nas horas seguintes, o mundo de Eyal começou a desmoronar. Seus clientes começaram a receber mensagens urgentes: "Oi, estou preso sem dinheiro na loja de materiais de construção, você pode me transferir 2.000 NIS via Bit? Te devolvo amanhã de manhã quando chegar na obra". Alguns dos clientes, que conheciam Eyal como uma pessoa confiável e honesta, correram para ajudar. Uma delas, uma senhora idosa cuja casa ele reformou recentemente, transferiu o dinheiro sem hesitar. Quando Eyal finalmente conseguiu entender o que estava acontecendo, o dano já estava feito. Não apenas o dinheiro de seus clientes foi perdido, mas também a reputação que construiu com muito trabalho ao longo de muitos anos. Ele se sentiu violado, exposto e, acima de tudo, impotente perante o sistema digital que fechou suas portas para ele.

Anatomia de um golpe: como isso acontece na prática?

A assunção de uma conta no WhatsApp é frequentemente o resultado de "engenharia social". O atacante não invade os sistemas da Meta (empresa controladora do WhatsApp), mas convence a vítima, ou um terceiro, a fornecer-lhe a "chave de entrada". Esta chave é o código de verificação de seis dígitos que o WhatsApp envia por SMS ao tentar configurar a conta em um novo dispositivo.

Outro método comum é a invasão através do correio de voz. Muitos atacantes agem tarde da noite. Eles inserem o número de telefone da vítima em seu próprio aparelho e solicitam o código de verificação através de uma "chamada de voz". Como a vítima está dormindo ou não atende, a chamada vai para o correio de voz. O atacante, utilizando serviços simples de invasão de correio de voz (que às vezes são protegidos por senhas padrão), escuta a mensagem gravada, extrai o código e assume o controle da conta.

Assim que o atacante entra na conta, seu primeiro passo é configurar a "verificação em duas etapas" (Two-Step Verification). Ele define um código PIN pessoal e um endereço de e-mail de recuperação que lhe pertence. A partir desse momento, mesmo que a vítima tente se registrar novamente com seu SMS, o sistema exigirá o código PIN que o atacante definiu. A vítima fica bloqueada fora de sua própria conta por pelo menos sete dias – uma eternidade em termos de fraude digital.

O aspecto jurídico: responsabilidade, negligência e proteção da privacidade

Quando um caso como este é examinado legalmente, a primeira pergunta é sempre: "Quem pode ser responsabilizado pelo dano?". A resposta é complexa e está entrelaçada na Lei de Proteção da Privacidade e na Lei de Computadores. Em Israel, a responsabilidade jurídica em caso de fraude digital é examinada sob vários parâmetros, sendo o central a questão da negligência.

A Lei de Proteção da Privacidade determina que a violação da privacidade é, entre outras coisas, o uso do nome, imagem ou voz de uma pessoa para fins de lucro. No caso de assunção de uma conta do WhatsApp, o atacante comete um crime grave e também um ilícito civil. Mas como o atacante é geralmente anônimo ou age de um país estrangeiro, examina-se às vezes a responsabilidade de entidades institucionais: a empresa de telecomunicações, a emissora do cartão de crédito ou os aplicativos através dos quais o dinheiro foi transferido.

Aqui entra a questão da "negligência concorrente". Em uma análise jurídica geral das opções, pode-se avaliar se o titular da conta agiu de forma razoável. A transmissão de um código de verificação para um estranho (ou até mesmo para um amigo, sem verificar sua identidade) pode ser considerada negligência? A Lei de Serviços de Pagamento regula grande parte desses casos. A lei determina que, em caso de "transação não autorizada" ou uso indevido de meio de pagamento, a responsabilidade do cliente pode ser limitada, a menos que fique provado que o cliente agiu com intenção fraudulenta ou forneceu os dados de autenticação em circunstâncias nas quais deveria suspeitar.

É importante entender: ao contrário dos cartões de crédito, onde é mais fácil definir uma "transação não autorizada", no WhatsApp o dano é muitas vezes indireto – dinheiro que amigos ou clientes transferiram para o atacante acreditando que estavam ajudando você. Nesses casos, pode-se examinar a responsabilidade do banco caso não tenha identificado um padrão de transferências incomum, mas o ônus da prova exigido é significativo. É preciso examinar as circunstâncias específicas de cada caso, a rapidez da denúncia e as medidas tomadas pelo titular da conta para sua defesa.

A crise: além da perda financeira

O aspecto jurídico é apenas uma parte da imagem. O dano psicológico e social é muitas vezes mais significativo. Em um cenário educacional baseado em casos conhecidos, pode ocorrer uma situação em que um atacante assume uma conta e começa a enviar informações pessoais e sensíveis para os contatos, exigindo um resgate. Esta é uma extorsão em todos os sentidos, e demonstra o quanto as informações aparentemente criptografadas em nossas conversas podem se tornar uma arma assim que a conta é invadida.

Nesses casos, a polícia (unidade de crimes cibernéticos) entra em cena. Apresentar uma declaração juramentada é fundamental não apenas para iniciar uma investigação, mas também pode servir como base para sustentar a alegação jurídica contra várias entidades de que a conta realmente não estava sob seu controle. Sem um comprovante de denúncia, será mais difícil contestar cobranças de cartão de crédito ou transferências financeiras efetuadas em seu nome.

Modos de ação: o que fazer quando a conta é sequestrada?

Se você descobriu que sua conta não está disponível, recomenda-se agir rapidamente. Cada minuto que o atacante está dentro é um minuto em que ele pode enganar mais pessoas ou extrair informações sensíveis.

1. Tentativa de novo registro

É possível tentar entrar no WhatsApp e registrar-se novamente com o número de telefone. Se o atacante ainda não tiver configurado a verificação em duas etapas, o código SMS que você receber pode desconectá-lo de seu aparelho. Se o atacante já tiver definido um código PIN, o sistema poderá exigir uma espera de vários dias.

2. Notificação aos contatos (Social Vaccination)

Este é um passo importante para evitar danos a terceiros. Publique em todas as plataformas possíveis – redes sociais, SMS comum ou chamadas telefônicas – que seu WhatsApp foi invadido. Peça às pessoas para não responderem a mensagens em seu nome e não transferirem dinheiro de forma alguma.

3. Contato com o suporte do WhatsApp

É possível enviar um e-mail para o endereço support@whatsapp.com. Recomenda-se que o assunto do e-mail seja: "Lost/Stolen: Please deactivate my account". No corpo do e-mail, deve-se indicar o número de telefone no formato internacional completo. A desativação da conta pode impedir que o atacante continue a utilizá-la.

4. Desconexão do WhatsApp Web

Se você ainda tiver acesso parcial, recomenda-se ir para as configurações -> aparelhos conectados -> e desconectar todos os aparelhos que você não reconhece.

Prevenção: o muro de proteção digital

Ao longo dos meus anos de trabalho profissional, constatei que não ativar a verificação em duas etapas é uma falha de segurança significativa. Este é um passo simples que pode evitar a grande maioria dos casos de assunção de conta.

Ao configurar a verificação em duas etapas (Two-Step Verification), você cria um código PIN pessoal. Mesmo que o atacante obtenha o código SMS (por fraude ou de outra forma), ele não poderá entrar na conta sem o PIN pessoal. Além disso, é importante atualizar um endereço de e-mail para recuperação e garantir que o próprio e-mail também esteja bem protegido.

Sinais de alerta – quando suspeitar?

• Pedido de código de um amigo: um amigo ou familiar pede que você passe um código que chegou para você por SMS "por engano". Lembre-se: o código de verificação é pessoal e não deve ser passado a ninguém.
• Mensagens estranhas: recebimento de uma mensagem de uma pessoa conhecida, mas em um estilo de escrita que não é típico dela.
• Pedido de dinheiro rápido: solicitação de transferência de valores urgente sob a alegação de uma emergência.
• Chamadas telefônicas em horários estranhos: chamadas de números desconhecidos do exterior que desligam imediatamente – às vezes, esta é uma tentativa de verificar a disponibilidade da linha para uma chamada de voz com código.

O que fazer imediatamente ao descobrir a invasão?

• Denuncie à polícia: é possível registrar uma denúncia online. Esta é uma ferramenta importante para documentar o evento.
• Atualize o banco e as administradoras de cartão de crédito: se houver receio de que informações de pagamento tenham sido expostas, recomenda-se avaliar a necessidade de cancelá-los.
• E-mail para o suporte: envio de e-mail para desativação da conta, conforme explicado acima.
• Verificação de outras contas: recomenda-se verificar as contas de redes sociais e e-mail e garantir que não foram invadidas também.

Aspecto jurídico e conclusão

O cenário jurídico na área cibernética está em constante desenvolvimento. Hoje, podemos ver uma tendência de reconhecimento do valor econômico e emocional dos "ativos digitais". A assunção de uma conta no WhatsApp pode ser considerada uma violação de propriedade e privacidade. Em certos casos, pode ser possível examinar uma causa para ação judicial contra provedores de serviço caso seja provado que negligenciaram a segurança da informação.

No entanto, devemos lembrar que a melhor proteção é a conscientização e a cautela preventiva. Em casos de dano, é possível examinar várias opções jurídicas, e a chance de obter um resultado ideal depende das circunstâncias específicas do caso. A documentação, a denúncia rápida e o aconselhamento profissional são ferramentas significativas para lidar com eventos desse tipo.

No próximo capítulo, examinaremos o método de "troca de chip" (SIM Swapping) – um cenário de fraude onde o controle da linha telefônica em si é retirado de seu proprietário.