A Meta, empresa controladora do WhatsApp, registrou mais de 1 bilhão de usuários protegidos por chaves de acesso biométricas e ampliou as barreiras contra a clonagem e a espionagem de contas. Em atualização anunciada em 25 de agosto de 2026, o aplicativo de mensagens substituiu a limitação do código numérico tradicional por senhas completas e liberou o cadastro de múltiplas chaves em aparelhos Android e iOS.
Mesmo com o reforço nas camadas de autenticação, tentativas de sequestro de perfis por meio de códigos de seis dígitos enviados via SMS, leitura indevida de QR codes no computador e instalação de programas espiões continuam exigindo atenção direta dos proprietários de smartphones. Identificar rapidamente alterações não autorizadas no perfil e sessões desconhecidas abertas em outros equipamentos impede que invasores apliquem golpes financeiros em amigos e familiares.
Indícios de acesso não autorizado e monitoramento no aplicativo
O comportamento anormal da conta dentro do próprio mensageiro fornece os primeiros alertas de que terceiros conseguiram espelhar ou assumir o controle das conversas. Mensagens que aparecem marcadas como lidas antes de o dono abrir o aplicativo ou textos enviados sem o conhecimento do titular indicam interferência externa imediata.
Modificações repentinas nas informações de identificação, como a troca da fotografia principal, do nome de exibição ou do recado de perfil, também apontam que outra pessoa está operando a conta. Além das mudanças visuais, o funcionamento técnico do aparelho apresenta sintomas claros quando há tentativa de invasão ou monitoramento oculto:
- Desconexões repetidas e sem justificativa: o WhatsApp encerra o acesso do aparelho original quando detecta uma tentativa de registro simultâneo do mesmo número de telefone em outro celular.
- Chegada de códigos por SMS sem solicitação: o recebimento de mensagens de texto com sequências numéricas de seis dígitos significa que alguém digitou o número da vítima em um novo dispositivo para tentar validar a transferência da conta.
- Aumento abrupto no gasto de internet e energia: a descarga acelerada da bateria e o consumo elevado do pacote de dados móveis costumam ocorrer quando um spyware (programa espião instalado de forma oculta) transmite informações do telefone em segundo plano.
- Sessões abertas em computadores desconhecidos: o pareamento via QR code pelo navegador no recurso WhatsApp Web permite que terceiros acompanhem todas as trocas de mensagens em tempo real sem deslogar o aparelho principal.
Novas ferramentas da Meta e travas de segurança para blindar o perfil
Para neutralizar o roubo de contas que dependia apenas da interceptação do código de SMS ou da descoberta de sequências numéricas simples, a Meta reformulou a estrutura de autenticação do mensageiro em agosto de 2026. A confirmação em duas etapas, que antes aceitava apenas um PIN numérico de seis dígitos, passou a suportar uma senha alfanumérica longa combinada com caracteres especiais, reduzindo o risco de quebra por adivinhação ou ataques automatizados, enquanto o sistema de passkeys (chaves de acesso que validam a identidade por impressão digital, reconhecimento facial como o Face ID ou bloqueio de tela) ganhou suporte para mais de um cadastro por conta, atendendo quem alterna entre sistemas Android e iOS.
A configuração dessas defesas é feita diretamente no menu do aplicativo, acessando a aba Configurações e, em seguida, a seção Conta. Dentro desse painel, o usuário encontra as opções para ativar a confirmação em duas etapas, registrar as chaves de acesso biométricas e vincular um endereço de e-mail pessoal, recurso que garante a recuperação do perfil sem depender da rede da operadora de telefonia ou de mensagens SMS.
Veja também: WhatsApp hackeado mostra alertas no celular e pede desconexão rápida de aparelhos ligados
Na mesma atualização de 25 de agosto de 2026, o WhatsApp implementou nos aparelhos com sistema Android um identificador de contexto para chamadas recebidas de números que não estão salvos na agenda. O aviso na tela informa antes do atendimento se a ligação parte de um código de país estrangeiro ou se o remetente divide algum grupo em comum com o usuário, freando abordagens de engenharia social que usam senso de urgência para enganar a vítima e extrair códigos de validação.
Outra camada disponível no menu Privacidade, dentro de Configurações avançadas, permite ocultar o endereço IP (protocolo de internet que revela a localização geográfica aproximada e o provedor de rede) durante chamadas de voz e vídeo. Ao acionar a proteção, a ligação deixa de fazer conexão direta ponto a ponto entre os dois aparelhos e passa a ser redirecionada pelos servidores da plataforma, mantendo a criptografia de ponta a ponta.
Rotina de verificação de aparelhos conectados e combate a programas espiões
O monitoramento periódico dos equipamentos que têm permissão para ler as mensagens evita a espionagem silenciosa por meio de navegadores ou computadores de trabalho. O titular deve abrir as configurações do aplicativo, tocar em Dispositivos conectados (antiga seção WhatsApp Web) e revisar a lista de acessos recentes e sessões abertas.
Qualquer navegador ou computador não reconhecido precisa ser encerrado imediatamente na opção de desconectar todos os dispositivos. Em nenhuma circunstância o código de verificação de seis dígitos recebido por SMS deve ser repassado a terceiros, mesmo quando o solicitante entra em contato fingindo integrar o suporte técnico do próprio WhatsApp ou de outras empresas.
A prevenção contra aplicativos espiões instalados fisicamente ou por meio de arquivos maliciosos exige a atualização constante do sistema operacional do telefone. A utilização de programas antivírus e de segurança verificados nas lojas oficiais ajuda a rastrear e remover softwares que operam escondidos para capturar telas e áudios do dispositivo.
Confira também: WhatsApp inclui conversa restrita com quatro barreiras de segurança para proteger mensagens sensíveis
Procedimentos para retomar o controle da conta após uma invasão
Quando o sequestro do perfil se confirma ou o usuário identifica que sua conta está sendo operada por estranhos, a reação rápida limita o tempo de ação dos invasores e protege os arquivos salvos na nuvem. Se o acesso ao aplicativo ainda estiver aberto no celular, o primeiro passo é entrar em Dispositivos conectados, encerrar todas as sessões ativas e redefinir a senha da verificação em duas etapas; caso o titular tenha sido desconectado pelos golpistas, é necessário desinstalar e reinstalar o WhatsApp no smartphone, inserindo o número de telefone para solicitar um novo código de validação ou usar a chave biométrica, procedimento que derruba imediatamente a conexão do aparelho invasor.
A segurança do histórico de mensagens também precisa ser isolada caso o responsável pela clonagem tente acessar as cópias de segurança externas. Usuários de celulares Android devem alterar imediatamente a senha da conta associada ao Google Drive, enquanto proprietários de iPhone precisam trocar a credencial do iCloud, impedindo a restauração do backup de conversas em outro equipamento.
Na sequência, é indispensável avisar amigos, colegas de trabalho e familiares por meio de chamadas telefônicas ou outras redes para que ignorem pedidos de transferências de dinheiro feitos em nome da vítima. Nas ocorrências em que o invasor trava o retorno do dono legítimo à conta, o titular deve acionar o canal oficial de suporte do WhatsApp dentro da tela de ajuda do aplicativo para solicitar o bloqueio temporário e a restituição do perfil.