O WhatsApp ampliou as barreiras de proteção contra clonagem e espionagem de contas ao substituir o antigo limite de seis dígitos numéricos da verificação em duas etapas por senhas alfanuméricas mais longas e com caracteres especiais. A atualização foi anunciada pela Meta, empresa controladora do aplicativo, em 25 de agosto de 2026, junto com a liberação do cadastro de múltiplas chaves de acesso em uma mesma conta para aparelhos com sistemas Android e iOS. As medidas buscam impedir que invasores assumam o controle do perfil mesmo quando conseguem interceptar o código de registro enviado por mensagem de texto.
Além do reforço nas credenciais de entrada, o aplicativo de mensagens passou a exibir alertas detalhados na tela antes que o usuário atenda ligações originadas por números que não estão salvos na agenda de contatos. No sistema Android, o aviso informa se a chamada telefônica parte de um código de outro país e indica se o remetente desconhecido participa de algum grupo em comum com o dono do aparelho, reduzindo a eficácia de golpes baseados em engenharia social e senso de urgência.
Indícios de invasão no aplicativo e acessos pelo WhatsApp Web
A identificação rápida de uma tentativa de tomada de conta ou monitoramento clandestino depende da observação de mudanças repentinas no comportamento padrão do mensageiro no dia a dia. Quando terceiros conseguem espelhar ou registrar o perfil em outro equipamento, o sistema apresenta falhas de sincronização e rastros visíveis nas conversas e nos dados cadastrais do titular. Os principais sinais de comprometimento da conta incluem:
- Mensagens marcadas como lidas ou enviadas para contatos sem o conhecimento e a autorização do proprietário do telefone;
- Alterações não solicitadas nas informações públicas do perfil, como a troca da fotografia de exibição ou do nome de usuário;
- Sessões abertas e ativas em computadores ou navegadores desconhecidos dentro do painel de controle do WhatsApp Web;
- Desconexões repetidas e sem motivo aparente no aparelho principal, causadas pela tentativa de acesso simultâneo ao mesmo número a partir de outro telefone;
- Chegada de mensagens de texto via SMS contendo códigos de verificação de seis dígitos sem que o dono da linha tenha solicitado um novo registro.
No caso específico do WhatsApp Web, a vinculação indevida ocorre com frequência por meio da leitura rápida de códigos QR exibidos em telas de computadores quando o celular é deixado desbloqueado perto de outras pessoas. Para checar se existem navegadores espelhando as conversas em tempo real, o titular deve abrir o menu de configurações do aplicativo e tocar na seção dedicada aos dispositivos conectados, encerrando na hora qualquer acesso não reconhecido.
Outro ponto de atenção envolve o desempenho físico do próprio telefone celular, que pode denunciar a presença de programas espiões instalados de forma oculta no sistema operacional. Um salto repentino no consumo do pacote de dados móveis ou o esgotamento acelerado da carga da bateria fora do padrão normal de uso indicam que um software malicioso pode estar rodando em segundo plano para capturar e transmitir informações privadas.
Continue lendo: WhatsApp integra Meta AI para criar imagens, testes e roteiros nas conversas
Configuração da verificação em duas etapas e chaves biométricas
A principal barreira para impedir que um criminoso registre o número de telefone em outro aparelho é a ativação da confirmação em duas etapas diretamente no menu da conta. Para habilitar a função, o usuário deve acessar a aba Configurações, entrar em Conta e selecionar a opção Verificação em duas etapas, onde pode definir um código PIN ou configurar a nova modalidade de senha alfanumérica completa com letras e símbolos especiais. Nessa mesma área de segurança, o aplicativo permite vincular um endereço de e-mail pessoal, recurso que garante um canal alternativo para recuperar o perfil sem depender exclusivamente da rede de telefonia móvel e do envio de SMS.
Complementando a senha adicional, o recurso de chaves de acesso, conhecido tecnicamente como passkeys (sistema de autenticação digital que substitui senhas escritas pela leitura de impressão digital, reconhecimento facial ou código de bloqueio de tela do próprio aparelho), já é utilizado por mais de 1 bilhão de contas no serviço. Com a expansão implementada pela Meta, quem alterna o uso entre diferentes equipamentos nos sistemas Android e iPhone pode registrar mais de uma chave criptográfica simultânea acessando o caminho Configurações, Conta e Chaves de Acesso. Como a validação fica atrelada fisicamente ao sensor biométrico do telefone, o login não gera códigos numéricos que possam ser digitados em páginas falsas ou repassados por engano a golpistas que se passam por atendentes de suporte técnico.
A proteção contra programas espiões exige ainda que o sistema operacional do telefone seja mantido sempre na versão mais recente disponibilizada pelo fabricante. A instalação de aplicativos de segurança verificados ajuda a rastrear e remover arquivos invasores antes que eles comprometam a privacidade das conversas.
Procedimentos para retomar o controle da conta e proteger backups
Quando a invasão ou a clonagem já se concretizou, a primeira medida prática dentro do aplicativo é acessar a lista de aparelhos conectados no menu do WhatsApp Web e acionar o comando para desconectar todos os dispositivos de uma só vez, alterando em seguida a senha da verificação em duas etapas. Caso o criminoso tenha registrado o número de telefone em outro celular e derrubado o acesso do verdadeiro dono, é necessário desinstalar e reinstalar o WhatsApp no aparelho original; ao inserir o número da linha novamente e validar o código de seis dígitos recebido por SMS ou ligação, a sessão do invasor é automaticamente bloqueada e desativada, pois o serviço permite apenas um telefone principal ativo por linha.
Saiba mais: Meta AI no WhatsApp permite arquivar conversas e contestar uso de dados pessoais em formulário oficial
A segurança do histórico de mensagens armazenado na nuvem também requer ação imediata após um incidente de acesso não autorizado. Se o autor da invasão obtiver as credenciais da conta de armazenamento externo, ele poderá baixar e restaurar todas as conversas antigas em outro equipamento; por isso, o usuário deve trocar prontamente a senha do iCloud, nos aparelhos iPhone, ou da conta do Google Drive, nos celulares com sistema Android.
Paralelamente às medidas técnicas no telefone, o titular precisa avisar familiares, amigos e colegas de trabalho por outros meios de comunicação para evitar que contatos próximos transfiram dinheiro ou cliquem em links maliciosos enviados pelo golpista. O WhatsApp informou em sua Central de Ajuda que não tem capacidade técnica para fornecer dados sobre a identidade de quem invadiu o perfil nem o horário ou a localização do acesso indevido. Se o usuário tiver o aparelho roubado ou não conseguir retomar o controle pelo código de verificação, deve solicitar o bloqueio do chip diretamente à sua operadora de telefonia móvel e acionar o suporte oficial dentro do próprio aplicativo para pedir a desativação temporária da conta.