"Enviei-te um código por engano": é assim que roubam o teu WhatsApp

Recebes um SMS com um código de seis dígitos que não pediste e, quase ao mesmo tempo, uma mensagem de um amigo, de alguém do grupo da escola ou de um "técnico do WhatsApp": "Desculpa, enviei-te um código por engano, podes reencaminhar-mo?". Parece um favor sem importância, mas esse código é a chave da tua conta. Se o enviares, outra pessoa vai registar o teu número de WhatsApp ou de Telegram no telemóvel dela, tu perdes o acesso e o burlão começa a escrever a todos os teus contactos fazendo-se passar por ti. A regra é simples e não tem exceções: um código de verificação nunca se partilha, com ninguém.

Como funciona o roubo da conta?

O WhatsApp e o Telegram identificam a tua conta pelo número de telefone. Quando alguém instala a aplicação num telemóvel novo e introduz um número, o serviço envia um código por SMS (ou por chamada, ou dentro da própria aplicação) para o telefone do titular, para confirmar que é dele. O burlão precisa exatamente daquilo que te chegou.

O guião costuma seguir estes passos:

1. O burlão introduz o teu número no telemóvel dele e inicia o registo. Tu recebes o SMS oficial com o código.
2. Escreve-te para to pedir. Muitas vezes a partir da conta de um contacto real que já foi roubada, por isso a mensagem vem de alguém de confiança. Outras vezes apresenta-se como apoio do WhatsApp, como organizador de um sorteio ou de uma votação, ou como alguém que "se enganou no número".
3. Faz pressão. "É urgente", "vão bloquear-me a conta", "é só um minuto".
4. Se lhe enviares o código, a conta passa para o telemóvel dele. O teu WhatsApp é desligado e, muitas vezes, ele ativa a sua própria verificação em dois passos para que não a consigas recuperar facilmente.
5. Usa a tua identidade. Escreve aos teus contactos e grupos a pedir dinheiro urgente, uma transferência ou um pagamento instantâneo (em Espanha, muitas vezes por Bizum, o serviço de pagamentos por telemóvel; em Portugal, por exemplo MB WAY) ou, de novo, "o código que te chegou por engano". Assim a cadeia continua.

Quais são os sinais de alarme?

• Recebes um código que não pediste. É o sinal mais claro: alguém está a tentar entrar na tua conta.
• O SMS diz literalmente para não o partilhares. As mensagens oficiais do WhatsApp, do Telegram, do teu banco e de quase todos os serviços avisam disso.
• Pedem-to por chat, mesmo que seja um amigo. Ninguém te pode "enviar por engano" um código da própria conta: os códigos chegam sempre ao número que está a ser registado.
• O "apoio técnico" escreve-te. O WhatsApp e o Telegram não te vão pedir um código por chat, SMS ou chamada.
• Há pressa ou uma desculpa estranha: um sorteio, uma votação, uma conta que "vai ser bloqueada".

O que faço agora se mo estão a pedir?

1. Não reencaminhes o código nem o dites ao telefone. Nem sequer uma parte.
2. Confirma por outro canal. Se a mensagem vem de um contacto, liga-lhe para o número habitual ou pergunta-lhe pessoalmente. É muito provável que a conta dele já tenha sido roubada; avisa-o.
3. Ativa já a verificação em dois passos (explicamos como mais abaixo). Com ela, mesmo que alguém consiga um código, vai precisar também de um PIN que só tu conheces.
4. Bloqueia e denuncia a conversa na própria aplicação. Se a mensagem veio de um número desconhecido, também o podes reportar no diretório de números spam.
5. Avisa os outros: se a conta de um amigo está a ser usada por outra pessoa, diz isso no vosso grupo comum para que mais ninguém caia.

Como ativo a verificação em dois passos?

É a medida que mais protege contra esta fraude e ativa-se num minuto:

• WhatsApp: Definições Conta Verificação em dois passos Ativar. Escolhe um PIN de seis dígitos que não uses em mais lado nenhum e adiciona um endereço de email para o poderes repor se o esqueceres.
• Telegram: Definições Privacidade e Segurança Verificação em dois passos. Cria uma palavra-passe e adiciona um email de recuperação.

Também não partilhes esse PIN nem essa palavra-passe. Os menus podem mudar ligeiramente consoante a versão da aplicação, mas a opção aparece sempre com este nome. Aproveita para rever os dispositivos ligados (no WhatsApp: Definições Dispositivos ligados; no Telegram: Definições Dispositivos) e terminar qualquer sessão que não reconheças.

E se já enviei o código?

Age depressa. Quanto mais cedo, mais fácil é recuperá-la:

1. Volta a registar o teu número no teu telemóvel. Abre o WhatsApp, introduz o teu número e verifica-o com o novo código que vais receber por SMS. Ao fazê-lo, a sessão do burlão é encerrada.
2. Se te pedir um PIN que não conheces, é porque o burlão ativou a sua própria verificação em dois passos. Não vai conseguir impedir para sempre que recuperes a conta: depois de um período de espera de vários dias, o WhatsApp permite voltar a registá-la sem esse PIN. Entretanto, escreve ao apoio a partir da aplicação (Definições Ajuda) a explicar que a tua conta foi roubada.
3. No Telegram, entra com o teu número, vai a Definições Dispositivos e toca em "Terminar todas as outras sessões". Depois ativa a tua palavra-passe de verificação em dois passos.
4. Avisa os teus contactos por outra via (SMS, chamada, redes sociais ou através de familiares): "Roubaram-me o WhatsApp, ignorem qualquer mensagem minha a pedir dinheiro ou códigos".
5. Se o código era do teu banco ou de uma aplicação de pagamentos, liga de imediato para o número oficial do teu banco (o que aparece no verso do cartão ou no site) para bloquear operações.
6. Guarda provas: capturas de ecrã das mensagens, o número que te contactou e a hora.

Onde apresento queixa e a quem peço ajuda?

• Polícia: em Espanha, a Policía Nacional (091) ou a Guardia Civil (062); noutros países, a polícia nacional (em Portugal, por exemplo, a PSP, a GNR ou a Polícia Judiciária). Apresenta queixa com as capturas de ecrã, sobretudo se usurparam a tua identidade ou se alguém perdeu dinheiro. Teres enviado o código não te torna culpado: és vítima de um engano.
• Linha de apoio em cibersegurança: em Espanha, a linha 017 do INCIBE é gratuita e confidencial e orienta-te passo a passo para recuperar a conta e proteger os teus dispositivos; a Oficina de Segurança do Internauta (OSI) do INCIBE tem ainda guias para configurar o WhatsApp e o Telegram com segurança. Noutros países, contacta a agência nacional de cibersegurança.
• 112: apenas se houver uma emergência ou uma ameaça imediata.

Se algum dos teus contactos recebeu pedidos de dinheiro em teu nome, lê também como funciona a burla do filho em apuros pelo WhatsApp: é a continuação habitual deste roubo.

Perguntas frequentes

Recebi um código que não pedi, mas não o dei a ninguém. Estou em perigo? Não. Sem o código não conseguem entrar. Significa que alguém experimentou o teu número; ignora o SMS, não respondas a quem to pedir e ativa a verificação em dois passos.

Foi um amigo verdadeiro que mo pediu, como pode ser uma burla? Porque provavelmente quem escreve não é o teu amigo, mas sim quem lhe roubou a conta. Liga-lhe antes de fazeres o que quer que seja.

Podem ler as minhas conversas antigas? Em geral, ao registar a conta num telemóvel novo, as tuas conversas antigas não são transferidas se não tiverem acesso à tua cópia de segurança. O que podem fazer é escrever em teu nome e ver as mensagens novas que chegarem enquanto controlam a conta.

Vale a pena mudar de número? Não é necessário. Basta recuperar a conta e ativar a verificação em dois passos.

Em resumo

Um código que chega por SMS é teu e de mais ninguém: nem de amigos, nem de "apoio técnico", nem de sorteios. Se to pedirem, não o envies, confirma por outro canal e ativa a verificação em dois passos. Se já o enviaste, volta a registar o teu número, avisa os teus contactos e apresenta queixa. E se a tentativa veio de um número desconhecido, reporta-o no diretório de números spam da NoCall para que outros o reconheçam a tempo.