Uma nova modalidade de golpe, batizada de GhostPairing, colocou o WhatsApp novamente na mira dos cibercriminosos. A técnica, descoberta pela equipe de pesquisa da Gen Digital (dona das marcas Norton, Avast, Avira e AVG), dispensa senhas ou malwares instalados no aparelho: ela explora apenas a rotina de linkar novos dispositivos ao aplicativo. Em menos de dois minutos, o invasor consegue ler — em tempo real — todas as suas conversas e até se passar por você em grupos de família, trabalho ou guilds de jogos.
Como o GhostPairing funciona, passo a passo
O golpe começa com uma mensagem aparentemente inofensiva, geralmente um link dizendo “veja esta foto no Facebook”. Ao clicar, o usuário é levado a uma página falsa que solicita o número de telefone para “verificação”.
• Esse número é repassado pelos criminosos ao recurso “Adicionar dispositivo via número de telefone” do WhatsApp.
• O WhatsApp gera então um código de pareamento de oito dígitos.
• O código é devolvido ao usuário pela própria página falsa, mas o invasor já está pronto para digitá-lo numa sessão de navegador.
• Quando a vítima confirma o pareamento dentro do app, acredita estar se autenticando — na verdade, está transformando a sessão do atacante em um dispositivo confiável.
Depois disso, é game over: o criminoso acessa todas as mensagens, histórico completo, bate-papos arquivados e ainda pode enviar textos, áudios e arquivos posando como o usuário verdadeiro.
Por que essa falha preocupa tanto?
O WhatsApp sempre se vendeu pelo tripé “telefone + conveniência + criptografia ponta a ponta”. Não há senhas para lembrar, o que facilita a vida de quem troca de aparelho com frequência. No entanto, a mesma simplicidade virou brecha:
- Até quatro dispositivos adicionais podem ser vinculados sem exigir QR Code (o método mais seguro);
- O pareamento depende unicamente desse código de oito dígitos, facilmente social-engenheirado;
- Empresas dependem cada vez mais do app para grupos de trabalho, muitas vezes fora do radar do time de TI.
Vale lembrar que outros mensageiros, como Signal, obrigam o pareamento exclusivamente por QR Code, o que torna ataques desse tipo muito menos viáveis.
Impacto prático: do gamer ao profissional remoto
Para quem joga em guildas ou coordena raids via grupos de WhatsApp, um invasor poderia monitorar estratégias ou até sabotar eventos. Já profissionais em home office correm risco de vazamento de documentos, contratos ou senhas compartilhadas em chats “informais”. O GhostPairing faz com que a promessa de sigilo da criptografia caia por terra através da engenharia social.
Como se proteger agora mesmo
1. Habilite a verificação em duas etapas
Nas configurações do WhatsApp, ative o PIN de 6 dígitos. Ele não bloqueia a leitura das suas mensagens, mas impede que o invasor altere e-mail de recuperação ou configure o app em outro telefone.
2. Prefira parear via QR Code
Sempre que precisar usar o WhatsApp Web, escaneie o código QR direto da tela. Desconfie de qualquer solicitação de “código numérico” enviada por terceiros.
Imagem: John E
3. Revise dispositivos conectados
Em Configurações > Dispositivos vinculados, verifique periodicamente a lista. Não reconheceu um acesso? Toque e encerre imediatamente.
4. Eduque sua equipe e familiares
Em ambientes corporativos, inclua o WhatsApp no programa de conscientização de phishing. Explique que links suspeitos podem comprometer conversas de projetos inteiros.
5. Considere hardware de autenticação
Para quem quer um nível extra de proteção em múltiplos serviços, chaves de segurança FIDO2 — como a YubiKey 5 NFC ou a Feitian BioPass, disponíveis na Amazon — eliminam códigos SMS e reduzem a janela para golpes de engenharia social.
WhatsApp sob fogo cruzado
O GhostPairing surge poucas semanas após outra pesquisa revelar que era possível enumerar números de telefone dos 3,5 bilhões de usuários do aplicativo. Em paralelo, o WhatsApp Desktop para Windows também precisou de correção urgente este ano por permitir execução de código remoto.
A lição é clara: mesmo com criptografia de ponta a ponta, a camada humana segue sendo o elo mais fraco. Golpes que exigem apenas curiosidade e um clique encontram terreno fértil, especialmente em plataformas onde a usabilidade vence a segurança.
No fim das contas, não há solução milagrosa — apenas boas práticas contínuas e, quando possível, ferramentas que elevem a barreira de entrada para o atacante. Seu histórico de mensagens, fotos e documentos agradecem.
Com informações de Computerworld
