Burlas no WhatsApp são «fenómeno em massa», alerta a PJ: como proteger a sua empresa

A Polícia Judiciária (PJ) diz que as burlas através do WhatsApp voltaram em força e estão mais sofisticadas. Segundo o Expresso, que publicou o alerta a 3 de novembro de 2026, a mensagem já não chega de um número desconhecido. Chega do número verdadeiro de um amigo ou familiar, com o nome e a fotografia de perfil dele, na mesma conversa de sempre. A PJ descreve o esquema como uma versão mais sofisticada do «Olá Pai, Olá Mãe», em grande expansão, «com milhares de tentativas feitas todos os dias».

Na véspera, o ministro da Defesa Nacional, Nuno Melo, revelou que o WhatsApp dele tinha sido usado para pedir uma transferência de dinheiro. O problema também é das empresas: o número que os clientes conhecem ou o contacto da gerência no WhatsApp podem ser usados para pedir pagamentos. Resumimos o que dizem as autoridades e o que deve fazer já.

O que dizem a PJ e a GNR

Numa publicação no LinkedIn, a PJ explica que há burlões a «apropriarem-se e assumirem o controlo de contas de WhatsApp pessoais». A partir daí, fazem-se passar pelo dono da conta e pedem dinheiro aos amigos e familiares. Primeiro, conversa banal; depois, o pedido urgente: um empréstimo, uma despesa, um favor «só desta vez». Nas palavras da PJ, «a cada invasão de conta, gera-se um fenómeno em massa com muitas vítimas».

A PJ deixa um aviso que vale a pena reter: «o nome e a fotografia no WhatsApp não provam, de todo, quem está a escrever». Acrescenta que o acesso à conta pode acontecer sem que a pessoa se aperceba e que, em certas circunstâncias, vulnerabilidades nos sistemas da Apple e no WhatsApp detetadas em 2025 e 2026 permitem ataques sem que a vítima clique em nada. A PJ não identifica as falhas, mas conclui que manter o sistema operativo atualizado é tão importante como a encriptação.

Dias antes, a 27 de outubro, a GNR alertou para outra porta de entrada, a fraude do «vote no meu filho». Segundo a Notícias ao Minuto e a Pplware, um contacto conhecido pede um voto numa criança num concurso, com uma ligação para uma página de votação falsa. Para «validar» o voto, a página pede o número de telemóvel e o código de verificação do WhatsApp, ou pede para ler um código QR. Com isso, os criminosos associam um dispositivo deles à conta da vítima e passam a escrever em nome dela a todos os contactos.

O centro nacional de cibersegurança da Suíça, o NCSC, já tinha descrito o mesmo esquema em maio: com o código QR, os burlões abusam da função de dispositivos ligados, a mesma que se usa para abrir o WhatsApp Web no computador.

O caso do ministro: um telemóvel sem atualizações

Nuno Melo contou à agência Lusa, em declarações citadas pela RTP, que o ataque terá explorado vulnerabilidades do telemóvel, que já não permitia instalar atualizações de software. «Enquanto a atualização não é feita, há um espaço aberto a intrusões. Foi o caso», afirmou. Segundo o ministro, houve «desvio de comunicações» e duplicação de contactos, o que permitiu a terceiros enviar mensagens pelo WhatsApp em seu nome. Fonte oficial do Ministério da Defesa Nacional indicou que a mensagem pedia uma transferência de dinheiro. A situação resolveu-se com a troca de telemóvel.

Para uma empresa, a lição é direta: um telemóvel que já não recebe atualizações não deve ser o aparelho onde estão o WhatsApp da empresa, o email ou a aplicação do banco.

Porque é que isto também é um problema da sua empresa

Muitas PME usam o WhatsApp com clientes, fornecedores e colaboradores. Se a conta da empresa ou do gerente for tomada:

• Clientes podem receber pedidos de pagamento ou um «novo IBAN» a partir do número que conhecem e em que confiam.
• Colaboradores podem receber uma ordem «urgente» do gerente para pagar uma fatura ou comprar cartões-oferta.
• Fornecedores podem receber pedidos de alteração de dados de faturação.

É o mesmo mecanismo da fraude da fatura falsa por email, agora num canal onde se confia mais e se verifica menos.

O que fazer já: cinco proteções no WhatsApp

1. Ativar a verificação em dois passos. Em Definições, Conta, Verificação em dois passos. Em agosto de 2026, o WhatsApp anunciou que o antigo PIN de seis dígitos passa a ser uma palavra-passe mais longa, com letras, números e caracteres especiais. Se ainda usa um PIN, atualize-o e associe um email de recuperação a que tenha acesso.
2. Criar uma chave de acesso (passkey). No mesmo anúncio, o WhatsApp explica que a chave de acesso permite voltar a entrar com a impressão digital, o reconhecimento facial ou o código de bloqueio do ecrã, sem códigos por SMS. Está no menu Conta das definições. Explicamos o conceito em Chaves de acesso: o fim das palavras-passe.
3. Rever os dispositivos ligados. A ajuda do WhatsApp recomenda verificar regularmente os dispositivos ligados e terminar a sessão em qualquer computador ou navegador que não reconheça. Faça-o hoje no telemóvel da empresa e no do gerente.
4. Nunca partilhar o código de seis dígitos nem ler códigos QR enviados por terceiros. É a regra base da GNR, e o próprio WhatsApp pede que nunca o partilhe, nem com amigos ou familiares.
5. Atualizar ou substituir telemóveis antigos. Se o aparelho já não recebe atualizações de segurança, como no caso do ministro, troque-o. Para quem está mais exposto, o WhatsApp lançou em janeiro as definições de conta restritas (em Privacidade, Avançadas), que bloqueiam anexos de quem não está nos contactos.

Uma regra interna que trava a maior parte das burlas

O que impede a transferência é um procedimento simples, escrito e conhecido por todos:

• Nenhum pagamento, alteração de IBAN ou compra de cartões-oferta é feito só com base numa mensagem de WhatsApp, por mais urgente que pareça.
• Qualquer pedido de dinheiro é confirmado por chamada para o número que já tem guardado, e não para um número indicado na própria mensagem.
• No site e nas faturas, indique por que canais a empresa pede pagamentos e que nunca muda o IBAN por WhatsApp.

Se o dinheiro já saiu, o tempo conta. Veja o que fazer nas primeiras horas em Transferiu para um IBAN falso? O que fazer nas primeiras horas.

Se a conta já foi tomada

A página oficial Como recuperar uma conta comprometida é clara: mudar a palavra-passe não expulsa quem entrou. A única forma é voltar a registar a conta com o código de seis dígitos enviado por SMS ou chamada para o seu número, o que termina a sessão em todos os outros dispositivos. Se o burlão tiver ativado a verificação em dois passos e não souber a palavra-passe, o WhatsApp indica que deve esperar sete dias e tentar de novo. Entretanto:

• avise clientes, fornecedores e colaboradores por outro canal (email, telefone, redes sociais) para ignorarem pedidos vindos desse número;
• reveja os dispositivos ligados assim que recuperar o acesso;
• apresente queixa às autoridades, sobretudo se houve pedidos de dinheiro.

O WhatsApp avisa que denunciar a própria conta antes de a recuperar pode levar ao seu bloqueio. Se não tem um plano para incidentes, veja o plano que a sua empresa deve ter antes de precisar dele.

E o resto da presença digital?

Aproveite para rever também o email da empresa, como explicámos em Alertas de segurança verdadeiros da Google usados em burlas, e a segurança do site, com a nossa auditoria gratuita. Se precisar de ajuda para definir regras internas ou proteger os canais da empresa, a MarcaWeb pode ajudar.