O golpe do WhatsApp clonado atingiu 153 mil brasileiros só em 2024, segundo a Febraban, e continua sendo a fraude bancária mais comum do país. Se o seu WhatsApp desconectar sozinho, pedir um código de seis dígitos que você não solicitou, ou seus contatos começarem a receber pedidos de Pix em seu nome, você provavelmente foi clonado — e o primeiro passo é reinstalar o aplicativo imediatamente para derrubar o acesso do golpista.

Como o golpe do WhatsApp clonado realmente funciona

Diferente do que muita gente imagina, o criminoso não “invade” seu celular. Ele explora um processo legítimo do próprio WhatsApp: o registro de número em um novo aparelho. Para isso, precisa de apenas uma coisa — o código de verificação de seis dígitos que o WhatsApp envia por SMS quando alguém tenta ativar sua conta em outro celular.

O golpista consegue esse código de duas formas principais. A mais comum é engenharia social: ele liga ou manda mensagem se passando por suporte técnico, atendente de loja, agendamento médico ou até um contato conhecido, e convence a vítima a repassar o código “para confirmar” algo. A segunda é mais técnica — SIM swap, quando o criminoso consegue transferir seu número para um chip sob controle dele diretamente na operadora, driblando até quem nunca compartilharia um código por mensagem.

Segundo especialistas em segurança digital consultados pela imprensa, o que mudou nos últimos anos não foi o método, mas o grau de profissionalização por trás dele — os golpistas hoje operam como empresas, com equipes especializadas e acesso a dados vazados que tornam a abordagem mais convincente e personalizada, incluindo até compras reais da vítima mencionadas na conversa para reduzir a desconfiança. Você pode conferir mais detalhes técnicos sobre os métodos de clonagem na reportagem da Exame sobre o tema.

Os sinais de que seu WhatsApp foi clonado

Na prática, a maioria das vítimas só percebe que foi clonada quando um contato liga perguntando se o pedido de Pix “era mesmo você”. Isso acontece porque o golpista, ao registrar sua conta em outro aparelho, desconecta silenciosamente o seu — sem aviso, sem notificação visível na maioria dos casos. Fique atento a estes sinais antes que o estrago aconteça:

Você recebeu um código de seis dígitos por SMS sem ter solicitado nenhum login novo. Seu WhatsApp caiu sozinho e pede o número de telefone novamente para reabrir. Contatos avisam que receberam mensagens estranhas em seu nome, geralmente pedindo dinheiro com urgência. Sua foto de perfil ou status mudou sem você ter feito isso.

O que fazer nos primeiros minutos após a clonagem

Velocidade é tudo aqui — cada minuto que o golpista mantém acesso é tempo para pedir dinheiro a mais gente da sua lista. Siga esta ordem:

Reinstale o WhatsApp no seu celular e confirme seu número normalmente. Isso já desconecta o golpista automaticamente, porque o WhatsApp só permite uma sessão ativa por número. Se o código de confirmação não chegar por SMS, ligue imediatamente para sua operadora e peça bloqueio do chip — sinal de que pode ser SIM swap, não engenharia social simples. Avise seus contatos mais próximos por ligação, SMS ou outra rede social — nunca pelo próprio WhatsApp, que pode ainda estar comprometido — para que ninguém faça Pix acreditando ajudar você. Depois de recuperar o acesso, ative a verificação em duas etapas imediatamente, antes de fazer qualquer outra coisa.

Verificação em duas etapas: a única proteção que realmente funciona

Se existe uma ação que separa quem se protege de quem vira estatística, é esta. Com a verificação em duas etapas ativada, mesmo que o golpista consiga o código de SMS através de engenharia social ou SIM swap, ele não consegue completar o registro sem o PIN adicional de seis dígitos que só você conhece — e que não passa por SMS nem por nenhum canal interceptável.

Para ativar: abra o WhatsApp, vá em Configurações, depois Conta, depois Confirmação em duas etapas, e defina um PIN de seis dígitos. Vincule também um e-mail de recuperação — sem ele, se você esquecer o PIN, o processo de recuperação da conta fica mais lento e burocrático.

Sinal de alerta	O que geralmente significa	Ação imediata
Código SMS não solicitado	Alguém tentando ativar seu número em outro aparelho agora	Ignore o código, não compartilhe com ninguém, monitore o app nos próximos minutos
WhatsApp caiu sozinho pedindo número de novo	Conta já foi registrada em outro dispositivo — clonagem em andamento	Reinstale e confirme seu número imediatamente
Contato avisa que recebeu pedido de Pix seu	Golpista já está ativo na sua conta pedindo dinheiro aos contatos	Avise todos os contatos por outro canal, nunca pelo WhatsApp comprometido
Mensagem de “atualização obrigatória” com link	Phishing — não é clonagem direta, mas pode instalar malware que rouba a sessão	Nunca clique; atualize apenas pela loja oficial (Play Store ou App Store)

O que fazer se um contato seu já caiu no golpe do “seu” Pix

Aqui está um ponto que pouca gente sabe: você não é responsável civilmente pelo Pix que um contato fez acreditando ajudar você — mas isso não significa que o dinheiro está perdido. Quem fez a transferência acreditando ser você deve acionar o MED (Mecanismo Especial de Devolução) imediatamente junto ao próprio banco, o quanto antes, já que a chance de bloqueio do valor cai rapidamente com o tempo. Registrar um Boletim de Ocorrência — que pode ser feito online na maioria dos estados — também ajuda tanto a vítima da clonagem quanto quem fez a transferência a terem base para eventual disputa com banco ou operadora.

Na minha avaliação, o erro mais comum de quem foi vítima é ficar constrangido e demorar para avisar os contatos com medo de “dar trabalho” — isso é exatamente o que o golpista conta que vai acontecer. Quanto mais rápido você alertar, menos gente cai no golpe em sua rede.

Por que golpistas miram famílias inteiras — e como proteger quem tem mais dificuldade com tecnologia

Se você cruzar os 153 mil casos registrados pela Febraban em 2024 com o prejuízo médio de R$ 2.500 por vítima levantado em pesquisas do setor, chega a um impacto financeiro estimado de mais de R$ 380 milhões só com clonagem de WhatsApp em um ano — uma conta que não aparece pronta em nenhuma reportagem, mas que dá dimensão real do tamanho do problema no Brasil. E esse valor tende a estar concentrado em um perfil específico de vítima: pessoas mais velhas, menos habituadas a configurações de segurança e mais propensas a confiar em pedidos urgentes de familiares.

Na prática, o golpe funciona melhor quando o golpista consegue se passar por um filho, neto ou sobrinho pedindo ajuda urgente — e quem mais cai nesse roteiro específico costuma ser justamente quem tem menos intimidade com configurações de privacidade do celular. Se você tem pais ou avós que usam WhatsApp, vale dedicar 10 minutos para ativar a verificação em duas etapas no aparelho deles também, e combinar uma “palavra-chave familiar” — algo que só a família saiba — para confirmar pedidos de dinheiro urgentes antes de qualquer transferência.

Essa camada extra de proteção não substitui a verificação em duas etapas, mas funciona como uma segunda barreira: mesmo que o golpista consiga clonar a conta e mandar uma mensagem convincente, a ausência da palavra combinada é um sinal claro de alerta para quem recebe o pedido.

Perguntas Frequentes

Como saber se meu WhatsApp foi clonado?

O sinal mais claro é o aplicativo desconectar sozinho e pedir seu número de telefone novamente para reabrir, sem que você tenha feito nada. Outro sinal forte é receber um código de verificação por SMS que você não solicitou, ou contatos avisando que receberam mensagens suspeitas pedindo dinheiro em seu nome. Se qualquer um desses sinais aparecer, reinstale o WhatsApp imediatamente para confirmar e recuperar o acesso.

Sou obrigado a pagar se um golpista pediu dinheiro usando meu nome no WhatsApp?

Não. Você não tem responsabilidade civil pelo Pix que um contato seu fez acreditando estar ajudando você, já que quem sofreu o golpe foi induzido pelo criminoso, não por você. Você pode, inclusive, buscar reparação contra a operadora ou o WhatsApp caso fique comprovada falha de segurança na clonagem. O ideal é orientar quem fez a transferência a acionar o MED junto ao banco o mais rápido possível.

Como ativo a verificação em duas etapas no WhatsApp?

Acesse Configurações, depois Conta, depois Confirmação em duas etapas, e defina um PIN de seis dígitos que você vai usar sempre que precisar registrar sua conta em um aparelho novo. Recomenda-se também cadastrar um e-mail de recuperação para não ficar travado caso esqueça o PIN no futuro. Essa é considerada a proteção mais eficaz contra clonagem, porque bloqueia o golpista mesmo que ele consiga o código por SMS.

Reinstalar o WhatsApp realmente desconecta o golpista?

Sim. O WhatsApp permite apenas uma sessão ativa por número de telefone, então quando você reinstala o aplicativo e confirma seu número novamente, o dispositivo do golpista é automaticamente desconectado da conta. É por isso que essa é a primeira ação recomendada assim que você percebe qualquer sinal de clonagem, antes mesmo de qualquer outra medida.

O que é SIM swap e é diferente de clonagem por engenharia social?

SIM swap é quando o criminoso consegue transferir seu número de telefone para um chip sob controle dele diretamente junto à operadora, sem precisar te convencer de nada diretamente. Já a engenharia social depende de convencer a vítima a repassar o código de verificação por mensagem ou ligação. O SIM swap costuma ser mais grave porque, além do WhatsApp, o criminoso passa a receber qualquer código de recuperação enviado por SMS para outros aplicativos vinculados ao seu número.

Como se proteger de forma permanente

Segurança contra clonagem não é uma ação única — é hábito. Nunca compartilhe o código de seis dígitos do WhatsApp com ninguém, mesmo que a pessoa se identifique como suporte técnico ou funcionário de alguma empresa: nenhuma empresa legítima pede esse código por telefone ou mensagem. Ative a verificação em duas etapas agora, antes de precisar dela. E desconfie sempre de mensagens com tom de urgência extrema — “sua conta será bloqueada”, “confirme agora” — porque essa pressão psicológica é a ferramenta mais usada pelo golpista para te fazer agir sem pensar.

Se o tema de proteção de dados e segurança digital te interessa, vale complementar a leitura com nosso guia de dicas para proteger seus dados na nuvem, que cobre outras frentes além do WhatsApp.