O Brasil lidera os rankings mundiais de ataques de phishing, e o WhatsApp se tornou o principal canal usado por criminosos para alcançar as vítimas.
Uma simples mensagem com link disfarçado — uma promoção imperdível, uma pesquisa paga, uma falsa atualização do app — pode esvaziar a conta bancária da pessoa em minutos.
Este guia explica como o golpe do WhatsApp por link falso funciona na prática, mostra como reconhecer a fraude antes de cair nela, ensina o que fazer nas primeiras horas após o clique e indica os caminhos para recuperar o prejuízo na Justiça.
Como funciona o golpe do WhatsApp por link falso
O mecanismo é sempre o mesmo, com variações na isca. O criminoso envia uma mensagem com um chamariz forte: uma promoção, uma oferta de emprego, uma comunicação urgente do banco ou uma pesquisa que paga em dinheiro.
A vítima clica no link e cai em uma página falsa que imita o visual de uma marca conhecida — banco, loja, governo, operadora. Nessa página, o golpista coleta dados sensíveis (login, senha, CPF, código SMS) ou instala automaticamente um programa malicioso no celular.
A partir daí, o estrago se multiplica. Com a senha em mãos, o criminoso invade o internet banking e faz transferências.
Portanto, já com o código SMS interceptado, ele assume o WhatsApp da vítima e pede dinheiro aos contatos. Com o malware instalado, ele monitora tudo o que a pessoa digita.
Esse tipo de fraude se enquadra no estelionato digital, tipificado no art. 171, §2º-A do Código Penal — modalidade que tem pena agravada justamente por ser cometida por meio eletrônico, podendo chegar a 8 anos de reclusão.
Os tipos mais comuns de phishing no WhatsApp
A mesma técnica aparece com roupagens diferentes. Conhecer cada formato ajuda a identificar a armadilha antes do clique.
Golpe da promoção WhatsApp: Mensagem com falso cupom de desconto, sorteio ou oferta exclusiva de uma loja famosa. Black Friday, Natal e datas comemorativas concentram o maior volume desse tipo de ataque.
Golpe da pesquisa WhatsApp: O criminoso oferece pagamento (geralmente entre R$50 e R$200) para a vítima responder uma pesquisa rápida. A página coleta dados bancários sob a justificativa de “depositar a recompensa”.
Golpe da falsa atualização do app: Mensagem afirma que o WhatsApp será desativado se a pessoa não atualizar pelo link. A página falsa instala malware ou rouba o código de verificação.
Golpe da falsa vaga de emprego: Oferta de salário acima da média do mercado, com link para “cadastro”. Funciona principalmente em períodos de alto desemprego.
Golpe da falsa central do banco: Mensagem alertando sobre “compra suspeita” ou “bloqueio iminente da conta”. O link leva à página clonada do banco, onde a vítima entrega login e senha pensando que está se protegendo.
Golpe do programa social: Falso CadÚnico, Bolsa Família, FGTS ou auxílio governamental pedindo “taxa de liberação” ou cadastro completo.
Todos esses formatos integram o universo dos golpes de internet mais comuns, com táticas de engenharia social parecidas: criar urgência, prometer vantagem irresistível e explorar a confiança em marcas conhecidas.
Como reconhecer um link falso no WhatsApp
Alguns sinais entregam o golpe antes do clique:
- Domínio estranho ou com pequenas alterações (por exemplo, “bb-cliente.online” no lugar de “bb.com.br”);
- Link encurtado (bit.ly, tinyurl, encurtador.com) que esconde o destino real;
- Erros de português, traduções automáticas ou frases mal construídas;
- Pedido de dados sensíveis como senha, código SMS ou CPF completo;
- Urgência artificial (“oferta válida por 15 minutos”, “última chance”);
- Promessas boas demais para ser verdade;
- Número desconhecido, estrangeiro ou sem foto de perfil.
Na dúvida, vale a regra simples: nunca clique em link recebido por WhatsApp sem antes confirmar a origem pelo canal oficial da empresa.
Cliquei no link falso. E agora?
Aqui está o ponto que define o tamanho do prejuízo. A resposta certa depende do que aconteceu depois do clique, e existem três cenários distintos.
Cenário 1: cliquei no link, mas não digitei nada e fechei rápido. O risco principal é a instalação silenciosa de malware.
Rode um antivírus confiável no celular, troque a senha do e-mail e dos bancos por precaução, ative a verificação em duas etapas em todas as contas importantes e fique atento a movimentações estranhas nos próximos dias.
Cenário 2: cliquei no link e digitei dados (login, senha, CPF, código de verificação). O risco salta de patamar. Aja em ordem: primeiro, troque a senha do e-mail (porque o e-mail é a chave para recuperar todas as outras contas).
Em seguida, ligue para o banco e bloqueie acesso, cartões e operações suspeitas. Depois, troque a senha de todos os serviços que usam o mesmo login ou padrão. Ative a verificação em duas etapas em tudo. Por fim, registre boletim de ocorrência.
Cenário 3: cliquei, digitei dados e ainda fiz Pix ou transferência. Esse é o cenário mais grave, e o tempo de resposta é crítico.
Você tem até 80 horas para acionar o Mecanismo Especial de Devolução do Pix (MED) pelo aplicativo do banco — quanto antes, maior a chance de recuperar o valor. Registre B.O. detalhado com prints, link e número do golpista.
Notifique o banco por escrito (e guarde o protocolo). Procure um advogado especialista para acionar judicialmente as instituições envolvidas, porque a recuperação total geralmente exige ação na Justiça.
Como denunciar o golpe do WhatsApp
A denúncia rápida cumpre dois papéis: retirar o golpista do ar e formalizar a fraude para qualquer ação futura. Siga esta ordem.
Reúna as provas antes de qualquer outra coisa. Faça capturas de tela da conversa inteira, do número do remetente, do link recebido e da página falsa (se ainda estiver no ar). Anote data e hora. Não apague nada.
Denuncie o número no próprio WhatsApp. Abra a conversa, toque nos três pontinhos no canto superior direito e selecione “Denunciar contato”. Em seguida, envie um e-mail para support@whatsapp.com com os prints e peça a desativação do perfil.
Registre boletim de ocorrência na Delegacia de Crimes Cibernéticos do seu estado, presencialmente ou pela Delegacia Eletrônica. Detalhe tudo: número, link, página falsa, valores envolvidos e marca que foi usada como isca.
Comunique a empresa que teve a marca usada (banco, loja, governo). Muitas instituições têm canais específicos para denúncia de phishing e podem retirar a página falsa do ar mais rápido.
Por fim, avise seus contatos. O alerta rápido evita que mais vítimas caiam na mesma armadilha.
Quando o phishing evolui para clonagem de WhatsApp ou chip
O golpe do link falso muitas vezes é só a primeira etapa. Quando o criminoso captura o código SMS de verificação durante o phishing, ele consegue tomar a conta do WhatsApp da vítima — situação detalhada no nosso conteúdo sobre WhatsApp clonado.
A partir daí, o golpista usa a conta tomada para pedir dinheiro aos contatos da vítima, multiplicando o prejuízo. Em ataques mais elaborados, o criminoso vai além: convence a operadora a transferir o número da vítima para outro chip.
Essa modalidade está explicada no artigo sobre clonagem de chip e permite que o golpista receba todos os códigos de autenticação enviados por SMS — incluindo os do banco.
Quando isso acontece, a fraude deixa de ser apenas um problema do WhatsApp e vira uma porta aberta para o patrimônio inteiro da vítima.
É possível recuperar o prejuízo na Justiça?
Sim, e essa é a parte que os conteúdos institucionais raramente abordam. A jurisprudência brasileira evoluiu muito nos últimos anos, e bancos, fintechs e instituições financeiras vêm sendo responsabilizados por falhas de segurança que permitem golpes.
A Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos causados por fortuito interno, incluindo fraudes de terceiros.
Em termos práticos, o banco precisa provar que adotou todos os cuidados necessários — portanto, não cabe à vítima provar a culpa da instituição.
O banco recebedor do Pix também pode ser responsabilizado. Decisões recentes do TJSP e do TJMG vêm reconhecendo a responsabilidade da instituição que abriu conta para o golpista sem verificação adequada.
Nesses casos, os tribunais entendem que houve falha na prestação de serviço, conforme as Resoluções do Banco Central que exigem diligência na abertura de contas.
A inversão do ônus da prova prevista no Código de Defesa do Consumidor reforça a posição da vítima.
O consumidor é a parte vulnerável da relação e não precisa demonstrar tecnicamente como a fraude ocorreu — basta demonstrar que ela ocorreu e que o banco não a impediu.
A ação judicial pode pleitear a devolução integral dos valores, indenização por danos morais e a retirada de eventuais negativações decorrentes da fraude.
Os valores variam conforme o impacto do caso, mas indenizações entre R$5.000 e R$30.000 por danos morais são comuns em casos com negativação ou exposição pública.
Como se proteger de futuros golpes no WhatsApp
A prevenção custa pouco e evita transtorno enorme. Ative a verificação em duas etapas no WhatsApp (Configurações > Conta > Confirmação em duas etapas). Nunca clique em links enviados por números desconhecidos.
Confirme promoções no site ou aplicativo oficial da marca antes de qualquer ação. Mantenha um antivírus atualizado no celular. Limite a visibilidade da sua foto, recado e visto por último apenas aos seus contatos.
Bloqueie consultas ao seu CPF no Serasa e ative a função “Proteger meu CPF” na Receita Federal para impedir aberturas de empresas fraudulentas.
Essas medidas não eliminam o risco, mas dificultam muito o trabalho do criminoso.
Caiu no golpe do WhatsApp? Quanto antes agir, maior a chance de recuperar tudo
Nas primeiras horas após um golpe pelo WhatsApp, ainda há margem real para reverter o prejuízo. Nesse intervalo, é possível acionar o Mecanismo Especial de Devolução do Pix, bloquear a conta do criminoso, derrubar a página falsa e alertar contatos antes que a fraude se espalhe.
Passadas 48 horas, o cenário muda: rastros digitais somem, valores se dispersam entre contas e a recuperação fica muito mais difícil. O escritório Raphael Cruz Advocacia atua exatamente nessa janela crítica.
Conduzimos a recuperação imediata de valores, pois a responsabilização judicial de bancos e fintechs que falharam na verificação de contas e a contenção dos desdobramentos da fraude — negativações indevidas, contratos fraudulentos e contas abertas com seus dados.
