Conta invadida ou WhatsApp clonado: o que fazer

Sinais de que seu número ou sua conta foram tomados

• O celular mostra “sem serviço” ou “somente emergência” de uma hora para outra, estando em local com sinal.
• Chega um SMS ou e-mail com código de verificação que você não pediu.
• O WhatsApp informa que o número foi registrado em outro aparelho.
• O banco envia aviso de novo dispositivo cadastrado, de alteração de senha ou de aumento de limite do Pix.
• Amigos perguntam por que você está pedindo dinheiro emprestado.

Qualquer um desses sinais pede ação imediata. Muitas invasões começam na sexta-feira à noite ou de madrugada, justamente para ganhar tempo antes que a vítima perceba.

Troca de chip sem autorização: o que pedir à operadora

Na chamada troca de chip, o golpista convence a operadora — em uma loja, por telefone ou com documento falso — a transferir o seu número para um chip que está com ele. A partir daí, recebe os SMS de verificação de bancos, e-mail e WhatsApp.

1. Ligue para a operadora de outro telefone e peça o bloqueio imediato da linha e a emissão de um novo chip para você.
2. Pergunte onde, quando e como a troca foi feita, e anote o protocolo.
3. Peça por escrito o registro da troca: loja, data, hora e documento apresentado.

Se a operadora trocou o chip sem conferir a identidade de quem pediu, essa falha pode ser discutida como defeito na prestação do serviço, nos termos do Código de Defesa do Consumidor.

WhatsApp clonado: como recuperar e o que dizer aos contatos

Com o chip de volta, reinstale o WhatsApp e confirme o número pelo código SMS. Isso derruba a sessão do golpista na maioria dos casos. Se ele tiver ativado a verificação em duas etapas, o aplicativo pode exigir um período de espera; nesse caso, use o suporte do próprio WhatsApp pelo e-mail indicado na página de ajuda e informe que a conta foi roubada.

Enquanto isso, avise seus contatos por outro canal — redes sociais, e-mail, uma mensagem de um familiar — dizendo que qualquer pedido de dinheiro não é seu. Depois de recuperar o acesso, ative a verificação em duas etapas com um PIN que só você conhece e cadastre um e-mail de recuperação.

Um detalhe que muita gente ignora: há o golpe em que o criminoso não clona o seu número, apenas cria uma conta nova com a sua foto. Nesse caso, peça aos contatos que denunciem o perfil falso dentro do próprio aplicativo.

Conta do banco invadida: o que exigir da instituição

Se houve transferências, compras ou empréstimos a partir do acesso indevido, conteste cada operação formalmente e peça o MED para os Pix. Na mesma contestação, solicite ao banco:

• a data e o horário do cadastro do novo aparelho;
• o modelo do dispositivo e o endereço IP usado nos acessos;
• o registro de como a senha foi redefinida e quais verificações foram feitas;
• a relação de alterações de limite feitas no período.

Esses dados mostram se o banco aceitou um aparelho desconhecido sem biometria ou outra camada de confirmação, e se as movimentações seguintes fugiam do seu perfil. O Marco Civil da Internet obriga os provedores de aplicação a guardar registros de acesso por seis meses, e depois disso eles podem ser descartados, por isso não convém esperar: um pedido de preservação ou uma ação com pedido de exibição de documentos pode ser necessário para que as informações não se percam.

Quem responde pelo prejuízo: banco, operadora ou plataforma?

Depende de onde estava a falha. Se o banco liberou movimentações de um aparelho que nunca tinha sido usado, sem verificação adicional, a discussão se aproxima da Súmula 479 do STJ, que trata da responsabilidade das instituições financeiras por fraudes de terceiros em operações bancárias. Se o ponto de entrada foi a troca de chip feita sem conferência, a operadora também pode ser chamada a responder. Em muitos casos, as duas empresas figuram juntas no processo.

A defesa das empresas costuma alegar que a vítima entregou o código de verificação ou instalou um aplicativo a pedido do golpista. Se isso aconteceu, a tese de culpa exclusiva ganha força — mas ainda se examina se as operações seguintes deveriam ter sido barradas. Cada caso depende do encadeamento dos fatos.

Meus amigos transferiram dinheiro para o golpista. E agora?

Quem transferiu foi o seu contato, e é ele quem deve pedir o MED no próprio banco e registrar boletim. Você não é, em regra, responsável por devolver esse dinheiro, já que também foi vítima. Ajuda muito, porém, que você forneça ao seu amigo o seu boletim de ocorrência e os protocolos com a operadora e o WhatsApp, porque eles comprovam que a conta estava fora do seu controle naquele momento.

Se alguém ameaçar processar você por causa do dinheiro perdido, não pague nada nem assine confissão de dívida. Guarde a mensagem e responda apenas com os documentos da invasão.

Como evitar uma nova invasão

Quem já foi vítima costuma voltar a ser alvo, porque os dados continuam circulando. Algumas medidas simples reduzem bastante o risco:

• Verificação em duas etapas no WhatsApp, no e-mail, nas redes sociais e na conta gov.br, de preferência com aplicativo autenticador em vez de SMS.
• PIN no chip: a maioria dos celulares permite travar o chip com uma senha, o que dificulta o uso dele em outro aparelho.
• Limite de Pix noturno baixo e prazo de espera para aumento de limite, recursos que os bancos já oferecem no aplicativo.
• Senhas diferentes para banco, e-mail e redes sociais, guardadas em um gerenciador confiável.
• Nunca instalar aplicativos a pedido de quem ligou, nem informar códigos recebidos por SMS, mesmo que a pessoa diga ser do banco.

Também vale conferir periodicamente no aplicativo do banco quais aparelhos estão autorizados e remover os que você não reconhece. Se algum surgir de novo sem explicação, é sinal de que o acesso ainda não foi totalmente retomado.

Perguntas frequentes