WhatsApp: Verificação em Duas Etapas e Segurança da Conta Business

Numa manhã, seus clientes começam a perguntar: "Vocês estão pedindo dinheiro urgente deste número, é verdade?" Se isso acontecer, sua conta pode ter sido invadida. Quando o número da empresa cai nas mãos de um invasor, o problema não se limita às mensagens: a confiança dos clientes, as conversas de pedidos, os grupos salvos e a sua reputação também são afetados. Felizmente, a maioria dos métodos de ataque mais comuns pode ser barrada com hábitos simples do usuário. Este artigo não foi escrito para orientar invasores, e sim para proteger você: explica como ativar a verificação em duas etapas, como reconhecer golpes com código de verificação e em que ordem agir se a conta for invadida.

O Que É a Verificação em Duas Etapas?

Quando você cadastra seu número em um novo aparelho, o WhatsApp envia um código de seis dígitos por SMS ou ligação. Esse código, sozinho, basta: se alguém o descobrir, pode transferir a sua conta para outro celular. A verificação em duas etapas acrescenta uma segunda barreira: durante o cadastro, também é pedido um PIN de seis dígitos que você define. Mesmo que o invasor obtenha o código do SMS, não conseguirá entrar na sua conta sem saber o PIN.

Esse recurso oferece proteção, mas não é uma garantia absoluta. Escolher um PIN fácil de adivinhar ou revelá-lo a outra pessoa elimina essa proteção.

Como Ativar?

1. No WhatsApp, siga o caminho Configurações > Conta > Verificação em duas etapas. No aplicativo Business, o caminho é parecido.
2. Toque em Ativar.
3. Defina um PIN de seis dígitos. Não use data de nascimento, os últimos dígitos do número de telefone nem sequências como 123456.
4. Confirme o PIN.
5. Adicione um e-mail de recuperação. É nele que você receberá o link de redefinição caso esqueça o PIN; por isso, deve ser um endereço ao qual você tenha acesso.
6. Salve e confirme o e-mail.

De vez em quando, o WhatsApp pergunta se você ainda se lembra do PIN. Em vez de passar rapidamente por esses avisos, guarde o PIN em um gerenciador de senhas. Se esquecer o PIN e não tiver um e-mail de recuperação, a redefinição da conta pode levar até sete dias.

Como Funciona o Golpe do Código de Verificação?

O golpista tenta cadastrar o seu número em um telefone novo; o WhatsApp envia o código por SMS para você. Em seguida, ele inventa uma história para convencê-lo a repassar o código. Para reconhecer esse golpe, basta conhecer os pretextos mais comuns.

A regra é simples: nunca compartilhe com ninguém o código de seis dígitos enviado pelo WhatsApp. Nem mesmo se for alguém que você conhece. Entre em contato com essa pessoa por outro canal para confirmar.

O código chegou, mas você não pediu

Se o SMS com o código de verificação do WhatsApp chegou ao seu celular sem você ter pedido, alguém está tentando cadastrar o seu número. Não compartilhe o código. Com a verificação em duas etapas ativada, o invasor não avança sem o PIN. Se o código chegar várias vezes, isso é um alerta: revise o seu PIN.

Golpe com Aparelhos Conectados

Golpistas também podem usar o mecanismo de dispositivos conectados, e não apenas o código. Eles pedem que você leia um QR code ou digite um código de pareamento que enviaram, com pretextos como uma "página de campanha" ou uma "confirmação de pagamento". Ao fazer isso, a sua conta é conectada ao aparelho deles, e eles passam a ver suas conversas.

• Leia o QR code apenas em uma conexão que você mesmo iniciou: no web.whatsapp.com aberto no seu computador ou no seu próprio painel.
• Não leia QR codes de imagens enviadas por outras pessoas.
• Não confie em quem pedir que você digite um "código de pareamento" no celular.
• Revise com frequência a lista de Dispositivos conectados do celular e remova as sessões que não reconhece.

Para o uso correto do QR code, leia o guia de conexão por QR code.

Medidas Extras para Contas Business

• Bloqueio de tela do celular: Desbloqueie com impressão digital, reconhecimento facial ou PIN. Em um celular de trabalho compartilhado, coloque também um bloqueio de aplicativo no WhatsApp.
• Chip (SIM): Peça à sua operadora verificações adicionais para pedidos de cópia do chip e de portabilidade. Não deixe o PIN do chip no padrão.
• Caixa postal: Alguns ataques desviam para a caixa postal o código de verificação recebido por ligação. Altere o PIN da caixa postal.
• Aplicativo oficial: Instale o WhatsApp apenas pelas lojas oficiais. Versões modificadas trazem tanto risco de restrição quanto falhas de segurança.
• Organização da equipe: Registre por escrito quem usa a conta. Remova o acesso de quem saiu no mesmo dia e, se necessário, troque o PIN.
• Links suspeitos: Não clique em links de mensagens como "sua conta será encerrada".

Se a Conta Foi Invadida

1. Mantenha a calma e confirme o seu número no seu próprio celular. Instale o WhatsApp, digite o número e o código recebido. Isso tira o invasor da sessão.
2. Se for pedido o PIN da verificação em duas etapas, digite-o. Se o invasor tiver definido um PIN, siga os caminhos de redefinição do aplicativo; pode haver uma espera de sete dias.
3. Ative a verificação em duas etapas imediatamente ou troque o PIN.
4. Na lista de Dispositivos conectados, remova as sessões que não reconhece.
5. Avise familiares e clientes por outro canal: "Minha conta foi acessada sem autorização; desconsiderem pedidos de dinheiro ou links enviados por ela."
6. Se necessário, procure o suporte do WhatsApp pelo aplicativo ou pela página de ajuda e guarde os registros.
7. Troque também as senhas de outras contas vinculadas ao celular.

Ninguém pode garantir que estes passos recuperem a conta em todos os casos, mas agir rapidamente aumenta essa chance.

Notas para Quem Usa o WapFlow

A conta que você conectou ao WapFlow aparece como uma sessão na lista de Dispositivos conectados do seu celular. Por isso, observe:

• Conecte a conta somente pelo seu próprio painel e iniciando a ação você mesmo. Não envie a ninguém imagem de QR code nem código de pareamento para a conexão.
• Escolha uma senha forte para o acesso ao painel, diferente das que você usa em outros serviços.
• Se a equipe for ter acesso ao painel, defina quem trabalha com cada conta. Para a organização com várias contas, veja o artigo sobre gerenciamento de várias contas.
• Se encontrar no celular uma sessão que não reconhece na lista de dispositivos conectados, remova-a.

Restrições da conta causadas por mensagens não autorizadas são um assunto à parte; explicamos as causas e os passos de contestação no artigo sobre motivos de restrição da conta.

Uma Regra de Uma Frase para a Equipe

O treinamento de segurança não precisa de apresentações longas. Ensinar uma única regra à equipe evita a maior parte dos ataques. Você pode fixá-la no grupo da equipe:

Não compartilhamos com ninguém o código de seis dígitos, o QR code ou o código de pareamento do WhatsApp. Se alguém pedir, seja quem for, avisamos primeiro a direção.

Além disso, ao contratar cada novo funcionário, confirme em conjunto que a verificação em duas etapas está ativada, e, ao desligar alguém, confirme por escrito que as sessões do celular de trabalho foram encerradas. Em pequenas empresas, isso geralmente fica a cargo do dono; à medida que a equipe cresce, designar um responsável evita o "ninguém olhou".

Informe também os seus clientes. Acrescentar à descrição do perfil ou às suas mensagens a nota "Nunca pedimos código de verificação ou dados de pagamento" ajuda os clientes a reconhecer golpes e preserva a confiança diante de mensagens falsas.

Checklist de Segurança

Perguntas Frequentes

Esqueci o PIN da verificação em duas etapas. O que devo fazer?

Se você adicionou um e-mail de recuperação, poderá receber um link de redefinição. Sem e-mail, após um período de espera definido pelo WhatsApp, é possível fazer o cadastro sem o PIN.

Preciso trocar o PIN?

Troque quando desconfiar que outra pessoa pode tê-lo descoberto ou quando um funcionário sair da equipe. Trocar regularmente não é obrigatório.

Como sei se alguém está lendo a minha conta?

Verifique se há na lista de Dispositivos conectados uma sessão que você não reconhece, ou se as mensagens que você envia aparecem como "lidas" sem que você as tenha aberto.

A verificação em duas etapas é separada no Business e na conta comum?

Sim. Cada aplicativo está vinculado ao seu próprio número e a configuração precisa ser feita separadamente. Se você usa os dois, configure um PIN em cada um, e não use o mesmo PIN nos dois.

A verificação em duas etapas evita a restrição da conta?

Não. Proteção contra invasão e cumprimento das regras de uso são assuntos diferentes.

Depois de reforçar a segurança, você pode usar o WapFlow para organizar a comunicação com seus clientes. Conecte a conta somente pelo seu próprio painel e gerencie contatos, campanhas e respostas automáticas em um único lugar.