Sem a autenticação em dois fatores, uma conta do WhatsApp pode ser roubada em segundos com um simples código de 6 dígitos. Eu explico o golpe mais comum, o que fazer antes, na hora e depois — e como reagir de forma prática.
Eu já vi muita gente perder o WhatsApp de um dia para o outro. A mensagem chega, o código de verificação aparece no celular e, em poucos minutos, a conta não é mais sua. O problema não é o aplicativo em si. É a falta da autenticação em dois fatores.
Sem esse PIN extra, qualquer pessoa que consiga o código SMS consegue registrar o seu número em outro aparelho e te expulsar. Depois usa a conta para pedir dinheiro aos seus contatos, enviar links maliciosos ou simplesmente espiar conversas. A autenticação em dois fatores muda o jogo: mesmo com o código SMS, o golpista precisa do PIN que só você criou.
Neste texto eu detalho como o roubo acontece, mostro um exemplo real de golpe que circula agora, o que fazer de forma preventiva e o que fazer se você descobrir na hora ou dias depois. Tudo baseado no que o próprio WhatsApp orienta e no que especialistas de segurança têm alertado recentemente.
Como uma conta do WhatsApp é facilmente roubada sem autenticação em dois fatores
O WhatsApp vincula a conta ao número de telefone. Para registrar o número em um novo aparelho, o aplicativo envia um código de 6 dígitos por SMS ou ligação. Quem digita esse código no novo dispositivo assume o controle. O aparelho antigo é desconectado automaticamente.
Sem a autenticação em dois fatores ativada, esse código é a única barreira. Golpistas exploram exatamente isso. Eles iniciam o registro do seu número no celular deles. O código chega no seu telefone. Aí eles usam engenharia social para convencer você a passar o número. Pronto. Conta roubada.
Com a autenticação em dois fatores ligada, o WhatsApp exige também um PIN de 6 dígitos que você mesmo define. Sem esse PIN, o registro não completa. É a diferença entre “quase fácil” e “muito mais difícil”.
Exemplo de golpe comum usado para roubar contas do WhatsApp
Um dos golpes mais frequentes (e que voltou com força em 2026) funciona assim: alguém manda mensagem se passando por amigo, parente ou até suporte. Diz que enviou um código por engano para o seu número e pede que você repasse. Outra variante recente é o “vote no meu amigo” ou “vote na minha sobrinha”. O link leva a uma página que parece legítima e pede para você autorizar uma sessão ou digitar um código. Na prática, isso vincula um dispositivo do golpista à sua conta.
Há também o clássico: mensagem de “banco”, “operadora” ou “entrega” pedindo o código de verificação “para confirmar cadastro”. O código que chega por SMS é exatamente o de registro do WhatsApp. Quem compartilha perde a conta na hora.
Relatórios recentes de empresas de segurança e alertas da polícia cibernética mostram que a maioria das vítimas não tinha a autenticação em dois fatores ativa. O golpista entra, ativa o próprio PIN e começa a pedir Pix aos contatos com urgência.
O que fazer de forma preventiva para proteger o WhatsApp
Ative a autenticação em dois fatores agora. Abra o WhatsApp → Configurações → Conta → Confirmação em duas etapas (ou Verificação em duas etapas) → Ativar. Crie um PIN de 6 dígitos que não seja data de nascimento nem sequência óbvia. Adicione um e-mail de recuperação. Esse e-mail permite resetar o PIN se você esquecer.
Nunca compartilhe o código de 6 dígitos que chega por SMS, mesmo que a pessoa diga que é “erro” ou “suporte do WhatsApp”. O WhatsApp oficial nunca pede esse código por mensagem ou ligação.
Verifique periodicamente os dispositivos vinculados: Configurações → Dispositivos vinculados. Desconecte qualquer um que você não reconheça. Restrinja a foto de perfil e o status para “Meus contatos”. Mantenha o aplicativo atualizado. Evite clicar em links de “votação”, “prêmio” ou “verificação” recebidos no próprio WhatsApp.
Essas medidas simples cortam a maior parte dos ataques que eu vejo no dia a dia.
Se não tinha autenticação em dois fatores e identifica na hora que a conta foi roubada
Se o WhatsApp desconecta sozinho e aparece a mensagem de que o número foi registrado em outro aparelho, aja rápido. Abra o aplicativo no seu celular, digite seu número e peça um novo código de verificação por SMS. Digite o código. Isso desconecta o invasor na hora, porque o WhatsApp só permite um aparelho principal por número.
Se o invasor ativou a autenticação em dois fatores com o PIN dele, você pode ser solicitado a informar o PIN. Se não souber, use a opção de “Esqueceu o PIN?” e, se não tiver e-mail de recuperação, vai precisar esperar 7 dias. Durante esse período o invasor também fica bloqueado.
Avise imediatamente os contatos mais próximos por outro canal (SMS, ligação ou outro aplicativo) dizendo que sua conta foi comprometida e que não peçam nem enviem dinheiro. Não reporte a própria conta antes de recuperar o acesso — o WhatsApp alerta que isso pode levar ao banimento.
Depois de recuperar, ative a autenticação em dois fatores na mesma hora e revise os dispositivos vinculados.
Se não tinha autenticação em dois fatores e identifica um tempo depois que a conta foi roubada
Se você só descobriu dias depois (porque contatos avisaram que receberam pedidos de dinheiro no seu nome, por exemplo), o caminho é o mesmo: re-registre o número no seu aparelho com o código SMS. Isso expulsa quem estiver usando a conta.
Se o PIN da autenticação em dois fatores tiver sido alterado pelo invasor e você não tiver e-mail de recuperação, prepare-se para a espera de 7 dias. Nesse período monitore se contatos ainda estão recebendo mensagens suspeitas e peça que denunciem a conta pelo próprio aplicativo.
Após recuperar o acesso, troque senhas de serviços que usavam o WhatsApp como segundo fator (quando for o caso), ative a autenticação em dois fatores e adicione o e-mail de recuperação. Faça um backup das conversas se ainda for possível.
Em casos de prejuízo financeiro, registre boletim de ocorrência e, no Brasil, use os canais da polícia cibernética ou do site da Senacon.
Como entrar em contato com o WhatsApp para informar que a conta foi roubada
O WhatsApp deixa claro que não desativa contas remotamente por e-mail ou formulário, porque não tem como verificar se você é o dono do número. A recuperação oficial é o pré-registo com o código SMS no seu aparelho.
Depois de recuperar, você pode denunciar atividades suspeitas pelo próprio aplicativo (em conversas individuais ou grupos). A página de ajuda oficial (faq.whatsapp.com) traz o passo a passo de recuperação de conta comprometida. Há também a seção “Contact Us” no site, mas o caminho mais eficaz continua sendo o pré-registo.
Nunca compartilhe códigos ou dados com quem se passa por suporte do WhatsApp. É golpe.
Conclusão
A autenticação em dois fatores não é “mais um passo chato”. É a diferença entre uma conta vulnerável e uma conta que exige duas chaves para ser tomada. Eu ativo em todas as contas que uso e recomendo a mesma coisa para família e amigos. Leva menos de um minuto e evita dor de cabeça grande.
Se você ainda não ativou, faça isso agora. E se já passou por um roubo de conta, compartilha a experiência nos comentários — ajuda outras pessoas a ficarem mais atentas.
Bruno Bastos Nunes Especialista em cibersegurança e fundador do Escudo Digital.
