WhatsApp: a criptografia protege também o dispositivo de um desconhecido

Abra as configurações do WhatsApp no seu celular e toque em “Dispositivos vinculados”. Bem na parte inferior, logo abaixo da lista, há uma linha com um pequeno cadeado à sua frente. “Suas mensagens pessoais são criptografadas de ponta a ponta em todos os seus dispositivos.” A frase está correta. Apenas está em um local infeliz, pois indica exatamente onde um problema poderia surgir.

Os dispositivos vinculados não quebram a criptografia; pelo contrário, participam plenamente dela. A Central de Ajuda explica claramente: “Suas mensagens pessoais, arquivos de mídia e chamadas são criptografadas de ponta a ponta. Cada dispositivo vinculado se conecta ao WhatsApp de forma independente, mantendo o mesmo nível esperado de privacidade e segurança por meio da criptografia de ponta a ponta.” Alguém que vincula um dispositivo à sua conta não está do lado de fora, ouvindo a conversa. Essa pessoa está do lado de dentro.

Quatro dispositivos, um código único, quatorze dias

É possível conectar até quatro dispositivos à sua conta ao mesmo tempo. Isso pode ser feito por meio de um código QR ou, há algum tempo, apenas com o seu número de telefone. O WhatsApp informa: “Você pode vincular um dispositivo usando o número de telefone da sua conta principal e um código único.” Seu telefone principal não precisa permanecer online depois disso.

Resta um prazo, que também consta na central de ajuda. “Você precisará fazer login no WhatsApp no seu telefone principal a cada 14 dias para manter os dispositivos vinculados conectados à sua conta do WhatsApp.” Essa regra parece uma medida de proteção. Ela só funciona contra dispositivos que ninguém mais utiliza. Qualquer pessoa que abra o WhatsApp diariamente — e a maioria das pessoas o faz — mantém todos os dispositivos vinculados ativos dessa forma, incluindo o dispositivo de um desconhecido.

O esquema é chamado de “ghost pairing”

Em janeiro de 2026, o BSI alertou sobre um método de phishing que se aproveita exatamente dessa função. A sequência é discreta e eficaz justamente por esse motivo. A mensagem chega, muitas vezes proveniente da conta já invadida de um conhecido ou em nome de uma plataforma social, e direciona para uma página falsa. Lá, é solicitado que você confirme sua identidade ou seu número de telefone.

O que acontece a seguir é descrito pelo BSI da seguinte forma: os invasores repassam o número para o WhatsApp e o utilizam para ativar a função “Vincular um dispositivo ao número de telefone”. O WhatsApp gera um código de emparelhamento de oito dígitos, que os criminosos então solicitam. No aplicativo, surge então uma solicitação de emparelhamento, e as vítimas devem confirmá-la por conta própria.

Aí reside a diferença em relação a tudo o que os usuários aprenderam sobre invasões de contas. Se alguém registrar novamente o seu número, você será desconectado e perceberá imediatamente. Vincular um dispositivo não é um registro, e é por isso que nada disso ocorre. O senhor permanece conectado, seus chats continuam, seu celular funciona normalmente. O BSI descreve a consequência com sobriedade e afirma que o ataque muitas vezes passa despercebido por um longo tempo, pois uma função legítima do aplicativo está sendo abusada e o WhatsApp continua funcionando normalmente.

O WhatsApp vem alertando desde março, mas nem sempre

A Meta, desde então, acrescentou algo e anunciou um aviso sobre o emparelhamento de dispositivos em 11 de março de 2026. Em suas próprias palavras, o WhatsApp agora alertará os usuários “quando sinais comportamentais sugerirem que uma solicitação de emparelhamento possa ser suspeita” e mostrará de onde a solicitação está vindo.

Essa única frase contém duas restrições. O aviso depende de sinais comportamentais e classifica uma solicitação como possivelmente suspeita. Não se trata, expressamente, de um aviso para cada emparelhamento; trata-se de uma detecção de risco que pode estar errada. A Meta não fornece detalhes sobre regiões, plataformas ou cronograma no anúncio, e a publicação apareceu na redação indiana com dados da Índia. Não é possível determinar externamente se o aviso aparece em uma conta europeia.

A verificação que sempre funciona

Independentemente de tudo isso, há um método que funciona a qualquer momento e leva dois minutos. Nas configurações do WhatsApp, em “Dispositivos vinculados”, você encontra a seção “Status do dispositivo” e, nela, todos os dispositivos atualmente vinculados à sua conta. Um toque abre a visualização detalhada com o nome do dispositivo, a plataforma e a nota “Sincronização concluída” para o histórico de conversas. Na parte inferior, há um botão vermelho “Sair”, e abaixo dele uma linha indicando que o WhatsApp reconhece a situação: “Se você não reconhecer este dispositivo ou não puder mais acessá-lo, deve sair dele.”

Falta um detalhe, e é o mais importante. O WhatsApp mostra apenas se um dispositivo está ativo no momento ou quando foi usado pela última vez. A data em que foi vinculado não aparece em lugar algum. Uma entrada que não pode ser registrada também não pode ser datada, e você nunca saberá há quanto tempo alguém vem acompanhando as conversas. Em caso de dúvida, faça o logout e, em seguida, verifique sua verificação em duas etapas.

Essa funcionalidade foi reforçada em 25 de agosto de 2026. O PIN de seis dígitos passou a ser uma senha completa, mais longa, alfanumérica e com permissão para caracteres especiais. Além disso, é possível configurar uma chave de acesso e, desde a atualização, até mesmo várias delas. Nenhuma das duas medidas impede o emparelhamento fantasma, pois, nesse caso, é o próprio usuário que confirma a ação. Ambas tornam consideravelmente mais difícil para os invasores transformarem um acesso sequestrado em algo duradouro.

O que você deve reter

Um código de emparelhamento é como uma chave que o senhor joga pela janela. Ninguém além de si precisa dele, e nenhum site legítimo o solicita. Qualquer pessoa que esteja tentando convencê-lo a usar um código QR ou a fornecer oito dígitos está de olho na sua conta. O restante é rotina: portanto, abra a lista de dispositivos de vez em quando, desconecte-se de acessos que você não reconheça e interprete a frase tranquilizadora abaixo pelo que ela realmente é: uma declaração sobre criptografia e não sobre quem está acompanhando suas atividades.