Alerta: imagens do WhatsApp podem hackear o seu telemóvel

Nos últimos dias, multiplicaram-se os relatos de mensagens no WhatsApp com uma foto e uma pergunta simples: “És tu?” ou “Conheces esta pessoa?”. À primeira vista, parecem inocentes — e é esse o objetivo. Por trás, está uma tática que tenta levar-te a descarregar e abrir um ficheiro manipulável capaz de comprometer o teu telemóvel, tablet ou computador. Explico-te como funciona, como te proteger e o que fazer se já clicaste.

O que está a acontecer no WhatsApp

Criminosos estão a enviar mensagens a partir de números desconhecidos, sem foto de perfil ou com nomes genéricos. Anexam uma imagem (por vezes, também um pequeno vídeo) e pressionam-te a abrir: “És tu?”, “Foste tu que apareceste nisto?”, “Vê isto rápido!”. Ao autorizar o download e abrir o ficheiro, a vítima pode acionar código malicioso escondido no conteúdo multimédia, que tenta explorar falhas do sistema para ganhar acesso ao dispositivo.

Embora o WhatsApp use encriptação de ponta a ponta para as conversas, isso não impede que um ficheiro contaminado cause problemas quando é processado pelo teu equipamento. O risco não está na rede, mas sim naquilo que o teu dispositivo faz ao pré-visualizar e abrir o ficheiro.

Como funciona o ataque por imagem/vídeo manipulados

• O atacante envia um ficheiro disfarçado de foto ou vídeo “normal”.
• Quando autorizas a transferência, o aparelho cria uma pré-visualização e analisa o ficheiro para o apresentar na app.
• Se o ficheiro tiver sido manipulado para explorar vulnerabilidades na forma como imagens/vídeos são processados, pode executar ações não desejadas em segundo plano.
• A partir daí, os criminosos tentam:
• Roubar tokens de sessão do WhatsApp (para sequestrar a conta).
• Aceder a contactos, SMS, fotos, microfone ou câmara.
• Instalar outras apps maliciosas ou redirecionar-te para páginas de phishing.
• Extorquir-te com dados privados.

Tudo acontece sem sinais óbvios, exceto, por vezes, um comportamento estranho: o telefone aquece sem razão, aparecem pop‑ups, apps fecham sozinhas, ou notas acessos desconhecidos ao WhatsApp Web.

Sinais de alerta: como reconhecer a armadilha

• Número que não tens guardado, sem foto/biografia credível.
• Urgência para que abras o ficheiro: “abre já”, “é importante”.
• Texto demasiado curto ou genérico, muitas vezes com erros.
• Pedido para confirmarem identidade com foto que “parece tua”.
• Ficheiros que pedem nova autorização mesmo com Wi‑Fi ligado ou com tamanho incoerente (um “.jpg” com dezenas de megabytes, por exemplo).

Dica: se for mesmo alguém que conheces, pede que te diga algo que só vocês saibam ou que envie uma nota de voz. Criminosos raramente têm paciência para manter a conversa.

Defesas rápidas: o que ativar hoje no WhatsApp

1) Desativa a transferência automática de média

• WhatsApp > Definições > Armazenamento e dados > Transferência automática de média
• Em Dados móveis, Wi‑Fi e Roaming, desmarca Fotos, Áudio, Vídeos e Documentos.

2) Liga a confirmação em duas etapas

• Definições > Conta > Verificação em duas etapas > Ativar
• Define um PIN e um email de recuperação. Isto bloqueia o sequestro da conta.

3) Atualiza a app e o sistema

• Mantém o WhatsApp, o Android/iOS e as apps de segurança sempre na versão mais recente. As atualizações corrigem falhas que podem ser exploradas.

4) Revê sessões do WhatsApp Web

• Definições > Dispositivos ligados
• Termina todos os que não reconheces.

5) Limita pré-visualizações no ecrã bloqueado

• Impede que terceiros vejam códigos ou mensagens sensíveis no ecrã bloqueado.

Se já abriste a imagem: plano de resposta em 10 minutos

• Ativa o modo avião de imediato para cortar comunicações.
• Faz cópia de segurança das conversas (se possível, com encriptação).
• Analisa o dispositivo com uma solução de segurança reputada (Microsoft Defender, Malwarebytes, Bitdefender, etc.).
• Remove apps desconhecidas ou recentemente instaladas sem explicação.
• Verifica permissões: câmara, microfone, SMS, acessibilidade — retira acessos a apps suspeitas.
• Altera a palavra‑passe do teu email e ativa 2FA (é frequentemente a chave para recuperar contas).
• No WhatsApp, sai de todos os dispositivos ligados e ativa/renova a verificação em duas etapas.
• Reporta a conversa no WhatsApp (abre o chat > Mais > Reportar e bloquear).
• Em casos graves (ex.: acesso a banca online), contacta o teu banco, ativa alertas e considera restaurar o telemóvel para definições de fábrica após backup seguro.

Boas práticas permanentes para reduzir risco

• Desconfia de anexos inesperados — mesmo que venham de um contacto (as contas podem estar comprometidas).
• Confirma por outro canal (chamada/SMS) antes de abrir ficheiros “estranhos”.
• Usa lojas oficiais (Google Play/App Store) e evita APKs de origem duvidosa.
• Mantém cópias de segurança regulares e encriptadas do WhatsApp (Google Drive/iCloud com proteção).
• Ativa proteção extra no navegador móvel (bloqueio de sites maliciosos).
• Revisa as permissões das apps a cada 2-3 meses.
• Educa amigos e família: quanto menos vítimas houver, menos hipóteses o golpe tem de se espalhar.

Em resumo

A mensagem “És tu?” é desenhada para explorar a curiosidade e a pressa. O perigo não está na conversa, mas no ficheiro que aceitas abrir. Desativa as transferências automáticas, reforça a segurança com verificação em duas etapas e mantém tudo atualizado. E lembra-te: se algo te parece fora do normal, provavelmente é — mais vale perder 10 segundos a confirmar do que perder dados, dinheiro e privacidade.

Fonte: PCWorld