Não existe clonagem no golpe do WhatsApp clonado. O golpista não duplica o seu chip, não invade a criptografia do aplicativo, não copia o seu aparelho. Ele faz algo mais simples do que isso: convence você, ou a sua operadora, a entregar um código de seis dígitos que o próprio WhatsApp manda por SMS ou ligação. Com esse código, ele registra a sua conta em outro celular. A sua sessão sai do ar na hora, sem aviso.
Foi assim que o golpe virou o mais aplicado contra clientes de banco no Brasil. Segundo a Febraban (Federação Brasileira de Bancos), a clonagem de WhatsApp respondeu por 153 mil casos relatados pelos bancos associados só em 2024 — primeiro lugar entre os dez golpes mais reportados, num levantamento divulgado em abril de 2025.
O motivo é prático. Quem usa o aplicativo para combinar entrega, falar com o médico ou receber o boleto do aluguel também confia nele para reconhecer quem está do outro lado da tela. É essa confiança que o golpista aluga por um código de seis dígitos — e revende, minutos depois, ao contato mais próximo da vítima, com um pedido de dinheiro urgente.
Quatro rotas até o seu código
O WhatsApp só funciona logado em um aparelho principal por vez. Trocar de aparelho, ou reinstalar o app em outro celular, exige o código de seis dígitos enviado ao número cadastrado. É a chave inteira da conta. Quem consegue esse código, entra — e o dono original perde o acesso.
Existem quatro rotas conhecidas até esse código, segundo levantamento técnico da Exame publicado em maio de 2026:
- Engenharia social direta. O golpista liga ou manda mensagem se passando por atendente de um marketplace, de uma promoção ou da própria central do WhatsApp e pede o código “para confirmar o cadastro” ou “ativar um anúncio”. Foi exatamente esse roteiro que o Procon-SP descreveu ao alertar sobre o golpe: o criminoso se apresenta como funcionário de um site de compras e pede o código sob esse pretexto.
- Troca de chip (SIM swap). O criminoso convence a operadora de telefonia a transferir o número da vítima para um chip que ele controla, e passa a receber os códigos diretamente.
- Interceptação por ligação automática. Quando o código chega por chamada de voz em vez de SMS, o golpista tenta captar o áudio em tempo real, muitas vezes durante uma ligação anterior em que já mantinha a vítima na linha.
- Phishing e sessão web roubada. Um link falso captura a sessão ativa do WhatsApp Web, ou um aplicativo malicioso lê as notificações do celular e extrai o código assim que ele chega.
Em nenhuma dessas quatro rotas o golpista quebra a criptografia do WhatsApp. Ele só chega antes de você ao código que o próprio aplicativo manda.
Dorival Júnior e o golpe que quase enganou Galvão Bueno
Em 3 de setembro de 2024, o técnico da seleção brasileira Dorival Júnior teve o WhatsApp tomado dessa forma, segundo reportagem do Correio Braziliense. O golpista copiou a foto de perfil e o nome de status do técnico, contatou jogadores da seleção e o narrador Galvão Bueno, e pediu dinheiro por Pix para “ajudar o Rio Grande do Sul”, em referência à tragédia climática do estado. Galvão estranhou o pedido e ligou direto para Dorival antes de transferir qualquer valor. O técnico registrou boletim de ocorrência em São Paulo e pediu à própria equipe que avisasse o maior número possível de contatos.
Quase dois anos depois, em 22 de agosto de 2026, um morador de Corumbiara, em Rondônia, viveu a mesma mecânica sem nenhum famoso envolvido. Segundo a Extra de Rondônia, ele recebeu uma mensagem de um amigo pedindo dinheiro emprestado, junto com uma chave Pix em nome de uma empresa. Transferiu R$ 890 sem desconfiar. Só depois descobriu que a conta do amigo tinha sido tomada por golpistas, que usaram a lista de contatos dele para pedir dinheiro a quem confiava. Foi à Polícia Militar registrar o caso, encaminhado depois à Polícia Civil.
Entre o técnico da seleção e o morador do interior de Rondônia, o roteiro do golpista não mudou uma vírgula.
Os sinais de que sua conta está sendo tomada
Três avisos chegam antes do estrago, quase sempre nessa ordem:
- Um código de verificação do WhatsApp chega por SMS ou ligação sem que você tenha pedido nada.
- O aplicativo desconecta sozinho e mostra a tela de cadastro do número, como se fosse um celular novo.
- Contatos avisam que receberam mensagens estranhas, pedindo dinheiro ou um código, no seu nome.
Qualquer um desses três sinais isolado já basta para agir. Os três juntos significam que o golpista já está dentro.
Primeiras horas: o que fazer para recuperar a conta
A velocidade decide se a conta volta em minutos ou em dias.
- Abra o WhatsApp no seu próprio aparelho e tente fazer login com o seu número. Como o app só aceita uma sessão ativa por vez, isso derruba o golpista assim que o novo código chega a você.
- Se o código não chegar, é sinal de troca de chip: ligue para a operadora, confirme se houve pedido de transferência de linha e peça o bloqueio imediato do chip usado pelo golpista.
- Escreva para support@whatsapp.com com o assunto “Conta clonada/roubada”, informando o número com DDI e o máximo de detalhes do episódio.
- Registre boletim de ocorrência, mesmo que a conta já tenha voltado — o documento sustenta qualquer disputa posterior, inclusive bancária.
- Se algum contato transferiu dinheiro por Pix a pedido do golpista, ele deve acionar o banco imediatamente para tentar o Mecanismo Especial de Devolução: a chance de reaver o valor cai a cada hora que passa.
O pedido de dinheiro que sempre vem depois
Tomar a conta é só a primeira metade do golpe. A segunda é o motivo de existir: um pedido de empréstimo urgente, quase sempre por Pix, mandado a quem está no topo da lista de conversas recentes — cônjuge, filho, sócio, chefe. O texto muda pouco: uma emergência médica, uma conta que venceu, uma tragédia que “só você pode ajudar a resolver agora”.
Antes de transferir qualquer valor a partir de um pedido assim, ligue por voz ou vídeo para a pessoa por outro canal — telefone comum, ligação do WhatsApp Business, e-mail, um segundo número. Um golpista consegue copiar foto e nome de status; reproduzir a voz da pessoa numa ligação em tempo real já exige um esforço bem maior. Foi essa ligação, e não nenhuma ferramenta de segurança, que impediu o golpe contra Galvão Bueno em 2024.
PIN de duas etapas fecha essa porta
A defesa cabe em uma configuração. Em Configurações > Conta > Confirmação em duas etapas, o WhatsApp permite cadastrar um PIN numérico próprio. Sem esse PIN, o código de seis dígitos sozinho não é mais suficiente para registrar a conta em outro aparelho — é a mesma recomendação que o Procon-SP reforça no alerta sobre o golpe.
O resto depende de desconfiar do pedido errado na hora certa: nenhuma central de atendimento, promoção ou anúncio precisa do seu código de verificação para nada. Quem pede esse número já revelou a intenção.
O morador de Corumbiara não teve o WhatsApp clonado. Teve seis dígitos emprestados a quem sabia pedir do jeito certo — e um amigo confiante do outro lado da tela, pronto para acreditar.
Fontes citadas no texto
- Febraban — “Saiba quais foram os 10 golpes mais aplicados contra clientes bancários em 2024” (14/04/2025)
- Exame — “Golpe do WhatsApp clonado: como funciona e como se proteger em 2026”, por Marina Semensato (05/05/2026)
- Agência Brasil — “Procon de São Paulo alerta para golpe que faz clonagem do WhatsApp” (01/09/2020)
- Correio Braziliense — “Dorival Jr. tem WhatsApp clonado, e criminoso tenta aplicar golpe em Galvão Bueno” (03/09/2024)
- Extra de Rondônia — “Morador de Corumbiara perde R$ 890 ao cair em golpe do WhatsApp clonado” (22/08/2026)
