Uma distribuidora do Rio recebeu, num sábado à tarde, um arquivo ZIP pelo WhatsApp. O remetente era um cliente antigo, com foto de perfil e histórico de conversa. A mensagem pedia para abrir “no computador, porque no celular não abre”. O vendedor abriu no WhatsApp Web — e em poucos minutos o mesmo arquivo saía da conta da empresa para todos os contatos e grupos da agenda comercial. Cenários assim deixaram de ser exceção: segundo o relatório “O Estado dos Golpes no Brasil 2026”, da Global Anti-Scam Alliance (GASA) com o instituto Opinium, 64% das pessoas que sofreram tentativa de fraude foram abordadas pelo WhatsApp, e os prejuízos declarados chegaram a R$ 21,2 bilhões. Para a PME brasileira, o problema é estrutural: o WhatsApp é o canal que mais vende — e, justamente por isso, o que menos tem controle.
Por que o WhatsApp virou o alvo preferido no Brasil
Criminoso escolhe canal por três critérios: alcance, confiança e ausência de controle. O WhatsApp corporativo pontua alto nos três — ele vive no celular pessoal do vendedor, fora do domínio da empresa, sem antivírus corporativo, sem log de auditoria e sem política de retenção.
Pense na conta comercial como a chave da loja pendurada no chaveiro pessoal do funcionário. Enquanto ele trabalha na empresa, funciona. Quando o celular é trocado, roubado ou clonado — ou quando ele sai da empresa — a chave vai junto, e ninguém troca a fechadura.
Sequestro de conta: o golpe dos seis dígitos
O golpe mais comum não usa nenhuma falha técnica. O criminoso se passa por suporte, banco, RH ou por um colega e pede que a vítima confirme “um código que acabou de chegar por SMS”. Esse código é o código de ativação do WhatsApp: entregue os seis dígitos e a conta é ativada no aparelho do golpista em segundos.
A partir daí o roteiro é previsível: o atacante assume a identidade da empresa e pede dinheiro à lista de contatos — quase sempre com uma desculpa de urgência e um Pix para “a conta nova do financeiro”. Como a mensagem sai do número verdadeiro, com o histórico verdadeiro, a taxa de sucesso é alta, e a empresa só descobre quando o cliente liga reclamando.
Quando o malware usa o seu WhatsApp Web como megafone
O segundo vetor é mais recente e mais grave, porque não depende de convencer ninguém a fazer um Pix. Em campanha documentada pela Trend Micro sob o nome SORVEPOTEL (rastreada como Water Saci), um malware brasileiro se espalha por anexos ZIP enviados no WhatsApp: ao ser executado em Windows, ele estabelece persistência, sequestra a sessão ativa do WhatsApp Web e reenvia automaticamente o mesmo arquivo para todos os contatos e grupos da vítima.
Dois detalhes importam para quem gerencia TI de PME. Primeiro: mais de 95% das infecções observadas foram no Brasil. Segundo: a isca pede explicitamente que o arquivo seja aberto no desktop — o alvo é a máquina corporativa, não o celular. É um ataque desenhado para empresas, e o efeito colateral é imediato: a conta comercial vira distribuidora de malware para a própria carteira de clientes, e o número costuma ser banido por spam.
O prejuízo vai além do dinheiro
Quando a conta comercial é usada para fraudar terceiros, a empresa acumula três danos ao mesmo tempo:
- Financeiro: valores desviados, pedidos falsos e o custo de parar a operação comercial até recuperar o número.
- Reputacional: clientes fraudados em nome da empresa raramente voltam — e contam para outros.
- Legal: conversas de WhatsApp contêm dados pessoais de clientes. Uma conta sequestrada é um incidente de segurança sob a LGPD, com dever de avaliação de risco e, conforme o caso, comunicação à ANPD e aos titulares.
Como proteger o WhatsApp da sua empresa
1. Ative a verificação em duas etapas em todas as contas comerciais
O PIN de seis dígitos do WhatsApp é o que impede a ativação da conta em outro aparelho mesmo que o criminoso obtenha o código por SMS. É gratuito, leva um minuto e deve ser obrigatório por política, não opcional. Registre o PIN no cofre de senhas da empresa, não no bloco de notas do vendedor.
2. Trate o número comercial como ativo da empresa
Linha em nome do CNPJ, chip sob controle do administrador e uso do WhatsApp Business com perfil verificado. Número comercial em plano pessoal de funcionário é o erro que transforma um desligamento em perda de canal de vendas.
3. Revise as sessões de WhatsApp Web
Em “Dispositivos conectados”, desconecte o que não reconhecer. Rotina mensal — e imediata sempre que alguém sair da equipe ou trocar de máquina.
4. Bloqueie a execução de arquivos vindos de mensageria
Nenhum ZIP, EXE, MSI ou script recebido por WhatsApp deve rodar direto na máquina do usuário. Isso é trabalho de EDR com controle de aplicações — a mesma camada que já filtra anexos de e-mail precisa cobrir o mensageiro.
5. Defina um segundo canal de confirmação para dinheiro
Regra simples e escrita: nenhum pagamento, alteração de dados bancários ou Pix se confirma pelo WhatsApp. Sempre por telefone para um número já cadastrado. Essa única regra derruba a maior parte dos golpes de sequestro de conta.
6. Treine a equipe no roteiro real do golpe
Treinamento genérico não funciona. Mostre a mensagem que o criminoso envia, o pedido do código e a isca do ZIP “para abrir no computador”. O Controle 14 do CIS Controls v8 (conscientização e treinamento) existe exatamente para isso: o usuário é a camada que decide se o ataque avança.
O canal é da empresa, não do vendedor
Não existe produto mágico contra golpe no WhatsApp, porque o ataque mistura engenharia social, dispositivo pessoal e malware de endpoint. O que funciona é tratar o mensageiro como qualquer outro sistema crítico: identidade com segundo fator, propriedade do ativo definida, sessões auditadas, execução de arquivos controlada e um processo escrito para autorizar dinheiro. Empresas que fazem isso continuam vendendo pelo WhatsApp — só param de perder por ele.
🔐 Se a conta de WhatsApp do seu principal vendedor fosse sequestrada agora, quanto tempo levaria para você perceber? Fale com os especialistas da Trinity TI e coloque o canal comercial da sua empresa sob a mesma governança do resto da TI.
