Novo esquema explora falhas já corrigidas do iOS anterior à versão 16.7.12 e do WhatsApp para assumir contas sem qualquer clique da vítima. Casos foram registrados na Itália e na Espanha; em Portugal, a PSP admitiu que a "ameaça é relevante".
Um novo golpe permite que criminosos assumam contas do WhatsApp sem que as vítimas percebam, explorando falhas do iOS anterior à versão 16.7.12 já corrigidas pela Apple e pela Meta. Casos foram registrados na Itália e na Espanha, e a PSP de Portugal admite que a ameaça é relevante.
- Ataque zero-click rouba contas do WhatsApp em iPhones sem qualquer clique da vítima
- Falhas do iOS anterior à 16.7.12 e do WhatsApp já foram corrigidas, mas dispositivos desatualizados seguem em risco
- Mensagens fraudulentas são apagadas da visualização da vítima, que não percebe o golpe
- Primeiros casos foram identificados na Itália em maio e avançaram para a Espanha
- Incibe recomenda verificar dispositivos associados, reinstalar o app e ativar a verificação em duas etapas
Como funciona o golpe zero-click no whatsapp
O esquema combina uma vulnerabilidade do iOS, existente em versões anteriores à 16.7.12, com uma segunda falha de segurança no WhatsApp para permitir a invasão das contas. Segundo o Incibe, o ataque é do tipo zero-click, em que os atacantes acessam as contas sem que as vítimas realizem qualquer ação.
Depois de conseguir acesso, os criminosos enviam mensagens aos contatos mais próximos da vítima, fazendo-se passar por ela e pedindo dinheiro com urgência. Em um caso registrado na Espanha, o pai de uma vítima recebeu um pedido de 988 euros enviado da conta da filha, dona de um iPhone 12 sem as atualizações mais recentes.
Leia também · há 4 meses
IA já é usada para criar ataques zero-day inéditos, alerta Google
Por que as mensagens não aparecem para a vítima
O mecanismo está relacionado à sincronização do WhatsApp com os dispositivos associados à conta. Após enviar as mensagens, os criminosos as apagam para si próprios, de modo que deixam de estar visíveis para a vítima, embora permaneçam disponíveis para quem as recebeu.
O que fazer se a conta for comprometida
O Incibe recomenda consultar a seção "Dispositivos associados" no WhatsApp e encerrar sessões desconhecidas, além de desinstalar e reinstalar o aplicativo, ativar a verificação em duas etapas e manter o app e o iPhone atualizados.
| Medida de proteção | Ação recomendada | Origem da recomendação |
|---|---|---|
| Verificar dispositivos associados | Encerrar sessões não reconhecidas no WhatsApp | Incibe |
| Verificação em duas etapas | Ativar no próprio aplicativo | Incibe |
| Atualização de software | Instalar as versões mais recentes do iOS e do WhatsApp | Incibe e PSP |
| Confirmação de pedidos de dinheiro | Usar canal alternativo ao WhatsApp antes de transferir | PSP |
| Reunião de provas | Guardar prints, números e comprovantes para denúncia | Incibe |
Arraste para o lado para ver toda a tabela.
Se pedidos de dinheiro foram enviados a partir da conta, é preciso avisar os contatos rapidamente para que acionem o banco, e guardar provas do ataque, como capturas de tela, números envolvidos e comprovantes de transferências, úteis em denúncia às autoridades.
Leia também:
Fonte: Sapo Tek
Quem escreveu
Dagmar Cirino · Editor-chefe
Especialista em tecnologia, criador de conteúdo e fundador do portal Mercado de TI e Casa do Dev. Analiso tendências de mercado, Inteligência Artificial e carreira, entregando informações precisas, transparentes e acessí...
