Blog

“Vota em mim? É rapidinho.” A mensagem chega de um contato conhecido, com tom de favor entre amigos, e traz um link para uma suposta votação de concurso de dança, de bolsa de estudos ou de evento escolar. Um toque, um número de telefone digitado, uma “confirmação” — e, sem perceber, a pessoa acaba de autorizar o aparelho do criminoso a entrar no seu WhatsApp.

Esse é apenas um dos disfarces do link malicioso. O mesmo endereço perigoso pode vir escondido atrás de um botão, de um encurtador, de um QR Code, de um “comprovante” em anexo ou de um alerta falso de vírus. Nesta postagem, você vai entender as nove formas mais comuns de camuflar a armadilha, como ela chega ao WhatsApp, aos aplicativos instalados e à conta bancária — e o que fazer, na prática, para se proteger ou reagir.

Em resumo: o que é um “link disfarçado”

Link malicioso é qualquer endereço de internet preparado para fazer a vítima entregar algo que não deveria: o controle da conta de WhatsApp, a senha do banco, os dados do cartão ou a permissão para instalar um programa espião no celular. O “disfarce” é tudo aquilo que impede a pessoa de perceber o perigo antes de tocar: um pretexto simpático, um remetente conhecido, um botão bonito, um endereço parecido com o verdadeiro.

Como um simples toque chega ao WhatsApp, aos aplicativos e à conta bancária

Embora as iscas variem, o link malicioso costuma abrir uma destas três portas:

• Porta 1 – Sequestro da conta (sem vírus nenhum): a página falsa induz a vítima a usar uma função legítima do próprio aplicativo — como o recurso de “Aparelhos conectados” do WhatsApp — para autorizar o dispositivo do criminoso. Ninguém “hackeia” nada: a própria vítima abre a porta, achando que está confirmando um voto ou uma verificação. Pesquisadores da Gen Digital batizaram essa técnica de GhostPairing (“pareamento fantasma”).
• Porta 2 – Instalação de aplicativo malicioso: o link baixa um falso “atualizador”, “antivírus”, “comprovante” ou “app de segurança do banco”. Depois de instalado, ele pede permissões amplas — especialmente as de acessibilidade, criadas para ajudar pessoas com deficiência a operar o aparelho — e passa a ler a tela, capturar senhas, esconder notificações e até tocar nos botões no lugar do dono. É o chamado golpe da mão fantasma.
• Porta 3 – Página falsa que coleta dados: o link leva a um site que imita banco, loja, órgão público ou transportadora e pede login, senha, dados do cartão ou o código recebido por SMS. Os dados digitados vão direto para o criminoso (o clássico phishing).

Com o WhatsApp tomado, o golpista lê conversas, coleta dados pessoais e se passa pela vítima para pedir Pix aos contatos — e reenvia o mesmo link “de votação” para a agenda inteira, o que explica a velocidade com que esses golpes se espalham. Com o celular controlado, o alvo passa a ser a própria conta bancária.

As 9 formas mais comuns de esconder um link malicioso

1. O pedido de voto (concurso, bolsa, campeonato)

É a forma mostrada nas imagens que motivaram esta postagem. A mensagem chega de alguém da sua lista — cuja conta, muitas vezes, já foi invadida — pedindo apoio a uma criança num concurso de balé, a um sobrinho numa disputa de bolsa ou a um amigo numa competição. O link abre uma página com cara de votação ou com aparência ligada ao WhatsApp, pede o número do telefone e, em seguida, exibe um código ou um QR Code para “confirmar o voto”. Na verdade, ao seguir a instrução, a pessoa vincula a própria conta a um aparelho do criminoso.

Em algumas variações, nem há página falsa: a própria mensagem orienta a abrir o WhatsApp, ir em “Aparelhos conectados” e digitar um código. O disfarce aqui não é técnico, é social: a confiança no remetente e a sensação de que “é só um favor”. Por isso a regra de ouro é simples — votação nenhuma precisa conectar o seu WhatsApp a outro aparelho.

2. O botão ou o texto que não corresponde ao endereço real

Em e-mails, SMS e páginas da internet, o que aparece escrito (“Rastrear pedido”, “Ver comprovante”, “Votar agora”, “Regularizar CPF”) pode apontar para um destino completamente diferente. O texto bonito é só a fachada; o endereço verdadeiro fica escondido por trás. No computador, passar o mouse sobre o link revela o destino; no celular, pressionar e segurar o link mostra o endereço antes de abri-lo.

3. O encurtador de links

Serviços que transformam endereços longos em links curtíssimos são úteis e legítimos, mas também são usados para esconder o destino final. Quem recebe vê apenas uma sequência curta de letras e números, sem nenhuma pista do site para onde será levado. Link encurtado vindo de remetente inesperado, pedindo dados ou instalação de algo, merece dupla desconfiança.

4. O endereço “quase igual” ao verdadeiro

Uma letra trocada, um hífen a mais, um número no lugar de uma letra, uma terminação estranha no fim do endereço ou o nome da empresa colocado no começo de um domínio que, na verdade, pertence a outra pessoa. O olho apressado lê o nome conhecido e ignora o resto. Já detalhamos esses truques em Site falso: os sinais de alerta e os truques no endereço.

5. O QR Code

O QR Code é um link que não se consegue ler a olho nu. Pode estar num adesivo colado sobre o código verdadeiro de um estacionamento, num boleto adulterado, num cartaz, num e-mail ou na tela de uma página falsa que pede para “escanear e confirmar”. No golpe da votação, ele é uma das formas de autorizar a conexão do aparelho do criminoso. Veja mais em Golpe do QR Code.

6. O arquivo disfarçado de comprovante, foto ou documento

“Segue o comprovante do Pix”, “olha a foto da festa”, “boleto atualizado”, “intimação judicial”. O anexo parece um documento, mas é um instalador de aplicativo. No Android, ao abri-lo, o aparelho pede autorização para instalar programas de “fontes desconhecidas” — e é esse aviso que a vítima, apressada, aceita. A partir daí, abre-se a Porta 2 descrita acima.

7. O falso alerta de vírus ou de atualização

Uma janela invade a tela, às vezes com barulho e contagem regressiva, dizendo que o celular está infectado ou desatualizado e oferecendo um botão para “limpar agora”. O medo faz o resto. O botão leva justamente ao aplicativo malicioso. Explicamos esse golpe em detalhes em “Seu celular está com vírus!”: o falso alerta.

8. O anúncio patrocinado e o resultado de busca falso

O criminoso paga anúncio ou cria páginas que aparecem no topo da busca quando alguém procura “segunda via de boleto”, “site do banco” ou “promoção de tal loja”. O link parece ter vindo de uma fonte confiável — afinal, estava no buscador ou na rede social —, mas leva a uma página clonada. A regra é acessar banco e serviços sempre pelo aplicativo oficial ou digitando o endereço que você já conhece.

9. A ligação da “central” que manda instalar um aplicativo

Aqui o disfarce é a autoridade. Alguém se apresenta como funcionário do banco, avisa sobre uma compra suspeita ou uma invasão e envia, durante a ligação, um link para instalar uma ferramenta “de proteção” ou de suporte remoto. A Febraban é taxativa: banco não liga pedindo para o cliente instalar aplicativo. Quem aceita entrega ao golpista o controle do celular enquanto o app do banco está aberto.

Que crimes são esses?

Conforme a dinâmica de cada caso, a conduta pode se enquadrar em mais de um tipo penal:

• Invasão de dispositivo informático (art. 154-A do Código Penal) — criado pela Lei 12.737/2012 e endurecido pela Lei 14.155/2021: acessar o celular ou a conta da vítima sem autorização, ou instalar programa para obter dados, é crime punido com reclusão de 1 a 4 anos e multa, com aumento se houver prejuízo econômico. Veja nossos comentários ao art. 154-A.
• Fraude eletrônica (art. 171, § 2º-A, do CP) — quando os contatos da vítima são enganados por mensagens enviadas da conta sequestrada e fazem transferências: reclusão de 4 a 8 anos e multa, com aumento se a vítima for idosa ou vulnerável. A diferença em relação ao estelionato comum está explicada nesta análise.
• Furto mediante fraude por dispositivo eletrônico (art. 155, § 4º-B, do CP) — quando o próprio criminoso, já com o celular sob controle, movimenta o dinheiro sem que a vítima perceba: reclusão de 4 a 8 anos e multa.
• Associação ou organização criminosa e lavagem de dinheiro (art. 288 do CP; Lei 12.850/2013; Lei 9.613/1998) — comuns quando há divisão de tarefas, contas de “laranjas” e pulverização dos valores.
• LGPD (Lei 13.709/2018) — não define crimes, mas reforça que dados pessoais coletados de forma ilícita geram responsabilização e podem ser objeto de reclamação à ANPD.

As fases do golpe

1. Abordagem: mensagem de contato conhecido, SMS, e-mail, anúncio, ligação ou QR Code.
2. Gatilho emocional: o favor ao amigo, o susto com o “vírus”, o medo de uma cobrança, a promessa de prêmio.
3. Execução: a vítima toca no link e digita número, código, senha ou aceita instalar algo — achando que está apenas confirmando.
4. Monetização: pedidos de Pix aos contatos, transferências da conta da vítima, uso dos dados para abrir contas e empréstimos, ou revenda das informações.

Os gatilhos psicológicos explorados

• Afeto e confiança: o pedido vem de alguém querido; dizer “não” parece falta de educação.
• Urgência: “a votação encerra hoje”, “sua conta será bloqueada em 10 minutos”.
• Medo: vírus, invasão, dívida, intimação.
• Autoridade: falso gerente, falso órgão público, falso suporte técnico.
• Ganância e curiosidade: prêmio, desconto imperdível, “olha essa foto sua”.
• Banalização: “é rapidinho”, “é só confirmar” — a ação parece pequena demais para ser perigosa.

Sinais de alerta: checklist rápido

• Uma página de votação, prêmio ou cadastro pede o seu número e depois um código ou QR Code.
• Alguém pede que você abra “Aparelhos conectados” e digite um código que você não solicitou.
• O WhatsApp exibe aviso de que um novo aparelho está tentando se conectar à sua conta.
• O endereço do link, ao ser pressionado, não corresponde ao que o texto promete.
• Um “comprovante” ou “documento” pede para instalar algo ou liberar “fontes desconhecidas”.
• Um aplicativo recém-instalado pede permissão de acessibilidade ou para “controlar a tela”.
• Uma “central” pede que você instale um aplicativo durante a ligação.
• A mensagem do amigo tem um tom diferente do habitual ou insiste demais na pressa.

Prevenção: o que fazer hoje mesmo

• Revise agora os “Aparelhos conectados” do WhatsApp (Configurações → Aparelhos conectados) e desconecte tudo o que você não reconhecer. Faça isso periodicamente.
• Ative a verificação em duas etapas do WhatsApp, com PIN próprio e e-mail de recuperação. Se disponível, use também a chave de acesso (passkey). Entenda os limites do SMS em Golpe do código de verificação.
• Nunca digite, escaneie ou repasse código que você não pediu. Código de conexão serve só para quem está conectando o próprio computador.
• Confirme por outro canal: recebeu pedido de voto ou de dinheiro? Ligue para a pessoa.
• Pressione e segure o link antes de abrir, para ver o endereço real.
• Instale aplicativos só pelas lojas oficiais e mantenha bloqueada a instalação por “fontes desconhecidas”. Leia mais sobre aplicativos falsos.
• Negue permissão de acessibilidade a qualquer app que não seja de sua total confiança.
• Acesse o banco só pelo aplicativo oficial, configure limites de Pix (especialmente noturnos) e ative as notificações de movimentação.
• Não guarde senhas em bloco de notas, fotos ou conversas do próprio WhatsApp — é o primeiro lugar que o criminoso procura. Veja como criar e guardar senhas seguras.
• Mantenha o sistema e os aplicativos atualizados pelas configurações do próprio aparelho, nunca por link recebido.

Já caí. E agora? Passo a passo imediato

1. Retome o WhatsApp: em Configurações → Aparelhos conectados, desconecte todas as sessões que não forem suas. Se perdeu o acesso, reinstale o aplicativo e confirme o número com o código recebido por SMS; persistindo o problema, peça a desativação temporária da conta pelo suporte do WhatsApp.
2. Ative (ou troque) a verificação em duas etapas logo em seguida.
3. Avise seus contatos por outro canal (status, redes sociais, ligação): ninguém deve votar, clicar nem fazer Pix a pedido do seu número.
4. Instalou algo suspeito? Coloque o celular em modo avião, ligue do telefone de outra pessoa para o banco pelo número oficial, peça bloqueio preventivo e troque senhas a partir de um aparelho seguro. Depois, remova o aplicativo ou restaure o celular com ajuda técnica.
5. Fez ou sofreu Pix? Contate imediatamente o banco e peça a abertura do MED – Mecanismo Especial de Devolução. Quanto mais rápido, maior a chance de bloquear o valor ainda na conta de destino.
6. Preserve as provas: faça capturas de tela das mensagens com número do remetente, data e hora, do endereço do link e dos comprovantes. Não apague as conversas.
7. Registre boletim de ocorrência, presencialmente ou pela delegacia virtual do seu estado, anexando o material.
8. Denuncie na plataforma (no WhatsApp: Denunciar e bloquear) e na rede onde o link circulou.
9. Consulte o Registrato, do Banco Central, para verificar se abriram contas, chaves Pix ou empréstimos em seu nome; se a instituição não resolver, registre reclamação no consumidor.gov.br e no próprio Banco Central.

Quem está mais exposto

• Idosos: confiam no remetente e têm menos familiaridade com “Aparelhos conectados”. Vale configurar o celular junto com eles e combinar uma regra da família: pedido de dinheiro ou de código só por ligação.
• Pais e mães: são o público-alvo das votações de balé, campeonatos escolares e bolsas, justamente porque o tema envolve crianças.
• Adolescentes: clicam rápido em sorteios, jogos e “votações” entre amigos; a conta deles também serve de ponte para atingir os pais.
• Empresas e profissionais liberais: o WhatsApp comercial sequestrado é usado para enganar clientes com cobranças falsas. Equipes precisam de política clara sobre aparelhos conectados e confirmação de pagamentos.

Caso real: o alerta do TJPE e a resposta das plataformas

Em 28 de outubro de 2026, o Tribunal de Justiça de Pernambuco, por meio da sua Assistência Policial Militar e Civil, publicou alerta oficial sobre mensagens que circulavam no WhatsApp pedindo votos para um suposto concurso de balé ou para concessão de bolsa de estudos. Segundo o tribunal, a falsa votação exigia uma “verificação” capaz de vincular o WhatsApp da vítima a um aparelho dos criminosos, que passavam a enviar mensagens em nome dela. A orientação foi não fornecer códigos, não escanear QR Codes, confirmar o pedido por ligação e, para quem já tivesse autorizado, desconectar os aparelhos desconhecidos e avisar os contatos.

O mesmo modelo foi descrito pela empresa de segurança Malwarebytes em agosto de 2026, com variações temáticas como apresentação de dança, competição de cães e evento escolar. Antes disso, em março de 2026, a Meta anunciou alertas no WhatsApp para tentativas suspeitas de vinculação de aparelhos, mostrando a origem do pedido — medida voltada exatamente a esse tipo de fraude. A proteção ajuda, mas não substitui a atenção do usuário: o aviso aparece, e a decisão final de confirmar continua sendo da vítima.

No campo policial, a clonagem e o sequestro de contas de WhatsApp já motivaram operações de grande porte, como a Operação Metamorfo, da Polícia Civil de São Paulo, que mobilizou mais de cem policiais contra organização criminosa que se passava pelas vítimas para pedir dinheiro aos contatos, com os valores caindo em contas de laranjas.

Fontes

• TJPE alerta população sobre golpe aplicado por meio de mensagens no WhatsApp — Tribunal de Justiça de Pernambuco, 28/10/2026.
• Golpe de invasão de conta do WhatsApp pede que você “vote no meu amigo” — Malwarebytes, 03/08/2026.
• WhatsApp cria alerta para combater golpes de roubo de conta no app — Canaltech, março/2026 (anúncio da Meta de 11/03/2026).
• Meta lança novas ferramentas de IA antifraude no WhatsApp e Facebook — Tecnoblog, março/2026.
• Campanha de phishing rouba contas no WhatsApp via código de pareamento — Canaltech (campanha GhostPairing, identificada pela Gen Digital).
• Golpe no WhatsApp finge ser post no Facebook e rouba conta do usuário — Tecnoblog.
• Novo golpe do Pix usa acesso remoto para controlar celular e limpar conta da vítima — Paraíba Business (orientação da Febraban sobre aplicativos de acesso remoto).
• Portal Antifraudes — Federação Brasileira de Bancos (Febraban).
• Operação da Polícia Civil investiga grupo que aplica golpes por clonagem de WhatsApp — Tribuna de Jundiaí, 01/07/2021.
• Publicação educativa “Era só um voto. Virou acesso ao seu WhatsApp” — Júnior Urban (@juniorurban), Instagram, com base no Meta Newsroom de 11/03/2026 (usada apenas como fonte de consulta).

Leia também

• Phishing no WhatsApp: como o link “urgente” rouba seus dados!
• Golpe do Código de Verificação do WhatsApp: nunca compartilhe!
• Golpe da Mão Fantasma: como o acesso remoto esvazia sua conta em segundos
• Golpe do QR Code: como golpistas desviam Pix, capturam cartões e roubam senhas
• “Seu celular está com vírus!”: o falso alerta que transforma o susto em golpe
• Prova que pode ser alterada sem deixar rastro não se sustenta — o alerta do STJ sobre o espelhamento do WhatsApp Web

Chamada para Mentoria

Invasão de dispositivo informático, fraude eletrônica e furto mediante fraude por meio eletrônico estão entre os temas mais cobrados nas provas de Delegado de Polícia — tanto nas questões objetivas quanto nas peças práticas, como representações por quebra de sigilo telemático e relatórios de inquérito sobre golpes digitais.

Se você quer dominar esses conteúdos com a visão de quem investiga crimes cibernéticos na prática, conheça a Mentoria para Delegado de Polícia e prepare-se com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá, atualmente Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. É professor de Medicina Legal e escritor, mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua também como mentor de carreiras policiais e de futuros Delegados de Polícia.