Uma nova modalidade de ataque cibernético está permitindo a invasão de contas do WhatsApp em iPhones sem qualquer interação por parte do usuário. Diferente dos golpes tradicionais, este método dispensa ações como clicar em links suspeitos, compartilhar códigos de confirmação ou escanear QR codes.
Com o controle da conta, os golpistas enviam mensagens para os contatos da pessoa pedindo dinheiro, sem deixar vestígios aparentes no aplicativo. A fraude foi descoberta recentemente na Itália pela Forenser, uma empresa especializada em perícia digital.
Invasão silenciosa e sem rastros no aplicativo
O que mais chamou a atenção dos especialistas foi o comportamento idêntico relatado pelas vítimas: as mensagens solicitando transferências bancárias eram enviadas para os contatos mais recentes, mas, ao checar a aba “Aparelhos conectados” nas configurações do WhatsApp, nenhum dispositivo suspeito era listado.
Esse detalhe descartou imediatamente o golpe do “pareamento fantasma” — uma fraude comum em que a vítima é induzida a escanear um QR code malicioso. No caso italiano, a invasão ocorreu de forma totalmente independente de falhas humanas.
Como os peritos desvendaram o ataque?
Ao analisar os registros internos do sistema iOS de um aparelho invadido, os peritos da Forenser identificaram uma sequência repetitiva de eventos chamados ressincronização, gerados pelo próprio WhatsApp. Esse fenômeno indica que o aplicativo estava tentando renegociar a sessão com os servidores de forma contínua.
O que isso significa? Esse padrão sinaliza que dois dispositivos estavam disputando o controle da mesma conta simultaneamente. O iPhone da vítima e o sistema do criminoso ficavam se reautenticando nos servidores do WhatsApp um após o outro, sem que nenhum conseguisse desconectar o rival em definitivo.
Isso justifica por que as mensagens eram disparadas à revelia do usuário e por que a lista de dispositivos vinculados permanecia vazia, já que o acesso do invasor não seguia o protocolo de pareamento padrão. Com essa brecha, o criminoso conseguia ver conversas recentes e mandar mensagens, embora não tivesse acesso aos chats antigos ou arquivados.
As falhas de segurança exploradas
Os investigadores constataram que todos os smartphones afetados rodavam o iOS 16. A partir disso, descobriram que os criminosos combinaram duas vulnerabilidades conhecidas do sistema:
- CVE-2025-43300 (iOS): Uma falha na biblioteca de processamento de imagens da Apple. O invasor enviava uma imagem maliciosa que corrompia a memória do sistema. A Apple corrigiu esse problema em setembro de 2025 após detectar o uso ativo da brecha por criminosos.
- CVE-2025-55177 (WhatsApp): Uma vulnerabilidade no mensageiro que permite o processamento de conteúdos a partir de URLs arbitrárias através de mensagens de sincronização mal autorizadas.
O ataque comprometeu aparelhos que utilizavam versões do sistema inferiores à 16.7.12. Entre os modelos analisados que apresentaram falhas no processamento de imagens nos mesmos horários das invasões estão:
- iPhone 8 e iPhone X
- iPhone XR e iPhone XS
- iPhone 11 e iPhone SE
- iPhone 12, 13 e 14
Roubo de dados e simulação em laboratório
Para confirmar a tese, a Forenser recriou o cenário em laboratório utilizando um iPhone de testes desatualizado. O experimento comprovou que, ao explorar essas brechas, o atacante consegue extrair do próprio celular o material criptográfico necessário para autenticar a sessão do WhatsApp.
Com essas chaves em mãos, o invasor configura um cliente clonado do aplicativo em outro dispositivo. O processo ocorre em segundo plano, sem emitir notificações no aparelho da vítima, iniciando a disputa silenciosa de conexões que foi mapeada nos casos reais.
Diferença em relação a golpes anteriores
Em dezembro, outra campanha cibernética (também apelidada de “Emparelhamento Fantasma”) utilizou os códigos de vinculação de dispositivos para roubar contas. No entanto, aquela estratégia dependia da engenharia social: as vítimas recebiam links falsos que imitavam o Facebook enviados por contatos de confiança. Ao seguir os passos da página fraudulenta e inserir um código numérico na tela, o usuário acabava vinculando o navegador do criminoso à sua conta do WhatsApp Web.
Como se proteger da nova ameaça
Por se tratar de uma invasão que não requer interação do usuário, as dicas tradicionais de segurança digital não são suficientes. A recomendação primordial é manter o sistema operacional iOS sempre atualizado para a versão mais recente, corrigindo a brecha de segurança na biblioteca de imagens.
Caso haja suspeita de que a conta foi invadida, a Forenser recomenda as seguintes medidas:
- Bloqueio de conversas: Utilizar a função de trancar chats com senha impede que o invasor leia ou envie mensagens nessas conversas específicas.
- Reinstalação: Atualizar o aplicativo ou reinstalá-lo em um novo dispositivo costuma ser eficaz para derrubar a sessão ativa do criminoso.
- Aviso a terceiros: Se você receber um pedido de dinheiro suspeito de algum conhecido, não responda pelo próprio chat do WhatsApp. Ligue diretamente para a pessoa por chamada convencional ou operadora, pois o golpista pode interceptar e apagar a sua mensagem antes que o dono legítimo veja.
