AF!

Ataque explora vulnerabilidades de dispositivos e da aplicação

Uma nova modalidade de ataque informático está a preocupar as autoridades devido à possibilidade de comprometer contas do WhatsApp sem que a vítima tenha de clicar numa ligação, introduzir um código ou realizar qualquer outra ação visível.

O alerta foi divulgado pela Polícia de Segurança Pública (PSP) e chama a atenção para um tipo de ataque conhecido, no contexto da cibersegurança, como zero-click. Neste cenário, os criminosos podem explorar vulnerabilidades do sistema operativo e da aplicação para associar a conta da vítima a outro dispositivo.

Depois de obterem acesso, os atacantes podem utilizar o WhatsApp como se fossem o verdadeiro titular da conta, enviando mensagens a familiares, amigos ou outros contactos.

Vítima pode não detetar atividade fraudulenta

Uma das características mais preocupantes deste tipo de ataque é o facto de a utilização indevida da conta poder não ser imediatamente visível no telemóvel da vítima.

Os criminosos podem, por exemplo, enviar uma mensagem a pedir dinheiro com caráter urgente, alegando um problema bancário ou a necessidade de realizar uma transferência. O titular da conta poderá continuar a utilizar normalmente a aplicação, sem se aperceber de que existe atividade fraudulenta noutro dispositivo.

A mensagem enviada pelos atacantes pode chegar diretamente aos contactos da vítima sem que exista necessariamente uma cópia da conversa no equipamento do verdadeiro utilizador.

Falhas podem afetar dispositivos Apple desatualizados

Segundo a informação divulgada pela PSP, o problema estará relacionado com uma combinação de vulnerabilidades que pode afetar determinados dispositivos Apple com versões desatualizadas do sistema operativo.

O alerta refere uma vulnerabilidade existente em versões do iOS anteriores à 16.7.12, que, em conjunto com uma falha do WhatsApp, poderá permitir a exploração da conta.

A própria aplicação tem documentado vulnerabilidades relacionadas com a sincronização de dispositivos associados e com o processamento de determinados conteúdos, incluindo falhas que afetaram versões do WhatsApp para iOS.

A empresa recomenda que os utilizadores instalem as versões mais recentes da aplicação, de forma a corrigir vulnerabilidades conhecidas.

Ataque é diferente das burlas tradicionais

O cenário descrito pelas autoridades não deve ser confundido com as burlas mais comuns relacionadas com o WhatsApp.

Nos esquemas tradicionais, os criminosos tentam convencer a vítima a fornecer o código de verificação recebido por SMS ou a associar voluntariamente um novo dispositivo à conta.

Neste caso, o perigo resulta da exploração de uma vulnerabilidade tecnológica, reduzindo ou eliminando a necessidade de interação por parte do utilizador.

Em 2025, o WhatsApp confirmou igualmente uma vulnerabilidade que, combinada com uma falha de segurança nos sistemas da Apple, poderia permitir ataques sofisticados contra utilizadores específicos.

Como proteger a conta

A PSP e as empresas de tecnologia recomendam várias medidas para reduzir o risco:

• Manter o sistema operativo do telemóvel permanentemente atualizado.

• Atualizar o WhatsApp através da App Store ou da loja oficial correspondente.

• Ativar a verificação em duas etapas da conta.

• Consultar regularmente a lista de dispositivos associados.

• Terminar imediatamente sessões ou ligações que não sejam reconhecidas.

No WhatsApp, a lista de dispositivos pode ser consultada através do percurso:

Definições → Dispositivos ligados

A existência de um equipamento desconhecido deve ser encarada como um possível sinal de comprometimento da conta.

Palavra de segurança pode evitar transferências

Outra medida preventiva consiste em estabelecer uma palavra ou expressão de segurança com familiares e amigos próximos.

A combinação pode ser utilizada para confirmar pedidos inesperados de dinheiro enviados através do WhatsApp. Desta forma, mesmo que a conta de alguém seja utilizada por terceiros, o destinatário terá uma forma adicional de verificar a identidade do interlocutor.

Os utilizadores devem desconfiar especialmente de mensagens que solicitem:

• Transferências bancárias urgentes.

• Códigos de confirmação.

• Dados bancários.

• Cartões-presente.

• Pagamentos imediatos.

• Instalação de aplicações.

• Associação de novos dispositivos.

A utilização de uma situação urgente é uma das técnicas mais frequentes para impedir que a vítima confirme a informação.

Confirmar pedidos através de outro canal

Mesmo que a mensagem pareça ter sido enviada por uma pessoa conhecida, qualquer pedido inesperado de dinheiro deve ser confirmado por outro meio de comunicação.

Uma chamada telefónica para o número habitual da pessoa pode permitir esclarecer rapidamente a situação. Os utilizadores não devem realizar transferências apenas com base numa mensagem recebida através do WhatsApp.

Caso exista suspeita de comprometimento, é recomendável atualizar o sistema operativo e a aplicação, consultar a área Dispositivos ligados, terminar todas as sessões desconhecidas e ativar ou confirmar a verificação em duas etapas.

Se tiverem ocorrido perdas financeiras ou outras consequências, a situação deve ser comunicada às autoridades competentes.

A atualização regular do iPhone e do WhatsApp continua a ser uma das medidas mais importantes para corrigir falhas de segurança já identificadas. Perante qualquer pedido urgente de dinheiro, a recomendação é confirmar sempre a identidade do interlocutor através de outro canal antes de efetuar uma transferência.