O advogado paulista Luciano Caparroz Pereira dos Santos já estava em ritmo de festas de final de ano quando ele recebeu, em 28 de dezembro, o telefonema de um suposto funcionário do site de vendas de veículos onde havia postado anúncio para venda de um carro.

Ele forneceu o código de segurança que apareceu no visor do celular, conforme solicitou o suposto funcionário, e só na continuação da conversa percebeu que estava sendo vítima de um golpe cada vez mais comum no país: o sequestro de contas do WhatsApp.

Algo nada trivial nessa história, porém, é um detalhe que pode revelar uma falha no sistema de segurança da WhatsApp. “Eu tinha senha dupla. Eu não estava só com uma senha. Já estava com duas, mas, mesmo assim, ele conseguiu destravar.”

Procurado desde a tarde da última terça-feira (14), o WhatsApp não respondeu aos questionamentos da reportagem. Não informou se os criminosos conseguiram, de fato, furar o bloqueio de segurança de duas senhas, principal recurso do aplicativo para evitar fraudes.

O procedimento de duas senhas, ou verificação em duas etapas, é fortemente recomendado pelo WhatsApp como forma de prevenir abusos, como a empresa se refere a esse tipo de golpe.

A história de Santos é novidade até para a polícia de São Paulo. O delegado Carlos Henrique Ruiz, titular da Delegacia de Investigações Sobre Fraudes Patrimoniais Praticadas por Meio Eletrônico, disse desconhecer caso semelhante e não sabe dizer como seria possível isso acontecer.

Santos diz não ter fornecido a segunda senha. “Não tenho a menor ideia de como conseguiram. Talvez, com a primeira senha alterada, se pode alterar a segunda via email, posteriormente”, disse Santos.

Os casos mais comuns de sequestro de conta acontecem, segundo o delegado, quando o próprio usuário fornece a senha enviada pela WhatsApp, como fez Santos. Mas todos que conhece foram em contas que não possuem a segunda etapa de confirmação, que pede uma senha de seis dígitos.

A reportagem falou com outras vítimas de golpe, como a fisioterapeuta Denise Brigido e o médico Carlos Aburad, que tiveram as contas sequestradas recentemente. Ambos não tinham a verificação em duas etapas e só decidiram adotá-la após o problema.

Os criminosos conseguiram os dados de Aburad em um site de comércio de produtos. Um suposto funcionário do site ligou para o médico e pediu que informasse o código que apareceria em sua tela. O golpe idêntico ao ocorrido com o advogado Santos.

“Ele pediu para confirmar detalhes do anúncio do carro e, ao final, pediu para confirmar um código. A partir desse código, ele clonou meu WhatsApp e bloqueou do meu telefone”, disse.

A ligação que ele recebeu ocorreu poucos minutos após postar o anúncio.

O golpe sofrido por ele fez outra vítima. “Na hora eu nem desconfiei. Era uma pessoa que jamais teria motivo para desconfiar. Só fui solidária. Cinco ou dez minutos depois, a mulher dele começou a mandar mensagem para todo mundo dizendo que o WhatsApp dele tinha sido clonado. Liguei rápido no meu banco, mas disseram: ‘acabaram de sacar”, disse a jornalista Debora Pinho, que transferiu R$ 2.340 a pedido do estelionatário.

“Eu me senti uma idiota. Parece uma coisa tão real, tão próxima, que você não vê maldade. Outra coisa que contribuiu para o golpe é que hoje as pessoas não se falam mais pelo telefone. É WhatsApp o tempo todo, e você nem pensa em ligar para confirmar”, diz ela.

Já com Denise os criminosos foram mais engenhosos. Eles encontraram o número de telefone dela no Instagram, em que faz críticas de livros (embarcandonaleitura), e se passaram por produtores de um programa de televisão convidando-a para uma entrevista.

“Eu respondi, falando que tudo bem. Eles falaram que iam mandar os dados por email, mas tinha que passar o código [de confirmação] pra eles. Aí, eu caí. Na hora não me liguei que era o código de acesso ao WhatsApp em outro aparelho”, disse. “Na hora eu já fiquei sem acesso ao app pelo meu celular. Tentei entrar várias vezes, mas o WhatsApp bloqueia se você tenta muito. Mas eles ficam conectados”, afirmou ela.

Todos os contatos da fisioterapeuta receberam pedidos de dinheiro. “Eu desconfiei porque a pessoa me chamou de senhor, a Denise não me chama assim. Também pedi para falar por telefone, a pessoa também disse que não podia. Então, desconfiei”, disse o jornalista Alfredo César Souza. “Eu sempre ligo para confirmar”, disse ele.

A história de Denise é muito semelhante à contada pelo jornalista da Folha Marcos Nogueira, que teve a conta sequestrada após falso convite para participar de uma festa.

Nos questionamentos enviados ao WhatsApp, a reportagem enviou o nome de Luciano Caparroz e o número do celular dele usado para acesso ao aplicativo de mensagens. A assessoria de imprensa da empresa informou que os dados foram enviados ao departamento responsável. Até a publicação deste texto, não houve resposta.