Você já recebeu um pedido inesperado para “escanear rapidinho” um QR Code no celular de outra pessoa? Esse é o início de um dos golpes que mais cresce no WhatsApp atualmente, conhecido como QRLjacking. Diferente da clonagem tradicional, em que o golpista liga se passando por suporte técnico, aqui a própria vítima é induzida a entregar o acesso da conta com as próprias mãos, sem perceber.

Como funciona o golpe do QR Code no WhatsApp Web

O WhatsApp Web funciona lendo um QR Code gerado no computador com a câmera do celular, vinculando as duas sessões. O golpe explora exatamente esse mecanismo: o criminoso gera o QR Code de login em um computador ou site sob seu controle e engana a vítima para que ela escaneie esse código, acreditando estar ajudando em alguma tarefa, participando de uma promoção ou resolvendo um “problema técnico”.

Assim que o QR Code é escaneado, a sessão do WhatsApp da vítima passa a ficar espelhada no dispositivo do golpista, que tem acesso a conversas, contatos e pode enviar mensagens em nome da vítima, inclusive pedindo dinheiro emprestado a amigos e familiares ou aplicando golpes com a credibilidade da conta roubada.

Situações comuns usadas pelos golpistas

• Um desconhecido pede para usar seu celular para “escanear um código” de uma suposta promoção ou cadastro.
• Mensagens ou e-mails com um QR Code anexado, pedindo para escanear para “confirmar” uma conta, prêmio ou atualização do WhatsApp.
• Páginas falsas que imitam o WhatsApp Web, mas na verdade exibem o QR Code real gerado por um computador do golpista.
• Pessoas próximas (às vezes até conhecidas) pedindo o favor de escanear um código “porque o celular delas não está funcionando”.

Como se proteger do QRLjacking

1. Nunca escaneie um QR Code de WhatsApp a pedido de outra pessoa, mesmo que pareça inofensivo ou que a pessoa seja conhecida.
2. Ative a confirmação em duas etapas do WhatsApp (Configurações > Conta > Confirmação em duas etapas), criando um PIN adicional de segurança.
3. Revise periodicamente os dispositivos conectados em Configurações > Dispositivos conectados e encerre sessões que você não reconhece.
4. Desconfie de qualquer solicitação para escanear códigos recebidos por mensagem, e-mail ou em sites que não sejam o endereço oficial web.whatsapp.com.
5. Se notar mensagens sendo enviadas da sua conta sem o seu conhecimento, acesse imediatamente Dispositivos conectados e encerre todas as sessões ativas.

Perguntas frequentes

Só escanear o QR Code já é suficiente para perder a conta?
Sim. Ao contrário de um link malicioso que pode exigir mais passos, o QR Code do WhatsApp Web concede acesso direto e imediato à sessão assim que lido pela câmera, sem pedir senha adicional (a menos que a confirmação em duas etapas esteja ativada).

A confirmação em duas etapas impede esse golpe?
Ela não impede o espelhamento da sessão em si, mas dificulta que o golpista refaça login caso a sessão seja encerrada, e é uma camada extra de proteção recomendada para todas as contas.

Como sei se minha conta está sendo espelhada agora?
Em Configurações > Dispositivos conectados, o WhatsApp lista todos os navegadores e aplicativos com acesso à sua conta. Qualquer dispositivo que você não reconheça deve ser removido imediatamente.

Este artigo foi elaborado com base em alertas de especialistas em segurança digital sobre a técnica conhecida como QRLjacking e em orientações oficiais do WhatsApp sobre dispositivos conectados e confirmação em duas etapas.