No golpe do código de verificação, o atacante não quebra criptografia nenhuma. Ele pede o código de 6 dígitos com um pretexto, registra a conta em outro aparelho e, segundo a Polícia Civil de Mato Grosso citada no paper, passa a estar dentro de todos os grupos da vítima. Quando a vítima é admin, o invasor herda também as permissões. Por isso vale revisar quem tem poder de admin e reduzir esse número, um cuidado que aparece com frequência em guias de bot para grupo de WhatsApp e de configuração de grupos grandes.
Um dos danos descritos no paper é a entrada de contas cúmplices pelo link do grupo depois que um admin é sequestrado. A configuração nativa "Aprovar novos participantes" obriga cada pedido a passar por um admin, e redefinir o link invalida o anterior. Em grupos com muitos pedidos diários, a revisão manual fica pesada, e é aí que entram regras para aprovar participantes automaticamente com filtros, limite diário e histórico. O próprio paper registra o limite: quem tem direitos de admin no WhatsApp ainda consegue adicionar membros pelo app.
O paper propõe um modelo em camadas: conta, número, configuração do grupo, ferramentas e resposta. Na camada de ferramentas, a contribuição é reduzir dano, não impedir o sequestro. Filtro de links com lista de permitidos, regras contra flood e registro das ações executadas ajudam a conter um admin comprometido que começa a postar links de pagamento. Há um detalhe pouco lembrado: o número conectado a qualquer ferramenta de automação de grupos no WhatsApp também é uma conta com poder de admin e precisa de verificação em duas etapas como qualquer outra.
Fonte: Ivan Schroll (2026), Account Takeover of WhatsApp Group Administrators: Verification-Code Hijacking, Linked Devices and Layered Mitigations. DOI 10.17605/OSF.IO/HZUN5.
Top comments (0)