Criminosos estão sequestrando contas de WhatsApp em iPhones sem que a vítima precise fazer absolutamente nada.
Sem links.
Sem QR Code.
Sem compartilhar código de verificação.
O ataque acontece de forma silenciosa e, em muitos casos, sem deixar rastros visíveis dentro do aplicativo.
Na prática, os invasores assumem o controle da conta e começam a enviar mensagens para amigos e familiares pedindo dinheiro, se passando pela vítima de maneira extremamente convincente.
O golpe foi identificado recentemente na Itália por especialistas da empresa de perícia digital Forenser e já acendeu um alerta global sobre novas vulnerabilidades envolvendo iPhones e WhatsApp.
A vítima não vê nenhum sinal de invasão no aplicativo
O que mais intrigou os especialistas foi o padrão praticamente idêntico entre todas as as vítimas.As contas eram usadas para enviar pedidos de dinheiro diretamente para contatos recentes da vítima, como se tudo estivesse sendo feito pelo próprio dono do número.
O detalhe mais preocupante é que, ao verificar a área de “Aparelhos conectados” no WhatsApp, nenhum dispositivo estranho aparecia vinculado à conta.
Ou seja: o golpe operava de forma invisível, dificultando completamente a identificação da invasão.
)
A ausência de aparelhos conectados na lista descartou o golpe mais comum de clonagem. Nesse tipo de fraude tradicional, conhecida pelo termo técnico “pareamento fantasma”, o criminoso engana a vítima para que ela escaneie um QR code malicioso. O que aconteceu na Itália foi diferente, porque não incluiu nenhuma ação da vítima.
Como os peritos descobriram esse ataque invisível
A primeira evidência surgiu durante a análise técnica dos registros internos do iOS em um dos aparelhos comprometidos.
Os especialistas da Forenser identificaram uma sequência anormal e contínua de eventos de “ressincronização” gerados pelo WhatsApp.
Na prática, isso indicava que o aplicativo estava renegociando sua sessão com os servidores do WhatsApp repetidas vezes — um comportamento incomum e altamente suspeito para um uso normal do app.
)
Esse padrão não é normal. Ele acontece quando dois dispositivos diferentes estão tentando manter controle sobre a mesma conta, ao mesmo tempo. O celular legítimo e o cliente do atacante ficavam se reautenticando nos servidores do WhatsApp, um seguido do outro. No entanto, nenhum dos dois conseguia deslocar o outro completamente.
Isso explica porque as mensagens eram enviadas sem conhecimento da vítima enquanto a lista de aparelhos conectados ficava vazia. A sessão do atacante não estava registrada como aparelho vinculado da forma tradicional. Além disso, era possível acessar conversas recentes e enviar mensagens, mas não visualizar chats antigos ou arquivados.
As falhas de segurança que permitiram o ataque
Os pesquisadores notaram que todos os casos envolviam o sistema da APPLE iOS 16. Essa especificidade levou a equipe a investigar vulnerabilidades conhecidas nessa versão do sistema da Apple. Eles encontraram duas falhas que provavelmente foram exploradas juntas.
)
A primeira é identificada pelo código ‘CVE-2025-43300’. Trata-se de um problema na biblioteca de processamento de imagens do iOS. Um atacante podia explorar essa falha enviando uma imagem maliciosa que corrompia a memória do sistema. A Apple corrigiu esse problema em setembro de 2025, após descobrir que ele já estava sendo explorado ativamente.
A segunda falha é específica do WhatsApp e recebeu o código ‘CVE-2025-55177’. Ela permite que qualquer conteúdo seja processado de URLs arbitrárias, por meio de mensagens de sincronização de aparelhos conectados mal autorizadas.
Versões do iOS abaixo de 16.7.12 são vulneráveis, e todos os aparelhos comprometidos analisados pela Forenser rodavam essas versões.
- iPhone 8;
- iPhone X;
- iPhone XR;
- iPhone XS;
- iPhone 11;
- iPhone SE;
- iPhone 12;
- iPhone 13;
- iPhone 14.
Os registros dos aparelhos afetados mostraram múltiplos erros gerados pela biblioteca de processamento de imagens. Esses erros aconteceram nos mesmos horários em que as contas de WhatsApp foram comprometidas.
Criminosos roubam dados da conta sem autorização
A equipe da Forenser reproduziu parte do ataque em laboratório usando um aparelho de teste com versão vulnerável do iOS 16. O teste confirmou que um atacante que explora com sucesso a vulnerabilidade consegue extrair material criptográfico necessário para o processo de conexão da sessão do WhatsApp diretamente do aparelho comprometido.
)
Esse material pode então ser usado para criar um novo cliente do WhatsApp em outro lugar conectado à conta da vítima. Isso acontece sem disparar nenhuma notificação visível no celular da vítima ou no aplicativo. É nesse momento que a sequência contínua de ressincronização nos registros é gerada. O celular legítimo e o cliente do atacante disputam a sessão.
Esse modelo corresponde exatamente ao que foi observado nos casos reais. Uma conta enviando mensagens para contatos recentes apesar da completa ausência de aparelhos conectados visíveis nas configurações do aplicativo.
Golpe anterior usava método diferente de clonagem
Em dezembro, atacantes foram flagrados explorando o recurso de vinculação de aparelhos do WhatsApp para sequestrar contas usando códigos de pareamento. Essa campanha foi chamada de “Emparelhamento Fantasma”. Diferente do ataque italiano, esse golpe anterior exigia que a vítima inserisse um código manualmente.
A cadeia de ataque começava com vítimas recebendo mensagens de contatos confiáveis. As mensagens continham links com visualização no estilo do Facebook. Os links levavam para domínios falsos que imitavam o Facebook usando nomes relacionados a fotos.
)
As vítimas eram direcionadas para uma página falsa que pedia verificação. Seguindo uma sequência de passos aparentemente inofensivos, as vítimas concediam acesso total às suas contas sem roubo de senha ou troca de chip.
O método abusava do WhatsApp Web pedindo que a pessoa inserisse um código numérico. Ao completar essa etapa, o navegador do atacante era vinculado como aparelho confiável.
Como se proteger desse tipo de invasão
O mais preocupante nesse ataque é justamente o fato de ele acontecer sem qualquer interação da vítima. Não existe link para clicar, QR Code para escanear ou código para informar. Por isso, métodos tradicionais de prevenção acabam sendo inúteis.
Hoje, a principal forma de proteção é manter o iPhone sempre atualizado. A vulnerabilidade identificada como CVE-2025-43300 já foi corrigida nas versões mais recentes do iOS, tornando a atualização do sistema algo essencial.
Para quem suspeita que a conta já possa ter sido comprometida, especialistas da Forense recomendam algumas ações imediatas
Saiba Mais sobre esse outros assuntos no nosso Parceiro oficial de tecnologia Chacoalhadadigital
Saiba Mais em Tecmundo.com.br