Chega um SMS com seis números e, quase ao mesmo tempo, o telefone toca. Do outro lado, uma voz calma diz que é do suporte e que precisa do "código que acabou de chegar" para confirmar sua identidade. Tudo parece encaixar -- o código realmente chegou, a pessoa sabe seu nome. Mas no instante em que você lê aqueles seis dígitos em voz alta, a sua conta deixa de ser sua.
O que é esse código de seis dígitos
Aquele número que chega por SMS é um código de uso único, também chamado de OTP (do inglês "one-time password", senha de uma vez só). Ele serve para provar que quem está tentando entrar ou cadastrar uma conta tem acesso ao seu telefone. Bancos, WhatsApp, e-mail, redes sociais e aplicativos de Pix usam esse recurso o tempo todo.
O raciocínio é simples: só quem segura o seu chip recebe o SMS. Por isso o código vale tanto. Quando um golpista digita o seu número de telefone na tela de login do WhatsApp ou na recuperação de senha do banco, o sistema manda o SMS para o seu aparelho -- e não para o dele. A única peça que falta para ele entrar é justamente aquele código. Se você entrega os seis dígitos, entrega a chave.
Como os golpistas pedem o código
O pedido quase nunca chega de forma grosseira. Ele vem disfarçado de algo rotineiro, e os roteiros mais comuns são estes:
- Falso suporte do WhatsApp ou de app: alguém diz que sua conta foi "denunciada" ou "será desativada" e que, para confirmar que você é o dono, precisa repassar o código recebido.
- Falsa central do banco: a ligação fala de uma "compra suspeita" ou "tentativa de acesso" e pede o código para "cancelar" a operação. Esse roteiro é o coração do golpe do falso funcionário do banco.
- Mensagem de um contato conhecido: um amigo ou parente manda dizendo que "errou o número" e que um código foi enviado para o seu celular por engano, pedindo que você reencaminhe. Na verdade a conta dele já foi clonada, e agora tentam clonar a sua.
- "Confirme que você é humano": em falsos sorteios, vagas de emprego ou vendas, pedem o código a pretexto de "validar seu cadastro" ou "confirmar que você não é um robô".
- Pix e falsas vendas: em negociações pela internet, o golpista alega que precisa do código para "liberar o pagamento" ou "confirmar a transferência".
Repare no padrão: sempre existe um motivo aparentemente legítimo e sempre existe pressa. Os dois juntos são a assinatura do golpe.
Banco e WhatsApp nunca pedem esse código
Aqui está a regra que resolve quase todos os casos: nenhuma empresa de verdade liga, manda mensagem ou e-mail pedindo o código de verificação que você recebeu por SMS. O código é seu e foi feito para ser digitado por você, na tela oficial do aplicativo -- nunca falado, nunca encaminhado.
O WhatsApp afirma de forma clara nas próprias telas que jamais pede o código de cadastro. O seu banco, ao ligar, pode confirmar dados que ele já tem, mas nunca vai pedir senha, código de aplicativo nem código de SMS. O Banco Central reforça que instituições financeiras não solicitam esse tipo de informação por telefone -- você pode conferir as orientações oficiais no portal do Banco Central. Se alguém pede o código, a conclusão é direta: é golpe, sem exceção.
Repare também que o próprio SMS costuma trazer um aviso. A mensagem do banco ou do WhatsApp geralmente diz, em letras pequenas, algo como "não compartilhe este código com ninguém". Esse aviso está ali exatamente porque o pedido virá -- e virá de um golpista.
Por que entregar o código é tão grave
Diferente de uma senha, que você pode trocar depois, o código de verificação é a porta de entrada para um sequestro de conta em tempo real. Quando você fala os seis dígitos, o criminoso conclui o login naquele exato momento. A partir daí ele pode:
- Assumir o seu WhatsApp e aplicar o golpe do "oi mãe, mudei de número", mandando mensagens em seu nome e pedindo Pix para todos os seus contatos.
- Entrar na sua conta de banco ou de aplicativo de pagamento e esvaziar o saldo.
- Trocar a senha e o e-mail de recuperação, deixando você de fora da própria conta.
O caso fica ainda pior quando o golpe se combina com o SIM swap, em que o criminoso transfere o seu número para um chip dele. Nesse cenário, os códigos passam a chegar direto no aparelho do golpista, e nem o SMS você vê mais.
O que fazer se você já passou o código
Se a ficha caiu tarde e você repassou os dígitos, aja rápido -- os primeiros minutos contam muito. Siga esta ordem:
- Tente recuperar a conta imediatamente. No WhatsApp, peça um novo código por SMS e faça o login de volta; isso desconecta o invasor. No app do banco, use "esqueci a senha" ou ligue para o número oficial impresso no cartão.
- Avise seus contatos. Mande recado pelas redes que ainda controla dizendo que sua conta foi invadida e que ninguém faça Pix em seu nome.
- Ative a verificação em duas etapas em tudo que for possível, para que um código sozinho não baste mais e o invasor não consiga concluir o login só com o SMS.
- Contate o banco se houver qualquer movimentação financeira e peça o bloqueio e a contestação das transações.
- Registre boletim de ocorrência e reúna prints das mensagens. Você também pode reportar o caso ao CERT.br, que recebe notificações de incidentes de segurança no Brasil.
Perguntas frequentes
O código chegou no meu celular sem eu ter pedido. O que isso significa?
Significa que alguém digitou o seu número em alguma tela de login ou cadastro. Em geral é uma tentativa de invasão. Não repasse o código a ninguém, não clique em links que vierem junto e, se for do seu banco, ligue para o número oficial para avisar.
Posso compartilhar o código se a pessoa provar que é mesmo do banco?
Não. Não existe situação legítima em que o banco precise do código que chegou no seu telefone. Quem prova "ser do banco" sabendo seu nome e CPF normalmente comprou esses dados ou os obteve em vazamentos. O conhecimento dos seus dados não torna o pedido verdadeiro.
É seguro digitar o código no próprio aplicativo?
Sim. O código foi feito para ser digitado por você, na tela oficial do app, durante um login ou cadastro que você mesmo iniciou. O problema nunca é digitar -- é falar, encaminhar ou colar o código para outra pessoa.
E se for um amigo pedindo o código que "veio por engano"?
Desconfie. Esse é um roteiro clássico para clonar contas em cadeia. Ligue para o seu amigo pelo número de telefone, fora do aplicativo, e confirme. Quase sempre a conta dele já foi invadida e quem manda a mensagem é o golpista.
O código de verificação é pequeno, parece inofensivo e some da tela em segundos. Mas ele é a chave do cofre. Memorize uma frase só e você estará protegido na maioria dos casos: o código é meu e não saio falando para ninguém. Quem pede, está tentando roubar -- não importa quão convincente pareça.