Você recebe um SMS com seis dígitos, repassa sem pensar e, minutos depois, não consegue mais abrir o seu WhatsApp -- alguém entrou na sua conta e já está pedindo Pix para os seus contatos. Esse roubo leva segundos quando a conta tem só uma camada de proteção. A boa notícia é que existe uma trava simples, gratuita e que fica pronta em dois minutos: a verificação em duas etapas.
O que é a verificação em duas etapas
Por padrão, o WhatsApp confirma a sua identidade só com o código que chega por SMS quando você instala o app em um novo aparelho. O problema é que esse código pode ser roubado -- por engenharia social, quando pedem para você repassá-lo, ou por SIM swap, quando o golpista transfere o seu número para um chip dele.
A verificação em duas etapas adiciona uma segunda trava: um PIN de seis dígitos que só você conhece e que o WhatsApp passa a exigir, de tempos em tempos e sempre que a conta é registrada em um novo telefone. Mesmo que alguém consiga o código do SMS, sem o PIN não entra. É a diferença entre uma porta com uma fechadura e uma porta com duas.
Passo a passo para ativar
O caminho é o mesmo no Android e no iPhone, com nomes quase idênticos. Faça assim:
- Abra o WhatsApp e toque nos três pontinhos (Android) ou em Ajustes (iPhone), no canto da tela.
- Entre em Configurações e depois em Conta.
- Toque em Verificação em duas etapas.
- Toque em Ativar.
- Crie um PIN de seis dígitos e confirme. Escolha uma combinação que você consiga lembrar, mas que não seja óbvia -- evite 123456, o ano do seu nascimento ou a data que está na sua identidade.
- Informe um e-mail de recuperação. Ele serve para você redefinir o PIN caso esqueça. Use um e-mail ao qual você realmente tenha acesso.
- Confirme e pronto. A trava já está valendo.
A partir daí, o WhatsApp vai pedir o PIN de vez em quando, para garantir que você não o esqueça. Isso é proposital -- não é erro nem tentativa de invasão.
Por que isso impede a clonagem
Quase todo golpe de sequestro de conta termina no mesmo ponto: o criminoso digita o seu número na tela de cadastro do WhatsApp, recebe (ou rouba) o código de SMS e conclui o login. A verificação em duas etapas quebra essa corrente bem no final. Depois do código, o app pede o PIN -- e o golpista não tem o PIN.
É por isso que essa trava é a defesa central contra o golpe do WhatsApp clonado, aquele do "oi mãe, mudei de número". Ela também blinda você em parte contra o SIM swap: mesmo que o criminoso assuma o seu número de telefone e receba o SMS no chip dele, sem o PIN ainda não consegue registrar o seu WhatsApp. O CERT.br, centro nacional de resposta a incidentes de segurança, recomenda justamente ativar a autenticação em duas etapas em todos os serviços que oferecem o recurso.
Cuidados que completam a proteção
A verificação em duas etapas é a base, mas alguns hábitos a reforçam. Vale adotar todos:
- Nunca repasse o código de SMS a ninguém, em hipótese alguma. O PIN protege, mas o ideal é nem deixar o código vazar. Entenda por quê em por que você nunca deve compartilhar o código de verificação.
- Mantenha o e-mail de recuperação seguro, com senha forte e a sua própria verificação em duas etapas ligada. Se invadirem esse e-mail, podem tentar redefinir o seu PIN.
- Confira os aparelhos conectados em Configurações, na opção de dispositivos conectados (o antigo WhatsApp Web). Desconecte qualquer sessão que você não reconheça.
- Ajuste a privacidade da foto e dos dados. Em Configurações, na Privacidade, limite quem vê sua foto de perfil, seu "visto por último" e seus recados. Foto pública é matéria-prima para golpistas montarem perfis falsos.
- Cuidado com PIN óbvio. Datas de aniversário e sequências fáceis derrubam o propósito da trava. Escolha algo que só você associe a algum significado.
Se você esquecer o PIN
Esquecer o PIN não é o fim do mundo, desde que você tenha cadastrado o e-mail de recuperação. Na tela em que o WhatsApp pede o PIN, toque em Esqueci meu PIN e siga o link enviado para o seu e-mail para redefini-lo. É por isso que pular a etapa do e-mail é um erro: sem ele, você pode ficar dias sem acesso à conta caso esqueça o código.
Se você não cadastrou e-mail e esqueceu o PIN, o WhatsApp impõe uma espera de sete dias antes de permitir a entrada sem o código. É uma proteção contra invasores, mas que também complica a sua vida -- mais um motivo para cadastrar o e-mail logo de início.
Perguntas frequentes
A verificação em duas etapas é a mesma coisa que o código de SMS?
Não. O código de SMS é a primeira camada, enviada automaticamente quando você registra a conta em um aparelho. A verificação em duas etapas é uma segunda camada, o PIN que só você define e conhece. As duas juntas é que protegem de verdade.
Vou ter que digitar o PIN toda vez que abrir o WhatsApp?
Não. No uso normal, o PIN é pedido apenas de vez em quando, para você não esquecê-lo, e sempre que a conta for registrada em um novo telefone. No dia a dia, a sua experiência não muda.
É obrigatório informar um e-mail?
O WhatsApp permite ativar sem e-mail, mas não é recomendável. O e-mail é o que permite redefinir o PIN se você esquecer. Sem ele, recuperar o acesso fica bem mais demorado.
Ativar a verificação em duas etapas custa alguma coisa?
Não. É um recurso gratuito do próprio WhatsApp, disponível para qualquer conta. Não há cobrança nem necessidade de aplicativo extra.
Poucos minutos de configuração compram uma camada de segurança que faria toda a diferença no dia de um ataque. Ative a verificação em duas etapas agora, no seu aparelho e no de quem você cuida -- pais, avós, quem tende a ser alvo. É a trava mais barata e eficaz que existe contra o sequestro do seu WhatsApp.