WhatsApp GhostPairing: como reconhecer e evitar acesso indesejado

Este é um guia de segurança permanente sobre um abuso documentado da associação legítima de dispositivos do WhatsApp. A Gen Digital descreveu a campanha GhostPairing a 15 de dezembro de 2025. Trate sempre como alto risco pedidos inesperados de «verificar para ver uma foto».

Este ataque não prova que a encriptação ponta a ponta foi quebrada. O atacante persuade-o a aprovar ele próprio um dispositivo associado.

GhostPairing é engenharia social em torno da associação real do WhatsApp (WhatsApp Web / Ambiente de trabalho). Os fraudadores levam-no a adicionar o browser ou computador deles como dispositivo associado.

Percurso típico: uma mensagem curta—muitas vezes de um contacto comprometido—fala de uma foto. O link abre uma página falsa que pede «verificação». Pode aparecer um código de emparelhamento do WhatsApp ou um QR. Introduzir o código ou digitalizar o QR no WhatsApp pode aprovar a sessão do atacante.

Não confunda um código de emparelhamento do WhatsApp com um código SMS de registo. O de emparelhamento associa Web/Ambiente de trabalho. O SMS serve para registar ou verificar o número. O GhostPairing abusa do emparelhamento—não do registo por SMS.

Podem usar-se códigos de emparelhamento enganadores e códigos QR. Os códigos numéricos são muitas vezes mais práticos para os fraudadores num único telemóvel.

Apenas abrir um link não é o mesmo que associar um dispositivo. Fechar a página sem código nem aprovação reduz o risco—não é garantia absoluta se também introduziu um número, digitalizou um QR ou confirmou no WhatsApp.

Após a associação, pode muitas vezes continuar a usar o WhatsApp enquanto o atacante lê chats/média sincronizados e pode enviar mensagens como se fosse você. O dispositivo indesejado pode aparecer em Dispositivos associados e ser terminado aí—não é descrito como invisível de forma permanente.

Terminar sessão interrompe o acesso futuro por essa sessão. Não recupera dados já vistos ou copiados.

A. Só recebi uma mensagem suspeita

• Não abra o link.
• Confirme com o remetente por outro canal de confiança.
• Denuncie ou bloqueie a mensagem no WhatsApp, se fizer sentido.

B. Cliquei no link

• Feche a página.
• Não introduza códigos nem aprove qualquer associação de dispositivo.
• Se tiver dúvidas sobre o que confirmou, verifique agora Dispositivos associados (acima).
• Se também deu palavras-passe, dados de pagamento, descarregou algo ou outras permissões: altere essas palavras-passe, vigie contas e remova apps desconhecidas.

C. Introduzi um código ou digitalizei um QR

• Abra de imediato Dispositivos associados e termine sessões desconhecidas.
• Avise contactos se puderem ter sido enviadas mensagens em seu nome.
• Sem acesso? Siga a ajuda oficial do WhatsApp—não os chats.
• Terminar sessão corta o acesso futuro desse dispositivo, mas não apaga o que já foi visto ou copiado.

Ative a verificação em dois passos do WhatsApp como proteção extra. É útil, mas não impede por si o GhostPairing nem termina uma sessão já associada—tem de rever Dispositivos associados.

1. Nunca associe o WhatsApp porque um site pede «verificar» para ver uma foto.
2. Inicie a associação só a partir do WhatsApp quando abrir de propósito Web ou Ambiente de trabalho.
3. Reveja periodicamente Dispositivos associados.
4. Desconfie de links inesperados, mesmo de contactos conhecidos.

Pode colar um URL suspeito no verificador de sites da Fraudly para avaliar sinais de risco antes de continuar.

A Fraudly não deteta todas as páginas de phishing nem todas as tentativas de GhostPairing. Um resultado favorável nunca justifica aprovar uma associação inesperada.

A Fraudly não gere os seus dispositivos WhatsApp. Use sempre a app e o centro de ajuda oficiais.

Técnica documentada: investigação Gen Digital «GhostPairing Attacks…» (15 de dezembro de 2025) — gendigital.com/blog/insights/research/ghostpairing-whatsapp-attack.

Passos oficiais: Centro de Ajuda do WhatsApp — «How to unlink a device» e artigos relacionados em faq.whatsapp.com. Os menus seguem os percursos iPhone/Android documentados; o texto pode variar.

As dicas gerais de prevenção baseiam-se nessas fontes. Não inventamos números de vítimas, campanhas adicionais nem taxas de deteção da Fraudly para este ataque.