Golpe pelo WhatsApp: como agir logo depois e como recuperar a conta

Conta clonada

O golpista pede o código de seis dígitos que o WhatsApp envia por SMS, geralmente fingindo ser de uma loja, de um site de anúncios ou de uma pesquisa de satisfação. Com esse código, ele registra o seu número em outro aparelho e passa a conversar com seus contatos como se fosse você. Muitas vezes ativa também a confirmação em duas etapas com um PIN que só ele conhece.

Falso parente ou falso amigo

A conta não é invadida. O golpista cria um perfil novo com a sua foto (ou a de um familiar), tirada das redes sociais, e manda mensagem dizendo que trocou de número. Pouco depois pede um Pix urgente para pagar uma conta.

Falso atendente

O perfil usa logotipo de banco, loja ou operadora e oferece renegociação de dívida, estorno ou prêmio. O objetivo é obter dados, senhas ou um pagamento. Empresa de verdade não pede código de verificação nem senha por mensagem.

1. Reinstale o WhatsApp e confirme o seu número. Ao registrar a conta de novo com o código de seis dígitos enviado ao seu chip, todos os aparelhos conectados a ela são desconectados, segundo a Central de Ajuda do WhatsApp.
2. Se aparecer pedido de PIN da confirmação em duas etapas que você não criou, use a opção de redefinição. Se não conseguir, a própria Central de Ajuda informa que é preciso esperar sete dias, contados da última vez que a conta esteve conectada. Nesse intervalo, ninguém consegue acessar a conta.
3. Avise seus contatos por outro meio (ligação, outra rede social, status de um familiar) de que a conta foi clonada e que ninguém deve transferir dinheiro.
4. Confirme com a operadora que o seu chip continua ativo. Se o sinal sumiu de repente, pode ter havido troca indevida do chip, e isso precisa ser registrado com a operadora.
5. Depois de recuperar, ative a confirmação em duas etapas com um PIN seu e cadastre um e-mail de recuperação.

Guarde prints das mensagens que os golpistas enviaram em seu nome. Os contatos que receberam os pedidos podem mandar essas imagens para você.

Ligue para o seu banco assim que perceber o golpe, informe que foi fraude e peça número de protocolo. Quanto antes o banco for avisado, maior a chance de bloquear o valor na conta de destino. O procedimento de devolução do Pix está explicado no post sobre o que fazer depois de cair no golpe do Pix.

Uma dúvida frequente é se o banco é obrigado a ressarcir. A resposta depende do caso. Em julgamento de julho de 2026 (REsp 2.209.868), a Terceira Turma do STJ decidiu que a responsabilidade do banco em golpes nos quais o próprio cliente faz a transferência não é automática: ela depende de falha no serviço, como deixar de identificar operações incompatíveis com o perfil do cliente ou ter mecanismos de segurança insuficientes. Transferências de valor alto e fora do padrão, feitas em sequência, pesam a favor da vítima. Já uma transferência pequena e compatível com o histórico da conta pode levar o tribunal a concluir que houve culpa exclusiva da vítima e de terceiro, como aconteceu nesse caso.

O golpista, por sua vez, responde civil e criminalmente. Se ele for identificado pela investigação, é possível cobrar dele a devolução e eventual indenização.

No aplicativo, abra a conversa com o número do golpista, toque no nome do contato e use a opção de denunciar e bloquear. A denúncia ajuda o WhatsApp a banir o número, mas não substitui o boletim de ocorrência.

Em São Paulo, o boletim pode ser feito pela internet na Delegacia Digital da Polícia Civil, que substituiu a antiga Delegacia Eletrônica e tem opção específica para fraude e estelionato. Informe o número usado pelo golpista, o nome e a chave Pix ou a conta que recebeu o dinheiro, datas, horários e valores, e anexe os prints.

O golpe aplicado por mensagem se enquadra na fraude eletrônica do Código Penal (art. 171, § 2º-A), com pena de reclusão de 4 a 8 anos e multa. A pena aumenta de um terço ao dobro se a vítima for idosa ou vulnerável (art. 171, § 4º). A Lei 15.397/2026 também revogou o § 5º do art. 171, que condicionava a ação penal à representação da vítima, e criou o crime de ceder conta bancária para que por ela transite dinheiro do crime, a chamada conta laranja (art. 171, § 2º, VII).

Em regra, é difícil responsabilizar o aplicativo pelo conteúdo das conversas. No julgamento dos Temas 987 e 533, em junho de 2025, o STF manteve a regra do art. 19 do Marco Civil da Internet para serviços de mensagem instantânea, no que diz respeito às comunicações interpessoais, protegidas pelo sigilo. Isso significa que, para essas conversas, o provedor só responde civilmente se descumprir ordem judicial específica.

O aplicativo continua obrigado a colaborar com a Justiça. O Marco Civil permite pedir ao juiz que ordene ao provedor o fornecimento de registros de acesso, com indícios do ilícito, justificativa e período (art. 22), e o provedor de aplicações precisa guardar esses registros por 6 meses (art. 15). Esses dados ajudam a identificar quem usou o número.

A situação pode ser diferente quando o golpe envolve anúncio pago em outra plataforma que levou a vítima até o WhatsApp. Para anúncios e impulsionamentos pagos, o STF fixou presunção de responsabilidade da plataforma que os veiculou, que ela pode afastar provando diligência.

Monte uma pasta com prints das conversas (mostrando o número, não só o nome), comprovantes de transferência, protocolos do banco e da operadora, o boletim de ocorrência e as mensagens enviadas em seu nome aos contatos.

Erros comuns:

• apagar a conversa com o golpista, o que elimina a prova;
• esperar o "parente" responder antes de avisar o banco;
• responder a supostos serviços de recuperação de conta ou de dinheiro, que costumam ser um segundo golpe;
• informar o código de seis dígitos a qualquer pessoa, mesmo a quem diz falar em nome do WhatsApp, de uma loja ou de um banco;
• deixar de ativar a confirmação em duas etapas depois de recuperar a conta.

Se houver banco ou empresa a ser cobrado, o prazo para pedir reparação por defeito do serviço é de cinco anos, contados do conhecimento do dano e de quem o causou (CDC, art. 27). Os prazos práticos, como o da devolução do Pix, são muito menores.

Clonaram meu WhatsApp e pediram dinheiro aos meus contatos. Eu respondo pelo prejuízo deles?

Quem aplicou o golpe foi o criminoso, e a vítima da clonagem não pratica crime nenhum. Para se proteger, registre boletim de ocorrência logo, avise seus contatos e guarde prova de quando você perdeu o acesso. Esses registros mostram que as mensagens não partiram de você.

Como denunciar um número desconhecido que tentou aplicar golpe?

Abra a conversa, toque no nome ou número e escolha denunciar e bloquear. Tire prints antes, porque a denúncia pode apagar a conversa do seu aparelho. Se houve prejuízo ou tentativa com dados seus, registre também boletim de ocorrência, que em São Paulo pode ser feito pela Delegacia Digital.

Quanto tempo leva para recuperar o WhatsApp clonado?

Se o golpista não ativou a confirmação em duas etapas, basta reinstalar o aplicativo e confirmar o número com o código recebido por SMS. Se ele criou um PIN, e você não conseguir redefini-lo, a Central de Ajuda do WhatsApp informa que é preciso aguardar sete dias para reativar a conta.

Caí no golpe do falso parente. Dá para pedir o dinheiro de volta ao banco que recebeu?

É possível pedir a devolução pelo seu banco, e a chance aumenta quanto antes o aviso for feito. A responsabilidade do banco que recebeu o dinheiro não é automática: o STJ exige prova de que ele descumpriu as diligências de verificação na abertura da conta usada pelos golpistas. Cada caso é analisado pelas provas.

Posso processar o golpista mesmo sem saber quem ele é?

Sim, é possível pedir ao juiz que o aplicativo e o banco informem os dados ligados ao número e à conta que recebeu o dinheiro. O Marco Civil da Internet autoriza esse pedido de registros quando há indícios do ilícito. Com a identificação, a ação de cobrança passa a ter alvo.