WhatsApp clonado do escritório: como acontece, como recuperar e o que avisar aos clientes
Segurança · · 5 min de leitura · Equipe Adv3
O WhatsApp clonado do escritório quase nunca é invasão técnica: é alguém convencendo você, ou a recepção, a entregar o código de seis dígitos que chega por SMS. A defesa que resolve é a confirmação em duas etapas do próprio aplicativo, com um PIN que o golpista não tem. Se já aconteceu, a recuperação é rápida e a parte urgente é outra: avisar os clientes antes que alguém pague.
A mensagem chega para o cliente do número de sempre, com a foto de sempre, falando do caso que ele realmente tem. O WhatsApp clonado do escritório funciona justamente por isso.
Como o WhatsApp é clonado de verdade
Na esmagadora maioria dos casos, sem nenhuma invasão: o golpista inicia a ativação do seu número em outro aparelho, o aplicativo envia o código de seis dígitos por SMS para você, e ele liga ou manda mensagem com uma história pronta para conseguir esse código.
As histórias variam e o pedido é sempre o mesmo:
- "Sou do suporte do aplicativo e preciso confirmar um código."
- "Errei o número ao pedir um código, pode me repassar?"
- "Aqui é do tribunal e precisamos validar seu cadastro."
Há também a variante da recepção: o golpista liga para o escritório, diz que é de um cliente e pede que leiam o código que acabou de chegar. Por isso a regra precisa ser da casa, e não sua.
A defesa que fecha a porta
| Providência | O que ela faz |
|---|---|
| Confirmação em duas etapas no aplicativo | Cria um PIN de seis dígitos exigido além do SMS |
| E-mail de recuperação cadastrado | Permite recuperar o PIN se você esquecer |
| Regra da casa: ninguém repassa código | Fecha o caminho da recepção e do estagiário |
| Bloqueio de tela do celular | Impede o uso direto com o aparelho na mão |
A primeira linha resolve o problema quase inteiro: mesmo que o golpista consiga o SMS, sem o PIN a conta não é ativada em outro aparelho. É o mesmo princípio descrito em autenticação em dois fatores, aplicado ao aplicativo onde mora a conversa com o cliente.
Se já aconteceu: a primeira hora
- Recupere a conta. Reinstale o aplicativo e ative com o seu número: quem recebe o novo código é você, e o aparelho do golpista é desconectado. Se houver PIN desconhecido, o aplicativo impõe um período de espera, e é aí que o e-mail de recuperação faz falta.
- Avise os clientes por outro canal. E-mail, ligação, publicação no perfil do escritório. A mensagem é curta: houve tentativa de golpe pelo número do escritório, ninguém deve pagar nada sem confirmar por telefone.
- Ligue para quem estava em conversa de pagamento. Prioridade para quem tinha valor combinado em aberto.
- Registre boletim de ocorrência, com os prints do que foi enviado em seu nome.
- Ligue a confirmação em duas etapas antes de voltar a usar a conta.
O passo 2 é o que evita o prejuízo, e é o que costuma ser adiado por vergonha. Não há nada de vexatório em ser alvo, e há bastante em o cliente descobrir sozinho, depois de pagar.
Clonado, invadido e falsificado não são a mesma coisa
Três situações diferentes, com respostas diferentes:
- Clonado: o número foi ativado em outro aparelho. Você perde o acesso.
- Espelhado pelo navegador: alguém conectou a versão web num computador que ficou aberto. Você continua com acesso, e há uma sessão a mais. Confira a lista de aparelhos conectados no próprio aplicativo.
- Falsificado: outro número usa a sua foto e o seu nome. Você não perde nada, e os clientes recebem mensagens que parecem suas.
Só a primeira exige recuperação de conta. As três exigem avisar o cliente, e a segunda é a mais comum em escritório com computador compartilhado, situação descrita em computador pessoal no trabalho do escritório.
O número do escritório não deveria ser o seu
Quando o WhatsApp do atendimento é o celular pessoal de um advogado, três problemas se somam: o cliente continua mandando mensagem depois do expediente, a conversa some quando aquela pessoa sai, e um golpe atinge conta pessoal e profissional ao mesmo tempo. A separação, com o que muda na prática, está em WhatsApp para advogados, e o combinado de horário em atendimento fora do horário.
Quando isso vira incidente de proteção de dados
Se o golpista leu conversas antes de ser expulso, houve acesso não autorizado a dados pessoais de clientes, e às vezes a dado sensível. Isso tem deveres próprios na LGPD, e há a camada anterior, do sigilo profissional. O que fazer dentro de casa está em LGPD no escritório de advocacia.
Perguntas frequentes
O golpista consegue ler minhas conversas antigas?
Em geral não: o histórico fica no aparelho, e a conta ativada em outro celular começa vazia. O que ele lê é o que chegar depois, e é com isso que ele monta a conversa convincente.
Vale avisar a OAB ou o tribunal?
A prioridade é o cliente e o boletim de ocorrência. Avisar a seccional faz sentido quando o golpe usa o nome da instituição ou atinge vários advogados da mesma região.
Trocar de número resolve?
Raramente compensa: você perde o contato de todos os clientes. Recuperar a conta e ligar a confirmação em duas etapas resolve o caso e mantém o número que está em todo contrato.
Como saber se alguém está conectado à minha conta agora?
O aplicativo tem uma lista de aparelhos conectados, com data do último acesso. Vale olhar hoje, mesmo sem suspeita, e desconectar o que você não reconhece.
Como o Adv3 trata isso
No Adv3 o WhatsApp do escritório funciona dentro do sistema, ligado a cliente e processo, com a conversa registrada e visível para quem tem permissão: isso não impede a clonagem do número, e reduz o estrago, porque o histórico do atendimento não vive apenas no celular de uma pessoa. O que ele não faz é proteger o seu aparelho nem recuperar conta clonada: a confirmação em duas etapas continua sendo ligada no próprio aplicativo.
Todos os artigos · Adv3: software jurídico para escritórios de advocacia · Criar uma conta