VKSECURITY Polícia lê WhatsApp e Signal sem quebrar a criptografia — e a técnica também serve ao golpista
Documentos publicados na Alemanha mostram autoridades lendo conversas de WhatsApp, Signal e Telegram sem atacar a criptografia: elas simplesmente vinculam um computador próprio à conta do investigado. O método é o mesmo de um golpe que já circula no Brasil — e a checagem que protege leva 15 segundos.
A criptografia de ponta a ponta do WhatsApp e do Signal funciona: ninguém no meio do caminho lê a mensagem. Documentos internos de autoridades alemãs, publicados pelo portal Netzpolitik, mostram que não foi preciso quebrá-la. Bastou entrar pela porta da frente — o recurso de aparelhos vinculados.
Como funciona
Todo mensageiro moderno permite usar a mesma conta em mais de um lugar: o WhatsApp Web, o aplicativo de computador, o tablet. Ao autorizar, aquele dispositivo passa a receber as mensagens como se fosse o seu celular — com a criptografia funcionando normalmente, só que para mais um destinatário legítimo.
É esse mecanismo que as autoridades alemãs passaram a usar, numa prática que os documentos chamam de clonagem de conta. O computador da investigação é vinculado à conta do alvo e passa a receber as conversas dali em diante. Para conseguir a autorização, o caminho é um destes três:
- Acesso físico ao celular, escaneando o código de barras da tela de vinculação;
- Interceptação do código de confirmação enviado por mensagem de texto, em operações de escuta telefônica autorizadas;
- Phishing, ou seja, enganar o alvo para que ele entregue o código.
A criptografia permanece intacta o tempo todo. Ela protege a mensagem em trânsito — não decide quem, do outro lado, tem permissão de ler.
Por que isso interessa a quem não é investigado
Porque a mesma técnica é a base de um golpe comum no Brasil. O criminoso liga ou manda mensagem se passando por suporte, banco, órgão público ou colega, e pede o código de seis dígitos que você acabou de receber. Com ele, vincula o próprio computador à sua conta e passa a ler tudo — inclusive os grupos de trabalho — sem que apareça nada de estranho na sua tela.
No ambiente corporativo, isso é mais grave do que parece. Grupos de WhatsApp carregam conversas sobre clientes, contratos, pagamentos, dados de funcionários. Um aparelho vinculado por um golpista fica ali, quieto, lendo tudo por semanas.
A checagem de 15 segundos
Vale fazer agora, e repetir de vez em quando:
- No WhatsApp: Configurações → Dispositivos conectados. Aparece a lista do que está vinculado à sua conta, com a data do último uso. Se houver algo que você não reconhece, desconecte.
- No Signal: Configurações → Dispositivos vinculados, mesma lógica.
- No Telegram: Configurações → Dispositivos → Sessões ativas.
E a regra que evita o problema na origem: o código que chega por mensagem nunca deve ser repassado a ninguém. Nem para o suporte, nem para o banco, nem para o chefe, nem para o colega que “perdeu o acesso”. Nenhuma empresa legítima pede esse código — e o próprio WhatsApp escreve isso na mensagem que envia.
Uma boa prática extra para a empresa: colocar essa verificação na lista do que se faz quando alguém sai do time, junto com a troca de senhas. Aparelho vinculado esquecido é acesso que continua valendo.
Fontes
- Netzpolitik.org — documentos sobre o uso de dispositivos vinculados por autoridades alemãs (09/2026): netzpolitik.org
- WhatsApp — Central de Ajuda, aparelhos conectados: faq.whatsapp.com
- Signal — suporte, dispositivos vinculados: support.signal.org
- Foto de capa: viatura da polícia alemã em Munique — Frank Schuengel, CC BY-SA 4.0, via Wikimedia Commons
- Segunda imagem: logotipo do WhatsApp — WhatsApp, domínio público, via Wikimedia Commons
