Vazamento no WhatsApp assusta, mas dano é menor do que parece; entenda

No índice abaixo, veja os tópicos que serão abordados nesta matéria do TechTudo.

O estudo conduzido por pesquisadores da Universidade de Viena revelou uma falha na forma como o WhatsApp lida com links de convite para grupos públicos. Esses links, quando compartilhados em espaços abertos da internet, como fóruns, redes sociais ou sites públicos, podem ser indexados por mecanismos de busca como o Google. Isso significa que qualquer pessoa pode encontrar esses links por meio de uma simples pesquisa e, ao acessá-los, entrar nos grupos sem qualquer autorização direta dos administradores ou dos participantes.

Uma vez que o usuário entra em um grupo, é possível visualizar os números de telefone de todos os membros, além de acessar nomes de perfil, fotos e mensagens públicas. Os pesquisadores demonstraram que essa “falha” permite a coleta automatizada de dados pessoais em larga escala, representando um risco concreto para a privacidade dos usuários. Com essas informações, agentes mal-intencionados podem realizar ataques de engenharia social, campanhas de phishing, ou até mesmo comercializar os dados obtidos.

O estudo também destaca que essa exposição ocorre mesmo que o usuário nunca tenha compartilhado seu número publicamente, pois basta que ele tenha sido adicionado a um grupo com link público e caso ele não tenha alterado determinadas configurações de segurança, seus dados como: foto de perfil, número de telefone e chave Pix estarão disponíveis para outros usuários.

O método utilizado foi possível porque os pesquisadores acadêmicos geraram uma lista de números de telefone, verificaram se estavam registrados no WhatsApp e compilaram informações públicas básicas que as pessoas disponibilizaram para “todos”, de uma forma inovadora que excedeu os limites pretendidos inicialmente pela Meta. Como um serviço baseado em número de telefone, o WhatsApp (assim como Signal, Telegram e Viber) ele é projetado para permitir que as pessoas se conectem inserindo um número de telefone para ver se seus contatos estão disponíveis no WhatsApp. Ou seja, essa capacidade de buscar o número do contato é fundamental para conectar pessoas no WhatsApp e em outros apps de mensagens baseados em número.

Os pesquisadores da Universidade de Viena conduziram e reportaram o estudo de forma responsável sob supervisão do programa Bug Bounty, desenvolvido pela Meta e a equipe de pesquisa confirmou que todos os dados coletados foram apagados de maneira segura. Nenhum chat privado do WhatsApp ou informação não pública foi acessível aos pesquisadores durante o processo de pesquisa. Isso porque as conversas privadas no WhatsApp são sempre criptografadas de ponta a ponta, ou seja, ninguém, nem mesmo o WhatsApp, pode lê-las.

Em entrevista ao Techtudo, Ataíde Junior, especialista em cibersegurança e CISO da IPV7 esclareceu dúvidas cruciais em relação aos vazamentos que acontecem no WhatsApp e também trouxe ressalvas em relação ao que é realmente um vazamento e o que é uma consulta a dados públicos:

1 — Como os usuários podem se proteger para suas fotos e metadados de perfil não serem extraídos no WhatsApp?

Embora a falha explorada recentemente no WhatsApp tenha se limitado ao acesso a metadados públicos, expostos por um endpoint de discovery que relaciona número e perfil, o usuário ainda pode adotar medidas eficazes para reduzir a superfície de ataque. A primeira delas é limitar ao máximo a exposição a vetores de enumeração. Como o WhatsApp permitia que atacantes enviassem grandes listas de números válidos para coleta automatizada, configurar foto, nome, “sobre” e até a chave Pix como visíveis apenas para “Meus contatos” ou, idealmente, para “Ninguém” ajuda a bloquear esse tipo de scraping.

Também vale lembrar que foto, nome e número juntos facilitam golpes de engenharia social. Para evitar isso, você pode usar um avatar em vez da sua foto real, não exibir nome completo e evitar qualquer dado que ajude a identificar você fora do WhatsApp. Outro cuidado é impedir que seu número seja cruzado com perfis de outras redes, já que criminosos usam esse tipo de comparação para montar dossiês. Não repita a mesma foto do Instagram ou do LinkedIn e, se possível, use um número separado para trabalho ou para perfis públicos.

2- Segundo o estudo da Universidade de Viena, esse pode ter sido o maior vazamento de dados da história do WhatsApp, como a Meta poderia ter evitado isso na sua opinião?

O primeiro problema era a ausência de mecanismos que limitassem o uso do endpoint. A plataforma deveria ter adotado limites rígidos por conta, por IP e por infraestrutura automatizada, além de sistemas que identificassem comportamentos típicos de raspagem de dados, como picos repentinos de consultas ou varreduras numéricas sequenciais.

Outro ponto estrutural foi manter o número de telefone como identificador principal. Esse dado é previsível, fácil de enumerar e não é secreto, o que o torna inadequado como chave de identidade. Por isso, muitas plataformas já adotam usernames, e o WhatsApp deve seguir essa mesma direção.

Também faltou aplicar o princípio de minimização de dados. Em vez de retornar foto, recado e outros detalhes do perfil, o endpoint deveria fornecer apenas o mínimo necessário, como uma confirmação simples de existência da conta

Além disso, seria mais seguro exigir algum tipo de autenticação mútua para exibir informações de perfil. Em um modelo ideal, apenas contatos ou usuários que tenham interagido entre si teriam acesso aos dados, reduzindo drasticamente o potencial de exploração.

3- Esse vazamento afetou os usuários brasileiros de alguma forma?

Sim, e o impacto no Brasil é ainda mais sensível. O país concentra mais de 200 milhões de contas no WhatsApp, é o segundo maior mercado da Meta e depende do aplicativo não só para comunicação, mas também para pagamentos e negócios. Esse cenário, combinado com um ecossistema muito ativo de golpes e engenharia social, faz com que qualquer falha tenha efeitos amplificados.

Um dos reflexos mais imediatos é o aumento do spear-phishing altamente direcionado. Quando criminosos conseguem combinar foto, nome, número e até chave Pix, passam a validar visualmente a identidade da vítima e a criar golpes de “troca de número” mais convincentes, além de facilitar perfis falsos e fraudes relacionadas ao Pix. Esses dados também permitem montar bancos de informações segmentadas, como listas de mulheres para golpes afetivos, empresas para extorsão ou funcionários com fotos corporativas para se passar por representantes internos.

As empresas não ficam de fora. Números corporativos ou de funcionários podem ser usados para golpes de cobrança falsa, redirecionamento de pagamentos, ataques BEC via WhatsApp e engenharia social interna envolvendo setores como RH e financeiro. Até detalhes aparentemente inofensivos exibidos no status, como “moro sozinho” ou “trabalho viajando”, podem ser usados para selecionar vítimas em crimes físicos.

Por fim, listas validadas de números ativos facilitam ataques de SIM swap direcionado, permitindo que criminosos escolham pessoas com maior potencial financeiro e executem tentativas de roubo de conta com muito mais precisão.

Para proteger seus dados no WhatsApp diante dessa e de qualquer outra vulnerabilidade, é importante adotar algumas medidas práticas. Em primeiro lugar, evite participar de grupos que utilizam links públicos para convite, principalmente aqueles compartilhados em ambientes abertos. Caso você seja administrador de um grupo, não compartilhe o link em sites públicos e prefira adicioná-lo manualmente ou enviar o convite por canais privados e seguros. Também é importante revogar links antigos e criar novos convites sempre que houver uma suspeita de vazamento.

Além disso, vale ajustar as configurações de privacidade do mensageiro. No menu de privacidade, é possível limitar quem pode ver sua foto de perfil, seu status, seu recado e sua última visualização. Definir essas opções para “Meus contatos” ou “Ninguém” reduz o risco de exposição de informações pessoais. Outra medida é ativar a verificação em duas etapas, que adiciona uma camada extra de segurança à sua conta por meio de um PIN.

Outra recomendação é nunca clicar em links suspeitos, mesmo que pareçam legítimos, e revisar periodicamente os grupos dos quais você participa. Se verificar que nenhum dele tenha um objetivo claro ou não conta com pessoas conhecidas, saia imediatamente. Lembrando sempre que, além dos ajustes no sistema, o bom senso e o cuidado fazem parte do pacote de cuidados para se proteger online.

O TechTudo entrou em contato com a Meta visando esclarecer o suposto vazamento de dados e recebeu um comunicado oficial da empresa:

O programa Bug Bounty completa 15 anos em 2025 e foi desenvolvido para incentivar pesquisas de segurança, inclusive para novas tecnologias, e manter uma colaboração aberta com a comunidade interessada no tema. A iniciativa já conta com um alto número de submissões (13 mil em 2025) e centenas de relatórios validados (800). Além disso, a Meta pagou mais de US$ 4 milhões em recompensas este ano como uma forma de reconhecer o trabalho dos pesquisadores.

Veja também: 'Caí no golpe do Pix, e agora?' Veja o que fazer e como recuperar