WhatsApp da empresa clonado: o que fazer nos primeiros minutos e como impedir que aconteça de novo

Denúncia, boletim e a conta do banco

Depois de retomar o acesso — ou enquanto tenta —, há providências que não podem esperar:

• Comunicar o suporte do WhatsApp pelos canais oficiais do aplicativo, informando que o número foi tomado.
• Boletim de ocorrência. É o documento que sustenta qualquer conversa posterior com banco, operadora e clientes lesados.
• Falar com a operadora se houver suspeita de troca de chip, e pedir bloqueio e registro do ocorrido.
• Avisar o banco quando houver pedido de transferência feito em nome da empresa, com o número da ocorrência em mãos.
• Reunir provas — prints enviados por clientes, horários, contas de destino que o golpista usou. Isso ajuda tanto na investigação quanto no contato com quem foi lesado.

Vale combinar internamente quem faz cada uma dessas coisas antes de precisar. No meio da crise, a equipe costuma ficar paralisada esperando o dono decidir tudo.

As cinco travas que impedem o próximo caso

• Verificação em duas etapas ativada, com um PIN que ninguém fora da empresa conhece e que não é a data de aniversário do dono.
• E-mail de recuperação cadastrado no aplicativo, para conseguir redefinir o PIN quando necessário.
• Regra clara e treinada: nenhum código de seis dígitos é repassado a ninguém, em nenhuma hipótese, nem para o chefe, nem para o suporte, nem para o cliente.
• Senha e proteção da conta na operadora, para dificultar a troca de chip.
• Revisão dos dispositivos conectados de tempos em tempos, desconectando sessões desconhecidas.

Essas cinco travas custam quinze minutos e resolvem a maior parte dos casos. O problema é que elas dependem de disciplina de várias pessoas — e é exatamente aí que a estrutura do atendimento faz diferença.

O problema estrutural: o número está no celular de quem?

Na maior parte das pequenas empresas, o número comercial vive no celular de uma pessoa. Isso cria uma fragilidade que nenhuma trava resolve:

• O aparelho pessoal é a porta de entrada. Se o celular do vendedor for comprometido, o número da empresa vai junto.
• A saída do funcionário leva o número. É a versão mais comum de "perder o WhatsApp da empresa", e não envolve golpista nenhum.
• Não existe registro do que foi falado em nome da empresa, o que atrapalha até na hora de avaliar o estrago.
• A recuperação depende de uma pessoa só, que pode estar de folga, viajando ou sem sinal.

Enquanto o número estiver amarrado a um aparelho e a uma pessoa, a empresa continua com um ponto único de falha — e a segurança depende do cuidado individual de quem carrega o celular no bolso.

O risco que vem de dentro

Nem todo problema com o número da empresa é obra de golpista. Boa parte dos casos que viram dor de cabeça tem origem interna, e por isso não se resolve com senha melhor:

• O vendedor que sai e leva a conversa. Se o número estava no celular dele, a empresa perde histórico, contatos e a continuidade do atendimento de uma hora para outra.
• O aparelho perdido ou roubado com sessão aberta e sem bloqueio de tela.
• O computador compartilhado com o WhatsApp Web conectado e ninguém lembrando de sair.
• A senha do e-mail de recuperação anotada num arquivo que meio escritório acessa.
• Exportação de conversas e de lista de contatos feita sem controle, que vira material de concorrente ou de golpe depois.

Definir quem tem acesso a quê, revisar isso quando alguém entra ou sai e manter o canal no nome da empresa é o que separa um incidente de uma perda permanente. Vale ler também permissões e segurança no CRM de WhatsApp.

Grupos, listas e o dado que vaza sem golpe

Existe ainda um vazamento silencioso, que não derruba o número mas expõe a base de clientes e alimenta exatamente os golpes descritos aqui:

• Grupos com clientes em que todo participante enxerga o telefone de todos os outros — material perfeito para quem quer se passar pela empresa.
• Listas de transmissão mal configuradas, com respostas chegando ao lugar errado.
• Prints de conversa compartilhados em redes sociais com nome e telefone do cliente visíveis.
• Planilhas de contatos circulando por aplicativos pessoais entre membros da equipe.

Trocar grupo por atendimento individual, controlar quem exporta contatos e tratar telefone de cliente como dado protegido reduz a superfície de ataque antes de qualquer incidente acontecer.

Por que a API oficial muda o jogo

Um número conectado à API oficial do WhatsApp Business não vive em um celular. Ele vive numa conta da empresa dentro da Meta, e isso muda a natureza do risco:

• Não existe código de seis dígitos circulando no dia a dia. A conexão é feita uma vez, pelo cadastro oficial, e não por um SMS que alguém pode pedir emprestado.
• O acesso é por pessoa. Cada atendente entra com o próprio usuário, e desligar alguém é revogar um acesso, não recuperar um aparelho.
• A conta é da empresa. O portfólio de negócios, os modelos aprovados e o histórico ficam no nome do CNPJ — desde que a conta seja criada no portfólio certo.
• Tudo fica registrado. Se algo acontecer, existe histórico para saber o que foi enviado, por quem e quando.
• O perfil verificado ajuda o cliente a reconhecer o canal legítimo da empresa, o que dificulta a imitação por números parecidos.

Não é uma proteção mágica: continua sendo necessário cuidar de senhas, de acesso e de quem tem permissão para quê. Mas o vetor de golpe mais comum — pedir o código para uma pessoa distraída — simplesmente deixa de existir.

Quando o golpista não toma o número: ele imita

Existe uma variação que atinge empresas com boa presença digital e que não envolve invasão nenhuma. O golpista cria um número novo, coloca a foto, o nome e a descrição da empresa e passa a abordar clientes, muitas vezes copiando conversas reais que viu em grupos ou em anúncios.

• Denuncie o perfil falso dentro do próprio aplicativo, orientando clientes a fazerem o mesmo — volume de denúncias acelera a derrubada.
• Publique o número oficial em todos os canais, sempre igual e sempre visível, e use link direto no site e nos anúncios.
• Avise a base. Clientes que sabem que a empresa nunca pede pagamento por mensagem nova não caem no golpe.
• Mantenha o perfil oficial completo, com foto, descrição, site e, quando possível, a verificação da empresa — é o que dá ao cliente um ponto de comparação.

O plano de crise que cabe numa página

Toda empresa que atende por WhatsApp deveria ter, impresso ou no mural interno, um plano curto com cinco linhas:

• Quem é a pessoa responsável por tentar a recuperação do número.
• Por onde a equipe se comunica enquanto o canal estiver comprometido — um grupo alternativo, um telefone, um e-mail.
• Qual aviso vai ao ar, já escrito, para site, redes e e-mail.
• Quem registra o boletim de ocorrência e fala com operadora e banco.
• Quando o atendimento volta a funcionar e por qual número provisório, se houver.

Empresas que têm esse plano resolvem o incidente em horas. As que não têm passam dois dias descobrindo o que fazer enquanto o golpista conversa com a base de clientes.

Depois que passa: o que revisar

Resolvido o caso, vale usar o susto para arrumar a estrutura. Três perguntas costumam bastar: o número comercial está preso a um aparelho pessoal? A empresa consegue tirar o acesso de alguém sem depender do celular dessa pessoa? Existe registro do que foi conversado em nome da marca?

Se a resposta de qualquer uma delas for desconfortável, a correção não é comprar mais um antivírus — é mudar onde o número mora e como a equipe acessa. É a diferença entre uma empresa que depende da atenção de uma pessoa e uma empresa que tem controle sobre o próprio canal de atendimento.