- Criminosos invadem contas de WhatsApp em iPhones sem ação da vítima, enviando pedidos de dinheiro aos contatos sem deixar sinais visíveis no aplicativo.
- O golpe foi identificado recentemente na Itália pela empresa de perícia digital Forenser, com mensagens vindas do número da vítima para contatos recentes e sem aparelhos suspeitos na lista de dispositivos conectados.
- Peritos detectaram um padrão de ressincronização contínua entre o celular da vítima e o atacante nos servidores do WhatsApp, indicando que ambos disputam a sessão sem que haja registro tradicional de dispositivo conectado.
- As falhas envolvidas começam com vulnerabilidades em iOS abaixo de 16.7.12, incluindo CVE-2025-43300 (processing de imagens) e CVE-2025-55177 (URLs arbitrárias no WhatsApp), exploradas para manter a sessão sem notificação ao usuário. Dispositivos afetados listados incluem iPhone 8, X, XR, XS, 11, SE, 12, 13 e 14.
- Medidas de proteção recomendadas: atualizar o iOS para a versão mais recente, bloquear conversas no WhatsApp, reinstalar o aplicativo em um dispositivo novo para expulsar a sessão e, em caso de pedidos suspeitos, confirmar por outra via com a pessoa solicitante.
Criminosos invadiram contas de WhatsApp em iPhones sem depender de ações da vítima, segundo a perícia realizada pela empresa italiana Forenser. O ataque permite que criminosos enviem mensagens pedindo dinheiro aos contatos da vítima sem deixar rastros visíveis no aplicativo. As ocorrências foram identificadas nas últimas semanas na Itália.
O golpe se diferencia das clonagens tradicionais. Em vez de exigir que a vítima escaneie um QR code ou clique em links, as mensagens são enviadas diretamente do número da vítima para contatos recentes. Não há indicação de dispositivos conectados na lista de aparelhos, o que dificulta a identificação da invasão pelo usuário.
Descoberta e funcionamento do ataque invisível
A Forenser analisou registros internos do iOS de um dispositivo invadido e identificou uma sequência contínua de ressincronizações do WhatsApp. Esse comportamento indica que duas sessões tentavam controlar a mesma conta simultaneamente, sem que um dispositivo aparecesse como vinculado.
Conforme o estudo, a vítima não percebe a invasão, pois as mensagens são enviadas sem notificações de aparelho conectado. Além disso, é possível acessar conversas recentes, mas não visualizar chats antigos ou arquivados.
Vulnerabilidades exploradas
Os peritos verificaram que todos os casos estudados ocorreram em iOS 16. Duas falhas ajudaram o ataque: CVE-2025-43300, na biblioteca de processamento de imagens do iOS, e CVE-2025-55177, no componente do WhatsApp que lida com conteúdos de URLs em sincronizações entre aparelhos.
Versões do iOS abaixo de 16.7.12 estavam sujeitas a exploração, com aparelhos como iPhone 8, X, XR, XS, 11, SE, 12, 13 e 14 envolvidos nos incidentes analisados.
Resultado prático do ataque
Em laboratório, a Forenser reproduziu parte do ataque usando um iPhone com versão vulnerável. O atacante conseguia extrair material criptográfico necessário para estabelecer uma nova sessão do WhatsApp ligada à conta da vítima, sem disparar notificações visíveis. A sessão do atacante disputava a linha de controle com o aparelho legítimo.
Essa dinâmica explica por que a vítima não vê aparelhos conectados e, ao mesmo tempo, observa envio de mensagens para contatos recentes.
Golpe anterior de emparelhamento de dispositivos
Em dezembro, houve registro de uma campanha que explorava o recurso de vinculação de aparelhos do WhatsApp, conhecida como Emparelhamento Fantasma. Diferente do ataque italiano, esse golpe exigia que a vítima inserisse um código manualmente para vincular o dispositivo.
As vítimas recebiam mensagens de contatos confiáveis com links que imitavam plataformas reais. Ao seguir o fluxo, a vítima permitia o acesso total à conta sem perceber.
Medidas de proteção recomendadas
Como o ataque é invisível e não requer ação da vítima, medidas tradicionais de segurança são insuficientes. Atualizar o iOS para a versão mais recente é a proteção mais eficaz, pois a vulnerabilidade CVE-2025-43300 foi corrigida em versões posteriores ao iOS 16.
Caso haja suspeita de comprometimento, a Forenser recomenda bloquear conversas, atualizar ou reinstalar o WhatsApp em um novo dispositivo para expulsar a sessão invasora. Em pedidos suspeitos de dinheiro, é aconselhável confirmar diretamente com a pessoa, evitando responder no mesmo chat.
Fontes: informações da Forenser, com referência a casos observados na Itália. Não foram divulgadas informações de contato de terceiros.
Entre na conversa da comunidade