Mensagens enviadas pelo WhatsApp em nome de amigos ou familiares têm circulado com pedidos de votos para crianças que supostamente participam de concursos de dança ou disputam bolsas de estudo. O link contido nessas mensagens direciona a uma página falsa de votação, mas o objetivo dos criminosos não é contabilizar votos: é assumir o controle da conta e usar o número da vítima para enviar a mesma mensagem a outros contatos.

Esse golpe se espalha rapidamente, pois as mensagens partem de contas legítimas que já foram invadidas. Assim, quem recebe o pedido tende a confiar no remetente e pode não desconfiar do endereço eletrônico ou das informações solicitadas pela página.

Em exemplos que circulam no Brasil, os textos pedem ajuda para meninas chamadas Mia e Sophie. A suposta participante concorre a uma bolsa de estudos em dinheiro ou um curso gratuito de dança. As mensagens também já apareceram em francês e português de Portugal, com endereços de sites diferentes.

Segundo Rodrigo Alvarez, pesquisador de segurança da informação da Eset América Latina, campanhas com esse mecanismo já foram identificadas em países da Europa e da Ásia. Uma das versões anteriores utilizava um falso concurso de dança associado ao Teatro Real, na Espanha.

No método, os criminosos alteram o nome da participante, o tipo de concurso e o prêmio anunciado, mas mantêm a mesma estratégia para conseguir acesso às contas. Após clicar no endereço, a vítima é direcionada a uma página que imita uma votação legítima. Para confirmar o suposto voto, o site solicita o número de telefone e, em seguida, apresenta uma etapa de verificação.

Duas modalidades foram identificadas pela Eset. Na primeira, a página pede o código de verificação enviado pelo WhatsApp por SMS. Na segunda, mais frequente atualmente, o próprio site apresenta um código e orienta a vítima a digitá-lo no aplicativo, na opção de vincular um dispositivo. Em ambos os casos, a finalidade é permitir que o criminoso assuma o controle da conta.

Alvarez ressalta que apenas abrir o link não significa necessariamente que o celular ou a conta tenham sido comprometidos. O risco aparece quando a pessoa fornece o código recebido ou realiza o procedimento de vinculação solicitado pelos criminosos. Após conseguir acesso à conta, o criminoso pode usar o WhatsApp da vítima para enviar a mesma mensagem a contatos e grupos. Como o remetente é conhecido, a possibilidade de outras pessoas acreditarem na história aumenta.

Não se trata, nesse caso, de um vírus que se reproduz de um celular para outro. A propagação ocorre por meio da engenharia social, técnica que manipula as pessoas para que forneçam informações ou realizem ações que favorecem os criminosos. Cada nova conta invadida se transforma em mais um ponto de disseminação da fraude. O criminoso que vincula um dispositivo à conta da vítima pode continuar a espalhar o golpe, aumentando a rede de contatos afetados.