Golpe da caixa postal: como o golpista consegue o código do WhatsApp

Como funciona o golpe da caixa postal no WhatsApp

No golpe da caixa postal, o golpista tenta instalar o seu WhatsApp no celular dele e faz a ligação com o código de confirmação cair na sua caixa postal. Depois, ele acessa a caixa postal, ouve o recado e digita o código. Com isso, a sua conta passa a funcionar no aparelho dele.

Esse caminho usa uma função criada para quem não recebe o código por SMS. Quando você registra o número em um celular novo, o WhatsApp envia um código de seis dígitos. A página de ajuda do WhatsApp sobre registro do número informa que, se o código não chegar, é possível pedir outro por ligação. Uma gravação automática diz os números durante a chamada.

Para começar, o golpista precisa apenas do seu número de telefone. Ele digita o número no aparelho dele, espera acabar o tempo para receber o SMS e pede o código por ligação. O SMS chega ao seu celular, mas o interesse dele está na chamada. Se você não atender, ela cai na caixa postal e o código fica gravado como um recado.

Esse golpe foi descrito pela imprensa especializada em 2019. Uma reportagem do Teletime de julho de 2019 explicou que, se a pessoa não atende à ligação, o código é gravado na caixa postal e o criminoso consegue acessar as mensagens. As operadoras e os aplicativos fizeram algumas mudanças desde então, mas o código por ligação e a caixa postal protegida por senha continuam existindo.

Por que o celular toca várias vezes de madrugada nesse golpe

As ligações seguidas no meio da noite fazem parte do golpe. Para que a gravação com o código caia na caixa postal, o golpista precisa que você não atenda. Por isso, ele escolhe a madrugada, quando a maioria das pessoas está dormindo, ou liga várias vezes enquanto pede o código para deixar a linha ocupada.

A cena a seguir foi criada por nós para mostrar o que a pessoa pode perceber:

• 3h40. O celular de Marta toca com número privado. Ela acorda, não atende e volta a dormir.
• 3h41 a 3h45. O celular recebe mais oito ligações de número privado, uma atrás da outra. Entre elas, chega um SMS com um código do WhatsApp que Marta não pediu.
• 3h46. As ligações param. Marta coloca o celular no silencioso e volta a dormir.
• 7h10. O WhatsApp pede que ela confirme o número novamente. Ao mesmo tempo, a irmã manda uma mensagem por outro aplicativo para perguntar se Marta realmente precisa de dinheiro.

Nessa cena, dois sinais aparecem ao mesmo tempo: várias ligações de número privado em poucos minutos e um código do WhatsApp que você não pediu. Isso pode indicar que alguém está tentando registrar o seu número em outro aparelho. Não é motivo para pânico, mas confira se o WhatsApp continua funcionando antes de voltar a dormir.

Como o golpista consegue ouvir a sua caixa postal

A caixa postal das operadoras pode ser ouvida de outro telefone com o uso de uma senha. Esse recurso foi criado para quem deixou o celular em casa. A página da TIM sobre a caixa postal, por exemplo, ensina a ouvir os recados ligando de outro telefone para o próprio número.

O problema pode estar na senha. Muitas pessoas nunca trocaram a senha que veio com a linha ou nem sabem que ela existe. Um texto da Kaspersky publicado em setembro de 2018 explica que muitos clientes usam o código padrão definido pela operadora. Esse código costuma ter os últimos dígitos do número ou sequências simples, como 1111 ou 1234, que são fáceis de adivinhar.

Em julho de 2019, depois de uma série de invasões de contas de aplicativos, a Anatel determinou que as operadoras bloqueassem ligações de um número para ele mesmo. Também pediu campanhas para que os clientes trocassem a senha da caixa postal, segundo uma reportagem do Estado de Minas. A medida fechou um dos caminhos usados no golpe, mas o golpista ainda pode tentar descobrir uma senha fraca.

Esse golpe pode acontecer sem que você clique em um link, abra um arquivo ou passe o código para alguém. O golpista aproveita uma caixa postal protegida por uma senha fraca. Por isso, trocar essa senha ou desligar o serviço ajuda a reduzir o risco.

Como reduzir o risco do golpe da caixa postal

Uma das principais formas de proteção é ativar a verificação em duas etapas do WhatsApp. Com ela ligada, o código de seis dígitos não é suficiente para registrar o seu número em outro aparelho. Também é preciso informar a senha que só você sabe. O WhatsApp explica, na página sobre a verificação em duas etapas, que essa senha é diferente do código recebido por SMS ou ligação.

No WhatsApp

• Ative a verificação em duas etapas nas configurações da sua conta. O WhatsApp está trocando o PIN de seis dígitos por uma senha. A página de configurações da verificação em duas etapas mostra como fazer isso em cada tipo de celular.
• Cadastre também um e-mail. Segundo o WhatsApp, esse endereço serve para receber um link de redefinição caso você esqueça a senha. Sem o e-mail, não há um caminho rápido para recuperar o acesso.
• Não passe o código de seis dígitos para ninguém, nem mesmo para um parente. O WhatsApp nunca pede esse código por mensagem ou ligação.

Na caixa postal

• Troque a senha da caixa postal por uma que não tenha os últimos números do seu telefone nem sequências como 1234. Na TIM, quem não lembra a senha pode criar outra pela opção Esqueci minha senha, dentro da própria caixa postal, ou ligando para *144, segundo a página oficial.
• Se não usa a caixa postal, desligue o serviço. Na TIM, a página oficial indica ligar para *144 do celular TIM ou para 1056 de outro telefone. A página da Claro sobre o Claro Recado orienta digitar ##002# e apertar o botão de ligar. Esse comando cancela todos os desvios de chamada da linha, inclusive o que leva para a caixa postal.
• Se a sua operadora for outra, ligue para a central de atendimento e peça para trocar a senha ou desativar a caixa postal. Na Vivo, a página de dúvidas do Vivo Chip indica ligar para *8486 de um celular Vivo ou para 10315 de qualquer telefone.

O comando ##002# também cancela outros desvios que você tenha configurado, como o encaminhamento de ligações para outro número. Se usa esse recurso, será preciso configurá-lo novamente.

O golpe da caixa postal também pode acontecer no Telegram?

O Telegram também envia códigos de acesso por ligação, mas segue uma regra diferente. Segundo a página de perguntas frequentes do Telegram, por motivos de segurança, os códigos informados por ligação só estão disponíveis para contas com a verificação em duas etapas ativada. Essa mudança foi feita em julho de 2019, depois de invasões de contas no Brasil, como registrou o TechTudo na época.

Se a senha estiver ativada no Telegram, o código gravado na caixa postal não basta para entrar na conta, pois o golpista também precisaria dessa senha. As medidas são parecidas com as usadas no WhatsApp:

• ative a verificação em duas etapas em Configurações, Privacidade e Segurança, Verificação em Duas Etapas;
• cadastre um e-mail de recuperação para voltar a acessar a conta caso esqueça a senha;
• abra de vez em quando Configurações, Dispositivos, e confira se há algum aparelho que você não reconhece.

Evite guardar senhas, fotos de documentos ou dados bancários nas Mensagens Salvas do Telegram ou em uma conversa consigo mesmo no WhatsApp. Se alguém entrar na conta, poderá ler o que estiver guardado ali.

Como saber se o golpista entrou no seu WhatsApp

O sinal mais claro é o WhatsApp parar de funcionar no seu celular e pedir que você confirme o número novamente. Isso acontece porque a conta passou a ser usada em outro aparelho. Outros sinais também podem aparecer:

• você recebeu por SMS um código de confirmação do WhatsApp que não pediu;
• o celular recebeu várias ligações de número privado em poucos minutos, quase sempre de madrugada;
• parentes ou amigos disseram que receberam mensagens suas pedindo dinheiro ou um Pix;
• a lista de dispositivos conectados do WhatsApp mostra um aparelho que você não reconhece.

A página do WhatsApp sobre dispositivos conectados explica que a mesma conta pode funcionar em até quatro aparelhos ao mesmo tempo. Abra essa lista de vez em quando para conferir os aparelhos conectados. Para conhecer mais sinais e entender o que cada um significa, veja como saber se o seu WhatsApp foi clonado.

Caí no golpe da caixa postal: o que fazer agora

Se o golpista entrou no seu WhatsApp, registre o número novamente no seu celular. Siga esta ordem, de preferência na primeira hora:

1. Registre novamente o número no seu celular. Abra o WhatsApp, confirme o número e digite o código recebido. Segundo a página do WhatsApp sobre conta comprometida, todos os aparelhos conectados são desconectados quando você faz isso. Se pedir o código por voz, atenda à ligação.
2. Se o WhatsApp pedir uma senha que você não criou, o golpista pode ter ativado a verificação em duas etapas. A mesma página orienta esperar sete dias e tentar novamente. Ela também informa que, quando você digita o código de seis dígitos, a pessoa que estava usando a conta é desconectada, mesmo sem a senha.
3. Avise a família e os amigos por outro meio, como ligação, outro aplicativo ou rede social. Explique que qualquer pedido de dinheiro feito em seu nome é golpe. O próprio WhatsApp recomenda esse aviso porque o golpista pode tentar se passar por você.
4. Troque a senha da caixa postal ou desligue o serviço, como explicado acima. Isso ajuda a impedir que uma nova tentativa use o mesmo caminho.
5. Se alguém fez um Pix para o golpista, a pessoa que pagou deve falar com o próprio banco o quanto antes e pedir a devolução pelo Mecanismo Especial de Devolução do Banco Central. Nos casos de golpe, o prazo é de 80 dias a partir do Pix.
6. Registre um boletim de ocorrência. Vários estados permitem fazer o registro pela internet por meio do serviço de ocorrência policial online do gov.br. Anote a data e a hora das ligações, além dos números que receberam as mensagens falsas.

Quando recuperar o WhatsApp, ative a verificação em duas etapas e cadastre um e-mail antes de usar a conta novamente. O passo a passo completo, com orientações para avisar os contatos e ajudar quem já pagou, está em clonaram meu WhatsApp: o que fazer agora.

Por que o WhatsApp é alvo do golpe da caixa postal

O WhatsApp é alvo porque a conta dá acesso direto à sua lista de contatos, que o golpista usa para tentar conseguir dinheiro. Ele manda mensagens para familiares e amigos como se fosse você, inventa uma emergência e pede um Pix. Quem recebe vê seu nome, sua foto e as conversas antigas, o que pode fazer a história parecer verdadeira.

Esse tipo de golpe é comum no Brasil. Um levantamento da Febraban divulgado pelo Poder360 em abril de 2025 colocou os golpes pelo WhatsApp em primeiro lugar entre os mais aplicados em 2024, com 153 mil casos. Esse número inclui golpes de WhatsApp clonado em geral, e não apenas os que usam a caixa postal. Não há um número público somente para esse método.

O mesmo número de telefone também é usado para proteger outras contas. Se o golpista consegue controlar o seu chip, e não apenas o código gravado na caixa postal, ele também passa a receber os SMS do banco. Esse é outro tipo de golpe, explicado em golpe do chip clonado. A verificação em duas etapas ajuda a reduzir o risco nos dois casos.

Perguntas frequentes