As burlas no WhatsApp costumam depender de uma ação da vítima: carregar numa ligação, partilhar um código ou digitalizar um QR Code. Mas uma série de incidentes identificados em Itália durante maio de 2026 mostrou que nem sempre é necessário esse primeiro passo.
O caso foi divulgado pelo Pplware e tem por base uma análise publicada pelo INCIBE-CERT, o centro espanhol de resposta a incidentes de cibersegurança. As vítimas descobriram que as respetivas contas tinham enviado mensagens a contactos recentes a pedir transferências de dinheiro, apesar de não terem escrito esses pedidos.
Ataque pode acontecer sem clicar em nada
Segundo o INCIBE-CERT, os casos analisados tinham dois elementos particularmente invulgares: não apareciam dispositivos desconhecidos na área de “Dispositivos associados” do WhatsApp e as vítimas não tinham realizado previamente qualquer processo de emparelhamento.
Os equipamentos afetados iam do iPhone 8 ao iPhone 14 e tinham em comum a utilização de diferentes versões do iOS 16.
A investigação forense relacionou os incidentes com uma possível combinação de duas vulnerabilidades: uma no sistema operativo da Apple e outra no próprio WhatsApp.
Duas falhas podem ter sido usadas em conjunto
A primeira vulnerabilidade, identificada como CVE-2025-43300, afetava o componente ImageIO da Apple.
A própria Apple confirmou que o processamento de um ficheiro de imagem malicioso podia provocar corrupção de memória e revelou ter conhecimento de um relatório segundo o qual a falha poderia ter sido explorada num ataque “extremamente sofisticado” contra indivíduos específicos. O problema foi corrigido no iOS 16.7.12, lançado em setembro de 2025.
A segunda falha, CVE-2025-55177, afetava o WhatsApp para iOS. Segundo o aviso oficial da aplicação, uma falha na autorização das mensagens de sincronização de dispositivos associados podia permitir que outro utilizador desencadeasse o processamento de conteúdo proveniente de um endereço externo no equipamento da vítima.
O próprio WhatsApp refere que esta vulnerabilidade, combinada com a falha da Apple, pode ter sido explorada em ataques sofisticados dirigidos a utilizadores específicos.
Mensagens pediam dinheiro aos contactos
Nos casos de 2026 analisados em Itália, a consequência foi particularmente preocupante.
Os proprietários das contas descobriram mensagens enviadas para contactos recentes a pedir dinheiro, criando uma situação em que amigos ou familiares podiam acreditar que estavam realmente a falar com a pessoa conhecida.
O ataque torna-se especialmente perigoso porque o pedido parte da conta verdadeira de WhatsApp da vítima, e não de um número desconhecido a tentar imitá-la.
Ainda assim, o INCIBE faz uma ressalva importante: a utilização exata das duas vulnerabilidades para explicar todos os novos incidentes continua a resultar da análise forense dos casos, não sendo apresentada como uma cadeia de ataque definitivamente demonstrada em todos eles.
Como pode proteger o seu WhatsApp?
A principal medida é simples: atualizar tanto o iPhone como a aplicação do WhatsApp.
O WhatsApp corrigiu a CVE-2025-55177 no iPhone a partir da versão 2.25.21.73. A aplicação recomenda atualmente que todos os utilizadores mantenham o WhatsApp atualizado através da respetiva loja e instalem também as atualizações disponibilizadas pelo fabricante do sistema operativo.
No caso do iOS 16, a falha CVE-2025-43300 foi corrigida na versão 16.7.12, embora a Apple tenha lançado entretanto novas atualizações da linha iOS 16. A recomendação é, portanto, instalar sempre a versão mais recente compatível com o equipamento, e não ficar apenas pela atualização mínima que corrigiu esta vulnerabilidade.
Para verificar o WhatsApp, basta abrir a App Store, procurar a aplicação e confirmar se existe uma atualização disponível. No iPhone, as atualizações do sistema podem ser consultadas em Definições > Geral > Atualização de software.
Os casos descritos pelo INCIBE foram identificados em Itália e não significam que todos os utilizadores de iPhone estejam a ser alvo deste tipo de ataque. Mostram, contudo, que uma conta pode ser comprometida sem o tradicional clique num link, tornando as atualizações de segurança ainda mais importantes.
Leia também: Atenção, reformados: este botão permite pedir ajuda em caso de emergência e há municípios onde é gratuito
