O Departamento de Estado dos Estados Unidos divulgou oficialmente na última sexta-feira (30) uma recompensa de até US$ 10 milhões — aproximadamente R$ 52 milhões — por informações que levem à identificação ou localização de grupos cibernéticos associados ao governo russo responsáveis por ataques coordenados contra contas do Signal e WhatsApp. A iniciativa faz parte do programa Rewards for Justice e surge em resposta a uma campanha de phishing sofisticada que não apenas comprometeu as credenciais de jornalistas investigativos, diplomatas e servidores de agências de inteligência ocidentais desde o início deste ano, mas também revelou padrões táticos consistentes com operações patrocinadas por Estados-nação.

Segundo o comunicado do programa Rewards for Justice, os invasores utilizam técnicas de engenharia social escalonadas, enviando mensagens meticulosamente elaboradas que imitam contatos legítimos de fontes conhecidas com as vítimas. Ao clicar em links maliciosos ou fornecer códigos de verificação, os alvos possuem suas contas invadidas em questão de minutos, possibilitando o acesso imediato a conversas criptografadas, listagens de contatos e metadados de comunicação. O governo americano classificou oficialmente a operação como “atividade maliciosa cibernética patrocinada por Estado”, com evidências que apontam vinculação direta ao GRU, serviço de inteligência militar russo cujas atividades de interferência digital não são novas para múltiplos territórios globais.

No cenário brasileiro, a ameaça representa risco em escala significativa. Com mais de 165 milhões de usuários ativos do WhatsApp segundo dados da Meta, o Brasil figura entre os cinco maiores mercados globais da aplicação, o que o transforma em alvo prioritário para campanhas similares. Organizações como a Associação Brasileira de Empresas de Segurança da Informação (ABSEG) destacaram que ataques direcionados contra contas do WhatsApp Business já resultaram em prejuízos estimados em R$ 340 milhões apenas no primeiro semestre de 2026, impactando diretamente a operação de PMEs e o ambiente regulatório em torno da Lei Geral de Proteção de Dados (LGPD), que exige padrões rigorosos de proteção para informações pessoais.

Descrever o vetor de ataque revela um modelo altamente engenhoso. Os invasores criam perfis falsos que replicam fielmente usuários reais — aproveitando fotos, nomes completos e padrões de comunicação — e iniciam conversas que, em uma primeira análise, parecem perfeitamente legítimas. O golpe não se encerra ali: os atacantes exigem que a vítima forneça o código de verificação de seis dígitos enviado via SMS ou notificação push, alegando problema técnico aparentemente inofensivo ou necessidade urgente de “validar identidade”. Quando o código é obtido, a conta é registrada em um dispositivo sob controle adversário, bloqueando o proprietário verdadeiro indefinidamente. Vale destacar que o Signal, apesar de utilizar protocolo mais robusto de criptografia, também vem por sua autenticação enraizada na mesma metodologia de código SMS, fato que amplifica o alcance da exploração.

As medidas de proteção recomendadas incluem a ativação imediata da verificação em duas etapas (2FA) nativa tanto no WhatsApp quanto no Signal, que exige um PIN adicional independente do código SMS. No WhatsApp, acesse Configurações > Conta > Verificação em duas etapas; no Signal, vá em Configurações > Privacidade > Bloqueio de registro. Nunca compartilhe códigos de verificação com ninguém, mesmo que a solicitação pareça vir de contatos conhecidos. Valide a identidade do remetente por canal alternativo — como ligação de voz ou encontro presencial — antes de fornecer qualquer credencial. Empresas devem adotar políticas de autenticação multifatorial (MFA) para todas as contas corporativas de mensageria.

No contexto brasileiro, a recomendação é educar familiares e colaboradores sobre os riscos deste tipo de sequestro de conta e estabelecer protocolos de comunicação segura, especialmente para pessoas que atuam em situações de risco ou que lidam com informações confidenciais no exercício profissional. Organizações jornalísticas e de direitos humanos devem priorizar treinamento contínuo de suas equipes em detecção de phishing avançado e considerar soluções de gerenciamento de dispositivos móveis (MDM) que permitam revogação remota de acesso a contas comprometidas, minimizando o raio de dano em caso de sucesso de uma tentativa de ataque.

Perspectiva para os próximos meses: espera-se que a Meta e a Signal lancem atualizações de segurança nas próximas semanas, incluindo alertas visíveis sobre tentativas de registro em novos dispositivos e notificações por e-mail para mudanças de número. No Brasil, a ANPD deve publicar orientações específicas sobre segurança em aplicativos de mensageria até o final do terceiro trimestre de 2026, possivelmente exigindo controles de verificação de identidade para contas de alto risco. A recomendação central permanece: nunca compartilhe códigos de verificação com ninguém, valide identidades por canais independentes e mantenha sua autenticação em duas etapas sempre ativada.