Golpes no WhatsApp e Instagram com sorteios de viagens

No WhatsApp e no Instagram, golpes com sorteios de viagem usam contas imitadoras, perfis invadidos e falsas etapas de confirmação para conseguir dinheiro ou acesso a outras contas. A proteção mais importante é não transformar uma mensagem recebida em prova de legitimidade: confirme a campanha por outro canal e nunca entregue códigos ou aprove um acesso desconhecido.

Este texto detalha as abordagens desses aplicativos e suas configurações de segurança. Para avaliar a oferta em qualquer meio, veja os dez sinais de alerta em sorteios de viagem. Se já houve pagamento ou perda de acesso, priorize o roteiro de providências após um golpe.

WhatsApp: a falsa central que confirma o prêmio

A conversa pode começar com uma conta que usa logotipo de agência, hotel ou companhia aérea. O interlocutor sabe seu nome e cita uma promoção vista recentemente. Essas informações podem ter sido obtidas em comentários públicos, cadastros expostos ou conversas anteriores; não demonstram vínculo com a empresa.

A falsa central apresenta etapas aparentemente administrativas: confirmar cadastro, validar telefone, reservar datas e liberar voucher. Em seguida, pede um código recebido por SMS ou ligação. Esse código pode servir para registrar sua conta de WhatsApp em outro aparelho, e não para emitir passagem.

Por exemplo, imagine que uma mensagem do próprio aplicativo informe um código de registro, enquanto o atendente o chama de “protocolo do prêmio”. Vale a finalidade descrita pelo serviço, não a explicação de quem está pedindo o número. Não compartilhe o código, ainda que a pessoa conheça seu nome completo.

WhatsApp: dispositivos vinculados e contatos conhecidos

Outra abordagem tenta fazer você escanear um QR code ou autorizar a vinculação de um dispositivo, sob o pretexto de conversar com a equipe de reservas. Vincular dispositivos é uma função de acesso à conta, não uma etapa genérica para receber um prêmio. Leia a tela e não confirme uma solicitação que você não iniciou.

O golpe também pode vir de uma conta de amigo ou de um grupo conhecido. Uma conta comprometida aproveita a confiança existente para divulgar a promoção falsa. Se o pedido envolver pagamento ou acesso, confirme com a pessoa por outro meio; uma mensagem na mesma conversa pode ser respondida pelo invasor.

Receber áudio ou imagem não encerra a checagem. Conteúdos podem ser reutilizados, e o material aparentemente pessoal não substitui a confirmação da origem. Evite repassar o anúncio ao grupo como recomendação antes de verificar o responsável.

Configure a proteção no WhatsApp

Os nomes dos menus podem variar conforme versão e sistema. No aplicativo oficial, procure as áreas de Conta, Privacidade e Dispositivos conectados ou vinculados. Use a ajuda interna caso o caminho não apareça como descrito.

• Ative a confirmação em duas etapas e crie um PIN que você não reutilize nem compartilhe.
• Cadastre, quando oferecido, um e-mail de recuperação que esteja protegido.
• Revise os dispositivos vinculados e encerre sessões que não reconheça.
• Limite quem pode ver foto, recado e outras informações pessoais conforme sua necessidade.
• Restrinja a inclusão em grupos e avalie silenciar chamadas de desconhecidos.

O PIN da confirmação em duas etapas é diferente do código temporário de registro. Ambos devem permanecer com você. Recursos de privacidade reduzem exposição, mas não impedem que uma conta conhecida seja invadida e entre em contato.

Mantenha aplicativo e sistema atualizados. Não instale versões modificadas nem programas enviados como condição para ver um voucher. Uma ferramenta de acesso remoto pode permitir que outra pessoa acompanhe ou controle ações no aparelho, inclusive fora do mensageiro.

Instagram: perfil reserva, comentário e direct de vencedor

Uma abordagem copia foto, biografia e publicações de uma marca ou influenciador. O usuário difere por um ponto ou uma letra e se apresenta como “perfil de ganhadores” ou “conta reserva”. A pessoa vê que você comentou na promoção verdadeira e envia uma mensagem de contemplação.

O direct leva a uma página de resgate que pede senha do Instagram, dados de cartão ou um pagamento. É uma página externa controlada pelo golpista, embora possa imitar a identidade visual da plataforma. HTTPS não comprova a identidade do administrador dessa página.

Compare o usuário completo e procure a campanha pelo site da empresa, sem depender de um perfil recomendado pelo próprio remetente. Número de seguidores, selo e histórico de publicações ajudam a contextualizar, mas nenhum deles garante que a conta esteja sob controle legítimo naquele momento.

Instagram: invasão da conta para divulgar novos golpes

O objetivo pode não ser receber uma taxa imediatamente, mas capturar sua conta. A página falsa pede login para “comprovar que você segue o perfil”; depois solicita o código de autenticação. Se você o fornece, o invasor pode tentar completar o acesso e trocar dados de recuperação.

Também aparecem mensagens que fingem ser suporte, com ameaça de suspensão por participar de promoção irregular. O link leva a um falso recurso de contestação. Consulte as notificações e a situação da conta dentro do aplicativo, em vez de usar o formulário recebido por direct.

Uma empresa pode precisar identificar o contemplado por canal validado, mas não precisa da senha da sua rede social. Códigos de recuperação, pedidos de aprovação de login e telas de vinculação não são documentos de viagem.

Configure a proteção no Instagram

Procure a Central de Contas e as opções de Senha e segurança, cuja apresentação pode variar. Faça a revisão por dentro do aplicativo oficial ou do site digitado por você, não por um atalho enviado na mensagem suspeita.

1. Use uma senha exclusiva e proteja também o e-mail associado.
2. Ative autenticação de dois fatores; considere aplicativo autenticador quando disponível.
3. Guarde códigos de recuperação em local seguro, separado de publicações e conversas.
4. Revise onde a conta está conectada e encerre acessos desconhecidos.
5. Confira telefone e e-mail de recuperação e habilite alertas de acesso quando disponíveis.

Nas opções de privacidade e mensagens, ajuste quem pode enviar solicitações, mencionar ou marcar sua conta e incluí-la em grupos. Restrições diminuem abordagens, mas não eliminam golpes. Uma conta privada também pode receber mensagens de perfis já autorizados ou comprometidos.

Se encontrar uma lista de aplicativos e sites com acesso à conta, remova integrações que não reconheça ou não use mais. Serviços que prometem revelar ganhadores ou automatizar participação não devem receber sua senha. Permissões concedidas merecem revisão mesmo quando o serviço parece funcionar normalmente.

Como confirmar sem seguir a trilha do golpista

Saia da conversa e procure o site da empresa de modo independente. Confira se a campanha é divulgada ali e se o atendimento reconhece o perfil ou telefone usado. Não considere suficiente uma resposta enviada pelo mesmo contato sob investigação.

Para campanhas sujeitas a autorização, consulte o registro conforme o guia de verificação da promoção oficial. O documento precisa corresponder à campanha, e o canal precisa pertencer à promotora: um certificado copiado não valida uma conta falsa.

Se a abordagem pedir muitos dados, examine finalidade e necessidade antes de enviar. O guia sobre dados pessoais em cadastros promocionais explica os limites. Documentos podem ter uso legítimo na entrega de um prêmio, mas devem seguir por canal confirmado e com informação sobre o tratamento.

Preserve e denuncie dentro de cada aplicativo

Guarde usuário, número, endereço da página, mensagens e datas antes de bloquear. No WhatsApp, procure as opções de denúncia e bloqueio do contato ou grupo. No Instagram, denuncie a mensagem e o perfil pela categoria adequada, como fraude ou falsa identidade, conforme as opções disponíveis.

A denúncia à plataforma não registra ocorrência policial nem solicita devolução de pagamento. Se sua conta foi tomada, use a recuperação oficial e avise contatos por outro canal. Não contrate quem promete devolver o perfil mediante depósito: essa oferta pode iniciar uma nova fraude.

Próximos passos

Revise hoje a autenticação em dois fatores, as sessões e os dados de recuperação dos dois aplicativos. Diante de uma suposta vitória, confirme a campanha fora da conversa. Se uma tela pedir senha, código ou vinculação, pare: proteger a conta vem antes de qualquer promessa de viagem.