WhatsApp: dois ajustes para evitar ataques em grupos no Android sem clique

De repente, você entra numa nova grupo do WhatsApp - e o seu celular pode virar uma porta de entrada para invasores sem que você clique em nada.

Milhões de pessoas organizam a rotina por meio de grupos no WhatsApp. O que muita gente ignora: um ajuste padrão discreto no app pode facilitar que criminosos façam arquivos maliciosos chegarem a smartphones Android. Pesquisadores de segurança agora fazem um alerta forte e recomendam mudar duas configurações-chave.

Por que grupos do WhatsApp podem virar um problema de segurança

Grupos do WhatsApp são úteis: família, amigos, colegas, escola das crianças, time do bairro - quase todo mundo participa de vários chats ao mesmo tempo. E, nesses espaços, circula de tudo a toda hora: fotos, documentos, áudios e links, muitas vezes em sequência.

Só que exatamente essa dinâmica também aumenta a exposição do mensageiro. Afinal, é comum cair em grupos aos quais você nunca concordou conscientemente em entrar. Um conhecido distante, um contato antigo ou qualquer pessoa que tenha seu número pode simplesmente adicionar você. De repente, desconhecidos passam a ver seu número de telefone, sua foto de perfil e, muitas vezes, também seu recado/status.

Isso vai além de privacidade: abre caminho para spam, publicidade indesejada, tentativas de golpe e ataques direcionados. Pesquisadores do Google Project Zero e da empresa de segurança Malwarebytes demonstraram como grupos podem ser explorados para um tipo especialmente sensível de ataque.

A descoberta dos pesquisadores: ataques sem clique

Segundo os especialistas, para mirar uma pessoa basta, primeiro, ter o número dela na agenda. Com esse número, é possível criar um grupo novo e adicionar a vítima - mesmo que as duas pessoas mal se conheçam.

"Em grupos recém-criados, dá para enviar arquivos adulterados que, em aparelhos Android, podem ser baixados automaticamente - sem qualquer ação do usuário."

O cenário perigoso nasce desta sequência:

• Um novo grupo é criado
• A vítima é adicionada sem ser consultada previamente
• Um arquivo preparado (imagem, vídeo ou documento) é enviado no chat
• O conteúdo é salvo automaticamente no armazenamento do smartphone

Assim surge um caminho de ataque: a pessoa pode nem abrir o WhatsApp de forma ativa, mas o arquivo já está no aparelho. Dependendo de uma falha no sistema ou no próprio app, esse download pode virar ponto de partida para etapas seguintes de exploração.

O que está por trás do download automático

Em muitos aparelhos Android, o WhatsApp vem configurado para baixar mídia automaticamente: imagens, áudios, vídeos e, em alguns casos, também documentos. A intenção é “facilitar” o consumo (por exemplo, restringindo a transferência ao Wi‑Fi), mas isso também tira decisões importantes das mãos do usuário.

"Downloads automáticos são práticos - mas mudam o controle de 'eu decido' para 'o app decide por mim'."

Em conversas individuais, isso costuma chamar menos atenção. Já em grupos com participantes desconhecidos, o contexto muda: nem sempre dá para saber quem está por trás de um perfil e quais são as intenções de quem aparece enviando arquivos do nada.

De acordo com os pesquisadores, a brecha demonstrada afeta principalmente o WhatsApp no Android. A lógica do ataque se apoia no fato de que mídias em grupos podem ser baixadas sem pergunta e ficam em segundo plano como um possível vetor para novas investidas.

WhatsApp reage - mas o usuário ainda precisa agir

Conforme a Malwarebytes, o responsável pelo mensageiro distribuiu uma correção (patch). Quem mantém o aplicativo atualizado tende a receber esse ajuste e outros mecanismos de proteção.

Ainda assim, há um ponto que permanece: atualizações normalmente não alteram configurações pré-existentes. Ou seja, quem já tinha permissões e padrões mais “abertos” continua com eles. Por isso, pesquisadores indicam dois passos bem objetivos dentro do app.

Passo 1: quem pode adicionar você a grupos?

A primeira mudança é sobre controlar quem tem permissão para colocar você em grupos. Tanto no Android quanto no iOS, essa opção fica dentro das configurações de privacidade do WhatsApp.

Como mudar a configuração de grupos

• Abra o WhatsApp
• Toque nos três pontos no canto superior direito (Android) ou em “Configurações” no canto inferior direito (iOS)
• Selecione Privacidade
• Toque em Grupos
• Em vez de “Todos”, marque Meus contatos
• Para perfis mais sensíveis: escolha Meus contatos, exceto... e exclua contatos de risco

"Quem deixa 'Todos' ativado permite que estranhos abram a porta para seu histórico de grupos - e, com isso, para seu número e sua foto de perfil."

Isso é particularmente relevante para pessoas com exposição pública, jornalistas, profissionais que usam celular corporativo ou quem divulga muitos números por motivos de trabalho. Quanto menor o grupo de pessoas que pode iniciar chats com você, menor tende a ser o risco.

Passo 2: desativar downloads automáticos de mídia

O segundo ajuste envolve o download automático de fotos, vídeos e outros arquivos. Vale checar rapidamente as opções de dados e armazenamento.

Como parar os downloads automáticos no Android

• No WhatsApp, toque novamente nos três pontos
• Abra Configurações
• Entre em Armazenamento e dados
• Em Download automático de mídia, revise as opções para dados móveis, Wi‑Fi e roaming
• Nos três itens, desmarque todos os tipos de mídia ou permita apenas formatos muito limitados

A partir daí, quando um arquivo chegar, o WhatsApp passa a pedir sua ação para baixar. Só ao tocar na imagem ou no documento a transferência começa - uma etapa extra que faz diferença na segurança.

"Sem download automático, cada arquivo precisa ser 'liberado' ativamente por você - e isso reduz o risco de forma drástica."

Qual é o tamanho real do risco?

A falha descrita está ligada, especificamente, a grupos recém-criados e ao recebimento de mídias baixadas sem confirmação. Profissionais de segurança ressaltam que os alvos mais valiosos tendem a ser pessoas que lidam com informações sensíveis: equipes em órgãos públicos, empresas, áreas de saúde ou ambientes de pesquisa.

Mesmo assim, usuários comuns também podem entrar no radar - por exemplo, ao compartilhar o número com frequência em marketplaces de produtos usados, ao participar de associações com grande circulação de contatos ou ao manter presença visível em redes sociais. Quanto mais o seu número “circula”, mais fácil é para um atacante obter essa peça do quebra-cabeça.

Outros riscos envolvendo grupos do WhatsApp

Além do download automático, grupos oferecem outras superfícies de ataque que costumam ser subestimadas:

• Uso indevido da foto de perfil: desconhecidos podem salvar sua imagem e usá-la em perfis falsos ou em roubo de identidade.
• Mensagens de phishing: criminosos disfarçam links como promoções, sorteios ou “avisos urgentes” do sistema.
• Engenharia social: ao longo do tempo, atacantes tentam construir confiança para extrair dados pessoais.
• Repasses de informações: prints de conversas podem sair rapidamente do contexto original.

Quem mantém uma postura desconfiada com convites e observa com cuidado participantes desconhecidos reduz bastante esses riscos. Um grupo cheio de perfis que você não conhece não é um espaço privado - mesmo que pareça.

Dicas práticas para usar o WhatsApp com mais segurança

Além das duas configurações principais, algumas regras simples no dia a dia ajudam bastante:

• Evite compartilhar documentos sensíveis (identidade, contratos, dados de saúde) em grupos grandes
• Escolha uma foto de perfil que não revele demais sobre endereço, filhos ou local de trabalho
• Não chame números desconhecidos em grupos de forma impulsiva
• Para links suspeitos, prefira verificar manualmente no navegador em vez de tocar diretamente
• Atualize com frequência o WhatsApp e o sistema operacional

Muita gente não percebe o valor do próprio número de telefone. Junto de nome, foto de perfil e histórico de conversas, ele compõe um perfil pessoal que pode ser usado por golpistas de maneira direcionada.

O que “vetor de ataque” significa na prática

O termo parece técnico, mas a ideia é direta: um arquivo pode ser o gatilho para uma cadeia de manipulações. Uma imagem adulterada pode explorar uma falha no processamento de imagens; um vídeo preparado pode mirar um decodificador específico; um documento pode provocar travamentos e, nesse processo, tentar executar código estranho.

Nem todo arquivo desse tipo derruba o celular imediatamente. No pior cenário, porém, um invasor pode acessar dados, acompanhar mensagens ou baixar mais malware. Quanto menos arquivos desconhecidos entrarem no aparelho sem controle, menor fica essa possibilidade.

Por que essas duas configurações fazem tanta diferença

Muitas recomendações de segurança são vagas ou exigem procedimentos complicados. Aqui, as duas mudanças levam poucos minutos e trazem efeitos combinados:

• reduz a quantidade de grupos indesejados
• diminui a exposição do seu número e da sua foto para desconhecidos
• evita que arquivos potencialmente perigosos fiquem salvos sem autorização
• devolve a você a decisão sobre quando um download realmente deve acontecer

Em especial no Android - onde é comum instalar muitos apps e conceder permissões com mais facilidade - uma camada extra de proteção ajuda. Para quem usa WhatsApp diariamente, vale separar um momento para esses ajustes: o ganho de segurança costuma ser maior do que parece.

---