O ataque chegou pelo WhatsApp, e o SOC não tem como saber

Vale começar pelo que não houve. Não houve vulnerabilidade explorada. Não houve anexo malicioso, macro, carga útil, comando e controle. Não houve CVE para acompanhar nem patch para aplicar.

Houve conversa. Em alguns casos o atacante se apresentou como o suporte oficial do Signal ou como o chatbot da plataforma, com um alerta urgente de que a conta corria risco de perder os dados, e pediu o PIN. Em outros, mandou um QR code sob qualquer pretexto que funcionasse. Quem escaneou não estava confirmando uma verificação: estava vinculando o aparelho do atacante à própria conta.

A campanha alemã funcionou melhor do que se esperaria de algo tão simples. O chanceler Friedrich Merz não foi comprometido. A presidente do Bundestag, Julia Klöckner, foi. Nas semanas seguintes, um governo europeu atrás do outro percebeu que também estava na lista. Em março, o serviço de inteligência holandês relatou ataques por WhatsApp e Signal contra autoridades, militares e servidores civis. Por volta da mesma data, a Comissão Europeia mandou um grupo de altos funcionários abandonar um grupo de Signal por receio de que estivesse comprometido.

Por que o canal importa mais que a isca

Steven Adair, presidente da Volexity, resume o motivo da migração sem rodeios: tirar a conversa do e-mail tira a isca do campo de visão do monitoramento de segurança. E acrescenta um segundo ponto, que costuma passar batido: nesses canais a mensagem pode ser apagada. No e-mail, não pode.

Segundo ele, a tática já é comum entre grupos russos, chineses e iranianos. Às vezes o contato inicial nasce no próprio aplicativo. Às vezes começa no e-mail e a conversa é puxada para fora dele na primeira resposta.

Controle	E-mail corporativo	Signal ou WhatsApp no celular do executivo
Inspeção de conteúdo	Gateway, sandbox de anexo, reescrita de URL	Nenhuma. O tráfego é cifrado fim a fim e sai do perímetro.
Retenção	Cópia no servidor, sujeita a e-discovery	Apagada dos dois lados a critério de quem mandou.
Identidade do remetente	SPF, DKIM, DMARC, aviso de remetente externo	Um número de telefone e uma foto de perfil.
Resposta a incidente	Busca no tenant, bloqueio, purge da mensagem	Depende do usuário entregar o aparelho.
Treinamento do usuário	Simulação recorrente de phishing	Raramente coberto. O simulado quase sempre é por e-mail.

Trocar o aplicativo não resolve o problema

França, Alemanha e Bélgica já colocaram no ar mensageiros próprios, nessa ordem. Luxemburgo, Polônia e Holanda seguem caminho parecido. A Comissão Europeia escreveu no Cyber Blueprint de 2025 que as entidades da União deveriam acordar até o fim de 2026 um conjunto interoperável de soluções seguras de comunicação, cobrindo voz, dados, videoconferência, mensagem e compartilhamento de documento.

Collin Hogue-Spears, da Black Duck, faz a observação mais útil do caso: tirar o aplicativo do fluxo tira o aplicativo, não o fluxo. Enquanto não existir um canal sancionado que dê conta do trabalho, a comunicação oficial volta para o aplicativo de consumo. A recomendação dele é direta: subir um mensageiro próprio, com identidade amarrada ao diretório corporativo e dispositivo inscrito em MDM, e publicar uma regra única junto, de que Signal e WhatsApp servem para logística de reunião e nada além disso.

A parte desconfortável é que o aplicativo próprio também não é garantia. O Tchap francês nasceu em 2019 e virou obrigatório para servidores civis em 2025. Em 2026, depois que toda a comunicação do governo estava reunida no mesmo lugar, esse lugar foi invadido. Três anos de conversas de 73 mil servidores foram parar na dark web. Centralizar reduz a superfície e concentra o prejuízo.

Leitura LATAMSEC

No Brasil o problema começa de um degrau acima. O WhatsApp aqui não é canal alternativo, é o canal. Diretoria aprova pagamento por mensagem, fornecedor manda boleto, RH conversa com candidato, e o jurídico descobre depois que a decisão que importava foi tomada em um grupo. A campanha europeia não precisa ser adaptada para funcionar aqui. Ela já está adaptada.

O ponto prático não é proibir. Proibição sem substituto vira uso paralelo, e aí a empresa perde até a chance de saber que existe. O ponto é decidir explicitamente o que pode trafegar por ali e o que não pode, e então oferecer o caminho para o que não pode.

Três perguntas que cabem numa reunião de diretoria. Primeira: existe alguma aprovação financeira, contratual ou de acesso que hoje acontece por aplicativo de mensagem? Se a resposta for sim, esse fluxo não tem trilha de auditoria. Segunda: o programa de conscientização simula phishing por WhatsApp e por Signal, ou só por e-mail? Terceira, a que mais incomoda: se a conta de um diretor tiver sido espelhada por QR code no mês passado, existe alguma forma de descobrir isso agora? Nos dois aplicativos dá para listar dispositivos vinculados. Quase ninguém olha.

Vale registrar o que essa campanha diz sobre prioridade de investimento. Oito incidentes significativos em governos europeus não foram detidos por ferramenta nenhuma, porque não havia ferramenta no caminho. Foram detidos, quando foram, por pessoas que estranharam o pedido. É um lembrete de que a camada humana continua sendo controle de segurança, e não o lugar para onde se empurra a culpa depois.