Clonaram meu WhatsApp: como recuperar e o que fazer agora

Como o golpe funciona, e como saber se clonaram o seu

Ninguém invade o WhatsApp. A pessoa entrega a chave.

O golpe quase sempre começa com uma mensagem ou ligação que pede um ‘código de confirmação’ que acabou de chegar por SMS: alguém se passando por uma loja, por um site de anúncios, por um serviço de atendimento, por um parente. Aquele código de seis dígitos é o que o WhatsApp manda para registrar o seu número num aparelho novo. Quem o recebe registra o seu número no aparelho dele, e o seu telefone perde a conta.

A partir daí o golpista fala com os seus contatos como se fosse você, com a sua foto e o seu nome, e pede dinheiro por Pix ‘até amanhã’.

Os sinais de que clonaram: o aplicativo pede para confirmar o número de novo, as conversas somem, chega o aviso de que o número foi confirmado em outro dispositivo, amigos ligam perguntando ‘é você mesmo pedindo?’. Quem clona pelo código passa a receber o que chega depois e, sobretudo, escreve em seu nome.

O que a pessoa tem acesso é o que decide o resto desta página: o seu nome, a sua foto e a confiança dos seus contatos. É isso que ela vende.

Recuperar a conta: os seis dígitos e o PIN

A recuperação é uma só, e a própria empresa a descreve.

Você abre o aplicativo, informa o seu número e insere o novo código de seis dígitos que chega por SMS ou ligação. A Central de Ajuda do WhatsApp diz que, ao registrar o número de novo com o código, "todos os dispositivos conectados à sua conta do WhatsApp serão desconectados automaticamente".

O golpista cai na hora.

Existe um obstáculo comum: ele ativou a confirmação em duas etapas com um PIN que você não sabe. A orientação oficial é "aguarde sete dias e tente novamente", e a mesma página garante que, mesmo sem o PIN, "a pessoa que estava usando sua conta será desconectada quando você inserir o código de seis dígitos".

Duas coisas que não funcionam, pela mesma fonte: mudar a senha "não removerá outras pessoas da sua conta", e o WhatsApp "não pode desativar contas a pedido dos usuários". Ou seja: ninguém vai bloquear a conta por você; a saída é registrar o número de novo.

Se o chip parou de funcionar junto com o WhatsApp, o problema é outro, e está na seção sobre chip clonado.

Avisar os contatos e registrar o boletim

Antes de recuperar, avise.

Poste em outra rede, ligue para quem o golpista tem mais chance de procurar, peça a alguém que mande a mensagem nos grupos: ‘meu WhatsApp foi clonado, não façam Pix’. A Central de Ajuda diz o mesmo: avisar familiares e amigos, "pois essa pessoa pode tentar se passar por você".

O boletim de ocorrência vale por três motivos. Registra a data e a hora em que você perdeu a conta, separando o que você escreveu do que o golpista escreveu; serve aos seus contatos na reclamação ao banco deles; e abre a investigação, que chega ao golpista pelo caminho da última seção.

Ele se registra pela internet, em qualquer estado, e o passo a passo está em boletim de ocorrência online.

Guarde os prints dos pedidos de Pix que o golpista fez, com o número e a chave que ele usou.

Cada chave Pix é uma conta em algum banco.

Quem paga o Pix que os amigos fizeram

Aqui está a pergunta jurídica, e a resposta honesta é dura.

Quem transferiu é vítima de estelionato.

O primeiro caminho é o mesmo de qualquer golpe de Pix: abrir o Mecanismo Especial de Devolução no banco que fez a transferência, no mesmo dia, para tentar bloquear o que ainda estiver na conta do golpista. O passo a passo, com os prazos do Banco Central, está em como pedir o estorno do PIX do golpe.

O segundo caminho, o de cobrar do próprio banco, tem encontrado a porta fechada no STJ.

Em maio de 2026, no AREsp 3.068.917, a Terceira Turma manteve a decisão que negou a devolução a uma consumidora que fez Pix depois de um golpe pelo WhatsApp: operações "realizadas voluntariamente pela consumidora, sem indícios prévios de fraude nas contas beneficiárias e com comunicação tardia" configuram, nas palavras do tribunal, "fortuito externo e culpa exclusiva da vítima".

A Quarta Turma decidiu igual em setembro de 2025, no REsp 2.209.954, e de novo em maio de 2026, no REsp 2.223.631: golpe financeiro por WhatsApp, Pix para conta de terceiro, culpa exclusiva da vítima.

O que muda o resultado é o que outra página explica em detalhe: a operação fora do padrão da conta, que o sistema do banco deveria ter barrado, e o aviso rápido. Está em golpe da falsa central: o banco tem que devolver?, que reúne os dois lados do STJ.

Se alguém da sua família fez um Pix alto para o golpista e o banco negou a devolução, mande a negativa e o extrato pelo WhatsApp. Dá pra dizer, na conversa inicial, se aquela transferência destoava do histórico da conta, que é o que decide.

Eu, dono da conta clonada, respondo pelo que os outros pagaram?

Não.

Quem pediu o dinheiro foi o golpista, usando o seu nome. Você não emprestou a conta, não autorizou, não recebeu nada; foi enganado para entregar um código, e isso faz de você vítima do mesmo crime, não autor dele. A responsabilidade civil exige que alguém tenha causado o dano por ato próprio, e o seu ato foi ser enganado.

O que protege você, na prática, é o boletim com a data e a hora e o aviso que você deu aos contatos.

Eles provam que, a partir daquele momento, quem escrevia não era você.

O caso mais delicado é o do amigo que insiste em cobrar de você. Não há base para isso, e um boletim e os prints resolvem a conversa. Se alguém for além da cobrança e passar a ofender ou expor você em grupos, isso é outro assunto, tratado em dano moral no WhatsApp.

Chip clonado (SIM swap): aí o banco responde

Existe uma clonagem em que o dono perde mais do que o WhatsApp.

No SIM swap, o golpista consegue transferir a sua linha para um chip dele, por fraude na operadora ou em loja. O seu celular fica sem sinal, o WhatsApp some, e com a linha na mão ele recebe os SMS de confirmação do seu banco e entra na sua conta, faz transferências e contrata empréstimo.

Aqui o STJ decidiu contra o banco.

Em junho de 2026, no REsp 2.186.214, a Quarta Turma manteve a condenação de uma instituição financeira por operações e empréstimo feitos depois de um SIM swap, e escreveu que a clonagem do chip "não desloca a causalidade jurídica para fora do âmbito do empreendimento bancário", cuja falha está em "permitir transações manifestamente atípicas sem mecanismos eficazes de autenticação". Vale a Súmula 479: fortuito interno, responsabilidade objetiva.

O mesmo acórdão registrou um detalhe que decide muito caso: o banco não apresentou o contrato do empréstimo, e isso sozinho bastou para manter a condenação.

Se o seu chip parou e apareceram transferências ou empréstimo que você não fez, mande o extrato pelo WhatsApp. Esse é o caso em que o pedido contra o banco tem a jurisprudência a favor.

Qual crime é, e como a polícia chega ao golpista

São dois crimes, e os dois ganharam pena maior em 2021.

Registrar o seu número num aparelho alheio para usar a conta é invasão de dispositivo informático, art. 154-A do Código Penal: "invadir dispositivo informático de uso alheio" para "obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário". A pena é reclusão de um a quatro anos e multa, aumentada de um a dois terços "se da invasão resulta prejuízo econômico".

Pedir dinheiro em seu nome é estelionato na forma de fraude eletrônica, art. 171, § 2º-A: reclusão de quatro a oito anos e multa quando a fraude usa "informações fornecidas pela vítima ou por terceiro induzido a erro" por redes sociais, telefone ou e-mail fraudulento. O código de seis dígitos que você entregou é a informação fornecida pela vítima que a lei descreve.

A investigação chega ao golpista pelos dados.

O art. 22 do Marco Civil da Internet permite ao juiz ordenar às operadoras e ao aplicativo o fornecimento dos registros de conexão: data, hora, antena, IP, aparelho.

Em 2025, no HC 971.123, o STJ manteve a quebra desses dados sobre a linha de uma pessoa que era vítima de clonagem, e não investigada, porque é pelo rastro da linha clonada que se acha quem a usou. Não se assuste se isso acontecer com a sua: o tribunal deixou claro que são dados estáticos, sem o conteúdo das mensagens.

A chave Pix que o golpista mandou aos seus contatos é o outro rastro: ela está ligada a uma conta com CPF, e o banco que abriu essa conta tem o dever de ter conferido quem era, como está em boleto falso: de quem é a responsabilidade.

Quanto tempo, quanto custa, onde entrar

O tempo que importa é o das primeiras horas: registrar o número de novo, avisar, e, para quem pagou, abrir o MED no mesmo dia, porque só volta o que ainda estiver na conta do golpista.

Para a ação contra o banco, no SIM swap ou na operação atípica, o prazo é de cinco anos pelo art. 27 do Código de Defesa do Consumidor, contados de quando se soube do dano. Não use o prazo: registro de acesso, gravação e log de autenticação são as provas do caso e somem em meses.

Cabe no Juizado Especial Cível até quarenta salários mínimos, R$ 64.840,00 em 2026, sem custas para entrar e sem advogado até R$ 32.420,00; o rito está em como funciona o Juizado de Pequenas Causas. A página caí no golpe do PIX reúne os outros golpes e o que fazer em cada um.

Resumindo: a conta volta registrando o número de novo, mesmo sem o PIN, em até sete dias; avise os contatos e registre o boletim com a hora; quem fez Pix ao golpista abre o MED no mesmo dia, e o banco só responde se a operação destoava do padrão; o dono da conta clonada não responde pelo que os outros pagaram; no chip clonado, o banco responde; os crimes são os dos arts. 154-A e 171.

Vale a pena chamar quem já cuida desses casos

Dá pra recuperar a conta, avisar todo mundo e registrar o boletim sozinho, e isso tem que ser feito nas primeiras horas, antes de qualquer conversa com advogado.

O que se perde sem orientação é a separação dos casos. Na experiência do escritório, o erro mais comum é tratar tudo como ‘golpe do WhatsApp’: o amigo que fez Pix processa o próprio banco com a jurisprudência contra, enquanto o dono do chip clonado, que tem a jurisprudência a favor, aceita a negativa do banco e paga um empréstimo que não contratou.

O que falta quando a pessoa vai sozinha

O boletim sem a hora exata, o print do pedido de Pix que foi apagado junto com a conversa, o extrato dos meses anteriores que provaria que a transferência era atípica, o contrato de empréstimo que ninguém pediu ao banco: cada um desses é o que separa a devolução da frase ‘culpa exclusiva da vítima’.

É um pouco mais trabalhoso no começo, porque exige documentar enquanto o golpe ainda está acontecendo, mas é o que faz a diferença entre perder o dinheiro e recuperá-lo.

Se clonaram o seu WhatsApp, ou se você fez um Pix para alguém que se passava por um conhecido, mande os prints e o extrato pelo WhatsApp. A conversa inicial serve para dizer qual dos casos é o seu, contra quem existe pedido e se cabe no Juizado.