Golpe da fatura falsa no WhatsApp Business: como funciona e como proteger seu negócio
O golpe da fatura falsa chega pelo WhatsApp Business como um arquivo de cobrança, extrato ou boleto — muitas vezes se passando por um fornecedor ou cliente conhecido. Ao abrir o anexo, a vítima instala sem perceber um programa que assume o controle do computador de forma invisível, dando ao criminoso acesso a contas bancárias, senhas salvas e conversas da empresa.
Como o golpe age na prática
O arquivo malicioso costuma vir com nome de documento legítimo — "NF_outubro.pdf.exe" ou "boleto_vencido.zip" — pra passar despercebido em meio à rotina de cobrança de um pequeno negócio. Levantamento da Kaspersky sobre ameaças a PMEs em 2026 mostra que esse tipo de isca (fatura, extrato, cobrança falsa) segue entre os vetores mais usados contra empresas brasileiras, justamente porque imita uma tarefa administrativa comum.
Por que autônomo é alvo maior que empresa grande
Segundo o censo do CISO Advisor 2026, 9 em cada 10 pequenas e médias empresas brasileiras sofreram pelo menos uma tentativa de ataque via WhatsApp Web ou e-mail corporativo em 2025. A diferença pro golpe funcionar não é o tamanho da empresa — é a ausência de uma segunda camada de verificação: quem não tem TI depende só da própria atenção, e cobrança é o tipo de mensagem que a maioria abre sem pensar duas vezes.
Sinal de alerta: extensão dupla no nome do arquivo (".pdf.exe", ".pdf.zip") é o indício mais confiável de que a "fatura" não é real.
A tendência de 2026 que torna o MFA insuficiente sozinho
Autenticação multifator (MFA) continua sendo a defesa mais recomendada, mas 2026 trouxe um contorno específico: o roubo de token de sessão, onde o criminoso intercepta a autenticação já validada em tempo real, sem precisar do código enviado ao celular. O computador infectado pelo malware da fatura falsa já entrega esse token de sessão ativo pro invasor, contornando a etapa de segundo fator.
O que muda na prática de defesa
Isso empurra a recomendação de duas camadas concretas além do MFA: manter o antivírus atualizado com verificação de comportamento (não só assinatura de vírus conhecida) e isolar o acesso financeiro num dispositivo separado de uso exclusivo, sem abrir anexo recebido nele.
Se já abriu o arquivo: o que fazer nas próximas horas
Desconecte o computador da internet imediatamente pra impedir o envio contínuo de dados, troque as senhas de banco e e-mail a partir de outro dispositivo (nunca do computador comprometido), e avise o banco pra monitorar movimentações fora do padrão. Rodar uma verificação completa de antivírus depois de isolado o dispositivo é o passo seguinte, não o primeiro.
O golpe também acontece por e-mail, não só WhatsApp?
Sim — o mecanismo é o mesmo (anexo disfarçado de cobrança), só muda o canal de entrega. E-mail corporativo é o segundo vetor mais citado ao lado do WhatsApp Business.
MFA sozinho já não basta mais?
Reduz drasticamente o risco de invasão por senha vazada, mas não protege contra roubo de token de sessão a partir de um dispositivo já infectado.
securityleaders.com.br (fatura falsa via WhatsApp) · securelist.com.br/smb-threat-report-2026 (Kaspersky, roubo de token de sessão) · blog.starti.com.br/panorama-phishing-brasil-2026 (censo CISO Advisor 2026)