Autônomo Blindado
Segurança digital pra quem trabalha sozinho
Golpe ativo

Golpe da fatura falsa no WhatsApp Business: como funciona e como proteger seu negócio

O golpe da fatura falsa chega pelo WhatsApp Business como um arquivo de cobrança, extrato ou boleto — muitas vezes se passando por um fornecedor ou cliente conhecido. Ao abrir o anexo, a vítima instala sem perceber um programa que assume o controle do computador de forma invisível, dando ao criminoso acesso a contas bancárias, senhas salvas e conversas da empresa.

Como o golpe age na prática

O arquivo malicioso costuma vir com nome de documento legítimo — "NF_outubro.pdf.exe" ou "boleto_vencido.zip" — pra passar despercebido em meio à rotina de cobrança de um pequeno negócio. Levantamento da Kaspersky sobre ameaças a PMEs em 2026 mostra que esse tipo de isca (fatura, extrato, cobrança falsa) segue entre os vetores mais usados contra empresas brasileiras, justamente porque imita uma tarefa administrativa comum.

Espaço reservado — AdSense in-content altura fixa · evita CLS alto no carregamento

Por que autônomo é alvo maior que empresa grande

Segundo o censo do CISO Advisor 2026, 9 em cada 10 pequenas e médias empresas brasileiras sofreram pelo menos uma tentativa de ataque via WhatsApp Web ou e-mail corporativo em 2025. A diferença pro golpe funcionar não é o tamanho da empresa — é a ausência de uma segunda camada de verificação: quem não tem TI depende só da própria atenção, e cobrança é o tipo de mensagem que a maioria abre sem pensar duas vezes.

Sinal de alerta: extensão dupla no nome do arquivo (".pdf.exe", ".pdf.zip") é o indício mais confiável de que a "fatura" não é real.

A tendência de 2026 que torna o MFA insuficiente sozinho

Autenticação multifator (MFA) continua sendo a defesa mais recomendada, mas 2026 trouxe um contorno específico: o roubo de token de sessão, onde o criminoso intercepta a autenticação já validada em tempo real, sem precisar do código enviado ao celular. O computador infectado pelo malware da fatura falsa já entrega esse token de sessão ativo pro invasor, contornando a etapa de segundo fator.

O que muda na prática de defesa

Isso empurra a recomendação de duas camadas concretas além do MFA: manter o antivírus atualizado com verificação de comportamento (não só assinatura de vírus conhecida) e isolar o acesso financeiro num dispositivo separado de uso exclusivo, sem abrir anexo recebido nele.

Se já abriu o arquivo: o que fazer nas próximas horas

Desconecte o computador da internet imediatamente pra impedir o envio contínuo de dados, troque as senhas de banco e e-mail a partir de outro dispositivo (nunca do computador comprometido), e avise o banco pra monitorar movimentações fora do padrão. Rodar uma verificação completa de antivírus depois de isolado o dispositivo é o passo seguinte, não o primeiro.

Espaço reservado — AdSense fim de conteúdo antes de relacionados/comentários

O golpe também acontece por e-mail, não só WhatsApp?

Sim — o mecanismo é o mesmo (anexo disfarçado de cobrança), só muda o canal de entrega. E-mail corporativo é o segundo vetor mais citado ao lado do WhatsApp Business.

MFA sozinho já não basta mais?

Reduz drasticamente o risco de invasão por senha vazada, mas não protege contra roubo de token de sessão a partir de um dispositivo já infectado.

Fontes desta apuração

securityleaders.com.br (fatura falsa via WhatsApp) · securelist.com.br/smb-threat-report-2026 (Kaspersky, roubo de token de sessão) · blog.starti.com.br/panorama-phishing-brasil-2026 (censo CISO Advisor 2026)