Uma chamada desconhecida pode ser o início de um problema para a sua empresa — sobretudo quando o número de WhatsApp é também um canal de vendas, apoio ao cliente ou marcações.

A Meta anunciou, em 25 de agosto de 2026, novas funcionalidades de segurança para o WhatsApp. A verificação em duas etapas passa a aceitar uma palavra-passe mais forte, com letras, números e caracteres especiais. No Android, as chamadas de números que não estão nos contactos passam a mostrar mais contexto, como o país associado ao número e eventuais grupos em comum. A empresa também diz que mais de mil milhões de pessoas já utilizam passkeys para entrar na conta. (about.fb.com)

Para uma empresa portuguesa, a novidade não está apenas na aplicação em si. Está na possibilidade de reduzir o risco de perder o controlo do número que concentra conversas com clientes, fornecedores e colaboradores.

O número de WhatsApp já é uma peça da operação

Muitas pequenas empresas usam um único número para responder a pedidos de orçamento, confirmar entregas, marcar serviços e esclarecer dúvidas. Se esse número for comprometido, o problema não fica limitado à privacidade de uma pessoa.

Quem conseguir assumir a conta pode tentar:

  • pedir pagamentos a clientes;
  • enviar links falsos em nome da empresa;
  • apagar ou manipular conversas recentes;
  • contactar fornecedores e colaboradores;
  • bloquear o acesso do responsável legítimo;
  • utilizar a reputação da marca para enganar terceiros.

É semelhante a perder as chaves da receção, do armazém e do escritório ao mesmo tempo. A conta pode continuar a parecer normal para quem está de fora, mas já não está sob o controlo da equipa certa.

A autenticação reforçada não elimina todos os riscos. Torna mais difícil que alguém use apenas um código SMS obtido através de engenharia social, troca fraudulenta do cartão SIM ou acesso indevido ao telefone.

A verificação em duas etapas deixa de depender apenas de um PIN simples

Até agora, a verificação em duas etapas do WhatsApp baseava-se num PIN de seis dígitos. Segundo a Meta, a funcionalidade passa a aceitar uma palavra-passe alfanumérica mais longa, incluindo caracteres especiais. (about.fb.com)

A diferença parece pequena, mas muda o tipo de credencial que deve ser usada. Um PIN curto escolhido com base numa data, num código interno ou nos últimos dígitos do telefone é mais fácil de adivinhar ou reutilizar. Uma palavra-passe exclusiva, guardada num gestor de palavras-passe, cria uma barreira mais séria.

A empresa deve tratar esta palavra-passe como uma credencial de acesso à operação, não como uma configuração ocasional do telemóvel.

O que rever na conta empresarial

Peça ao responsável pelo número para confirmar:

1. que a verificação em duas etapas está ativa;

2. que a palavra-passe não é utilizada noutros serviços;

3. que o endereço de email de recuperação pertence à empresa;

4. que o email de recuperação também tem autenticação forte;

5. que os dispositivos ligados à conta são conhecidos;

6. que antigos colaboradores já não têm acesso ao WhatsApp Web ou a outros dispositivos.

A própria documentação do WhatsApp recomenda combinar email de recuperação, verificação em duas etapas, passkey, bloqueio da aplicação e cópias de segurança encriptadas, quando disponíveis no dispositivo e na conta. (faq.whatsapp.com)

Chamadas desconhecidas passam a dar mais pistas

No Android, uma chamada de um número que não está guardado nos contactos pode apresentar informação adicional, incluindo o país associado ao número e grupos que o interlocutor partilha consigo. A intenção é permitir uma pausa antes de atender uma chamada inesperada. (about.fb.com)

Isto é especialmente útil para empresas que recebem chamadas de clientes novos, mas não deve ser confundido com uma identificação de confiança. Um número português pode ser falsificado, utilizado por outra pessoa ou associado a uma conta comprometida. Ter um grupo em comum também não prova que a chamada é legítima.

Use o contexto como se fosse a matrícula de um carro: ajuda a reconhecer uma situação, mas não substitui a confirmação do condutor.

Crie uma regra simples para a equipa

Defina que nenhuma chamada ou mensagem inesperada pode, por si só, autorizar:

  • alterações de IBAN;
  • devoluções de dinheiro;
  • envio de documentos sensíveis;
  • partilha de códigos recebidos por SMS;
  • instalação de aplicações;
  • alteração de credenciais;
  • acesso remoto a computadores.

Quando surgir um pedido destes, a pessoa deve confirmar por outro canal já conhecido. Por exemplo, ligar para o número publicado no website oficial ou enviar um email para um endereço previamente validado.

Esta regra é mais eficaz do que pedir aos colaboradores que “tenham cuidado”. O cuidado depende do momento e da pressão da conversa. Um procedimento claro reduz a margem para decisões apressadas.

Passkeys: úteis, mas não são uma solução mágica

As passkeys permitem validar a identidade através do mecanismo de segurança do dispositivo, como impressão digital, reconhecimento facial ou código de desbloqueio. A Meta indica que mais de mil milhões de pessoas já configuraram uma passkey no WhatsApp e que passou a ser possível associar mais do que uma quando a pessoa utiliza dispositivos Android e iOS. (about.fb.com)

Para uma conta empresarial, isto pode ser conveniente quando existe uma pessoa responsável pelo número em vários dispositivos. Mas deve haver uma política interna: quem pode adicionar uma passkey, em que dispositivos e como é removida quando alguém deixa a empresa.

Se cada colaborador adicionar o seu método de acesso sem registo, a empresa troca um risco por outro. O controlo deixa de estar apenas no número e passa a depender também dos dispositivos pessoais da equipa.

WhatsApp Business exige atenção aos acessos, não apenas ao telefone

O WhatsApp distingue a aplicação WhatsApp Business da WhatsApp Business Platform. Uma empresa pode utilizar a aplicação num telefone ou gerir as conversas através de uma plataforma e de sistemas ligados. A documentação oficial recomenda verificar os dispositivos e os serviços usados para gerir as mensagens. (faq.whatsapp.com)

Isto interessa sobretudo quando o atendimento já não é feito por uma só pessoa. CRM, plataformas de suporte, integrações e serviços externos podem receber ou encaminhar mensagens. Antes de ligar uma nova ferramenta, confirme:

  • que empresa vai tratar as mensagens;
  • onde ficam armazenadas;
  • quem tem acesso às conversas;
  • como são removidos utilizadores antigos;
  • que aviso aparece ao cliente quando é usado um serviço de gestão;
  • se a ferramenta continua necessária.

A encriptação do WhatsApp protege a comunicação no percurso, mas a mensagem tem de chegar a algum destino para ser tratada. Esse destino pode ser o telemóvel da empresa, um servidor, uma plataforma de apoio ou um fornecedor externo. Segurança não termina quando a mensagem sai do telefone.

O que fazer esta semana

Comece pelo número que recebe mais contactos comerciais. Não precisa de alterar toda a operação de uma vez.

Hoje:

  • confirme quem é o titular operacional da conta;
  • reveja os dispositivos ligados;
  • ative ou atualize a verificação em duas etapas;
  • associe um email empresarial seguro;
  • remova acessos que já não têm uma função clara.

Nos próximos dias:

  • avalie a utilização de passkey nos dispositivos autorizados;
  • escreva um procedimento para pedidos de pagamento e alterações bancárias;
  • informe a equipa de que o WhatsApp nunca deve pedir códigos por chamada ou mensagem;
  • teste um contacto alternativo para recuperar a conta;
  • registe quem pode alterar as definições da conta.

Se a conta já tiver sinais de intrusão:

  • recupere o número através do processo oficial do WhatsApp;
  • avise clientes e parceiros por outro canal;
  • peça à equipa para ignorar pedidos enviados durante o incidente;
  • altere credenciais relacionadas;
  • preserve mensagens e informação relevante para investigação.

A atualização anunciada pela Meta não transforma o WhatsApp numa ferramenta de gestão de acessos empresariais. Ainda cabe à empresa definir responsabilidades, validar pedidos sensíveis e manter uma saída quando o número deixa de estar disponível.

O ganho prático está em tornar o ataque mais difícil e a fraude mais visível. Para o seu negócio, isso justifica uma revisão curta agora — antes de a conta ser tratada como infraestrutura crítica apenas depois de desaparecer.