WhatsApp corporativo: riscos, clonagem e política de uso na empresa

Por que o WhatsApp virou infraestrutura crítica (sem ninguém decidir isso)

Nenhuma empresa brasileira aprovou formalmente o WhatsApp como canal corporativo. Ele simplesmente entrou. Começou com um grupo de equipe para combinar horário de almoço, virou o canal onde o comercial fecha proposta, onde o financeiro pede aprovação de pagamento e onde o suporte recebe a senha do servidor que o cliente digitou sem pensar. Hoje, em boa parte das PMEs, o WhatsApp carrega mais informação sensível do que o ERP — com a diferença de que o ERP tem log de acesso, backup e política de senha, e o WhatsApp não tem nada disso quando roda no aparelho pessoal do funcionário.

O problema não é o aplicativo. A criptografia ponta a ponta do WhatsApp é sólida e, na prática, ninguém intercepta mensagem no meio do caminho. O problema é tudo em volta: o dispositivo que roda o app, a conta de telefone que sustenta o número, a pessoa que segura o aparelho e o que acontece quando essa pessoa vai embora. Segurança de WhatsApp corporativo é, quase inteiramente, segurança de identidade e de endpoint — não de criptografia.

A consequência prática é que a empresa opera um canal crítico sem inventário. Se você perguntar hoje ao seu RH quantos números de WhatsApp estão sendo usados para falar com clientes em nome da empresa, a resposta honesta costuma ser "não sei". Isso é um ativo não inventariado carregando dado pessoal de terceiro — exatamente o cenário que a LGPD trata como responsabilidade do controlador, não do funcionário.

Clonagem, SIM swap e sequestro de conta: como realmente acontece

"Clonagem de WhatsApp" é um termo impreciso que virou guarda-chuva para três ataques bem diferentes. Separá-los importa, porque a defesa de cada um é distinta.

• Roubo de código SMS (o mais comum). O criminoso inicia o registro do seu número em outro aparelho. O WhatsApp envia o código de 6 dígitos por SMS para o seu celular. Ele então liga ou manda mensagem se passando por suporte técnico, entregador, banco ou até por um colega, e pede o código. Você entrega. Ele conclui o registro e sua sessão cai. Nenhuma falha técnica foi explorada — só engenharia social.
• SIM swap (portabilidade fraudulenta). O atacante convence a operadora a transferir seu número para um chip em posse dele, usando dados vazados seus para passar na validação do atendimento. Aqui você não precisa errar nada: o SMS chega direto na mão dele. É o ataque mais grave e o mais difícil de detectar — o sinal costuma ser o celular perder sinal "do nada" e não voltar.
• WhatsApp Web sequestrado. Alguém com acesso físico ao celular desbloqueado escaneia um QR code e mantém uma sessão espelhada rodando por semanas. Não derruba o app do dono, não gera alerta e lê tudo em tempo real. É o vetor clássico de ex-funcionário e de conflito interno.

Depois do sequestro, o roteiro é sempre o mesmo e é rápido: o criminoso entra nos grupos da empresa, lê o histórico para calibrar o tom, identifica quem aprova pagamento e dispara pedidos de PIX urgente com uma justificativa plausível ("emergência com fornecedor, o financeiro já sabe"). Em paralelo, exporta contatos e conversas. O prejuízo financeiro direto é o que dói na hora; o vazamento de base de clientes é o que gera exposição regulatória depois.

A defesa que mais reduz risco por real investido é a Verificação em Duas Etapas do próprio WhatsApp: um PIN de 6 dígitos definido por você, exigido no registro do número em qualquer aparelho novo. Sem esse PIN, roubar o SMS basta. Com ele, o SMS sozinho não abre a conta. Leva 40 segundos para ativar e derruba a maior parte dos ataques de clonagem.

WhatsApp Business App, API oficial e o app pessoal: escolha errada custa caro

Grande parte do risco desaparece quando a empresa para de usar a ferramenta errada. Existem três modalidades, e elas não são intercambiáveis.

1. WhatsApp pessoal no aparelho do funcionário. Custo zero, controle zero. A conta pertence à pessoa física, o número é dela, o histórico é dela e vai embora junto quando ela sai. Não há log, não há retenção, não há como auditar o que foi prometido a um cliente. Aceitável apenas para comunicação interna informal — nunca para atendimento a cliente.
2. WhatsApp Business App. Gratuito, roda em um número dedicado, permite catálogo, respostas rápidas, etiquetas e mensagem de ausência. Resolve a separação entre pessoal e profissional, mas continua sendo um app amarrado a um celular físico, com poucos usuários simultâneos e sem gestão centralizada real. Serve bem para empresa pequena com um ou dois atendentes.
3. WhatsApp Business Platform (API Cloud, oficial da Meta). Aqui o número pertence à empresa, não a um aparelho. Múltiplos atendentes trabalham no mesmo número por meio de uma plataforma de atendimento, com fila, histórico persistente, log por operador, métricas e integração com CRM ou service desk. Acesso é concedido e revogado por usuário — desligou o funcionário, revoga o login e o histórico permanece com a empresa. É a única modalidade que sustenta uma política de uso auditável.

Vale um alerta explícito sobre atalhos: existem soluções não oficiais que automatizam WhatsApp por engenharia reversa do protocolo, geralmente vendidas mais barato. Elas violam os termos de uso da Meta e o número usado pode ser banido sem aviso e sem recurso — normalmente no pior momento possível, com a base de clientes toda concentrada naquele contato. Se o WhatsApp é canal de receita, ele precisa estar em infraestrutura oficial.

A política de uso: o que precisa estar escrito e assinado

Ferramenta sem regra escrita não protege ninguém — e, do ponto de vista trabalhista e de LGPD, uma política assinada é o que separa "incidente da empresa" de "conduta individual do colaborador". A política de uso de WhatsApp não precisa ser longa. Precisa ser específica e conhecida.

• Escopo e canal oficial. Quais números são oficiais da empresa, quem responde por eles e qual a proibição explícita de atender cliente por número pessoal.
• Dados proibidos no canal. Senha, token, chave PIX, cópia de documento, dado de cartão, dado de saúde e qualquer categoria sensível não trafegam por WhatsApp. Defina o canal alternativo (cofre de senhas, portal, e-mail assinado) para que a regra seja praticável — proibição sem alternativa vira letra morta.
• Regras de dispositivo. Bloqueio de tela obrigatório, biometria ou PIN, criptografia do aparelho, atualização automática ligada, Verificação em Duas Etapas ativa e revisão mensal dos dispositivos conectados em Aparelhos conectados.
• Aprovação financeira nunca por mensagem isolada. Qualquer solicitação de pagamento, alteração de dados bancários ou transferência exige confirmação por segundo canal — ligação para número já cadastrado, nunca para o número que veio na mensagem. Essa única regra neutraliza a fraude mais cara do WhatsApp corporativo.
• Desligamento. Procedimento formal para revogar acesso, remover de grupos, transferir número corporativo e registrar a devolução do histórico.
• LGPD e retenção. Base legal do tratamento, prazo de retenção das conversas, quem pode exportar e como responder a uma solicitação de titular.

A política só funciona com dois complementos: treinamento curto e recorrente — quinze minutos por trimestre mostrando o golpe real do mês já muda comportamento — e um canal de pânico. Todo funcionário precisa saber exatamente para quem ligar nos primeiros minutos de uma suspeita de conta comprometida. Nesse cenário, tempo de resposta é tudo: dez minutos de vantagem costumam ser a diferença entre um susto e uma transferência concluída.

Saída de funcionário: onde a maioria das empresas perde o controle

O desligamento é o ponto de falha mais previsível e o menos tratado. Quando o vendedor atendia clientes pelo número pessoal, ele não sai levando "os contatos" no sentido figurado — ele sai com a base inteira, o histórico de negociação, as objeções, os preços praticados e o relacionamento. Juridicamente a discussão é longa e cara. Operacionalmente, o cliente continua mandando mensagem para o número dele, que agora atende por outra empresa. Isso não é falha de segurança da informação; é falha de arquitetura de canal, decidida lá atrás quando ninguém definiu de quem era o número.

Há também o risco inverso, mais silencioso: a sessão de WhatsApp Web que ninguém revogou. Um ex-colaborador com sessão ativa em um navegador continua lendo grupos internos por semanas depois da saída, sem gerar nenhum alerta. Por isso a revisão de Aparelhos conectados precisa ser item de checklist de offboarding, junto com a desativação de e-mail e VPN — e, idealmente, uma rotina periódica independente do desligamento.

Checklist mínimo de offboarding para o canal WhatsApp: revogar todas as sessões web do número corporativo; remover o colaborador de todos os grupos internos e de cliente; transferir a titularidade do número corporativo, se o chip estava sob a guarda dele; comunicar formalmente os clientes atendidos sobre o novo ponto de contato; e exportar ou preservar o histórico conforme a política de retenção antes de qualquer limpeza. Se a empresa opera pela API oficial, quase todo esse checklist se reduz a revogar um login — motivo pelo qual a migração se paga sozinha no primeiro desligamento conturbado.

Como a Duk estrutura o WhatsApp corporativo com segurança

Nos mais de 18 anos atendendo empresas e nos mais de 550 clientes que passaram pela nossa operação, o padrão se repete: o WhatsApp entra pela porta dos fundos, cresce sem governança e só recebe atenção depois do primeiro incidente — normalmente um PIX indevido ou um vazamento de base após um desligamento. Corrigir depois custa muito mais do que estruturar antes.

Nosso trabalho começa pelo inventário: mapear quais números falam em nome da empresa, quem os controla e que dado circula por eles. Em seguida vem a separação de canais — migrar atendimento a cliente para número corporativo em plataforma oficial, com histórico e log sob controle da empresa — e o endurecimento do endpoint, com política de dispositivo, 2FA obrigatório, revisão de sessões e integração ao restante da identidade corporativa. Como Microsoft Gold Partner, amarramos essa camada às contas do Microsoft 365 e às políticas de acesso condicional já existentes, para que o desligamento de uma pessoa feche todas as portas de uma vez, não uma por uma.

Fechamos com o que sustenta o conjunto no dia a dia: política de uso escrita em linguagem que o time entende, treinamento de reconhecimento de golpe e um canal de resposta a incidente com SLA — porque, em sequestro de conta, os primeiros minutos definem o prejuízo. Se o WhatsApp já é canal crítico da sua empresa e ainda não passou por essa estruturação, é um bom momento para conversarmos antes que o incidente escolha a data.