Alguém pode ler suas mensagens do WhatsApp de outro celular? Veja como saber

Existem três jeitos fáceis de chegar às suas mensagens, e nenhum deles envolve quebrar a criptografia:

• Um dispositivo conectado. WhatsApp, Signal, Telegram, iMessage, Google Mensagens e Messenger permitem usar sua conta em um computador ou tablet. Qualquer pessoa que fique com seu celular desbloqueado por um minuto pode conectar um, e ele continua acompanhando suas conversas depois que ela devolve o celular.
• Seu número de telefone. No WhatsApp, no Telegram e no Signal, seu número é o seu login. Quem conseguir o código enviado para ele pode entrar como se fosse você.
• O próprio celular, ou os backups dele. Outros dispositivos com sessão iniciada na sua Conta Apple, um computador que sincroniza suas mensagens ou um app espião que alguém instalou.

Vamos ver uma por uma.

Um dispositivo conectado recebe a própria cópia de cada mensagem. No WhatsApp e no Signal, o app de quem envia criptografa cada mensagem separadamente para cada dispositivo da sua conta: o seu celular e também o notebook que alguém conectou. A criptografia de ponta a ponta continua funcionando perfeitamente. Ela só conta aquele notebook como uma das suas pontas.

E não é só a polícia. Em fevereiro de 2025, a equipe de inteligência de ameaças do Google relatou que grupos hackers ligados à Rússia estavam enviando a usuários do Signal códigos QR com armadilha, alguns disfarçados de convites para grupos. Bastava ler um deles para o dispositivo do atacante ficar conectado, sem alarde, à conta da vítima.

A boa notícia: os dispositivos conectados aparecem nas configurações do app, e você pode removê-los. O WhatsApp também desconecta um dispositivo conectado depois de 30 dias sem uso, e o Google Mensagens desfaz o pareamento depois de algumas semanas. Mas quem acompanha suas conversas todo dia mantém a conexão ativa.

Abra cada app que você usa e veja a lista de dispositivos. Se aparecer algo que você não reconhece, desconecte:

Faça isso em todos os apps que você usa, não só naquele que preocupa você. Um computador conectado ao seu Telegram ou ao Google Mensagens lê tudo tão bem quanto um conectado ao WhatsApp.

No WhatsApp, no Telegram e no Signal, seu número de telefone é a sua conta. Prove que você tem o número, normalmente com um código de seis dígitos por SMS, e pronto, você está dentro. As próprias perguntas frequentes do Telegram dizem isso com todas as letras: com a verificação em duas etapas ativada, “o número de telefone, por si só, não será suficiente para fazer login na sua conta”.

É nisso que se baseia o golpe mais comum do WhatsApp. Chega uma mensagem, muitas vezes da conta de um amigo que já foi invadida: desculpa, te mandei um código sem querer, pode me mandar de volta? O código é seu, da sua conta. Se você enviar, sua conta é desconectada, enquanto outra pessoa recebe suas mensagens novas e escreve para os seus contatos como se fosse você.

Então nunca compartilhe um código que chegar no seu celular, nem com um amigo. O WhatsApp diz o mesmo. E ative a proteção extra que cada app oferece: a confirmação em duas etapas no WhatsApp (Configurações > Conta > Confirmação em duas etapas), a verificação em duas etapas no Telegram (Configurações > Privacidade e Segurança > Verificação em Duas Etapas) e o bloqueio de registro no Signal (Configurações > Conta > Bloqueio de Registro).

Seu número também pode ser tirado de você diretamente. Na troca de chip (SIM swap), criminosos convencem a sua operadora a passar o seu número para o chip deles. No Reino Unido, as trocas de chip não autorizadas subiram 1.055% em 2024, segundo o serviço de prevenção a fraudes Cifas, e mais 38% em 2025.

E um número diz muito sobre você por si só. Em muitos países, ele fica registrado no seu nome, e em 2025 pesquisadores confirmaram 3,5 bilhões de contas do WhatsApp só verificando números de telefone. Isso explica boa parte de por que criamos um app de mensagens sem números de telefone (em inglês).

No iPhone, suas mensagens do iMessage podem aparecer em outros dispositivos Apple com sessão iniciada na sua Conta Apple: um iPad antigo, um Mac da família, um notebook que você nem lembrava mais que existia. Confira a lista em Ajustes > [seu nome] e remova o que você não usa. A Verificação de Segurança (Ajustes > Privacidade e Segurança > Verificação de Segurança) vai além: mostra quais dispositivos, pessoas e apps têm acesso e permite cortar esse acesso de uma vez só.

Depois vêm os apps espiões, muitas vezes chamados de stalkerware, que alguém instala enquanto está com seu celular desbloqueado. Segundo a Coalition Against Stalkerware, os sinais de alerta incluem bateria que acaba rápido, picos no uso de dados, aumentos sem explicação no Tempo de Uso e notificações estranhas. Mas o sinal mais revelador é uma pessoa que sabe coisas sobre as suas mensagens que não deveria saber.

Se você desconfia que um parceiro ou ex instalou alguma coisa, tome cuidado. A Coalition alerta que remover o app pode ser percebido e deixar a situação mais perigosa, e que isso também apaga provas. Fale primeiro com um serviço de apoio.

Faça isso uma vez, e de novo sempre que algo parecer estranho:

1. 1Abra a lista de dispositivos conectados em cada app de mensagens que você usa e desconecte tudo o que você não reconhecer.
2. 2Ative a confirmação em duas etapas no WhatsApp, a verificação em duas etapas no Telegram e o bloqueio de registro no Signal.
3. 3Nunca compartilhe um código que chegar no seu celular, nem com um amigo.
4. 4No iPhone, faça a Verificação de Segurança e revise os dispositivos com sessão iniciada na sua Conta Apple.
5. 5Use um código forte no celular e não entregue o aparelho desbloqueado a ninguém.
6. 6Fique de olho nos sinais de alerta de apps espiões.

Conferir essas configurações funciona, mas você precisa se lembrar de fazer isso, em cada app, de novo e de novo. Criamos o Morse para que a maioria dessas portas nem exista:

• Sem dispositivos conectados. Uma conta do Morse fica em um só celular. Não há versão web, nem app para computador, nem um segundo dispositivo para conectar, então ninguém consegue adicionar um escondido enquanto está com seu celular.
• Sem número de telefone. O Morse nunca pede um, então não existe código por SMS para alguém arrancar de você nem número para roubar com uma troca de chip. Saiba mais sobre mensagens sem número de telefone.
• Chaves que ficam no seu celular. No iPhone, as chaves do Morse ficam guardadas só para aquele aparelho, então um backup não pode ser lido em nenhum outro dispositivo. No Android, o Morse fica totalmente de fora dos backups na nuvem.
• Um bloqueio que bloqueia de verdade. Com um PIN, o Morse se bloqueia assim que você sai do app e fecha o banco de dados, então um celular desbloqueado largado na mesa não abre suas conversas. E um botão de pânico apaga sua conta em um só passo, até mesmo da tela de desbloqueio.

Um limite, sendo honestos: nenhum app consegue proteger o que está na sua tela de alguém que está com seu celular desbloqueado com uma conversa aberta, nem de um programa espião que grava a tela. Um código forte no celular continua sendo o seu primeiro cadeado.