Enviamos uma foto do documento de identidade para o contador, um extrato bancário para o parceiro, uma senha temporária para um colega. Tudo isso passa pelo WhatsApp, muitas vezes sem pensar. A criptografia de ponta a ponta, exibida a cada abertura de conversa, dá a impressão de que essas trocas estão seguras. A realidade é mais sutil, e alguns pontos cegos merecem atenção.
Backup na nuvem: o elo que a criptografia de ponta a ponta não cobre
A criptografia de ponta a ponta protege as mensagens durante o trânsito. Concretamente, nem o WhatsApp nem o Meta podem ler o conteúdo de uma conversa em andamento. O problema surge depois.
Quando ativamos o backup automático no Google Drive ou iCloud, o histórico das conversas sai do perímetro da criptografia de trânsito. Por padrão, essas cópias não têm o mesmo nível de proteção. Elas são armazenadas nos servidores do Google ou da Apple, sujeitas às suas próprias condições de acesso, incluindo em caso de requisição judicial.
O WhatsApp oferece há vários meses uma opção de backup criptografado de ponta a ponta, protegido por uma senha ou uma chave de 64 dígitos. Pode-se ativá-la nas configurações do aplicativo, na seção Conversas e depois Backup. Aqueles que analisam a segurança no WhatsApp com a Bewise detalham bem esse mecanismo e suas implicações concretas.
O truque: se perdermos essa senha, o backup se torna irrecuperável. O WhatsApp não pode redefini-la por você. O conselho prático, portanto, é duplo: ativar a criptografia do backup e, em seguida, armazenar o segredo em um gerenciador de senhas confiável e acessível em caso de troca de telefone.
Metadados do WhatsApp: o que o Meta coleta mesmo com a criptografia
Focamos frequentemente no conteúdo das mensagens. O conteúdo é criptografado, tudo bem. O que não é criptografado são os metadados: quem fala com quem, a que horas, de qual dispositivo, com que frequência, em qual grupo.
Essas informações são suficientes para traçar um perfil comportamental detalhado. Um empregador que troca mensagens exclusivamente com uma agência de recrutamento entre 12h e 14h, um paciente que contata um especialista em intervalos regulares: os metadados contam uma história que a criptografia não oculta.
O Meta usa esses metadados para alimentar seu ecossistema publicitário. A política de privacidade do WhatsApp especifica que certos dados são compartilhados com outras entidades do grupo (Facebook, Instagram). O RGPD limita essa prática na Europa, mas não a elimina totalmente.
O que os metadados revelam sem ler uma única mensagem
- A rede de contatos: a lista de números com os quais se troca mensagens, a frequência e a duração das interações, os grupos aos quais se pertence
- Os hábitos de conexão: horas de atividade, tempo gasto no aplicativo, tipo de dispositivo e versão do sistema operacional
- A localização indireta: o endereço IP no momento da conexão permite estimar a área geográfica, mesmo sem ativar o compartilhamento de localização
Multa do RGPD e transparência: o que a regulação europeia mudou
Em 2021, a Comissão de Proteção de Dados da Irlanda impôs uma multa de 225 milhões de euros ao WhatsApp. A acusação foi sobre o não cumprimento das obrigações de transparência previstas pelo RGPD, não sobre o conteúdo das mensagens em si.
O WhatsApp não informava suficientemente os usuários sobre como seus dados eram tratados e compartilhados com o Meta. O problema era a falta de clareza, não uma falha técnica.
O Tribunal de Justiça da União Europeia confirmou, em fevereiro de 2026, que as decisões vinculativas do Comitê Europeu de Proteção de Dados poderiam ser contestadas diretamente nas jurisdições europeias. O recurso do WhatsApp sobre o fundo ainda estava em análise nessa data. Esse litígio mostra que a batalha regulatória não se concentra apenas no que o WhatsApp faz com seus dados, mas também no que o aplicativo diz a você sobre isso.
Configurações de privacidade do WhatsApp: as configurações a verificar agora
Em vez de listar conselhos genéricos, focamos nas configurações que têm um impacto real e que a maioria dos usuários deixa por padrão.
Verificação em duas etapas
Acessível em Configurações, depois Conta. Definimos um código PIN de seis dígitos solicitado periodicamente e ao registrar o número em um novo dispositivo. É a proteção mais eficaz contra o sequestro de conta, uma técnica comum de phishing onde um terceiro tenta registrar seu número em seu próprio telefone.
Visibilidade do perfil e do status
Por padrão, a foto do perfil, o status e a hora da última conexão são visíveis para todos os contatos. Podemos restringir cada um desses elementos para “Meus contatos” ou “Ninguém” nas configurações de privacidade. Não é um gadget: a hora da última conexão, cruzada com outras informações, facilita a engenharia social.
Mensagens efêmeras
Podemos ativar a exclusão automática das mensagens após 24 horas, 7 dias ou 90 dias, conversa por conversa ou por padrão para todas as novas discussões. Para trocas que contêm documentos sensíveis (documentos de identidade, dados bancários), o modo efêmero limita a janela de exposição em caso de acesso não autorizado ao telefone.
- Ativar o backup criptografado de ponta a ponta e armazenar a senha em um gerenciador dedicado
- Configurar a verificação em duas etapas com um PIN de seis dígitos
- Restringir a visibilidade da foto do perfil, do status e da hora da última conexão
- Usar mensagens efêmeras para qualquer envio de documento sensível
O WhatsApp oferece um nível de proteção do conteúdo das mensagens superior ao de muitos aplicativos de mensagens populares. O limite concreto está do lado dos metadados, dos backups na nuvem não criptografados por padrão e da falta de transparência sobre o compartilhamento de dados com o Meta. A segurança real depende tanto das configurações que ativamos quanto da própria criptografia.
