Analisei um golpe real do WhatsApp e descobri o IP

Leitura: 8–11 min • Atualizado: 18/02/2026

Objetivo deste guia: te mostrar como um golpe do WhatsApp se “sustenta” na prática e como você consegue chegar na infraestrutura (domínio/IP/ASN) usando ferramentas públicas — sem paranoia e com passo a passo.

Sumário rápido

Resumo do caso Sinais do golpe Preservar provas Como cheguei no IP Interpretar IP/ASN O que fazer Checklist 90s FAQ

Ilustração de alerta de link de phishing no celular — Ilustração (livre): “phishing link detected” no celular. Use como imagem de abertura do caso.

Importante: em golpes de WhatsApp, “descobrir o IP” quase nunca significa que você achou a casa do criminoso. Normalmente você encontra um servidor (VPS/CDN/proxy) usado no golpe — ainda assim, isso ajuda a denunciar, bloquear e entender a ameaça.

Ferramenta: Identificar link falso Ferramenta: Rastreio de IP

Resumo do caso (real, do jeito que acontece)

Um cliente recebeu uma mensagem no WhatsApp com urgência e ameaça:

“Sua conta será bloqueada hoje. Confirme seus dados para continuar usando o WhatsApp.”

O golpe tinha 3 peças clássicas:

Pressa: “hoje/24h/agora”.
Medo: “bloqueio”, “perda de conta”.
Ação rápida: um link para “confirmar” algo.

O link abria um site muito parecido com “página oficial”, pedindo: número, código, e às vezes até e-mail/senha. Isso é a porta de entrada para sequestro de conta, roubo de dinheiro e pedidos falsos para contatos.

Sinais que denunciaram o golpe em 10 segundos

Link com domínio estranho (não era whatsapp.com, meta.com, etc.).
Muita urgência e linguagem agressiva (“último aviso”).
Página pedindo dados que o WhatsApp normalmente não pede assim.
“Suporte” via WhatsApp/Telegram com perfil genérico.

Regra de ouro: se a mensagem quer que você clique com pressa, é porque o golpista não quer que você pense.

Antes de investigar: preserve provas (isso faz diferença)

Se você vai analisar ou orientar alguém, primeiro você precisa guardar o básico:

Print da conversa (incluindo o número/perfil que enviou).
Link completo (sem encurtar).
Se abriu no navegador: copie a URL final (às vezes muda por redirecionamento).
Se possível: anote dia/hora e o que foi digitado (se algo foi digitado).

Não use “cliquei pra ver se era golpe”. Clique é exatamente o que o golpe precisa. Se precisar analisar, faça em ambiente isolado (ou só use verificação por link/IP sem abrir).

Como eu cheguei no IP (sem mágica, sem hack)

O caminho é quase sempre esse:

1) Identificar o domínio (o “nome” do site).
2) Ver DNS (pra onde esse domínio aponta).
3) Coletar IP (A/AAAA ou IP do servidor por trás).
4) Checar reputação (Abuse/VirusTotal).
5) Checar dono/ASN (WHOIS/RDAP).

Passo 1 — “Qual é o IP desse domínio?”

Quando um domínio aponta direto para um servidor (VPS), é comum aparecer um registro A com um IPv4. Em alguns golpes, aparece Cloudflare/CDN e o IP vira do proxy (aí você não vê o “real” — e tudo bem).

Passo 2 — Checar se o IP já tem histórico

Eu verifico rapidamente:

AbuseIPDB (denúncias e categoria: brute force, spam, etc.)
VirusTotal (se aquele IP/domínio já apareceu associado a phishing)
WHOIS/RDAP (empresa/ASN/bloco)

Ilustração de Scam Alert — Ilustração (livre): “SCAM ALERT” — boa para marcar o ponto onde você confirma que era golpe.

Como interpretar o que você encontrou (sem cair em paranoia)

IP de datacenter/VPS: comum em phishing. Golpista sobe e derruba rápido.
IP com denúncias recentes: pesa muito mais que denúncias antigas.
ASN “conhecido” de hospedagem: não prova culpa, mas reforça automação.
IP protegido por CDN: você vai ver o IP da CDN, não do servidor real. Ainda dá pra denunciar o domínio/URL.

Erro comum: “Achei o IP, agora eu sei quem é”. Não. Você achou a infra. O objetivo é bloquear/denunciar e proteger a vítima.

O que fazer quando o golpe já aconteceu

Se digitou dados: trocar senhas imediatamente (e-mail primeiro).
Ativar 2FA em WhatsApp, e-mail e redes sociais.
Revisar “dispositivos conectados” e sessões ativas.
Alertar contatos (o golpista vai tentar pedir PIX/“ajuda”).
Denunciar link/domínio (plataforma, provedor, Abuse/VirusTotal).

🧍 Usuário comum
1) Troque senha do e-mail
2) Ative 2FA
3) Revise sessões/logins
4) Avise contatos
5) Bloqueie e denuncie o número/link

🏢 Provedor / Suporte
1) Oriente sem julgamento (rápido!)
2) Colete link/prints (provas)
3) Ajude a checar domínio/IP/ASN
4) Sugira BO/denúncia quando cabível
5) Faça campanha educativa (recorrência)

Checklist prático (90 segundos)

✅ O link é de domínio estranho (não oficial)?
✅ O site pede código/senha/dados demais?
✅ O domínio é novo ou sem histórico?
✅ IP/ASN é de datacenter e tem denúncias recentes?
✅ Houve redirecionamento suspeito e “urgência” no texto?

Ferramentas do Segurança Tech:
• Identificador de links falsos
• Rastreio de IP • Meu IP • Meu ASN

Perguntas frequentes (FAQ)

Descobrir o IP significa descobrir o criminoso?

Normalmente não. Você encontra a infraestrutura (servidor/CDN/VPS). Isso é ótimo para denunciar e bloquear, mas não identifica uma pessoa.

Se o site usa Cloudflare, não dá pra fazer nada?

Dá sim: denunciar o domínio/URL, registrar evidências e checar reputação. O IP real pode ficar protegido, mas o golpe ainda pode cair.

Se eu cliquei, já era?

Clicar não é o fim do mundo, mas é sinal de alerta. O risco maior é digitar dados, instalar app ou conceder permissões. Faça o checklist e ajuste segurança.

Qual a proteção mais forte contra golpe de WhatsApp?

2FA no WhatsApp + e-mail bem protegido + desconfiar de urgência. E nunca informar código recebido por SMS.

Voltar aos Artigos Artigo: Link falso Ferramenta: Links falsos