
A clonagem de WhatsApp quase sempre começa com o próprio usuário enviando, sem perceber, o código de verificação recebido por SMS para o golpista, que se passa por um contato conhecido ou por um serviço qualquer pedindo o número "por engano". Recuperar o controle da conta é possível na maioria dos casos, desde que a ação seja rápida.
O golpista já sabe o número de telefone da vítima, muitas vezes obtido de vazamentos de dados anteriores, e inicia um processo de cadastro do WhatsApp naquele número em outro aparelho. Isso dispara o envio automático de um código de verificação por SMS para o celular da vítima. Em seguida, o golpista entra em contato — se passando por um amigo, um sorteio ou um serviço qualquer — pedindo que a vítima repasse o código "para confirmar alguma coisa". Ao repassar o código, a vítima entrega ao golpista o controle total da própria conta.
Alguns sinais indicam que o processo de clonagem já está em andamento ou concluído:
Ao perceber a invasão, a velocidade de resposta é o fator mais importante:

A prevenção depende principalmente de um hábito simples, mas decisivo:
Diferente da verificação de duas etapas de outros serviços, no WhatsApp esse recurso funciona como um PIN numérico próprio, exigido sempre que o número é registrado em um novo aparelho, mesmo que o golpista já tenha o código enviado por SMS. Ativar esse PIN é a defesa mais eficaz contra a clonagem, porque adiciona uma camada que não depende apenas do celular físico da vítima.
A clonagem de WhatsApp depende quase sempre de engenharia social, não de uma falha técnica do aplicativo. Nunca repassar códigos de verificação e manter o PIN de duas etapas ativo evita a maior parte dos casos, e agir rápido ao perceber sinais de invasão costuma reverter o problema antes de causar dano maior.
É possível recuperar a conta se o golpista já mudou o PIN de duas etapas? Sim, mas o processo é mais demorado. O WhatsApp oferece um período de espera de sete dias para recadastro do número quando o PIN correto não é informado, após o qual o titular original consegue recuperar o acesso.
Preciso registrar boletim de ocorrência em caso de clonagem? É recomendável, principalmente se o golpista usou a conta para aplicar golpes financeiros em nome da vítima junto a terceiros. O boletim serve como respaldo caso seja necessário contestar cobranças ou prejuízos.
Trocar de número de telefone resolve o problema definitivamente? Resolve o risco imediato, mas não é necessário na maioria dos casos. Recuperar a conta original e ativar a verificação em duas etapas costuma ser suficiente para evitar novas tentativas de clonagem.