Malásia alerta para malware no WhatsApp oculto em arquivos ZIP e falsos documentos financeiros

Anexos maliciosos colocam celulares e computadores em risco

O órgão regulador de comunicações da Malásia alertou que arquivos ZIP, anexos e links suspeitos enviados pelo WhatsApp podem expor informações pessoais, permitir acesso não autorizado e deixar usuários sujeitos à invasão de suas contas. Um aviso de segurança datado de 4 de novembro de 2026 descreve criminosos se passando por pessoas conhecidas ou organizações confiáveis para convencer os destinatários a abrir arquivos ou acessar links.

O alerta diz respeito a um aplicativo com estimativa de 32,3 milhões de usuários na Malásia, segundo o aviso original ao consumidor. Esse número indica o público potencial dos ataques; não foi divulgado quantas pessoas foram afetadas pela campanha atual.

A Comissão de Comunicações e Multimídia da Malásia (MCMC), em seu aviso de segurança de 4 de novembro, publicado no site do Conselho de Segurança Nacional, recomenda que os usuários confirmem com os remetentes o envio de arquivos inesperados, verifiquem a lista de Dispositivos conectados do WhatsApp e removam as conexões que não reconhecem.

O risco vai além dos smartphones. O MyCERT, Equipe de Resposta a Emergências de Computadores da Malásia, identificou arquivos maliciosos disfarçados de faturas, extratos de contas, demonstrativos eletrônicos e documentos de pagamento, que os destinatários eram orientados a abrir ou descompactar em computadores com Windows. A Agência Nacional de Cibersegurança (NACSA) também alertou sobre scripts maliciosos distribuídos pelo WhatsApp Web.

Para quem recebe o que parece ser uma conta enviada por um colega ou um documento de um parente, a decisão crucial vem antes de abrir o anexo. Um nome e uma foto conhecidos podem acompanhar uma mensagem enviada por uma conta que já está sob controle de um criminoso.

Como os alertas evoluíram

Os órgãos de cibersegurança da Malásia emitiram vários alertas à medida que a atenção se voltou de documentos aparentemente rotineiros para os softwares ocultos neles. As orientações abrangem tanto o próprio anexo quanto a possibilidade de uma conta comprometida ser usada para abordar outras vítimas.

• 29 de outubro: o MyCERT alertou sobre uma campanha ativa na Malásia que usa arquivos maliciosos disfarçados de documentos financeiros e de pagamento, distribuídos pelo WhatsApp.
• 4 de novembro de 2026: a MCMC alertou sobre arquivos ZIP, anexos e links suspeitos e apresentou medidas para proteger dispositivos e contas do WhatsApp.
• 5 de novembro: a NACSA recomendou que os usuários desativassem o download automático de mídia no WhatsApp e no Telegram, inclusive nas versões para computador, e alertou sobre arquivos .vbs maliciosos no Windows.
• 8 de novembro: a vice-ministra das Comunicações, Teo Nie Ching, pediu mais educação digital e descreveu como um anexo malicioso pode levar ao roubo de dados e à disseminação do ataque entre os contatos da vítima.

Os alertas descrevem caminhos relacionados para invadir dispositivos: uma mensagem inesperada, um documento aparentemente útil e um pedido para abrir algo. O software contido no arquivo pode então roubar informações, dar ao invasor acesso remoto ou ajudar criminosos a assumir o controle de uma conta.

Por que uma fatura pode abrir caminho para invadir um computador

A análise do MyCERT constatou que programas dentro de arquivos ZIP podiam instalar malware que permite controlar computadores com Windows remotamente. Um arquivo ZIP é um contêiner que reúne vários arquivos, muitas vezes para facilitar o envio. Seu conteúdo pode incluir documentos, programas ou scripts.

O alerta da NACSA se concentrou em arquivos .vbs apresentados como documentos financeiros ou jurídicos. Um arquivo .vbs contém instruções que o Windows pode executar. Quando instruções maliciosas são executadas, os invasores podem assumir o controle do computador e acessar informações confidenciais armazenadas nele.

A NACSA também alertou contra arquivos inesperados com as extensões .apk, .zip, .iso e .exe. Um APK é um pacote de instalação de um aplicativo Android, um EXE pode executar um programa do Windows e um ISO é uma imagem de disco que pode conter software. Esses formatos têm usos legítimos, por isso é importante considerar quem enviou o arquivo, para que ele serve e se era esperado.

A medida imediata de proteção é não abrir um anexo suspeito e telefonar para o suposto remetente. Confirmar o envio por um canal confiável permite descobrir se a pessoa realmente enviou o arquivo.

Um contato de confiança pode ajudar a espalhar o ataque

Teo Nie Ching, vice-ministra das Comunicações e deputada por Kulai, descreveu uma possível sequência em que um arquivo ZIP malicioso primeiro expõe os dados do computador e depois ajuda a espalhar o ataque pelo WhatsApp.

Por exemplo, malware está sendo amplamente distribuído por meio de arquivos ZIP. Você pode receber um arquivo desse tipo de um amigo pelo WhatsApp e ser orientado a abri-lo no computador.

Teo disse que as consequências podem surgir depois que o arquivo é aberto:

Depois que o arquivo é aberto, os dados do seu computador podem ser roubados e, talvez duas semanas depois, sua conta do WhatsApp seja invadida e o mesmo arquivo seja enviado a todos os seus contatos.

As duas semanas mencionadas no exemplo indicam uma possível demora. A vítima pode continuar usando o computador e conversando com seus contatos enquanto o invasor coleta informações ou se prepara para usar a conta indevidamente.

Siraj Jalil, presidente da Associação Malaia de Consumidores Digitais, também alertou que o uso generalizado do WhatsApp e a confiança que as pessoas depositam em mensagens de contatos conhecidos tornam o aplicativo atraente para criminosos. Ao assumir uma conta, o invasor ganha uma identidade convincente para abordar parentes, colegas e participantes de grupos.

A MCMC recomenda que quem suspeite de que sua conta foi comprometida avise imediatamente os contatos. O alerta pode interromper a cadeia ao pedir que os destinatários ignorem arquivos ou solicitações inesperadas enviados pela conta afetada.

O que os invasores podem roubar

Dr. Shafiza Mohd Shariff, vice-reitora para assuntos acadêmicos e de tecnologia do Instituto Malaio de Tecnologia da Informação da Universidade de Kuala Lumpur, disse que o malware pode registrar o que os usuários digitam, coletar senhas e outros dados de acesso, acessar informações armazenadas e monitorar atividades em aplicativos financeiros.

Registrar as teclas digitadas significa capturar letras, números e comandos enquanto uma pessoa digita. Isso pode expor credenciais mesmo quando o usuário as insere em um site ou aplicativo legítimo. O acesso remoto cria outro perigo: alguém fora de casa ou do local de trabalho pode conseguir operar o dispositivo infectado.

Shafiza disse que os invasores também podem redirecionar para seus próprios celulares as mensagens com códigos de autorização de transação, ou TAC, em serviços que ainda usam esse tipo de verificação. Um TAC é um código usado para aprovar uma transação. Criminosos que obtêm tanto as credenciais de uma conta quanto um código de aprovação podem conseguir autorizar pagamentos.

Siraj alertou que os criminosos podem tentar obter senhas de uso único, assumir contas do WhatsApp para enganar contatos ou extrair números de telefone, documentos, fotos e outras informações para vender. Spyware também pode ser usado para monitorar o dispositivo e seu proprietário.

As informações em risco, portanto, vão além de uma única conta bancária. Um celular ou computador pode armazenar materiais privados da família, registros de trabalho e dados de contato de outras pessoas. Quando uma conta é usada indevidamente para distribuir anexos, esses contatos se tornam os próximos alvos em potencial.

Reduza a exposição antes que um arquivo inesperado chegue

A NACSA recomendou desativar o download automático de mídia no WhatsApp e no Telegram em celulares e computadores. Isso dá às pessoas mais controle sobre o que chega aos dispositivos. Ainda é preciso verificar os anexos antes de optar por baixá-los, descompactá-los ou executá-los.

Para o WhatsApp em Android e iPhone, a NACSA orientou os usuários a acessar as configurações de Armazenamento e dados e definir os downloads automáticos como Nunca, quando essa opção estiver disponível. No WhatsApp Web e para computador, indicou as configurações de Conversas e Download automático de mídia.

Para o Telegram, os usuários foram orientados a acessar Armazenamento e dados em dispositivos móveis e Configurações avançadas no aplicativo para computador. Os nomes dos menus podem variar conforme a versão do aplicativo e o sistema operacional.

A MCMC também recomenda manter atualizados os sistemas operacionais, aplicativos e softwares de segurança. Shafiza recomendou manter a proteção antivírus ativa em dispositivos móveis para detectar e colocar arquivos maliciosos em quarentena. A quarentena isola um arquivo suspeito para impedir que ele funcione normalmente.

Siraj aconselhou não instalar aplicativos de fontes não oficiais, especialmente arquivos APK piratas que prometem acesso gratuito a serviços de streaming pagos. Também recomendou revisar as permissões dos aplicativos e permitir acesso apenas às informações necessárias para suas funções. Um aplicativo que pede acesso a mensagens, contatos ou arquivos merece atenção especial quando essas permissões não condizem com sua finalidade.

Proteja a conta do WhatsApp, além do dispositivo

A MCMC recomenda ativar a confirmação em duas etapas do WhatsApp e manter em sigilo códigos de verificação, PINs de segurança e senhas. A confirmação em duas etapas acrescenta um PIN ao processo de registro da conta, criando uma barreira extra para quem tentar assumir o controle dela.

Siraj recomendou adicionar um endereço de e-mail para recuperar a conta. Também indicou o uso de chaves de acesso, autenticação biométrica e aplicativos autenticadores como proteções adicionais, quando disponíveis. Uma chave de acesso usa o sistema de segurança do dispositivo para autenticar a pessoa, enquanto a biometria verifica características como impressão digital ou rosto.

A lista de Dispositivos conectados do WhatsApp merece ser verificada regularmente, pois mostra outros dispositivos vinculados à conta. A MCMC recomenda remover qualquer dispositivo desconhecido. Quem confere apenas o celular que tem em mãos pode deixar passar um acesso por computador conectado.

A proteção da conta e a proteção do dispositivo combatem partes diferentes da ameaça. Um PIN de verificação ajuda a proteger o registro da conta, enquanto atualizações, cuidado com arquivos e verificações contra malware protegem o celular ou computador em uso. É preciso adotar ambas porque os criminosos podem explorar qualquer um desses caminhos.

Siraj também recomendou evitar redes Wi-Fi desconhecidas e conexões inseguras. Na campanha com anexos descrita pelo MyCERT e pela NACSA, as precauções mais diretas continuam sendo confirmar a identidade do remetente e não executar arquivos inesperados.

O que fazer depois de abrir um anexo suspeito

A MCMC orienta quem executou um arquivo suspeito e acredita que o dispositivo foi afetado a desconectá-lo da internet, fazer uma verificação de segurança e trocar as senhas relacionadas usando outro dispositivo confiável. A NACSA dá orientações semelhantes e recomenda buscar assistência técnica.

Trocar as senhas em outro celular ou computador seguro é importante porque o malware no dispositivo afetado pode capturar as novas credenciais digitadas. Desconectar o dispositivo também interrompe sua conexão à rede enquanto o usuário busca ajuda e avalia os danos.

Siraj listou sinais de alerta como descarga incomumente rápida da bateria, superaquecimento, mau funcionamento de recursos, dificuldade para receber mensagens SMS e falhas repetidas no recebimento de senhas de uso único solicitadas. Esses sintomas devem ser investigados, sobretudo depois da instalação de um aplicativo inesperado ou da abertura de um anexo.

Quem suspeitar que uma conta bancária foi comprometida ou tiver perdido dinheiro em um golpe deve entrar imediatamente em contato com o Centro Nacional de Resposta a Golpes da Malásia pelo número 997 e avisar o banco correspondente. Uma notificação de transação não reconhecida exige contato imediato com o banco para bloquear o cartão e o acesso ao internet banking.

Violações de dados pessoais podem ser comunicadas ao Departamento de Proteção de Dados Pessoais. Siraj também recomendou proteger as contas afetadas e considerar restaurar o celular às configurações de fábrica, o que retorna o aparelho às configurações originais e remove aplicativos e dados armazenados localmente. A assistência técnica pode orientar a recuperação quando não se sabe ao certo a extensão do comprometimento.

Por que conscientização pública e verificações no trabalho são importantes

Teo disse que o governo e a MCMC não conseguem verificar cada mensagem do WhatsApp antes do envio. Seu alerta coloca decisões cotidianas, como confiar ou não em um documento e confirmar ou não uma solicitação, no centro da prevenção.

Ela disse que as estatísticas de denúncias de golpes on-line mostravam que os golpes de comércio eletrônico geravam o maior número de reclamações, enquanto os golpes de investimento causavam as maiores perdas financeiras. A comparação aponta para duas pressões distintas: o número de pessoas que relatam problemas e a quantia de dinheiro perdida pelas vítimas.

Empresas e organizações também têm um papel a desempenhar, pois os documentos maliciosos descritos pelo MyCERT se parecem com correspondências financeiras rotineiras. Um arquivo de pagamento aberto em um computador de trabalho pode expor informações comerciais, além das contas do próprio funcionário.

Teo pediu que as organizações realizassem auditorias regulares de cibersegurança, especialmente ao atualizar sistemas ou adotar novas tecnologias. Ela identificou a NACSA como responsável por questões nacionais de cibersegurança, com a MCMC podendo oferecer assistência e suporte técnico. Para os usuários, a prioridade prática é imediata: confirmar documentos inesperados, proteger dispositivos conectados e agir rapidamente quando houver risco para o dinheiro ou o acesso a uma conta.

Principais pontos

• O alerta da MCMC de 4 de novembro de 2026 abrange arquivos ZIP, anexos e links suspeitos no WhatsApp, que podem expor dados e permitir a invasão de contas.
• O MyCERT identificou documentos financeiros e de pagamento maliciosos que têm como alvo computadores com Windows, enquanto a NACSA alertou sobre scripts .vbs distribuídos pelo WhatsApp Web.
• Confirme arquivos inesperados telefonando para o remetente, desative os downloads automáticos e mantenha os dispositivos e softwares de segurança atualizados.
• Ative a confirmação em duas etapas, mantenha códigos de verificação em sigilo e remova dispositivos desconhecidos da lista de Dispositivos conectados do WhatsApp.
• Se um arquivo suspeito tiver sido executado, desconecte o dispositivo e troque as senhas usando outro dispositivo confiável. Avise o banco e ligue imediatamente para 997 se houver risco para o acesso bancário ou para o dinheiro.