Falsa votação de balé no WhatsApp: o código que rouba contas

A mensagem chega no WhatsApp, de um contato que você conhece, muitas vezes no meio de uma conversa antiga: "Oi! A Sophie, filha de uns amigos meus, está concorrendo a uma bolsa de estudos e à chance de se apresentar no palco. Você pode dar um voto para ela?", com um link. Não existe votação. A página pede o seu número e, depois, um "código de verificação". Esse código liga o seu WhatsApp ao aparelho de um golpista.

Como o golpe funciona

1. A isca vem de alguém de confiança. O contato que mandou já teve a conta tomada pelo mesmo golpe. Quem escreve é o golpista, usando o WhatsApp dele.
2. A página imita um concurso de balé. Usa o nome de uma escola real de Praga, mostra duas finalistas e um placar apertado ("faltam só 5 votos"). Os nomes mudam conforme o país: Sophie, Sofie, Eliška.
3. Para "confirmar o voto", pede o seu número de telefone. Nesse momento, o servidor do golpista pede ao WhatsApp a ligação de um novo aparelho à sua conta.
4. A página mostra um código de 8 caracteres (por exemplo, ABCD-1234) e explica, passo a passo, como digitá-lo em WhatsApp › Aparelhos conectados › Conectar com número de telefone.
5. Se você digita o código, entregou a sua conta a um aparelho que não é seu. Você continua usando o WhatsApp normalmente e não percebe nada. O golpista lê as suas conversas e escreve como se fosse você.

Esse código não é o SMS de seis dígitos de cadastro. É o código oficial de "conectar aparelho" do próprio WhatsApp, por isso a tela parece legítima.

O que acontece depois

A sua conta passa a trabalhar para o golpe:

• pede dinheiro aos seus contatos, com uma história de urgência ("preciso pagar o dentista hoje", "me empresta e te devolvo amanhã");
• manda a mesma isca da votação para a sua agenda, e cada contato que cai entrega mais uma conta.

Pela apuração da CyberX, as contas tomadas são guardadas num painel e podem ser exportadas em lote e repassadas a terceiros. Uma conta sequestrada vira mercadoria.

O que a apuração da CyberX encontrou

• A campanha é internacional e roda desde julho de 2026. O mesmo modelo de página apareceu em pelo menos 140 domínios entre 19/07 e 30/10/2026, primeiro em alemão e depois em espanhol, francês, dinamarquês, holandês, polonês, islandês, português e outros: a página traduz-se sozinha em mais de 40 idiomas.
• No Brasil, o link que mais circulou foi ballethfibs.cc, registrado em 22/10/2026 e citado em alerta do Tribunal de Justiça de Pernambuco. Em 30/10 já circulava a versão seguinte, awardancing.cc ("Audience Vote — International Dance Academy").
• Os domínios trocam quase todos os dias, ficam atrás de intermediários e usam serviços de privacidade no registro. Bloquear um link não resolve: o padrão é o mesmo.
• Uma gravação real da tela do golpe mostra o formulário pedindo o número e, em seguida, o código de 8 caracteres gerado pelo servidor dos golpistas, com o botão "Copiar" e as instruções para conectar o aparelho.
• A escola cujo nome é usado é vítima, não participa. A First International Ballet School, de Praga, publicou aviso dizendo que não faz votação on-line e nunca pede código de verificação nem login de WhatsApp.
• Quem está por trás. A estrutura técnica (painel com equipe de "operadores", interface em russo, ucraniano e bielorrusso, contas guardadas e exportadas em lote) coincide com a de um painel de roubo de contas de WhatsApp oferecido desde dezembro de 2023 e descrito em 2024 pela empresa de segurança F6. Pela apuração da CyberX, o golpe é operado com essa ferramenta.

O que a apuração não permite afirmar

• Quem são as pessoas por trás do painel ou quantas equipes o usam. O painel é vendido a quem paga; a mesma ferramenta pode estar nas mãos de grupos diferentes.
• Que o contato que mandou a mensagem tenha participado. Ele é, quase sempre, a vítima anterior.
• Que todo link de "votação" seja este golpe. O que identifica este é a combinação: votação de balé ou dança, pedido do número e um código para "confirmar".

Se você recebeu a mensagem

• Não clique e não digite o seu número em nenhuma página de votação.
• Ligue para quem mandou, por telefone, e avise: a conta dessa pessoa provavelmente foi tomada.
• Ative a confirmação em duas etapas no WhatsApp: Configurações › Conta › Confirmação em duas etapas, com um PIN que só você sabe.

Se você já digitou o código

1. Abra o WhatsApp › Configurações › Aparelhos conectados e desconecte tudo o que você não reconhece (costuma aparecer como "Google Chrome" ou um computador).
2. Ative ou troque o PIN da confirmação em duas etapas.
3. Avise os seus contatos, de preferência por outro canal, que pedidos de dinheiro e de voto vindos de você nos últimos dias não foram seus.
4. Se alguém pagou um pedido em seu nome: o pagador deve ir ao banco no mesmo dia pedir a devolução pelo MED do Pix e registrar boletim de ocorrência.
5. Se o link que você recebeu está na lista desta página, ou é parecido, conte o que aconteceu no formulário da central: cada relato ajuda a ligar as próximas ondas.