PDF recebido no WhatsApp de desconhecido: abro ou não? Passo a passo

Não abra um PDF de número desconhecido antes de conferir três coisas: o nome completo do arquivo, a extensão, e quem está mandando e por quê. Se o nome termina em .exe, .html ou em qualquer coisa além de .pdf, não é um documento. Se o remetente não é ninguém que você espera receber algo, bloqueie e denuncie antes de tocar no arquivo.

Primeiro, veja o arquivo sem abrir

Um PDF de verdade tem o nome e a extensão .pdf no fim. Golpistas usam dois truques comuns: um nome com dois pontos, como “boleto.pdf.exe”, em que a parte que importa é a última, e um arquivo que é na verdade uma página web com extensão de PDF. A explicação sobre arquivos disfarçados mostra como ver a extensão real no celular e no computador.

Veja também o tamanho do arquivo e a mensagem que o acompanhou. Um documento de cobrança que chega sem texto nenhum, só com a palavra “urgente”, é um sinal de alerta. O tamanho ajuda pouco, mas um arquivo minúsculo chamado de comprovante ou boleto merece desconfiança, como o aviso de encomenda taxada com boleto descrito em taxa dos Correios com boleto em PDF.

Ajuste o WhatsApp para não baixar sozinho

Dependendo do aparelho e das suas configurações, o WhatsApp pode baixar documentos automaticamente assim que a mensagem chega. Desligar isso é a medida mais útil, porque o arquivo só entra no celular quando você toca nele. O caminho muda entre versões do WhatsApp, mas em geral fica em Configurações, em Armazenamento e dados, na seção de download automático de mídia. Desmarque documentos para as conversas, e deixe ligado só o que você quer receber sem perguntar. Para guardar com segurança um PDF de alguém conhecido, veja como salvar PDF do WhatsApp no celular.

Como abrir com segurança, se for preciso

Se você precisa ver o conteúdo e não tem como confirmar quem enviou, prefira um caminho que não execute o arquivo no aparelho principal. Um jeito simples é converter a primeira página em imagem e abrir só a imagem. O PDF para imagem do AjustaPDF faz isso e devolve um arquivo PNG ou JPEG, sem os links e os scripts que podem estar dentro do PDF. Essa conversão não elimina o risco de um arquivo malicioso, mas tira do caminho o que é executável.

A conversão envia o arquivo ao servidor, o que é diferente de abri-lo no aparelho, mas não substitui a checagem de quem enviou. E não cole no navegador o link que estiver dentro do PDF. Se o documento é de um órgão, procure o endereço oficial digitado por você mesmo, nunca o que veio na mensagem.

Denunciar e guardar a prova

Antes de bloquear, tire uma captura da conversa com o número visível e o arquivo na tela. Depois, bloqueie e denuncie o contato pelo próprio WhatsApp. Bloquear impede novas mensagens, e a denúncia ajuda a plataforma a identificar a conta. Se houve pagamento ou dados entregues, registre um boletim de ocorrência online e avise o banco.

A parte que mais pesa é não tocar no link. Um PDF que leva a uma página de login falsa pede o que você não deve dar: senha, código de verificação ou dados do cartão. Se você já clicou e digitou algo, troque a senha do serviço pelo caminho oficial e avise o banco pelo número do cartão, não pelo que veio na mensagem.

Quando o remetente é conhecido

Um PDF de um contato salvo, na conversa que você espera, costuma ser seguro. Se ele só não abre, o problema é outro: veja o PDF do WhatsApp que não abre no celular. Mesmo assim, se a mensagem pede algo fora do comum, como trocar a conta de pagamento ou enviar senha, vale confirmar por ligação ou pessoalmente. Contas de conhecidos podem ser invadidas, e o arquivo chega com a cara de quem enviou.

Para conferir um link que aparece dentro de um PDF antes de clicar, o guia sobre como checar o link de um PDF mostra o passo a passo. E para entender por que um PDF pode carregar código, veja se um PDF pode ter vírus. Se o golpe vier como app de leitor, o guia sobre o leitor de PDF falso mostra os sinais.

Mensagens que dizem ser de um órgão, de um banco ou de uma loja pedem, quase sempre, uma resposta rápida. Esse é o ponto em que a checagem importa mais. Procure o canal que você já usava com a instituição, como o aplicativo oficial ou o número salvo nos seus contatos, e pergunte se aquela cobrança ou aquele documento existe antes de fazer qualquer coisa.