Uma cliente diz que já tem um orçamento de outra empresa, pede uma condição melhor e avisa que quer fechar negócio. Junto vem um anexo chamado PROPOSTA_COMERCIAL_ORÇAMENTO. A mensagem chegou pelo WhatsApp a uma empresa do Vale do Paraíba em 3 de novembro de 2026, e o arquivo não é um PDF: é um .js, um script que roda direto no Windows quando recebe dois cliques.
É a isca mais recente de uma família de golpes que mira quem vende pelo WhatsApp. O texto muda (fatura, comprovante, lista para orçamento, contraproposta), mas a lógica é a mesma: fazer alguém abrir no computador um arquivo que parece documento e, na verdade, é programa.
Por que um orçamento nunca chega como arquivo .js?
Porque .js é a extensão de JavaScript, e no Windows esse tipo de arquivo é executado pelo Windows Script Host, um componente antigo do sistema que ainda vem ativado. Dois cliques bastam para o código rodar com as permissões de quem está logado. Um documento comercial de verdade vem em .pdf, .docx, .xlsx ou como imagem.
A Kaspersky descreveu em 30 de junho de 2026 uma campanha com o mesmo desenho, usando arquivos VBScript (.vbs) disfarçados de faturas, extratos e avisos de cobrança. Segundo o comunicado da Kaspersky, o script se passa por componente do Windows Update e instala um programa que dá aos criminosos controle remoto do computador: eles veem a tela, copiam dados e acompanham o que a vítima faz.
Como saber se o anexo do WhatsApp é um script?
O próprio WhatsApp entrega a pista. Abaixo do nome do arquivo aparecem o tamanho e a extensão (no caso recebido, 398 KB · js) e o ícone traz as letras JS no lugar do símbolo de PDF. Nomes longos com sublinhados e palavras em maiúsculas, como ORÇAMENTO_FINAL, servem para esconder o final do nome na tela pequena.
Extensões que nunca deveriam vir de um cliente ou fornecedor:
| Extensão | O que é | Abre como documento? |
|---|---|---|
| .js / .jse | Script JavaScript do Windows | Não, executa código |
| .vbs / .vbe | Script VBScript | Não, executa código |
| .bat / .cmd | Comandos do Windows | Não, executa código |
| .ps1 | Script do PowerShell | Não, executa código |
| .exe / .msi | Programa ou instalador | Não, instala ou roda programa |
| .zip / .rar | Pasta compactada | Pode esconder qualquer um dos itens acima |
A variante com .zip circulou no fim de 2025 com a frase “Segue a lista para orçamento” e levava o malware conhecido como Maverick, de acordo com o Boatos.org. O formato .js elimina a etapa de descompactar, o que torna o golpe mais rápido.
Abrir no celular também é perigoso?
O risco principal está no computador com Windows, onde o script é executado. No celular, um .js costuma abrir como texto ou simplesmente não abre. O problema é que muita empresa atende pelo WhatsApp Web ou WhatsApp Desktop, e é exatamente esse público que a campanha mira: o arquivo baixado pelo navegador cai na pasta Downloads e fica a dois cliques de rodar.
Outro ponto: o malware dessas campanhas costuma usar a sessão aberta do WhatsApp Web da vítima para reenviar o mesmo arquivo aos contatos. Por isso a mensagem pode vir de um cliente antigo ou de um fornecedor conhecido, cuja conta já foi comprometida.
Por que o texto pede desconto em vez de cobrar?
Porque pedido de desconto é a mensagem que quem vende mais quer responder rápido. Ninguém desconfia de um possível cliente dizendo que quer fechar, e a pressa para não perder a venda reduz a atenção ao anexo. Nas versões anteriores, a isca era a cobrança (boleto vencido, fatura em aberto), que funciona melhor com o financeiro. Agora o alvo é o comercial.
A mesma lógica aparece no golpe do boleto falso em empresas: o criminoso escolhe o documento que o setor está acostumado a receber.
Recebi o arquivo e não abri: o que faço com ele?
- Não baixe e não encaminhe. Nem para o técnico de TI pelo próprio WhatsApp.
- Confirme por outro canal. Se o número é de alguém conhecido, ligue e pergunte se a pessoa enviou. Se ela não enviou, a conta dela foi invadida e vale avisá-la.
- Peça o orçamento em PDF ou no corpo da mensagem. Um cliente real não tem problema em colar o valor no texto.
- Denuncie e bloqueie o número pelo menu da conversa, e apague a mensagem para todos os aparelhos em que o WhatsApp está conectado.
Se alguém da equipe já deu dois cliques no arquivo, a ordem de providências é outra e o tempo conta. O passo a passo para quem abriu um arquivo suspeito do WhatsApp detalha o que fazer na primeira hora.
O antivírus não deveria bloquear isso?
Nem sempre. Segundo a análise do CyberSec Brazil, parte dessas campanhas instala programas legítimos de acesso remoto, usados por empresas de suporte, em vez de um vírus conhecido. Para o antivírus, o software parece confiável. Ter proteção atualizada ajuda, mas a barreira que mais funciona é a pessoa reconhecer a extensão antes de abrir.
O erro mais comum nesses casos é confiar no remetente. O golpe só funciona porque a mensagem parece vir de alguém com quem você já negociou. Um anexo .js é suspeito mesmo vindo do seu melhor cliente.
