Conta invadida: o que fazer quando alguém acessa seu e-mail, Google, Microsoft ou rede social

1. Primeiro descubra se você ainda consegue entrar

Essa distinção muda a resposta inteira.

Você ainda consegue entrar

Você ainda possui uma oportunidade de corrigir:

• senha;
• sessões;
• dispositivos;
• métodos de recuperação;
• MFA;
• integrações conectadas.

Faça isso antes de perder o acesso.

Você não consegue entrar

A senha pode ter sido alterada ou o provedor pode ter bloqueado o acesso por segurança.

Nesse cenário, use somente a recuperação oficial do serviço.

Google, Microsoft e Apple mantêm fluxos próprios de recuperação e verificação de identidade.

Não use links recebidos de pessoas desconhecidas nem serviços que prometem “desbloquear” contas mediante pagamento.

2. Se ainda entra, mude a senha antes de começar a “limpar” a conta

Se você identificou acesso não autorizado e ainda consegue entrar, a senha merece prioridade.

Use uma senha:

• nova;
• exclusiva para aquela conta;
• não baseada em uma pequena variação da senha antiga.

Não reutilize a mesma senha em outro serviço.

Google e Apple recomendam uma senha única quando existe suspeita de comprometimento.

A Microsoft também orienta trocar a senha ao identificar atividade que não foi sua.

Mas existe uma ressalva importante:

não presuma que trocar a senha, sozinho, encerra automaticamente toda sessão ativa em todos os provedores.

Por isso, sessão e dispositivo são uma etapa separada do diagnóstico.

3. E-mail comprometido merece prioridade porque recupera outras contas

Uma conta de e-mail costuma receber:

• mensagens de redefinição de senha;
• alertas de segurança;
• códigos ou links de recuperação;
• confirmações de alterações em outros serviços.

Por isso, se o seu e-mail principal foi comprometido, ele merece prioridade antes ou junto das contas dependentes.

Isso não significa que todas as outras contas foram invadidas.

Significa que o invasor pode ter obtido uma posição melhor para tentar recuperá-las.

Depois de proteger o e-mail:

• verifique se existem mensagens de redefinição que você não iniciou;
• confira se regras de encaminhamento ou configurações desconhecidas apareceram, quando o provedor oferece esse recurso;
• revise contas importantes que usam esse endereço para recuperação.

4. Revise sessões, dispositivos e atividade recente

Depois da senha, investigue onde a conta está sendo usada.

Procure por:

• dispositivos que você não reconhece;
• locais ou horários incomuns;
• navegadores desconhecidos;
• sessões ainda ativas;
• alterações de segurança;
• tentativas de login.

Google, Microsoft e Apple oferecem formas de revisar dispositivos ou atividade de segurança.

Quando o provedor permitir:

• remova dispositivos desconhecidos;
• encerre sessões suspeitas;
• use a opção de sair de outras sessões quando fizer sentido.

Na Microsoft, por exemplo, existe atualmente uma opção de sair da conta em praticamente todos os dispositivos, mas isso pode levar algum tempo para surtir efeito.

Não trate essas listas como um registro forense perfeito.

Algumas plataformas mostram apenas eventos relevantes ou resumidos.

5. Confira e-mail, telefone e métodos de recuperação

Essa etapa é crítica porque o invasor pode tentar recuperar a conta novamente depois que você trocar a senha.

Revise:

• e-mail de recuperação;
• telefone de recuperação;
• números confiáveis;
• dispositivos confiáveis;
• contatos ou métodos alternativos;
• fatores de autenticação registrados.

Se encontrar algo que não reconhece, corrija pelo fluxo oficial.

Google e Apple documentam que informações de recuperação ajudam a retomar acesso e podem ser alteradas ao longo do tempo.

Não presuma que todos os provedores usam exatamente os mesmos controles.

6. Restaure a autenticação em duas etapas e proteja os códigos

Depois de recuperar o controle, revise a autenticação multifator.

Se estiver desativada e o provedor oferecer o recurso, ative novamente.

Se algum método foi alterado:

• remova o que não reconhece;
• registre métodos sob seu controle;
• revise dispositivos confiáveis.

MFA dificulta o uso da conta apenas com uma senha roubada.

Mas não trate todos os métodos de MFA como equivalentes neste artigo.

A regra mais importante aqui é:

não forneça código de autenticação, código de recuperação ou aprovação de login a outra pessoa.

Nem mesmo alguém que diga ser “suporte”.

7. Se caiu em phishing, trate a senha digitada como exposta

Se você digitou usuário e senha em uma página suspeita, aja como se essas credenciais tivessem sido expostas.

Não espere aparecer um login desconhecido para só então trocar a senha.

Faça:

• troca de senha;
• revisão de sessões/dispositivos;
• revisão de atividade recente;
• revisão de recuperação;
• MFA.

Se a página recebeu também:

• código de autenticação;
• código de recuperação;
• informações bancárias;

o impacto pode ser maior.

Por outro lado:

clicar em um link, sem digitar credenciais, baixar/executar arquivo ou conceder permissão, não prova automaticamente que a conta foi invadida.

O que aconteceu depois do clique importa.

8. Senha repetida coloca outras contas em risco

Se a senha comprometida era reutilizada, outras contas passam a merecer atenção.

Priorize:

1. e-mail principal;
2. banco e meios de pagamento;
3. contas de identidade;
4. redes sociais;
5. serviços com dados sensíveis.

Troque cada senha por uma senha própria.

Evite apenas acrescentar um número ao final da senha antiga.

Não tente mudar “todas as senhas da internet” antes de estabilizar a conta principal comprometida.

A resposta precisa ser ordenada.

9. Aplicativos conectados e mensagens enviadas sem você merecem revisão

Alguns provedores permitem que aplicativos de terceiros tenham acesso a partes da conta.

No Google, por exemplo, aplicativos conectados podem receber permissões para:

• consultar dados;
• copiar dados;
• criar;
• editar;
• excluir informações, dependendo do acesso concedido.

Revise integrações que você não reconhece e remova o acesso quando apropriado.

Não conclua que todo login estranho veio de um aplicativo conectado.

Também verifique se o invasor usou sua identidade para enviar:

• e-mails;
• mensagens;
• posts;
• links de golpe.

Depois de estabilizar a conta, pode ser necessário avisar contatos afetados.

Preserve antes:

• capturas;
• horários;
• URLs;
• nomes de contas;
• mensagens relevantes.

10. Preserve evidências e aja rápido se houver impacto financeiro

Antes de apagar tudo, registre o que pode ajudar:

• alerta de login;
• horário;
• dispositivo desconhecido;
• alteração de segurança;
• mensagem enviada pelo invasor;
• compra ou transferência não reconhecida;
• número de protocolo.

Não coloque em captura pública:

• senha;
• código MFA;
• código de recuperação;
• chave de segurança;
• dados bancários completos.

Se houve:

• compra não autorizada;
• transferência;
• cartão usado;
• alteração em conta financeira;

contate imediatamente o banco, instituição de pagamento ou provedor envolvido por canal oficial.

Não espere concluir toda a investigação digital para avisar uma instituição financeira.

Este artigo não promete estorno ou reembolso: isso depende do provedor e do caso.

11. O que não fazer quando uma conta foi invadida

Evite decisões que criam um segundo problema.

Não:

• pague serviço informal de “recuperação de conta”;
• envie senha para “suporte”;
• informe código MFA;
• informe código de recuperação;
• permita acesso remoto a um desconhecido;
• clique em link de recuperação enviado por estranho;
• reutilize a senha comprometida;
• conclua que o computador está infectado só porque a conta foi acessada;
• formate celular/computador automaticamente;
• apague todas as mensagens e alertas antes de registrar evidências.

Golpistas de suporte técnico exploram exatamente a urgência criada por uma conta invadida.

FTC e Microsoft alertam para golpes que usam medo, solicitação de acesso remoto e cobrança por “reparo”.

Use canais oficiais que você mesmo abriu a partir do site ou aplicativo legítimo.

12. Quando usar recuperação oficial ou procurar suporte

Use a recuperação oficial quando:

• a senha foi alterada;
• você perdeu o acesso;
• telefone/e-mail de recuperação foram modificados;
• MFA impede o login porque o método não é mais seu.

Google recomenda, quando possível, fazer a recuperação a partir de dispositivo, navegador e local já usados anteriormente.

A Apple também prioriza dispositivo confiável quando disponível e possui recuperação de conta quando isso não é possível.

A Microsoft possui fluxos próprios de recuperação e proteção de conta.

Procure suporte oficial quando:

• o fluxo de recuperação não resolve;
• há conta corporativa/escolar;
• houve acesso administrativo;
• métodos de recuperação foram alterados;
• compras ou serviços vinculados foram afetados.

Se houver evidência adicional de malware, software desconhecido ou acesso remoto ao dispositivo, trate isso como um problema separado. Veja [Celular ou computador foi hackeado? Como identificar sinais reais antes de entrar em pânico](/br/35/software-it/cybersecurity-vpn-privacy/celular-ou-computador-foi-hackeado).

Conclusão

Uma resposta segura a conta invadida segue esta ordem:

acesso → dispositivo confiável → senha → sessões/dispositivos → recuperação → MFA → senhas reutilizadas → integrações → evidências → suporte.

Se o e-mail principal foi comprometido, trate-o como prioridade porque ele participa da identidade e recuperação de outros serviços.

Não dependa apenas da troca de senha.

O objetivo é recuperar o controle e impedir que o invasor consiga voltar pelos mesmos caminhos.

Fontes públicas

• Ajuda da Conta do Google — Proteger uma Conta do Google invadida ou comprometida.
• Ajuda da Conta do Google — Dicas para concluir as etapas de recuperação de conta.
• Ajuda da Conta do Google — Configurar as opções de recuperação.
• Ajuda da Conta do Google — documentação sobre apps de terceiros conectados.
• Microsoft Support — What happens if there's an unusual sign-in to your account.
• Microsoft Support — What is the Recent activity page?
• Microsoft Support — How to sign out of your Microsoft account everywhere.
• Apple Support — If you think your Apple Account has been compromised.
• Apple Support — recuperação de conta e dispositivos/números confiáveis.
• CISA — Secure Our World.
• FTC — How To Spot, Avoid, and Report Tech Support Scams.