Em resumo
- "Hackeado" quase sempre significa alguém entrou na tua conta a partir de outro lugar. Raramente significa que alguém invadiu a própria plataforma. Esta distinção é importante — e torna a situação mais controlável do que parece.
- Os primeiros dez minutos determinam a maior parte do resultado. Sigue os passos abaixo em ordem, com calma, a partir de um dispositivo diferente se possível.
- Muda primeiro a senha e ativa a autenticação em dois fatores na conta afetada. Depois faz o mesmo para a conta de e-mail associada, pois o e-mail é a chave-mestra de tudo o resto.
- Avisa rapidamente as pessoas à tua volta. Uma conta comprometida é frequentemente usada para fazer phishing às pessoas que confiam em ti. Uma breve mensagem de aviso para a segunda vaga.
- Depois de completada a resposta imediata, dedica tempo à recuperação — analisa o que o atacante pode ter visto, que métodos de pagamento pode ter alterado, e o que pode ter configurado para manter o seu acesso (regras de reencaminhamento, senhas de aplicações, números de recuperação).
O que é
Quando alguém diz "fui hackeado", quase sempre quer dizer uma destas coisas:
- Um atacante entrou numa das tuas contas — mais frequentemente e-mail, redes sociais, uma conta de compras ou uma conta de streaming. Obteve a tua senha a partir de um site de phishing, de uma base de dados vazada, de alguém que te viu digitá-la, ou pela reutilização de uma senha em vários sites.
- Um atacante sequestrou uma sessão — não tinha a tua senha, mas obteve o cookie ou o token que prova que já tinhas a sessão iniciada (muitas vezes através de uma extensão de browser maliciosa ou de um site comprometido).
- Um dispositivo está infetado — foi instalado software que regista o que escreves ou rouba o que está no ecrã. Menos comum do que as pessoas pensam, mas real.
- Um SIM-swap — o atacante convenceu a tua operadora a transferir o teu número para o cartão SIM dele. Agora recebe os teus códigos de verificação por SMS. Menos comum, mais perigoso, usado principalmente contra pessoas com criptomoedas significativas ou contas de alto perfil.
Os primeiros sinais são semelhantes nos quatro casos:
- Alertas de início de sessão em locais onde nunca estiveste.
- E-mails de redefinição de senha para contas que não pediste para redefinir.
- Amigos a perguntar por que lhes enviaste um link estranho.
- Publicações, fotos ou mensagens na tua conta das redes sociais que não criaste.
- Notificações bancárias ou do cartão para compras que não fizeste.
- O teu telemóvel a mostrar de repente e inexplicavelmente "sem serviço".
O que fazer — os primeiros dez minutos
Segue esta lista por ordem. Não saltes nenhum passo, mesmo que pareça óbvio. A partir de um segundo dispositivo (outro telemóvel, um tablet, o portátil de um familiar) se conseguires. Se não conseguires, usa o dispositivo que tens — a rapidez importa mais do que a perfeição.
- Identifica a conta afetada. Se não tens a certeza de qual é — começa pelo e-mail. O e-mail é a chave-mestra; quase todas as outras contas podem ser repostas a partir dele.
- Termina a sessão em todos os dispositivos/sessões na conta afetada. Quase todas as grandes plataformas têm um botão "Terminar sessão em todos os dispositivos/sessões" nas definições de segurança. Prime-o. Isto expulsa o atacante, pelo menos por um momento.
- Muda a senha. Usa uma senha forte e única — pelo menos 14 caracteres, não usada em nenhum outro site. Um gestor de senhas torna isto simples; se não tiveres um, escreve a nova senha num papel e guarda-o num lugar seguro por esse dia.
- Ativa a autenticação em dois fatores. Usa uma aplicação de autenticação (Google Authenticator, Microsoft Authenticator, Authy, Aegis no Android) em vez de SMS sempre que possível. O SMS para 2FA é melhor do que nada, mas pode ser contornado por um SIM-swap.
- Verifica e remove os "dispositivos de confiança" e as "senhas de aplicação". O atacante pode ter autorizado um dispositivo ou gerado uma senha específica para uma aplicação para manter o acesso mesmo depois de mudares a tua senha principal. Remove tudo o que não reconheceres.
- Verifica o e-mail de recuperação e o número de telemóvel de recuperação. Os atacantes muitas vezes alteram estes para poderem redefinir a conta a seu favor. Restaura-os para os teus próprios dados de contacto.
- Verifica as regras de reencaminhamento e os filtros da caixa de entrada (para contas de e-mail). Um dos truques mais comuns: o atacante cria uma regra oculta que reencaminha uma cópia de cada e-mail recebido para si mesmo, para intercetar futuras redefinições de senha. Abre a lista de filtros/regras e elimina tudo o que não criaste.
- Faz o mesmo para a tua conta de e-mail — se a conta comprometida não era já e-mail. O e-mail é a chave-mestra. Se o atacante entrou na tua conta de compras, provavelmente também tentou aceder ao e-mail.
- Avisa as pessoas. Uma breve mensagem — enviada por um canal diferente como WhatsApp ou SMS — para amigos, família e colegas: "A minha conta foi comprometida. Se recebeste uma mensagem estranha da minha parte no último dia, ignora-a." Isto para a segunda vaga de phishing que o atacante está a enviar aos teus contactos.
O que fazer — as próximas 24 horas
O incêndio está apagado. Agora verifica o que o atacante pode ter feito enquanto estava dentro.
- Revê a atividade recente de início de sessão na conta afetada. Muitas plataformas mostram uma lista de dispositivos e localizações. Termina a sessão em tudo o que não reconheceres.
- Revê as mensagens enviadas e as publicações. O atacante enviou mensagens a alguém? Publicou alguma coisa? Pede desculpa a quem quer que tenha recebido uma mensagem estranha tua, e pede-lhe que ignore os links.
- Revê os métodos de pagamento e os cartões guardados. Os atacantes por vezes adicionam o seu próprio cartão à tua conta para comprar coisas com a tua faturação guardada ou mudar uma morada de entrega.
- Revê as aplicações ligadas e os acessos de terceiros. A maioria das plataformas tem uma página de "aplicações ligadas"; revoga tudo o que não usas ativamente.
- Verifica as contas ligadas. "Iniciar sessão com Google" ou "Iniciar sessão com Apple" ou "Iniciar sessão com Facebook" significa que uma única conta é a chave de muitas outras. Se a conta central foi comprometida, todos os serviços associados também podem estar.
- Para e-mail em particular: procura no lixo os e-mails de redefinição de senha que o atacante pode ter usado para entrar noutras contas. Esse é o mapa mais claro de onde foi a seguir.
O que fazer — as duas semanas seguintes
- Fica atento ao phishing personalizado. Os atacantes que acederam à tua caixa de entrada agora sabem que banco usas, em que lojas encomendas, quem são os teus colegas. Espera uma segunda vaga de e-mails falsos muito convincentes.
- Monitoriza os teus extratos bancários e de cartão em busca de transações que não reconheças — tanto grandes como muito pequenas (os atacantes costumam testar com uma compra pequena antes de uma grande).
- Monitoriza o teu relatório de crédito se o teu país oferece monitorização de crédito gratuita (a maioria dos países da UE, o Reino Unido, os EUA e muitos outros oferecem). Novos pedidos de crédito que não fizeste são sinal de roubo de identidade — consulta o tópico Recuperação de roubo de identidade.
- Avisa o teu banco, mesmo que nenhum dinheiro se tenha movido. Pode sinalizar a conta para revisão.
O que NÃO fazer
- Não ignores porque "ainda não parece faltar nada". Os atacantes às vezes ficam em silêncio durante dias, mapeando as tuas contas e esperando o momento certo antes de agir.
- Não reponhas tudo no dispositivo comprometido se suspeitas que também está infetado. Usa um dispositivo diferente para o trabalho de recuperação — o teu telemóvel, um portátil emprestado, o que for.
- Não reutilizes a nova senha em nenhum outro lugar. É a causa mais frequente de comprometimento repetido.
- Não pagues a ninguém que te contacte oferecendo-se para "resolver" o hack. As burlas de recuperação têm como alvo as pessoas exatamente neste momento.
- Não te envergonhes. O comprometimento de contas acontece a engenheiros de segurança, a crianças em idade escolar, a reformados e a políticos. As próprias estatísticas das plataformas mostram-te que não estás sozinho.
- Não publiques na conta comprometida ("fui hackeado, desculpem as mensagens"). Espera até teres a certeza de que recuperaste o controlo, ou publica a partir de outra conta, porque os atacantes por vezes mantêm um ponto de apoio e podem editar a tua mensagem depois de a publicares.
Usar a IA para te ajudar
Dois prompts que podes copiar. Cola a tua situação entre parênteses. Não coloques senhas nem códigos de dois fatores. Podes colar os cabeçalhos de e-mails suspeitos ou capturas de ecrã de atividade suspeita (com os dados pessoais mascarados).
Prompt de triagem:
"Acho que uma das minhas contas foi comprometida. Eis o que notei: [descreve os sinais]. A conta afetada é [tipo — e-mail, redes sociais, compras, etc.]. Estou a escrever a partir de [tipo de dispositivo — o meu telemóvel / o portátil de um amigo / etc.]. Dá-me um plano de recuperação passo a passo para os próximos 30 minutos, por ordem de prioridade, escrito como uma lista numerada que posso seguir sem conhecimentos prévios de segurança."
Prompt forense (depois de o incêndio estar apagado):
"Agora já protegi a minha conta: mudei a senha, ativei a autenticação em dois fatores, terminei outras sessões e removi dispositivos desconhecidos. Ajuda-me a identificar (a) como é mais provável que o atacante tenha entrado, com base no que descrevo, (b) que outras contas minhas estão agora em maior risco, e (c) o que devo monitorizar nas próximas duas semanas. Contexto: [tipo de conta, o que notei, qualquer coisa estranha nos itens enviados ou filtros]."
Um lembrete: a IA é um excelente parceiro de análise para triagem e acompanhamento. No entanto, não pode falar com o teu banco em teu nome nem recuperar o acesso a uma conta da qual ficaste completamente bloqueado. Usa-a para planificar e depois usa os canais de recuperação oficiais.
A quem ligar
A ordem: a plataforma, o teu banco se houver dinheiro envolvido, a autoridade nacional de combate ao cibercrime ou à fraude.
- A plataforma. Cada grande serviço tem um processo de recuperação dedicado "a minha conta foi hackeada". Exemplos: Google "Recuperação de conta" (g.co/recover), Microsoft "Acho que outra pessoa está a usar a minha conta Microsoft" (account.microsoft.com), Apple "Recuperar uma conta Apple" (iforgot.apple.com), Meta "Conta hackeada" (facebook.com/hacked, instagram.com/hacked), X / Twitter "Ajuda com uma conta hackeada". Usa a própria página da plataforma — nunca cliques num link em nenhum e-mail sobre isso.
- O teu banco, se alguma conta de pagamento estava ligada ou se vês transações desconhecidas. O número oficial no teu cartão; nunca o da mensagem suspeita.
- A tua operadora, se o teu telemóvel mostrar de repente "sem serviço" ou não conseguires fazer chamadas — pode ser um SIM-swap. Liga imediatamente a partir de outro telemóvel.
Depois o teu organismo nacional de denúncia:
- Inglês: Reino Unido — Action Fraud (actionfraud.police.uk). EUA — FBI IC3 (ic3.gov), FTC IdentityTheft.gov. Canadá — Canadian Anti-Fraud Centre. Austrália — Scamwatch, ReportCyber (cyber.gov.au).
- Alemão: Alemanha — polícia local online, BSI für Bürger. Áustria — Watchlist Internet. Suíça — Centro Nacional de Cibersegurança (ncsc.admin.ch).
- Francês: França — Cybermalveillance.gouv.fr. Bélgica — Safeonweb.be. Suíça (FR) — ncsc.admin.ch.
- Italiano: Itália — Polizia Postale.
- Espanhol: Espanha — INCIBE (017). México — Policía Cibernética.
- Português: Portugal — CNCS (1407). Brasil — CERT.br.
Quando escalar além do chat
- Está a mover-se dinheiro e as ferramentas online do banco não o estão a parar — liga hoje mesmo à linha de emergência do banco e pede especificamente pela equipa de fraudes. Diz-lhes que suspeitas de acesso não autorizado em curso.
- O teu telemóvel perdeu o sinal inesperadamente — assume que há um SIM-swap em curso. Liga à operadora a partir de outro telemóvel agora, e ao teu banco, por esta ordem. Assim que recuperares o controlo, muda a 2FA por SMS para uma aplicação de autenticação.
- Estás bloqueado fora do e-mail e não consegues recuperá-lo — vai pessoalmente à esquadra local para apresentar queixa, e segue o processo de recuperação por verificação de identidade da plataforma. Para Google e Microsoft, a recuperação pode demorar dias; documenta a cronologia.
- Fotos pessoais, imagens íntimas ou documentos sensíveis podem ter sido acedidos — não é só comprometimento de conta, é potencial roubo de identidade e possível chantagem. Guarda evidências, não respondas a extorsões, contacta a unidade de cibercrime da polícia local.
- A conta comprometida pertence a um familiar idoso que está em pânico — vai ter com ele pessoalmente se puderes. Acompanhá-lo na recuperação sentado ao lado dele é vinte vezes mais rápido do que ao telefone.
Fontes e leitura adicional
- NCSC UK — Guia para recuperar uma conta hackeada
- Verizon Data Breach Investigations Report — credenciais roubadas como vetor inicial
- Google Security Blog — investigação publicada sobre o processo de recuperação
- FIDO Alliance — passkeys e o modelo de recuperação pós-senha