Conta invadida: como expulsar o invasor de verdade

Você nota o acesso estranho, troca a senha e respira aliviado. Dois dias depois, os e-mails de aviso somem da caixa de entrada outra vez. A senha era nova, mas o invasor nunca tinha ido embora. É a parte que quase todo guia esquece: trocar a fechadura não expulsa quem já está dentro de casa.

Este post trata da conta invadida em geral: e-mail, rede social ou qualquer serviço com login. Descobrir que uma senha vazou fica com outro post da trilha. O aparelho roubado e a conta do WhatsApp, também. Aqui o assunto é a ordem da reconquista e a faxina que vem depois.

Resumo rápido: Trocar a senha não derruba sozinha as sessões já abertas: quem entrou continua com o crachá na mão. Pior, o invasor costuma deixar coisas plantadas que sobrevivem à senha nova, como encaminhamento automático de e-mail, filtros, apps conectados e telefone de recuperação trocado. É exatamente isso que Google e Microsoft mandam conferir nas próprias páginas de conta comprometida. A ordem também importa: recupere o e-mail primeiro, porque é para ele que vão os links de redefinição de todas as outras contas. E limpe tudo mesmo sem sinal recente, porque o acesso pode ser antigo.

Como saber se a conta foi mesmo invadida?

Pelos registros que o próprio serviço guarda para você. A Microsoft mantém uma página de Atividade recente com os acessos dos últimos 30 dias. Ela pede que você marque cada item como “Fui eu” ou “Não fui eu” (Microsoft). No Google, a lista fica em Gerenciar todos os dispositivos, dentro de Segurança (Google). O Instagram tem a sua própria tela de atividade de login recente.

Os sinais do dia a dia costumam chegar antes. Mensagens que você não escreveu, um e-mail de “sua senha foi alterada” que você não pediu, contatos avisando que receberam algo estranho. Há também o sinal silencioso, o mais perigoso: os alertas de segurança que simplesmente param de aparecer.

Vale desconfiar de três detalhes discretos. Uma caixa de entrada estranhamente vazia pode indicar filtro plantado, e não sorte. Um pedido de código de verificação que chega sem você ter tentado entrar significa que alguém já tem a sua senha. E um item da lista de dispositivos com cidade ou sistema que você não usa merece checagem, mesmo que a data pareça antiga.

Uma distinção rápida antes de seguir. Descobrir que uma senha apareceu em vazamento é outra conversa, e ela está no guia sobre como saber se sua senha vazou. Vazamento é a chave na rua. Invasão é a chave já usada na sua porta. Este post trata do segundo caso.

Por que trocar a senha não basta?

Porque a senha autentica o login, não a sessão. Quando alguém entra, o serviço entrega um crachá digital ao navegador ou ao aplicativo, e é esse crachá que mantém o acesso aberto depois. Trocar a senha nem sempre invalida os crachás já emitidos. Em vários serviços existe um botão separado para desconectar as outras sessões, e ele precisa ser apertado à parte.

Há um segundo problema, ainda mais silencioso. O invasor com tempo dentro da conta deixa coisas plantadas que continuam funcionando com a senha nova. A página oficial do Google para contas invadidas manda conferir exatamente isso. São quatro itens: telefone e e-mail de recuperação, encaminhamento automático e filtros do Gmail, e os apps que têm acesso à sua conta (Google). A Microsoft pede o mesmo tipo de revisão: contas conectadas, encaminhamento e respostas automáticas (Microsoft).

Repare no que isso significa. Os dois provedores tratam a troca de senha como uma etapa entre várias, e listam por escrito o que mais precisa ser conferido. O guia médio em português para na primeira etapa.

A ordem certa começa pelo e-mail

Recupere primeiro a conta de e-mail, depois todo o resto. A razão é estrutural: o e-mail é o endereço para onde vão os links de redefinição de senha de quase todos os outros serviços. Enquanto o invasor controla a caixa de entrada, cada senha que você troca em outro lugar pode ser desfeita. Basta um “esqueci minha senha” disparado por ele.

Existe uma prova concreta disso, e ela vem do Instagram. Quando o e-mail de uma conta é alterado, a plataforma avisa o endereço antigo. A mensagem vem de security@mail.instagram.com e traz um link para reverter a troca (Instagram). Esse aviso é a sua rede de segurança. Se o invasor já tem a sua caixa de entrada, ele abre, clica e apaga antes de você acordar.

Depois do e-mail, siga pela ordem do estrago possível. Contas com dinheiro ou dados de pagamento vêm em seguida, depois as redes sociais, depois o resto. Se a invasão passou pelo WhatsApp, o roteiro específico daquele aplicativo está no golpe do WhatsApp.

E se você nem consegue mais entrar?

Aí o caminho é o formulário de recuperação do próprio serviço, e ele funciona melhor do que a fama sugere. O Google mantém uma página de recuperação que faz perguntas para confirmar que você é o dono. A orientação oficial é respondê-las do aparelho e do local de sempre (Google). O Instagram concentra tudo em instagram.com/hacked, que é o ponto de entrada indicado pela própria Central de Ajuda (Instagram).

Duas cautelas valem mais que qualquer atalho. A primeira: nunca procure “suporte” por mensagem direta, comentário ou anúncio patrocinado. Perfis que se oferecem para “recuperar sua conta” são a segunda camada do golpe. A psicologia por trás disso está no guia sobre engenharia social. A segunda: faça a recuperação do celular ou do computador de sempre, na rede de sempre. Esses sinais contam a favor no processo de verificação.

A faxina, conta por conta

São seis pontos, e a ordem entre eles importa pouco desde que nenhum fique de fora.

1. Senha nova e única. Nada de variação da anterior. Se ela se repetia em outros serviços, troque em todos, um por um.

2. Encerre as sessões e remova dispositivos. Este é o passo que efetivamente expulsa o invasor. Procure a lista de aparelhos conectados e derrube o que você não reconhece.

3. Confira e-mail e telefone de recuperação. É o esconderijo preferido: com o telefone de recuperação trocado, o invasor recupera a conta de volta quando quiser.

4. Apague encaminhamentos e filtros que você não criou. Uma única regra entrega cada e-mail novo em silêncio. Um filtro pode arquivar os alertas antes que você os veja.

5. Revogue os apps de terceiros. Aquele aplicativo autorizado meses atrás continua com acesso mesmo depois da senha nova.

6. Refaça o segundo fator. Gere novos códigos de backup e confira se o método cadastrado ainda é o seu.

Falta um sétimo passo que não é técnico: avise quem estava do outro lado. Uma conta invadida costuma ser usada para pedir dinheiro aos seus contatos, e um recado curto no grupo da família vale mais que qualquer configuração. Diga o que aconteceu, peça que ignorem mensagens recentes e combine um canal alternativo para confirmar pedidos.

Vale abrir a tabela no aplicativo que você usa mais e conferir as duas colunas hoje mesmo. Os nomes de menu mudam de tempos em tempos, então use-os como pista, não como mapa exato. E se em algum momento a invasão virou prejuízo em dinheiro, o caminho da contestação é o do golpe do Pix.

Há quanto tempo o invasor pode estar aí?

Provavelmente mais do que você imagina. Baixei os 1.034 vazamentos catalogados pelo Have I Been Pwned, o maior catálogo público de violações de dados. Medi a distância entre a data do vazamento e a data de entrada no catálogo. A mediana é de 133 dias. Em 55% dos casos, passaram-se mais de três meses.

Repare no tamanho do bloco da direita. Em pouco mais de um terço dos casos, o vazamento levou mais de um ano para virar conhecimento público. Cabe aqui uma ressalva honesta, porque o número tem um viés conhecido. Vazamentos recentes de divulgação lenta ainda não entraram no catálogo, e isso empurra a mediana dos últimos anos para baixo. O intervalo também mede a catalogação pública, não o tempo exato que alguém passou dentro da sua conta.

Ainda assim, a lição prática se sustenta. Você raramente sabe quando o acesso começou. Por isso a faxina se faz por inteiro, mesmo sem sinal recente de invasão, e não só na conta em que o alerta apareceu.

Como não voltar à estaca zero?

Fechando as três portas que deixam a invasão barata. A primeira é a senha repetida: um vazamento em qualquer serviço vira chave-mestra quando a mesma senha abre cinco contas. Um gerenciador de senhas resolve isso sem exigir memória de elefante.

A segunda porta é a ausência de segundo fator. Com a autenticação de dois fatores ativa, a senha vazada esbarra numa segunda tranca. Onde houver a opção de entrar sem senha, com biometria do próprio aparelho, melhor ainda.

A terceira porta é o e-mail de recuperação esquecido. Muita gente ainda tem cadastrado um endereço antigo, de um provedor que nem usa mais. Se aquela caixa de entrada for abandonada ou reciclada, ela vira a porta dos fundos da sua conta principal. Atualize hoje, enquanto está calmo.

Seu próximo passo depois de recuperar a conta

Se a próxima invasão bater à porta, que estas três frases já estejam prontas:

• O e-mail primeiro, sempre. Ele é a chave que abre a recuperação de todas as outras contas.
• Encerre as sessões. Sem isso, a senha nova é uma fechadura trocada com o invasor sentado na sala.
• Procure o que ficou plantado. Encaminhamento, filtro, app conectado e telefone de recuperação sobrevivem à troca de senha. São exatamente os quatro itens que Google e Microsoft mandam revisar.

Daqui em diante, a trilha de Segurança Digital ainda tem terreno para cobrir.

Perguntas frequentes

Trocar a senha desconecta quem já estava logado? Nem sempre. A senha autentica o login, mas quem já entrou carrega uma sessão aberta, que pode continuar válida. Por isso os serviços oferecem uma opção separada para encerrar sessões e remover dispositivos. Use as duas coisas, não só a senha.

Preciso mesmo conferir o encaminhamento de e-mail? Precisa. É o item que aparece na página oficial do Google para contas invadidas e também na da Microsoft. Uma regra de encaminhamento copia cada mensagem nova para o invasor em silêncio, e ela continua funcionando depois que você troca a senha.

O invasor trocou o e-mail da minha conta. Perdi tudo? Não necessariamente. No Instagram, por exemplo, a troca dispara um aviso ao endereço antigo, com um link para reverter a alteração. É mais um motivo para recuperar a caixa de entrada antes de qualquer outra conta.

Vale a pena apagar a conta e criar outra? Raramente. A conta antiga continua sendo o endereço de recuperação cadastrado em vários serviços, e abandoná-la deixa essa ponta solta. Recuperar e limpar costuma ser mais seguro do que recomeçar do zero.

São várias contas invadidas. Por onde começo? Pelo e-mail principal, sempre. Enquanto ele estiver comprometido, cada senha nova que você criar em outro serviço pode ser desfeita por um pedido de redefinição disparado pelo invasor.