Como recuperar uma conta hackeada e conter o estrago

Se a sua conta foi hackeada, faça três coisas nesta ordem, do dispositivo mais limpo que você tiver: use a opção "esqueci a senha" para retomar o acesso, encerre todas as sessões ativas e ative a verificação em duas etapas. Esses três passos cortam o acesso do invasor mesmo que ele ainda saiba a senha antiga. Só depois disso você investiga o que ele viu e o que mais está em risco.

A pressa é justificada, mas a sequência importa mais que a velocidade. Trocar a senha sem expulsar as sessões abertas é inútil: o invasor continua logado. E quase sempre a conta invadida não é o alvo final, é a chave. Pelo e-mail comprometido o atacante reseta a senha de bancos, redes sociais e lojas que usam aquele endereço para recuperação.

Este guia segue a ordem real do socorro: retomar o acesso, conter o dano, mapear o que foi exposto e fechar as portas laterais — as outras contas que usavam a mesma senha ou o mesmo e-mail.

Conta hackeada: o que fazer nos primeiros 15 minutos?

Pegue o dispositivo mais confiável que você tem — de preferência um que nunca apresentou comportamento estranho — e trabalhe a partir dele. Se o seu computador pode estar com malware, use o celular, ou vice-versa. A ordem abaixo expulsa o invasor mesmo que ele ainda conheça sua senha antiga.

Não pule a etapa de encerrar sessões. Quase toda plataforma grande (Google, Microsoft, Instagram, WhatsApp) tem um painel de "dispositivos" ou "sessões ativas" onde você desconecta tudo de uma vez. Sem isso, a nova senha não vale nada: a sessão antiga do atacante continua válida.

• Recupere o acesso: use "esqueci a senha". Se o invasor já trocou o e-mail de recuperação, use o fluxo de conta comprometida da plataforma.
• Crie uma senha nova e única: nunca uma variação da antiga (Senha123 → Senha124 não engana ninguém).
• Encerre todas as sessões ativas: "sair de todos os dispositivos" / "sessões ativas".
• Ative a verificação em duas etapas (2FA): de preferência por app autenticador, não SMS.
• Revogue apps de terceiros: remova integrações e tokens que você não reconhece.

Por que o e-mail vem antes de tudo?

Se a conta hackeada foi o seu e-mail, ele é prioridade absoluta — acima do Instagram, do banco ou de qualquer outra coisa. O motivo é simples: o e-mail é a chave-mestra do seu mundo digital. Quase todo serviço usa "enviar link de redefinição para o seu e-mail" como forma de recuperação. Quem controla a caixa de entrada controla todas as contas atreladas a ela.

Por isso o invasor que toma o e-mail costuma agir em cadeia: dispara redefinições de senha em bancos, lojas e redes sociais, e apaga os avisos da caixa de entrada para você não perceber. Recuperar o e-mail e blindá-lo corta essa cadeia pela raiz.

• Confira o e-mail e o telefone de recuperação — o invasor pode ter trocado pelos dele.
• Revise as regras de encaminhamento e filtros: uma regra escondida pode copiar suas mensagens para fora.
• Verifique a assinatura e a resposta automática, usadas em golpes que se passam por você.

Como saber o que o invasor acessou?

Depois de retomar o controle, faça o inventário do dano. O objetivo é responder a uma pergunta: até onde ele chegou? Boa parte das plataformas guarda um histórico de atividade que mostra quando e de onde a conta foi acessada — procure por "atividade recente", "histórico de segurança" ou "logins".

Olhe especialmente para sinais de que a conta foi usada como trampolim: e-mails enviados que você não escreveu, pedidos de redefinição de senha de outros serviços, compras, mudanças de endereço de entrega e mensagens lidas ou apagadas. Anote tudo — isso define quais outras contas você precisa proteger em seguida.

• Itens enviados / lixeira: mensagens disparadas em seu nome ou apagadas para esconder rastros.
• Redefinições de senha recebidas: revelam quais outros serviços o invasor tentou abrir.
• Dados sensíveis expostos: documentos, fotos, contatos e cartões salvos na conta.
• Dispositivos confiáveis: remova qualquer aparelho que você não reconhece da lista.

Como fechar as portas laterais (senhas reutilizadas)?

A invasão raramente termina na conta hackeada. Se você usava a mesma senha em outros lugares, todos eles estão abertos — basta o atacante testar o par e-mail + senha em bancos, redes e lojas (a técnica chamada credential stuffing). Por isso o passo final, e o mais trabalhoso, é trocar todas as senhas reutilizadas.

Para fazer isso sem virar caos, liste as contas mais críticas primeiro (banco, e-mail, redes sociais, lojas com cartão salvo) e troque uma a uma por senhas únicas. Um gerenciador de senhas resolve o problema de memorizar dezenas de combinações diferentes e ainda avisa quando uma senha se repete.

Vale também checar em quais vazamentos seus dados aparecem: se a senha original já circula em uma combolist pública, ela está queimada para sempre e não deve ser reaproveitada em nenhum serviço.

• Comece pelas contas com dinheiro ou identidade: banco, e-mail, gov.br, redes sociais.
• Use uma senha única por serviço — nunca a mesma em dois lugares.
• Adote um gerenciador de senhas para gerar e guardar combinações fortes.
• Considere queimada qualquer senha que já apareceu em vazamento.

Verificar exposição é legal? E como evitar a próxima invasão?

Checar se o seu próprio e-mail aparece em vazamentos é perfeitamente legítimo: você consulta dados a seu respeito a partir de fontes públicas e bases de incidentes já divulgadas, com a finalidade clara de se proteger — exatamente o tipo de uso amparado pela LGPD, que existe para defender o titular dos dados, não para impedir que ele se defenda. O mesmo vale para verificar a exposição de alguém sob sua responsabilidade, como um familiar idoso que caiu em um golpe.

Prevenção, depois do susto, é mais barata que o resgate. Três hábitos eliminam a maioria das invasões.

• 2FA por app autenticador em todas as contas que oferecem — barra o login mesmo com a senha vazada.
• Senhas únicas via gerenciador — uma conta cai, as outras seguem de pé.
• Monitoramento de exposição do seu e-mail e CPF, para reagir no dia do vazamento, não meses depois.
• Desconfie de links de "segurança" por e-mail ou SMS — a maioria das reinvasões começa em um phishing.

Conclusão

Recuperar uma conta hackeada é uma corrida em três tempos: retomar o acesso, conter o dano e fechar as portas laterais que a mesma senha deixou abertas. Quem encerra as sessões e ativa a 2FA expulsa o invasor; quem ignora as senhas reutilizadas só adia a próxima invasão. Comece agora verificando em quais vazamentos seu e-mail aparece — é o mapa do que precisa ser trocado primeiro.