Se o seu e-mail foi hackeado, siga esta ordem: limpe o computador com um antivírus de confiança, troque a senha (ou recupere a conta, se você foi bloqueado), encerre as sessões abertas, ative a verificação em duas etapas e procure as brechas que o invasor pode ter deixado: encaminhamentos, filtros, dados de recuperação e apps com acesso. Depois, troque as senhas das contas ligadas a esse e-mail e avise seus contatos. Abaixo estão os caminhos no Gmail e no Outlook (conta Microsoft); em outros provedores a lógica é a mesma.
Sinais de que seu e-mail foi hackeado
- Você não consegue entrar mesmo com a senha certa, ou a senha ou os dados de recuperação foram trocados.
- Seus contatos recebem mensagens que você não enviou, ou a pasta de enviados tem e-mails que você não reconhece.
- Chegam alertas de acesso de lugares ou aparelhos desconhecidos.
- Existe um encaminhamento, um filtro ou uma resposta automática que você não configurou. Se o Gmail mostrar um aviso de encaminhamento que você nunca criou, o Google manda trocar a senha imediatamente.
Para conferir no Gmail, no computador, clique em Detalhes, no canto inferior direito da caixa de entrada: aparecem os acessos recentes com tipo de acesso e localização aproximada, segundo a ajuda do Gmail. O Google explica que vários endereços IP podem ser normais; no celular, por exemplo, pode aparecer o IP da operadora. Na Microsoft, a página Atividade recente mostra quando e onde você usou a conta nos últimos 30 dias. Se aparecer uma Atividade incomum, escolha “Não fui eu”: a Microsoft pede então que você troque a senha e atualize as informações de segurança.
1. Limpe o equipamento e troque a senha
A Microsoft recomenda confirmar que o antivírus está ativo e atualizado e fazer uma verificação completa antes de trocar a senha; sem antivírus, sugere o Microsoft Defender. O Google também pede um antivírus de confiança. Faz sentido: um programa malicioso pode roubar a senha nova.
- Verifique o computador. No Windows: Segurança do Windows > Proteção contra vírus e ameaças > Opções de verificação > Verificação completa > Verificar agora. Resultado esperado: um relatório sem ameaças ou com as ameaças removidas.
- Troque a senha por uma longa e que você não use em nenhum outro serviço. Se desconfia do computador, faça isso em outro aparelho que você saiba estar limpo, como o celular.
- Se foi bloqueado, use a recuperação de conta. No Google, a página de ajuda para contas invadidas indica o fluxo de recuperação para quando alguém mudou a senha ou o telefone de recuperação, excluiu a conta ou você não consegue entrar por outro motivo; responda às perguntas da melhor forma possível. Segundo a ajuda de recuperação do Google, mudanças nos dados de recuperação podem levar até 7 dias para valer. Na Microsoft, use o link para redefinir a senha na página de conta invadida.
2. Encerre as sessões abertas
Trocar a senha não basta se o invasor já tem uma sessão iniciada. O CERT.br também recomenda encerrar as sessões ativas em outros dispositivos.
- Google: na seção de segurança da sua Conta do Google, revise os eventos de segurança recentes (se não reconhecer um, indique que não foi você e siga as etapas) e a lista de dispositivos, removendo os que você não conhece.
- Microsoft: abra as Opções de segurança avançadas da conta, role até “Sair em todos os lugares” e escolha Sair. A medida vale para navegadores, apps e outros lugares em que a conta é usada, mas a saída pode levar até 24 horas e um console Xbox exige saída separada. Não presuma que a sessão do invasor acabou na hora.
3. Ative a verificação em duas etapas
É o passo que mais ajuda a impedir que uma senha roubada seja suficiente. No Google, ela exige a senha mais algo que você tem, como o celular, uma chave de segurança ou um código impresso. A Microsoft explica que, com ela, um invasor com a sua senha ainda não consegue entrar com facilidade, e recomenda cadastrar um celular e um e-mail alternativo como informações de segurança para recuperar a conta mais rápido.
O método importa. A Cartilha do CERT.br chama a chave de segurança física (padrão FIDO) de “atualmente a opção mais segura”, lista os aplicativos que geram códigos como alternativa e recomenda o SMS só se não houver outras opções. O Google aponta no mesmo sentido: chaves de acesso e chaves de segurança reforçam a proteção contra phishing, e códigos por SMS ou ligação podem ser vulneráveis a ataques baseados no número de telefone.
4. Procure as portas dos fundos do invasor
A Microsoft explica que, como outra pessoa teve acesso, parte da configuração pode ter mudado, e pede para revisar contas conectadas, encaminhamento e respostas automáticas. O Google lista, no Gmail, a delegação de acesso, o encaminhamento automático, a resposta automática, os filtros e os marcadores. Um filtro ou uma regra pode apagar, arquivar ou reenviar mensagens sem você ver, então um que você não criou pode esconder os avisos de segurança.
| O que revisar | No Gmail | No Outlook (conta Microsoft) |
|---|---|---|
| Encaminhamento automático | Configurações > Ver todas as configurações > aba Encaminhamento e POP/IMAP > Desativar encaminhamento > Salvar alterações | Nas configurações de email, abra Encaminhamento, desative se não foi você e salve |
| Filtros e regras | Nas configurações do Gmail, abra a aba de filtros e apague os que você não criou | Nas configurações de email, abra Regras: regras podem reenviar mensagens |
| Respostas automáticas e delegação | Confira a resposta automática e as pessoas com acesso ao seu Gmail | Confira as respostas automáticas |
| Contas conectadas e apps com acesso | Na Conta do Google, revise os apps com acesso e remova os que você não reconhece | Revise as contas conectadas |
| Dados de recuperação | Telefone e e-mail de recuperação, e e-mail alternativo | Informações de segurança: celular e e-mail alternativo |
Fonte: Google, ajuda do Gmail sobre encaminhamento automático. O caminho dos menus pode variar conforme a versão de cada serviço e o idioma da conta.
5. Proteja as contas ligadas ao e-mail
Se o invasor ficou um tempo com acesso, pode ter redefinido senhas em outros lugares. O Google pede para trocar a senha nos sites em que você usava a mesma do e-mail, que entram em contato com você por esse endereço, em que você faz login com ele e em que guardou senhas. Comece por banco, meios de pagamento, redes sociais e compras. O Google também sugere usar a ferramenta de verificação de senhas para achar senhas fracas ou repetidas, relatar cobranças não autorizadas e remover formas de pagamento que você não reconhece.
Se houve Pix ou compra no cartão que você não reconhece, o CERT.br orienta contestar o Pix pelo app do banco, o que aciona o MED, e contestar a compra no cartão pelos canais do emissor, e pedir o bloqueio do cartão se os dados foram expostos. O Google lembra ainda de falar com o banco ou com as autoridades se você guardava dados bancários na conta ou se alguém pode ter dado instruções em seu nome.
6. Avise seus contatos e registre o ocorrido
Conte a amigos, familiares e clientes que o seu e-mail foi invadido, para que ignorem mensagens estranhas “enviadas por você”, principalmente pedidos urgentes de dinheiro, de Pix ou de boleto e links. O CERT.br recomenda que eles confirmem qualquer pedido do tipo por um telefone que já conheciam.
O CERT.br também recomenda registrar um boletim de ocorrência, que em muitos casos pode ser feito pela internet, incluindo as evidências: prints dos e-mails enviados em seu nome, alertas de acesso e comprovantes de golpes.
Como evitar que aconteça de novo
- Mantenha a verificação em duas etapas, de preferência com chave de segurança ou aplicativo de códigos, e use uma senha única para o e-mail.
- Para guardar senhas, o CERT.br sugere um aplicativo gerenciador, uma anotação em lugar seguro ou um arquivo cifrado, e evitar salvar senhas de contas importantes no navegador.
- Mantenha atualizados o telefone e o e-mail de recuperação, e use um e-mail que você confira com frequência.
- Desconfie de links: a Microsoft afirma que nunca pede sua senha por e-mail. Diante de um aviso de atividade incomum, entre direto na sua conta em vez de usar os links da mensagem.
A mesma atenção que ajuda a identificar uma loja online falsa protege você do phishing, uma das formas de perder uma senha. Se o golpista usou o seu nome em conversas, veja também os golpes no WhatsApp e, se o e-mail é do negócio, a conta Google da empresa invadida.
Fontes: Google, Microsoft e CERT.br (Cartilha de Segurança para Internet). Os menus mudam com frequência: confira nas páginas oficiais antes de agir.
Perguntas frequentes
Qual é a primeira coisa a fazer se meu e-mail for hackeado?
Verifique o aparelho com um antivírus, troque a senha (ou use a recuperação de conta se foi bloqueado), encerre as sessões abertas e ative a verificação em duas etapas. Depois revise encaminhamentos, filtros e dados de recuperação.
Como alguém conseguiu a senha do meu e-mail?
Pode ter sido por um link de phishing, por uma senha repetida que vazou de outro site ou por um programa malicioso no aparelho. Senha única, verificação em duas etapas e um aparelho limpo fecham essas portas.
Devo criar um e-mail novo?
Normalmente não é preciso: recupere e proteja o atual, porque começar do zero significa perder o acesso às contas ligadas a ele. Considere um novo só se a recuperação não funcionar.
Alguém me ofereceu ajuda por telefone para recuperar a conta. É seguro?
Não. O Google diz que você nunca deve fornecer códigos de verificação ou senhas e que não atende ligações para ajudar no login. Use apenas a página oficial de recuperação.
Fontes: Ajuda da Conta do Google: Proteger uma Conta do Google invadida ou comprometida · Ajuda da Conta do Google: Como recuperar sua Conta do Google ou serviço do Gmail · Ajuda do Gmail: Encaminhar as mensagens do Gmail automaticamente para outra conta · Ajuda do Gmail: última atividade da conta · Microsoft: Como recuperar uma conta Microsoft invadida ou comprometida · Microsoft: Como sair da sua conta Microsoft em todos os lugares · Microsoft: O que é a página de atividades recentes? · Microsoft: Ajude a proteger sua conta de email do Outlook.com · CERT.br: Cartilha de Segurança para Internet, fascículo Golpes: Caiu? Veja o que Fazer · CERT.br: Cartilha de Segurança para Internet, fascículo Autenticação
