A maioria de nós tem um alarme mental para "minha conta foi hackeada": um e-mail de redefinição de senha que não pedimos, um SMS sobre um login em uma cidade desconhecida, uma conta subitamente bloqueada. Esse alarme fazia sentido quando a principal ameaça era alguém adivinhando ou forçando sua senha por tentativa e erro. Ele não serve para quase nada contra os métodos de acesso que têm aparecido em incidentes recentes, criados justamente para não disparar esse alarme.

Dois exemplos das últimas semanas ilustram esse padrão. A Malwarebytes documentou um golpe do WhatsApp (publicado em 3 de agosto de 2026) no qual as vítimas são guiadas por algo que parece uma "configuração do WhatsApp Web" — às vezes até no domínio real wa.me — e acabam digitando um código que vincula o dispositivo do golpista à sua conta. Nenhuma senha é digitada em momento algum, então nenhum e-mail de redefinição de senha é disparado e nenhum alerta de login malsucedido é acionado. O dispositivo do golpista simplesmente se torna mais uma entrada discreta na lista de dispositivos vinculados da conta, com acesso total de leitura e envio, que ele então usa para aplicar o mesmo golpe aos contatos da vítima. Separadamente, a Microsoft alertou sobre uma campanha que chama de "CaptiveCrunch", que intercepta viajantes em portais cativos de Wi-Fi de hotéis e conferências, redirecionando-os para páginas de login falsas que coletam não apenas senhas, mas também códigos de dispositivo e tokens OAuth — credenciais que concedem acesso sem nunca gerar o tipo de aviso de "novo login" que uma troca de senha geraria.

O ponto em comum: os dois ataques têm como alvo mecanismos de sessão e autorização — dispositivos vinculados, concessões OAuth, códigos de dispositivo — e não a senha em si. O sistema de alerta integrado da sua conta foi projetado para vigiar a porta da frente. Esses métodos entram por uma porta lateral que ele não monitora.

O que fazer de fato a respeito

Você não pode esperar por uma notificação que nunca vai chegar. Em vez disso, trate a verificação dos seus próprios dispositivos vinculados e aplicativos autorizados como uma rotina que você mesmo realiza, da mesma forma que verificaria as pilhas do detector de fumaça. Veja a seguir uma checagem concreta, em ordem:

1. Verifique os dispositivos vinculados/ativos nos aplicativos de mensagens

  • WhatsApp: Configurações → Dispositivos conectados. Qualquer um que você não reconheça, toque nele e selecione "Sair."
  • Telegram: Configurações → Dispositivos. A mesma lógica — encerre qualquer sessão que não seja um dispositivo que esteja fisicamente na sua mão agora.
  • Signal: Configurações → Dispositivos vinculados, mesma verificação.

2. Verifique as sessões ativas e o acesso de aplicativos de terceiros nas suas contas principais

  • Google: myaccount.google.com/security → "Seus dispositivos" e "Aplicativos de terceiros com acesso à conta." Revogue qualquer coisa que você não reconheça, e preste atenção especial a aplicativos aos quais você concedeu acesso meses ou anos atrás e esqueceu — uma permissão antiga é tão utilizável por um invasor quanto uma recente.
  • Microsoft: account.microsoft.com/security → "Atividade de login" e "Permissões de aplicativos."
  • Apple ID: Ajustes → [seu nome] → confira a lista de dispositivos na parte inferior.
  • Facebook/Instagram: Configurações → "Onde você está conectado" / "Sessões ativas," além de "Aplicativos e sites" para o acesso conectado de terceiros.

3. Desconfie de qualquer fluxo que peça para você digitar um código em vez de uma senha

Fluxos legítimos de "vincular este dispositivo" realmente usam códigos — isso não é, por si só, um sinal de alerta. O que deve te fazer parar é o gatilho: se um pedido de código aparece por causa de uma mensagem de um contato ("vote em mim," "dá uma olhada nisso"), de um portal cativo de Wi-Fi público, ou de qualquer link que você não iniciou por conta própria, trate-o como hostil até que se prove o contrário. Feche-o e acesse o aplicativo ou a conta diretamente, em vez de continuar a partir do link.

4. Verifique se o seu e-mail apareceu em algum vazamento conhecido

O Have I Been Pwned (haveibeenpwned.com), mantido pelo pesquisador de segurança Troy Hunt, é um serviço gratuito e consolidado para verificar se o seu endereço de e-mail aparece em vazamentos de dados conhecidos — é confiável a ponto de governos nacionais o usarem para seus próprios domínios (o centro nacional de segurança cibernética do Nepal se tornou o 47º governo a aderir, segundo reportagens desta semana). Ele não detecta um comprometimento por dispositivo vinculado, mas é uma verificação rápida e gratuita que vale a pena fazer nos seus principais endereços de e-mail, e é o primeiro passo certo se você suspeitar de algum problema na conta e não souber por onde começar.

5. Em redes não confiáveis — Wi-Fi de hotel, Wi-Fi de conferência, Wi-Fi de aeroporto — evite fazer login em qualquer coisa sensível diretamente pela própria página do portal cativo

Se a página de login do Wi-Fi de um hotel ou local pedir uma atualização de software, uma caixa de diálogo de "verificação de segurança," ou um login da Microsoft/Google antes de liberar o acesso à internet, desconfie — conecte-se primeiro e, depois, faça seus logins de verdade usando a conexão de dados móveis do seu celular ou uma VPN, em vez de fazê-lo pela página que a rede te oferece.

Coloque isso na sua agenda

Uma única faxina resolve o problema de hoje, mas não o do próximo trimestre. Escolha um lembrete recorrente — uma periodicidade trimestral é razoável, ou vincule-o a algo que você já faz regularmente, como uma troca de estação ou uma conta recorrente — e repita os passos 1 e 2 acima para suas duas ou três contas mais importantes: seu e-mail principal, o aplicativo de mensagens que você mais usa, e qualquer conta ligada às suas finanças. Leva menos de quinze minutos assim que você sabe onde estão os menus, e é a única forma confiável de detectar um acesso projetado especificamente para não te alertar.