Como saber se seu PC foi hackeado: 8 sinais de alerta

O mouse se moveu sozinho. O antivírus apareceu desativado e você tem certeza que não tocou nele. Ou chegou um alerta de login no Gmail de um dispositivo que não é seu. Esses sinais costumam ser descartados como "travamento" ou "vírus genérico" — mas podem indicar algo mais sério: acesso não autorizado ativo na sua máquina. Este guia lista os 8 indicadores concretos de comprometimento e os passos reais para cada cenário.

Por que detectar cedo faz diferença

A maioria dos ataques não começa com ransomware bloqueando tudo de imediato. O padrão mais comum é o dwell time: o atacante fica semanas (às vezes meses) dentro da máquina coletando credenciais, monitorando atividade e estabelecendo persistência antes de agir de forma visível. Detectar sinais iniciais significa que você ainda tem janela para agir antes do dano principal.

Os 8 sinais que indicam invasão

1. Cursor se movendo ou clicando sem você tocar

Se o ponteiro do mouse se move sozinho ou janelas abrem e fecham sem sua intervenção, é o sinal mais óbvio de acesso remoto ativo. Ferramentas de acesso remoto legítimas (TeamViewer, AnyDesk) e variantes maliciosas de RATs (Remote Access Trojans) assumem controle total do teclado e mouse. Primeiro descarte: verifique se há algum periférico Bluetooth não reconhecido pareado. Se não for isso, considere comprometimento confirmado.

2. Câmera ou microfone ativos sem uso

A luz indicadora da webcam acendeu enquanto você não estava em chamada? No Windows 11, acesse Configurações → Privacidade e segurança → Câmera para ver quais apps acessaram o dispositivo recentemente. Se um processo desconhecido aparece na lista, é sinal vermelho. Um keylogger ou RAT instalado costuma ativar câmera e microfone sem consentimento do usuário.

3. Processos desconhecidos consumindo CPU ou disco

Abra o Gerenciador de Tarefas (Ctrl + Shift + Esc) e ordene por CPU ou disco. Um processo com nome genérico como svchost.exe consumindo 40% do processador constantemente é suspeito — o svchost legítimo raramente fica assim sob condições normais de uso. Pesquise o nome exato do processo antes de encerrar. Cryptojackers e RATs costumam se disfarçar com nomes próximos de processos do sistema.

4. Nova conta de administrador criada sem você saber

Verificar contas de usuário deve ser parte de qualquer investigação de invasão. Abra o terminal como administrador e rode:

Get-LocalUser | Select-Object Name, Enabled, LastLogon

Se aparecer uma conta que você não criou — especialmente com privilégios de administrador —, o atacante provavelmente estabeleceu uma backdoor para garantir acesso mesmo que você troque sua senha principal.

5. Antivírus desativado ou configurações de segurança alteradas

Malware sofisticado frequentemente começa desativando a proteção do sistema antes de agir. Se o Windows Defender ou seu antivírus pago estiver desabilitado sem que você tenha feito isso, ou se o firewall foi desligado, o sistema pode já estar comprometido. Verifique em Segurança do Windows → Proteção contra vírus e ameaças. Ransomware e trojans bancários são conhecidos por essa tática antes de criptografar arquivos ou roubar sessões.

6. Conexões de rede ativas que você não reconhece

Uma das formas mais confiáveis de detectar comunicação com um servidor de comando e controle (C2) é verificar as conexões estabelecidas. No PowerShell:

Get-NetTCPConnection -State Established | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess

Portas como 4444, 5555 e 1337 são associadas a ferramentas de ataque (Metasploit, Cobalt Strike). Conexões ESTABLISHED para IPs em países que não fazem sentido para seu uso normal também merecem investigação. O post sobre Get-NetTCPConnection no Windows explica como interpretar a saída em detalhe.

7. Senhas de contas online pararam de funcionar

Sua senha do Gmail, Instagram ou banco simplesmente parou de funcionar do nada? O cenário mais provável é que alguém obteve acesso, trocou a senha e travou você para fora. Verifique se você tem endereço de recuperação alternativo ativo e se os códigos de backup estão salvos em local seguro. Para checar se suas credenciais já circularam em vazamentos, o HaveIBeenPwned cobre mais de 14 bilhões de registros expostos.

8. Comportamento anômalo no navegador

Extensões que você não instalou, página inicial diferente, redirecionamentos para sites estranhos ao pesquisar — esses são sintomas clássicos de browser hijacker. Esse tipo de malware é menos grave que um RAT completo, mas abre porta para ataques maiores: rouba cookies de sessão, redireciona para páginas de phishing e pode capturar credenciais digitadas. Verifique as extensões em chrome://extensions ou edge://extensions e remova qualquer coisa que não reconheça.

O que fazer se você identificou a invasão

1. Desconecte da rede imediatamente — Wi-Fi e cabo. Isso corta a comunicação ativa com servidores de ataque.
2. Não desligue ainda — muita evidência forense fica apenas na memória RAM. Se possível, registre o que está rodando antes.
3. Troque senhas de um dispositivo limpo — celular com dados móveis ou computador de outra pessoa. Nunca troque senha de um dispositivo que pode estar comprometido.
4. Execute um scan offline — o Windows Defender tem modo de verificação offline (reinicia o sistema fora do ambiente comprometido). Bitdefender e Kaspersky oferecem ISOs bootáveis gratuitas.
5. Reinstale o sistema se houver qualquer dúvida sobre limpeza completa. Backdoors persistem no registro, BIOS e drivers — formatação com instalação limpa é o único método 100% confiável.

Como prevenir: checklist mínimo

Se o PC ainda está limpo, endurecimento básico reduz muito a superfície de ataque. O post Windows 11 mais seguro: 10 configurações cobre os ajustes essenciais. O resumo do que não pode faltar:

• Mantenha Windows Update ativo — a maioria dos ataques exploita vulnerabilidades para as quais já existe patch.
• Não baixe software fora do site oficial do fabricante ou da Microsoft Store.
• Habilite autenticação de dois fatores em todas as contas, especialmente email e banco.
• Revise as extensões do navegador a cada 30 dias.
• Desative RDP se não for usar — é o vetor principal de ransomware corporativo.

Se você suspeita que o celular também foi comprometido, confira os sinais no guia de spyware no Android — os indicadores são diferentes do PC, mas igualmente detectáveis sem precisar de ferramenta paga.