Conta do Google hackeada: o que fazer na primeira hora

Quem controla a sua conta do Google controla muito mais que o Gmail: é por ali que chegam os códigos de "esqueci a senha" de banco, rede social e loja, é onde ficam fotos, documentos, agenda e, muitas vezes, as senhas salvas no navegador. Por isso uma invasão de conta Google não é um problema só de e-mail. É a chave-mestra de quase tudo que você tem online, e vale tratar como incidente.

Este roteiro cobre os dois cenários: você ainda consegue entrar, ou já perdeu o acesso. Os menus do Google mudam de nome e de lugar com frequência, então use a Central de Ajuda de Contas do Google como referência final para os cliques exatos. A lógica abaixo não muda.

Como saber se sua conta do Google foi invadida?

Quais são os sinais de que o Gmail foi hackeado?

Os sinais mais comuns são alertas de segurança do Google que você não esperava, senha que parou de funcionar, e-mails enviados que você não escreveu e configurações alteradas sem sua ação. Um deles já basta para agir como se fosse invasão.

• Alerta de segurança do Google sobre login novo em dispositivo ou local que você não reconhece.
• Senha recusada sem você ter trocado, ou e-mail/telefone de recuperação diferentes do que você cadastrou.
• Mensagens na pasta Enviados que você não escreveu, ou contatos avisando que receberam link estranho seu.
• Regras escondidas: encaminhamento automático para um endereço desconhecido ou filtros que apagam avisos de segurança.
• Redefinições de senha de outros serviços chegando no seu e-mail sem você ter pedido.

Cuidado com o aviso falso: golpistas mandam e-mails de "sua conta foi suspensa" para roubar a senha de verdade. Na dúvida, não clique no link; abra o endereço da conta direto no navegador. Os sinais de golpe estão em como identificar um e-mail de phishing.

Passo a passo se você ainda consegue entrar

Aqui a ordem importa, porque o invasor pode estar logado ao mesmo tempo que você:

1. Troque a senha por uma que nunca usou em outro lugar. Se a antiga era reaproveitada, troque também nos outros serviços, porque o invasor testa a mesma senha por aí (é o ataque descrito em credential stuffing).
2. Rode a Verificação de Segurança da conta (Security Checkup, em myaccount.google.com). Ela lista dispositivos conectados, eventos recentes de segurança e acessos de terceiros.
3. Saia dos dispositivos desconhecidos e revogue o acesso de apps e sites que você não reconhece.
4. Confira e-mail e telefone de recuperação. Se algum não é seu, troque. É por ali que o invasor tentaria retomar a conta depois.
5. Procure o que ficou "plantado" no Gmail: nas configurações, veja encaminhamento, filtros, acesso delegado e resposta automática. Remova o que você não criou.
6. Ative ou revise a verificação em duas etapas, de preferência por aplicativo autenticador ou chave de segurança, não por SMS. O passo a passo está em como configurar 2FA com TOTP no Gmail, Instagram e WhatsApp.

E se você perdeu o acesso?

Como recuperar uma conta do Google hackeada?

Use a página oficial de recuperação do Google (g.co/recover), informe o e-mail da conta e, se possível, faça isso de um dispositivo e rede que você já usava com ela. O Google pede informações que só o dono deveria saber, como uma senha antiga ou o código enviado ao contato de recuperação.

1. Comece pelo fluxo oficial. Responda às perguntas com o máximo de detalhe e use o celular ou computador onde você costumava entrar; o histórico desse aparelho ajuda na verificação.
2. Tente senhas antigas. Se o invasor trocou a senha, uma anterior que você lembre ainda pode servir de prova de que a conta é sua.
3. Seja paciente e não repita sem parar. Não há prazo oficial garantido; desconfie de quem promete data.
4. Proteja o resto enquanto espera. Troque a senha das contas que usam esse e-mail como recuperação, começando por banco, redes sociais e WhatsApp.

Um alerta: não existe suporte do Google por telefone para quem está sem acesso. Quem liga dizendo ser "do Google" para "ajudar" é golpe, no mesmo molde do vishing. Também desconfie de "recuperadores de conta" que cobram taxa ou pedem o código que chegou no seu celular. Código de verificação não se passa a ninguém.

Como o invasor costuma entrar?

Entender o caminho ajuda a não repetir. Os mais comuns:

• Senha reaproveitada que vazou em outro site e foi testada na conta Google. Conferir se o seu e-mail aparece em vazamentos é simples, como mostra como saber se seu e-mail foi vazado.
• Phishing que imita a tela de login e captura senha e código.
• Infostealer: malware no computador que rouba senhas e sessões salvas no navegador. Veja o que é infostealer e como saber se você foi infectado.
• Roubo de cookie de sessão, que dispensa a senha porque o invasor "herda" o login já feito. Explicado em roubo de cookie de sessão.

Se o computador pode estar infectado, trocar a senha dele mesmo não resolve: o malware captura a nova também. Limpe ou reinstale o sistema, ou faça a troca de senha a partir de outro aparelho confiável.

Como blindar a conta depois

• Passkey ou chave de segurança no lugar de senha e SMS. É a defesa mais forte contra phishing, porque o login só funciona no site verdadeiro. Detalhes em passkeys e FIDO2.
• Gerenciador de senhas com uma senha única para cada site. A opção gratuita está em como usar o Bitwarden.
• Dados de recuperação em dia: telefone e e-mail alternativo que são seus e que você acessa.
• Revisão periódica da Verificação de Segurança, para enxugar dispositivos e apps antigos.

Lição maior

A conta de e-mail é o elo mais valioso da sua vida digital, porque todas as outras recuperações passam por ela. Proteja o e-mail antes de qualquer outra conta. Se o problema foi em rede social, o roteiro equivalente está em Instagram hackeado: o que fazer nos primeiros 30 minutos, e se o alvo foi o mensageiro, em WhatsApp clonado: como saber e recuperar a conta.

Fontes consultadas

• Google — Ajuda da Conta: proteger uma conta hackeada ou comprometida
• Google — Secure a hacked or compromised Google Account