Instagram hackeado: o que fazer nos primeiros 30 minutos

O e-mail chega com o assunto "Sua senha do Instagram foi alterada". Você não alterou. Ao tentar entrar, o app diz que a senha está errada. Ou o contrário: você ainda consegue entrar, mas há stories que você não postou e mensagens enviadas a seguidores pedindo Pix ou "votar no meu sobrinho". Nos dois casos o relógio corre, porque quanto mais tempo o invasor fica com a conta, mais difícil é desfazer o estrago.

Este guia é um roteiro de resposta a incidente para conta pessoal: o que checar primeiro, o que fazer se você ainda tem acesso, o que fazer se perdeu, e como fechar as portas depois. Os passos exatos de tela mudam de tempos em tempos, então use a Central de Ajuda do Instagram como referência final para os menus.

Como saber se o Instagram foi mesmo invadido?

Quais são os sinais de que sua conta foi hackeada?

Os sinais mais comuns são e-mails de segurança que você não esperava, mudança de senha, e-mail ou telefone sem sua ação e atividade que não é sua: posts, mensagens, seguidos ou deixados de seguir. Qualquer um deles já justifica agir como se fosse invasão.

• E-mail de alteração avisando que e-mail, telefone ou senha da conta mudou.
• Códigos de login chegando por SMS ou e-mail sem você ter tentado entrar.
• Mensagens enviadas que você não escreveu, em geral com link ou pedido de dinheiro.
• Dispositivos desconhecidos na lista de atividade de login.
• Nome de usuário, foto ou bio alterados, comum quando a conta será revendida ou usada em golpe.

Cuidado com o e-mail falso: golpistas também mandam avisos de "conta invadida" para roubar a sua senha de verdade. Antes de clicar, confira o remetente e, na dúvida, abra o app diretamente em vez de usar o link. O mecanismo é o mesmo descrito em como identificar um e-mail de phishing.

Passo a passo se você ainda consegue entrar

Esse é o cenário mais favorável, e a ordem importa:

1. Troque a senha agora, por uma que você nunca usou em outro site. Se a senha antiga era reaproveitada, troque também nas outras contas, porque o invasor pode testá-la por lá (é o ataque descrito em credential stuffing).
2. Encerre as sessões abertas: nas configurações de segurança, veja onde a conta está logada e saia de tudo que você não reconhece.
3. Confira e-mail e telefone cadastrados. Se algum não é seu, remova e coloque os seus. É por ali que o invasor tentaria recuperar a conta depois.
4. Ative a autenticação em duas etapas, de preferência por aplicativo autenticador e não por SMS. O passo a passo está em como configurar 2FA com TOTP no Gmail, Instagram e WhatsApp.
5. Revise apps conectados e remova qualquer um que você não instalou de propósito.
6. Avise seus seguidores por outra conta ou canal: se alguém recebeu um link estranho em seu nome, que não clique.

E se você perdeu o acesso?

Como recuperar uma conta do Instagram hackeada?

Use as opções de recuperação do próprio Instagram na tela de login, comece pelo e-mail de aviso, se ele trouxer a opção de desfazer a alteração, e siga a verificação de identidade se o invasor trocou seus dados. Não existe atalho por terceiros.

Na prática:

1. Procure o e-mail de segurança. Se o endereço foi trocado, a mensagem que o Instagram enviou para o e-mail antigo pode trazer uma opção de reverter a alteração. Vale olhar também a caixa de spam. Se você tem acesso ao seu e-mail, proteja o e-mail primeiro: troque a senha dele e ative 2FA, porque quem controla o e-mail controla todas as recuperações de senha.
2. Peça ajuda de login na tela inicial ("Esqueceu a senha?") usando seu usuário, e-mail ou telefone, e peça o código de recuperação.
3. Se o invasor trocou e-mail e telefone, escolha a opção de que você precisa de mais ajuda. O Instagram pode pedir informações da conta e, em alguns casos, uma verificação de identidade por vídeo-selfie. O tempo de resposta varia e não há prazo oficial confirmado, então desconfie de quem promete data.
4. Guarde provas: capturas de tela dos e-mails de alteração, das mensagens enviadas em seu nome e do perfil como está. Servem tanto para a solicitação quanto para um eventual boletim de ocorrência, se houve golpe com Pix.

Um alerta importante: aparecem "recuperadores de conta" em comentários e DMs, cobrando taxa ou pedindo o código que chegou no seu celular. Isso é golpe em cima de quem já foi vítima. Código de verificação nunca se entrega a ninguém, e a recuperação oficial é gratuita.

Como o invasor costuma entrar

Entender a porta de entrada ajuda a fechar a certa. Na maioria dos casos de conta pessoal, os caminhos são poucos:

• Senha reaproveitada. Uma senha vazada em outro serviço é testada automaticamente no Instagram. Confira seu e-mail em como saber se seu e-mail foi vazado.
• Phishing: falsa notificação de violação de direitos autorais, "selo de verificado" ou "você ganhou um prêmio", levando a uma página que imita o login.
• Pedido de código por mensagem. Um "amigo" cuja conta já foi invadida pede o código que você recebeu "por engano". É o mesmo roteiro do WhatsApp clonado.
• Fadiga de aprovação. Com 2FA por notificação, o invasor dispara pedidos até você aprovar um. Detalhes em MFA fatigue.
• Roubo de chip, quando o 2FA é por SMS, descrito em SIM swap.

Como blindar a conta depois

Recuperar a conta resolve o problema de hoje. O que impede o próximo é uma configuração enxuta:

• Senha única e longa, guardada em um gerenciador. Se ainda não usa um, veja como usar o Bitwarden.
• 2FA por app autenticador em vez de SMS, e guarde os códigos de backup fora do celular.
• E-mail do Instagram protegido com a mesma seriedade: senha própria e 2FA ativo.
• Desconfie de qualquer link que peça login do Instagram fora do app ou do site oficial.
• Revise a lista de dispositivos de vez em quando. Dois minutos a cada mês pegam uma sessão estranha cedo.

A lição maior

Quase toda invasão de rede social pessoal começa em um ponto fora do Instagram: uma senha reaproveitada, um e-mail sem proteção, um código entregue a quem pediu com boa conversa. A conta é só o último elo. Proteger o e-mail, usar senha única e 2FA em app custa menos de meia hora e fecha a maior parte dos caminhos.

Se quiser ir além da senha, leia sobre passkeys e autenticação sem senha, que eliminam justamente o que o golpista rouba. E se este roteiro ajudou, os botões de compartilhamento no rodapé levam o guia a quem ainda não tem 2FA.