O sequestro de conta mudou de método. Trocar a senha e ativar a verificação em duas etapas continua essencial, mas já não basta. Reportagem publicada nesta semana pela Fox News reúne seis formas de invasão que dispensam a senha da vítima, e todas já aparecem no Brasil: roubo de sessão, troca de chip, pedidos falsos de código, malware, aplicativos autorizados por engano e acessos que sobrevivem à troca de senha.
O alerta vem num momento sensível. O Brasil é o segundo país com mais cookies de sessão roubados no mundo, e a clonagem de WhatsApp foi o golpe bancário mais registrado em 2024, segundo a Febraban. Com Black Friday e 13º salário chegando, a tendência é de mais tentativas.
Neste artigo
Por que o sequestro de conta já não depende da senha
Quando você entra em um site ou aplicativo, ele guarda um “passe” digital, o cookie ou token de sessão, para não pedir login a cada clique. Quem rouba esse passe entra na conta como se fosse você, já logado. Da mesma forma, quem controla o seu número de celular recebe os códigos por SMS. E quem convence você a autorizar um aplicativo ganha acesso que a senha não revoga.
Em resumo: o alvo deixou de ser a senha e passou a ser tudo o que vem depois dela.
As 6 formas de sequestro de conta
1. Sessão roubada (cookies e tokens)
O criminoso copia o cookie de sessão e abre a conta sem senha e sem código. O volume é enorme: levantamento da NordVPN identificou mais de 52 bilhões de cookies roubados em um ano, 2,83 bilhões deles no Brasil, atrás apenas da Índia. Segundo o estudo, mais de 96% das máquinas infectadas tinham antivírus ativo.
Brasil é o 2º país com mais cookies de sessão roubados
Cookies roubados por malware infostealer em um ano, em bilhões
Como se proteger: revise os dispositivos e sessões ativos no Google, Apple, Microsoft, WhatsApp e no app do banco. Encerre o que não reconhecer. Se suspeitar de invasão, use a opção “sair de todos os dispositivos”.
2. SIM swap e golpe da portabilidade
O golpista convence a operadora a transferir o seu número para um chip ou eSIM dele, muitas vezes usando dados vazados como CPF e nome completo. A partir daí, recebe as ligações e os códigos por SMS. Desde 2023, a Anatel exige confirmação por SMS para pedidos de portabilidade: o cliente responde “SIM” ou “NÃO”, e o pedido é cancelado sem resposta em seis horas.
Como se proteger: nunca ignore um SMS de portabilidade que você não pediu; responda “NÃO”. Ative o PIN do chip e prefira aplicativo autenticador ou chave de acesso (passkey) em vez de código por SMS.
3. Falso pedido de código e “fadiga” de aprovação
Aqui a vítima entrega o acesso. O criminoso dispara vários pedidos de aprovação no celular até alguém tocar em “Aprovar” por cansaço, ou liga se passando pelo suporte e pede o código “para confirmar o cadastro”. No Brasil, é o roteiro clássico da clonagem de WhatsApp, que atingiu cerca de 153 mil pessoas em 2024, segundo a Febraban, e de golpes como o “é do banco”.
Como se proteger: código de verificação não se passa a ninguém, nem a quem diz ser do banco ou da empresa. Negue pedidos de aprovação que você não iniciou. No WhatsApp, ative a confirmação em duas etapas com PIN. Veja mais em como evitar golpes no WhatsApp.
4. Infostealers e extensões de navegador
Programas espiões do tipo infostealer coletam senhas salvas, cookies e dados de cartão de uma vez. Eles chegam por atualizações falsas, programas piratas, anúncios maliciosos e extensões de navegador comprometidas. É o motor por trás do roubo de credenciais em massa.
Como se proteger: mantenha sistema e navegador atualizados, não baixe programas fora das lojas oficiais e remova extensões que você não usa. Se o computador estiver infectado, troque as senhas a partir de outro aparelho, limpo.
5. Aplicativo autorizado por engano (consent phishing)
A vítima entra numa página de login verdadeira, do Google ou da Microsoft, e depois vê um pedido de permissão para um app com nome confiável, como um “visualizador de documentos”. Ao clicar em “Permitir”, libera o acesso a e-mails, contatos e arquivos. O FBI emitiu alerta sobre esse golpe em 1º de setembro de 2026, destacando que o acesso continua mesmo depois da troca de senha. Os alvos preferenciais são autoridades, jornalistas e executivos, abordados por aplicativos de mensagem.
Como se proteger: desconfie de pedidos de permissão inesperados e revise, nas configurações de segurança da conta, os aplicativos com acesso a ela. Remova o que não reconhecer.
6. Acesso persistente depois da troca de senha
A matéria da Fox News numera cinco ameaças, e a sexta aparece no fechamento: o invasor deixa “portas” abertas. Pode ser uma sessão que não foi encerrada, um app autorizado, uma regra que encaminha seus e-mails para ele ou um telefone e e-mail de recuperação trocados. Trocar a senha não fecha nenhuma delas.
Como se proteger: depois de qualquer suspeita, confira regras de encaminhamento e filtros do e-mail, os dados de recuperação da conta e os apps conectados, além das sessões ativas.
Conta invadida: o que fazer nas primeiras horas
- Proteja o e-mail primeiro. É por ele que se recuperam quase todas as outras contas.
- Encerre todas as sessões e só depois troque a senha.
- Revise apps conectados, encaminhamentos de e-mail e dados de recuperação.
- Avise o banco e a operadora, principalmente se perdeu o sinal do celular de repente.
- Alerte seus contatos se o WhatsApp ou as redes sociais foram tomados, para que ninguém faça Pix ao golpista.
- Guarde provas (prints, números, horários) e registre boletim de ocorrência, que pode ser feito pela delegacia eletrônica do seu estado.
O que o sequestro de conta significa para empresas
Uma conta corporativa sequestrada vira porta de entrada para fraudes de pagamento, vazamento de dados e ataques a clientes. A análise da Folha aponta três prioridades para gestores, que se somam aos riscos de cibersegurança empresarial de 2026:
- Autenticação resistente a phishing (passkeys ou chaves físicas) para diretoria, financeiro e TI, que são os alvos preferidos.
- Governança de aplicativos conectados: bloquear a autorização de apps por usuários comuns no Microsoft 365 ou Google Workspace e revisar as permissões existentes.
- Resposta a incidente que vá além da senha: revogar sessões e tokens, revisar regras de e-mail e checar dispositivos com infostealer.
Perguntas frequentes sobre sequestro de conta
Trocar a senha resolve uma conta invadida?
Nem sempre. Sessões abertas, aplicativos autorizados e regras de encaminhamento continuam funcionando. É preciso encerrar as sessões e revisar os acessos, além de trocar a senha.
Verificação em duas etapas ainda vale a pena?
Sim, mas o método importa. Código por SMS pode ser interceptado por SIM swap. Aplicativo autenticador, passkey ou chave física são mais seguros.
O que é SIM swap?
É a transferência fraudulenta do seu número para um chip controlado pelo criminoso, que passa a receber suas ligações e códigos por SMS.
Como saber se alguém está usando minha conta?
Confira a lista de dispositivos e sessões ativas nas configurações de segurança. Alertas de login em local estranho, e-mails lidos que você não abriu e mudanças nos dados de recuperação são sinais de invasão.
Fontes
- Fox News — Identity thieves don’t need your password: 6 new account takeover threats (31/10/2026)
- FBI/IC3 — Alerta I-090126-PSA sobre consent phishing (01/09/2026)
- TI Inside — Brasil é o 2º país com mais cookies roubados no mundo, estudo NordVPN (12/08/2026)
- Exame — Golpe do WhatsApp clonado: como funciona e como se proteger em 2026 (05/05/2026)
- Canaltech — Portabilidade com confirmação via SMS é implementada no Brasil (30/08/2023)
Faça parte da comunidade Folha da Segurança
Receba nosso boletim informativo por e-mail e tenha acesso ao grupo exclusivo do WhatsApp, com alertas e conteúdos de segurança em primeira mão.
🔒 O link do grupo exclusivo do WhatsApp é liberado após a inscrição.
