Um amigo pergunta por que você mandou um link estranho, o banco avisa de uma troca de senha que você não pediu ou a caixa de saída mostra mensagens que você nunca escreveu. A dúvida sobre como saber se meu email foi hackeado costuma chegar assim, e quase sempre com uma explicação que acalma cedo demais: deve ser spam, deve ser falha do provedor. Às vezes é. Mas quem invade uma conta de email raramente faz barulho. O invasor quer ficar dentro, ler o que chega e usar a caixa como chave para redefinir senhas de outros serviços. Por isso os sinais mais confiáveis estão nos lugares que você quase nunca abre: o histórico de acessos, a lista de aparelhos, as regras de encaminhamento. A seguir estão as cinco checagens, na ordem em que fazem sentido, e o que fazer na primeira hora se alguma delas acusar a invasão.
Por que o email hackeado é o problema que abre todos os outros
O email não é só mais uma conta. É o endereço para onde vão os links de recuperação do banco, da loja, da rede social e das ferramentas de trabalho. A página do NIC.br sobre cuidados com o e-mail resume isso ao pedir cuidado redobrado com essa conta, porque ela dá acesso aos outros serviços. Quem controla a sua caixa pode clicar em esqueci minha senha em qualquer site e receber o código no seu lugar.
Para quem trabalha de casa o estrago é maior. Contratos, notas fiscais, dados de cliente e conversas com a empresa passam pelo mesmo endereço. Um invasor que lê tudo isso consegue montar um golpe convincente contra os seus contatos, como os casos descritos no guia de exemplos reais de phishing que imitam remetentes conhecidos.
Os sinais de email hackeado que aparecem primeiro
Antes de abrir as configurações, vale reconhecer os sintomas que costumam disparar a desconfiança. Nenhum deles prova a invasão sozinho, mas dois ou mais juntos pedem as checagens completas:
- mensagens na pasta Enviados que você não escreveu, ou contatos reclamando de emails seus com links e anexos;
- avisos do provedor sobre acesso de um aparelho ou local desconhecido;
- emails de redefinição de senha de outros serviços que você não pediu;
- senha recusada de repente, mesmo digitada com cuidado;
- mensagens importantes que somem ou chegam já marcadas como lidas.
O último sinal é o mais traiçoeiro. Mensagem lida antes de você abrir quer dizer que alguém abriu primeiro, ou que uma regra automática está mexendo na sua caixa.
As 5 checagens para saber se o Gmail ou o Outlook foi invadido
Faça as checagens num computador ou celular que você confia. Se a suspeita é de vírus na máquina, use outro aparelho até resolver.
1. Atividade recente da conta
No Gmail pelo navegador, no rodapé da caixa de entrada, aparece a última atividade da conta com um link de detalhes. Ali estão os acessos recentes, o tipo de acesso e o local aproximado. Na Conta do Google, a área de segurança mostra também a atividade de segurança recente. No Outlook e no Hotmail, a conta Microsoft tem a página de atividade de entrada, com data, local e se a tentativa deu certo. O que procurar: cidade ou país onde você não estava, navegador que você não usa, horário em que você dormia.
2. Aparelhos conectados
A mesma área de segurança lista os dispositivos com sessão aberta. Um celular de modelo diferente do seu ou um computador que você não reconhece é sinal forte. Anote o nome antes de remover, porque ele ajuda a entender por onde o invasor entrou.
3. Regras de encaminhamento e filtros
Esta é a checagem que mais gente pula. No Gmail, as configurações têm as abas de filtros e de encaminhamento. No Outlook, as opções de regras e de encaminhamento ficam nas configurações de email. Um invasor esperto cria uma regra que copia tudo para um endereço dele ou que apaga avisos de segurança antes de você ver. Se existir regra ou encaminhamento que você não criou, a conta foi mexida, mesmo que a senha ainda funcione.
4. Dados de recuperação
Abra o telefone e o email de recuperação cadastrados. Se trocaram por um número ou endereço que não é seu, o invasor preparou o terreno para tirar você da conta de vez. Isso explica por que, em alguns casos, a senha continua funcionando por dias: ele espera o momento de agir.
5. Pastas Enviados e Lixeira
Role a pasta Enviados e a Lixeira das últimas semanas. Mensagens de cobrança, pedidos de Pix e links em nome seu são a marca do golpe aplicado aos seus contatos, parecido com o que acontece no WhatsApp clonado usado para pedir dinheiro aos contatos. Mensagens apagadas que você não apagou também contam.
O que cada sinal indica e qual ação ele pede
Nem todo achado tem o mesmo peso. A tabela ajuda a separar o susto da invasão confirmada:
| O que você encontrou | Onde olhar | O que costuma indicar | Ação imediata |
|---|---|---|---|
| Acesso de local desconhecido | Atividade recente | Senha conhecida por outra pessoa | Trocar a senha e encerrar sessões |
| Aparelho que não é seu | Dispositivos conectados | Sessão aberta pelo invasor | Remover o aparelho e trocar a senha |
| Encaminhamento ou filtro estranho | Configurações de email | Invasor lendo sem ser notado | Apagar a regra antes de qualquer outra coisa |
| Telefone de recuperação trocado | Dados de recuperação | Preparação para tomar a conta | Corrigir o número e ativar duas etapas |
| Emails enviados que você não escreveu | Enviados e Lixeira | Conta usada para golpe | Avisar os contatos por outro canal |
| Senha recusada sem motivo | Tela de login | Invasor já trocou a senha | Recuperação oficial do provedor |
Meu email foi hackeado: o que fazer na primeira hora
Se alguma checagem confirmou a suspeita, a ordem importa. Trocar a senha e deixar o encaminhamento ativo, por exemplo, mantém o invasor recebendo cópia de tudo, inclusive dos avisos da troca.
- Troque a senha num aparelho limpo. Use uma senha longa e nova, que você nunca usou em outro lugar. No Gmail, a troca desconecta os outros aparelhos, conforme a orientação do NIC.br.
- Encerre todas as sessões e remova aparelhos desconhecidos. A opção de sair de todos os dispositivos fica na área de segurança da conta.
- Apague regras, filtros e encaminhamentos que você não criou.
- Corrija telefone e email de recuperação.
- Ative a verificação em duas etapas, de preferência por aplicativo autenticador ou chave de segurança.
- Troque a senha dos serviços ligados ao email, começando por banco, loja com cartão salvo e ferramentas de trabalho.
- Avise seus contatos por outro canal, para que não respondam a pedidos de dinheiro feitos em seu nome.
O passo 6 parece exagero até você lembrar que a mesma senha costuma estar em vários lugares. O fascículo da Cartilha do CERT.br para quem caiu em golpe manda alterar a senha em todas as contas onde ela for usada, recusar notificações de aprovação que você não iniciou e encerrar as sessões ativas em outros dispositivos. O mesmo material recomenda guardar prints, datas e protocolos e registrar boletim de ocorrência quando houver prejuízo ou uso indevido dos seus dados.
Como recuperar email hackeado quando a senha já foi trocada
Se a senha não entra mais, o caminho é a recuperação oficial do provedor, pela própria tela de login, na opção de esqueci a senha. O Google e a Microsoft fazem perguntas para confirmar que a conta é sua: senhas antigas, quando a conta foi criada, contatos frequentes. Responda do aparelho e da rede que você costuma usar, porque isso pesa a seu favor.
Desconfie de qualquer pessoa ou perfil que ofereça recuperar a conta mediante pagamento. Recuperação de Gmail e Outlook não passa por terceiros, e esse tipo de oferta é uma das variações do golpe que aparece também nos anúncios descritos em sinais de vaga falsa de home office.
Verificação em duas etapas no Gmail e no Outlook: o que muda depois
Com a conta retomada, a proteção que mais pesa é a segunda etapa de login. Mesmo que alguém consiga a senha, vai faltar o código do seu celular ou a chave física. A página do NIC.br recomenda ativar a autenticação em dois fatores no email e em todo serviço que oferecer a opção, e lembra de manter o celular com bloqueio de tela curto e o chip com PIN, para que um aparelho furtado não receba os códigos por SMS.
Entre os métodos, o aplicativo autenticador e a chave de segurança resistem melhor que o SMS, como explica o comparativo dos três métodos de autenticação em dois fatores.
Para não repetir senha entre serviços, o caminho prático é um cofre de senhas, e o guia sobre como escolher um gerenciador de senhas gratuito mostra os erros que anulam essa proteção.
Quando o problema não é invasão
Nem todo sinal estranho é ataque. Três situações confundem com frequência:
- Spoofing: golpistas forjam o seu endereço como remetente sem entrar na sua conta. Os contatos recebem email com o seu nome, mas a sua pasta Enviados fica limpa e a atividade recente não mostra nada fora do comum.
- Acesso seu em outro lugar: rede móvel, VPN da empresa ou Wi-Fi de hotel mostram localização aproximada que pode cair em outra cidade.
- Vazamento antigo: o seu endereço aparecer numa lista de dados vazados de outro site não quer dizer que a caixa foi aberta. Quer dizer que a senha usada naquele site, se repetida no email, precisa ser trocada.
Nos três casos, a troca de senha e a segunda etapa não fazem mal nenhum. A diferença é que você não precisa avisar todos os contatos nem acionar a recuperação.
Rotina mínima para não passar por isso de novo
Uma vez por mês, abra a atividade recente e a lista de aparelhos. Leva dois minutos. A cada troca de celular, remova o antigo da conta. Antes de digitar a senha num link recebido por mensagem, abra o site digitando o endereço você mesmo, como no hábito descrito em checagens para reconhecer um site falso. E mantenha o email de trabalho separado do pessoal: se um cair, o outro continua de pé.