Um falso suporte pediu acesso ao seu celular ou aos seus dados? Veja o que fazer

O nome da empresa muda, mas o roteiro é parecido: um problema urgente, uma ameaça e um pedido. A Meta descreve assim: o golpista oferece suporte por e-mail ou mensagem de rede social e diz que você precisa entrar na conta com urgência. Manda um link para um site parecido com o verdadeiro, que pede login, senha e o código de dois fatores.

• “Violação de direitos autorais”Um e-mail ou uma mensagem diz que a sua conta violou direitos autorais ou as regras da plataforma e será excluída ou banida se você não agir, às vezes “em 24 horas”. O botão para “contestar” leva a uma página falsa que pede usuário, senha e código.
• Selo de verificaçãoUma conta que se diz da equipe do Instagram ou da Meta oferece o selo azul ou um serviço de verificação. A Central de Ajuda do Instagram manda desconfiar de quem diz ser da equipe de segurança ou oferece verificação de conta.
• “Seu computador está infectado”Um aviso na tela, às vezes em tela cheia e com som, diz que o computador está infectado e traz um número de telefone. Quem liga fala com um golpista que se diz da Microsoft ou de outra empresa de tecnologia.
• Suporte que você não pediuAlguém liga ou escreve dizendo ser do suporte de uma operadora, de uma loja, de um marketplace ou de um suposto “suporte do Pix” e fala de um problema na conta ou na compra. Segundo a Microsoft, o golpista pode falsificar a identificação da chamada: o número na tela não prova nada.
• Pedido de código de verificaçãoO “suporte” diz que vai confirmar a sua identidade e pede o código que chegou por SMS, e-mail ou aplicativo. Segundo a Meta, com login, senha e código de dois fatores o golpista assume o controle da conta e a usa para enganar outras pessoas.
• Aplicativo de acesso remoto e cobrançaPara “resolver o problema”, mandam instalar um programa que dá a ele o controle da tela, e às vezes cobram o “conserto” em criptomoedas ou cartões-presente. A Microsoft diz que, com esse acesso, os golpistas costumam instalar programas maliciosos que podem roubar as suas informações.

Se o aplicativo instalado deu ao golpista o controle do celular e ele mexe no seu banco, veja o golpe da mão fantasma.

• Urgência e ameaçaPrazo curto e ameaça de perder a conta. A Meta manda ir com calma: golpistas criam urgência, e nenhuma organização respeitável exige o pagamento imediato.
• Contato que você não pediuA Microsoft diz que não liga para oferecer suporte se você não pediu. O Instagram diz que nunca envia mensagem direta sobre a sua conta.
• Endereço do remetenteOs e-mails da Meta só vêm de domínios como facebook.com, facebookmail.com, instagram.com, meta.com e metamail.com, ou de subdomínios deles. Cuidado com versões mal escritas desses nomes.
• Link que não bateNo computador, passe o cursor sobre o link, sem clicar. Se o endereço não bate com o texto, o Google diz que pode ser phishing. No celular, não clique: abra o aplicativo oficial.
• Pedido de senha ou códigoO Google diz que nunca pede senha nem código por e-mail, ligação ou mensagem, e o Facebook, que nunca pergunta a senha por e-mail. Trate o pedido como golpe.
• Telefone na tela e pagamento estranhoAs mensagens de erro da Microsoft nunca trazem número de telefone, e ela nunca pede pagamento por suporte em criptomoedas ou cartões de oferta.

Nunca confira um aviso pelo próprio aviso. Abra você mesmo o aplicativo ou o endereço oficial e veja ali. Os menus mudam: o passo a passo atual está nas Centrais de Ajuda listadas ao fim da página.

1. 1

   Feche a mensagem e não use o link

   Não responda, não clique e não baixe anexos. Confira pelos caminhos abaixo, sem usar o link da própria mensagem, mesmo que o endereço do remetente pareça certo.

2. 2

   Instagram e Facebook: e-mails recentes

   Nas configurações, em Conta Meta, Login e segurança, abra E-mails recentes: o Instagram mostra ali os e-mails oficiais dos últimos 14 dias. No Facebook, o endereço é facebook.com/recent_emails/security. Se o e-mail não aparece, desconfie.

3. 3

   Instagram: Status da Conta

   Se o aviso fala em conteúdo removido ou conta restrita, abra as configurações e, em Mais informações e suporte, o Status da Conta. Ali aparecem o conteúdo removido e os recursos bloqueados, e de lá se pede uma análise.

4. 4

   Google: página de segurança

   Digite myaccount.google.com/notifications para ver a atividade de segurança recente da conta. Senha e código só em accounts.google.com, nunca por e-mail, ligação ou mensagem.

5. 5

   WhatsApp: o código é só seu

   O WhatsApp pede o código de seis dígitos na tela em que você confirma o número, no próprio aplicativo. Não o passe a ninguém, nem a quem diz ser do suporte.

6. 6

   Microsoft, operadora, loja ou banco: ligue você

   A Microsoft diz que não liga para oferecer suporte se você não pediu. Para operadora, loja ou marketplace, procure a empresa pelo aplicativo ou site oficial que você abrir. Para o banco, ligue para o número do verso do cartão e procure os canais oficiais.

Faça os passos que combinam com o que aconteceu. Quanto antes, menor o estrago.

1. 1

   Pare de responder e guarde as provas

   Não apague nada ainda. Faça prints do perfil ou número que escreveu, da mensagem, do link, do aplicativo instalado e das notificações, com a tela inteira, a data e a hora.

2. 2

   Troque a senha por um caminho oficial

   Abra o aplicativo ou digite você mesmo o endereço do serviço, nunca o link da mensagem, e troque a senha. Troque também a dos serviços que usam a mesma senha. Se instalou um aplicativo no celular, use outro aparelho.

3. 3

   Encerre as sessões que não são suas

   No Instagram, redefina a senha e desconecte os dispositivos que não são seus. No Google, abra Gerenciar dispositivos e as ocorrências de segurança recentes: se não reconhece algo, escolha “Não fui eu”.

4. 4

   Ative a verificação em duas etapas e revogue acessos

   Ative a autenticação de dois fatores, confira o telefone e o e-mail de recuperação e cancele o acesso de aplicativos de terceiros suspeitos. No Instagram, remova na Central de Contas as contas vinculadas que não reconhece.

5. 5

   Perdeu o acesso? Só a recuperação oficial

   Use a recuperação do próprio serviço, como instagram.com/hacked. Desconfie de quem promete recuperar a conta mediante pagamento: o Instagram lembra que nenhuma organização respeitável exige pagamento imediato.

6. 6

   Instalou um aplicativo? Desligue, desinstale e limpe

   Desligue a internet e desinstale o aplicativo. No computador, rode uma verificação completa com o antivírus e instale as atualizações de segurança. A Microsoft indica considerar restaurar o aparelho quando o golpista teve acesso a ele.

7. 7

   Saiu dinheiro ou você passou dados do cartão?

   Ligue para o banco ou para a operadora do cartão pelo número oficial, peça o bloqueio do cartão e conteste as cobranças. Se foi Pix, peça o MED, como explicado adiante. Anote o protocolo de cada contato.

8. 8

   Denuncie na plataforma

   Denuncie o perfil ou a mensagem pelo aplicativo. E-mails que se dizem do Instagram vão para phish@instagram.com e os do Facebook, para phish@fb.com. No Gmail, use Mais e Denunciar phishing. Golpe em nome da Microsoft: microsoft.com/reportascam.

9. 9

   Registre o boletim de ocorrência

   Conte o que houve, com datas, perfis, números e valores, e leve as provas. A Delegacia Virtual do Ministério da Justiça atende fatos ocorridos nos estados que aderiram ao serviço; nos outros, veja o registro on-line da Polícia Civil do estado ou vá a uma delegacia.

Para recuperar a conta, veja o guia do Instagram hackeado, do WhatsApp clonado ou do e-mail ou da conta Google invadidos. Se o aplicativo deu ao golpista o controle do celular, veja o golpe da mão fantasma. Para os prints valerem como prova, veja quando o print vale como prova.

• EstelionatoCódigo Penal, art. 171, caput: obter vantagem ilícita enganando alguém. Pena de reclusão de 1 a 5 anos e multa, na redação atual do Código Penal.
• Fraude eletrônicaArt. 171, § 2º-A: reclusão de 4 a 8 anos e multa quando a fraude usa informações fornecidas pela vítima, enganada por redes sociais, contatos telefônicos, e-mail fraudulento, duplicação de dispositivo eletrônico ou aplicação de internet (Lei 15.397/2026). O falso suporte pode se encaixar aqui.
• Vítima idosa ou vulnerávelArt. 171, § 4º: a pena aumenta de 1/3 ao dobro se o crime é cometido contra idoso ou vulnerável (Lei 14.155/2021).
• Invasão de dispositivoArt. 154-A: invadir dispositivo informático de uso alheio, sem autorização, para obter, adulterar ou destruir dados, ou para instalar vulnerabilidades e obter vantagem ilícita. Pena de reclusão de 1 a 4 anos e multa; com prejuízo econômico, aumenta de 1/3 a 2/3 (§ 2º); se resulta o controle remoto não autorizado do dispositivo, é de 2 a 5 anos e multa (§ 3º). Redação da Lei 14.155/2021. Se o golpista usa a sua senha ou o acesso remoto para entrar na conta ou no aparelho, esse artigo pode valer. Cada caso é analisado.
• Representação e prazoPara o art. 154-A, a investigação depende, em regra, de representação da vítima, isto é, de dizer que quer o autor processado (art. 154-B), em 6 meses contados do dia em que você soube quem é o autor (art. 103). No boletim de ocorrência, diga que quer a investigação.
• Registros de quem está por trásMarco Civil da Internet, art. 15: as plataformas guardam os registros de acesso por 6 meses. Pelo art. 22, o juiz pode mandar fornecê-los, se o pedido trouxer indícios do ilícito, a justificativa e o período.

A lei pune quem aplica o golpe. Quem foi enganado pelo falso suporte é vítima, e o boletim de ocorrência com as provas ajuda a polícia a chegar ao responsável.

Os três pedem acesso ou dados. O que muda é quem o golpista finge ser.

• Falso suporte (este guia)O golpista finge ser o suporte de uma plataforma ou empresa, como rede social, Google, Microsoft, operadora ou loja, e quer a sua conta, o seu código ou o seu aparelho.
• Falsa centralFinge ser funcionário do banco e quer que você transfira para uma “conta segura”, passe a senha ou entregue o cartão.Guia da falsa central
• Mão fantasmaUsa um aplicativo de acesso remoto instalado por você para fazer operações no seu celular. Pode começar com um falso suporte.Guia da mão fantasma

A ajuda jurídica entra depois dos primeiros passos e tem limite. Cada caso depende das provas. Não há resultado garantido.

• Hackearam seu Instagram?Como recuperar a conta pelo caminho oficial, avisar os seguidores e guardar as provas.
• Invadiram seu e-mail ou sua conta Google?Como recuperar o acesso e fechar as portas que o invasor deixou abertas.
• O banco tem que devolver o dinheiro do golpe?Quando o banco responde, quando costuma negar e onde reclamar.

Cada etapa depende da anterior. Nem todo caso passa por todas elas, e cada caso depende das provas. Não há resultado garantido.

1. Etapa 1

   Análise do caso

   Leitura das mensagens, dos prints, dos protocolos e das respostas do banco e da plataforma para definir o caminho.

2. Etapa 2

   Pedidos ao banco e à plataforma

   Notificação com fundamento jurídico pedindo a devolução, o cancelamento do que foi contratado ou a recuperação da conta.

3. Etapa 3

   Medidas na Justiça

   Quando cabível, pedido ao juiz dos registros de quem aplicou o golpe (Marco Civil da Internet, art. 22) e ação de reparação.

Entrevistas sobre golpes digitais, segurança do celular e Direito Digital.

• 

  TV Globo, Bom Dia DF

  Alvo dos criminosos: roubos e furtos de celular no DF

• 

  Rádio Antena 1 Salvador, Bahia Notícias no Ar

  Golpes no Pix no Carnaval

• 

  Band, Jornal da Band

  Vazamento de dados de 25 mil chaves Pix

• 

  CNJ

  Entrevista como professor e advogado de Direito Digital