Quem ofereceu ajuda para recuperar sua conta era quem a queria

Nenhum atendimento legítimo pede o código

Vale fixar essa regra antes de qualquer outra coisa, porque ela resolve sozinha a maior parte dos casos.

O código enviado por mensagem de texto ou por aplicativo autenticador é o segundo fator de autenticação: existe justamente para provar que quem está tentando entrar tem posse do seu telefone. Nenhuma equipe de suporte precisa dele, porque nenhuma equipe de suporte entra na sua conta por essa via — ela atua pelos sistemas internos.

As mensagens dos serviços costumam trazer a advertência explícita de não compartilhar o código. Ela é ignorada porque a abordagem chega no momento exato de aflição, quando a pessoa já está tentando resolver um problema e recebe algo que parece a solução.

O golpe, portanto, não explora ingenuidade: explora contexto. Quem acabou de perder acesso, quem acabou de denunciar um perfil falso, quem acabou de reclamar publicamente da plataforma — esses são os alvos, e a mensagem chega logo depois, justamente porque o gatilho foi público.

Como a abordagem se apresenta

Reconhecer os sinais é útil para si e para quem se pretende alertar.

O contato parte de perfil ou número que não é o canal oficial: mensagem privada em rede social, aplicativo de mensagens, chamada telefônica. Suporte de plataforma não inicia conversa por esses meios.

O texto cria urgência — conta será desativada em vinte e quatro horas, denúncia precisa ser respondida agora, verificação expira em minutos. Urgência é a ferramenta que impede a checagem.

Há pedido de dado que ninguém legítimo pede: código, senha, resposta de pergunta de segurança, ou clique em endereço que leva a uma página de login idêntica à verdadeira.

E frequentemente há um verniz de autoridade: logotipo, assinatura com nome de equipe, número de protocolo inventado, e às vezes um selo obtido em conta comprada.

A verificação que desfaz tudo custa trinta segundos: sair da conversa, abrir o aplicativo oficial e procurar ali a mesma solicitação. Se ela não existe no aplicativo, não existe.

O que fazer nos primeiros minutos depois de repassar o código

A janela é curta e as ações têm ordem.

Tente a recuperação padrão imediatamente, antes que os vínculos sejam substituídos. Se o e-mail original ainda responder, use-o para reverter a alteração — muitos serviços enviam ao endereço antigo um aviso com opção de desfazer, válida por prazo curto.

Encerre sessões ativas e troque a senha em todos os serviços que compartilham o mesmo e-mail ou a mesma senha. O acesso a uma conta costuma ser apenas o começo.

Avise seus contatos, por outro canal, de que a conta foi comprometida. É o que impede a segunda fase do golpe, em que o invasor usa a conta tomada para abordar sua lista.

Se a conta estava vinculada a meios de pagamento, comunique o banco e bloqueie o que for possível.

E capture tudo antes que o golpista apague: a conversa completa, o perfil que abordou, os horários, o número usado.

O enquadramento penal e o que o registro habilita

A conduta tem tipificação, ainda que a vítima tenha entregado o código voluntariamente — o consentimento obtido por engano não é consentimento.

O art. 154-A do Código Penal tipifica invadir dispositivo informático de uso alheio, conectado ou não à rede, com o fim de obter, adulterar ou destruir dados ou informações sem autorização do usuário, ou nele instalar vulnerabilidades para obter vantagem ilícita.

Quando o acesso obtido serve para aplicar golpes financeiros nos contatos, soma-se o estelionato praticado por meio eletrônico, com pena de reclusão de quatro a oito anos e multa quando a fraude se vale de informações obtidas em redes sociais, contato telefônico ou mensagem eletrônica fraudulenta.

O registro da ocorrência serve para fixar a data, habilitar a requisição de dados que a vítima não obtém sozinha e instruir os pedidos de recuperação junto à plataforma, que costumam pedir número de boletim quando a conta já foi alterada.

Recuperar a conta quando os vínculos já foram trocados

O caminho existe, é lento e recompensa quem chega organizado.

Use o formulário de conta comprometida — que é diferente do de senha esquecida — e informe o e-mail e o telefone originais, com a data aproximada em que foram vinculados.

Anexe o que comprove a titularidade: e-mails antigos recebidos da plataforma naquele endereço, comprovantes de pagamento feitos pela conta, documento com foto, arquivos originais de conteúdo publicado. Se a conta era comercial, junte contrato social e comprovante de inscrição.

Envie tudo de uma vez, mencione o número da ocorrência policial e guarde o protocolo. Evite abrir chamados paralelos com versões diferentes.

Se houver canal de suporte prioritário — por assinatura, por conta comercial, por vínculo publicitário —, use-o em vez do formulário público.

Quando os contatos são lesados a partir da sua conta

Este é o desdobramento que costuma pesar mais do que a perda do acesso.

Do ponto de vista da responsabilidade, quem teve a conta tomada por golpe não responde, em regra, pelos prejuízos que o invasor causou a terceiros: a conduta foi dele, e a vítima do golpe também é vítima.

A posição, contudo, se sustenta em diligência demonstrável. Avisar os contatos rapidamente, por canal alternativo, registrar ocorrência e comunicar a plataforma são exatamente as condutas que demonstram que não houve negligência depois de descoberto o problema.

Oriente cada contato lesado a acionar o próprio banco pelo canal de fraude, guardar o comprovante e registrar ocorrência própria. Forneça, se pedirem, declaração escrita de que a conta estava comprometida naquele período, com o número do seu boletim.

Se as cobranças persistirem ou os valores forem altos, formalizar essa posição por escrito é o passo seguinte, e um advogado particular consegue redigir a declaração e orientar a comunicação com os lesados por atendimento a distância.

Fechar as portas que continuam abertas

Recuperado o acesso, algumas verificações evitam que o episódio se repita em semanas.

Substitua a verificação por mensagem de texto por aplicativo autenticador, que não depende da linha telefônica e resiste à troca de chip. Gere novos códigos de recuperação e guarde-os fora do dispositivo.

Revise aplicativos de terceiros conectados e remova o que não reconhecer. Confira, no e-mail vinculado, se há regras de encaminhamento criadas sem seu conhecimento.

Atualize as informações de recuperação e confirme que o e-mail e o telefone listados são realmente seus e estão acessíveis.

E assuma, como regra permanente, que nenhum código será repassado a ninguém — por telefone, mensagem, e-mail ou pessoalmente. É a única defesa que funciona contra todas as variações desse golpe, inclusive as que ainda não existem.