Guia · Segurança da conta
Como golpistas invadem o Instagram: phishing e como se proteger
Resposta direta
A invasão de Instagram costuma começar com um engano, não com um ataque técnico: o golpista convence você a digitar a senha numa página falsa ou a entregar um código. Senha única, verificação em duas etapas com app autenticador e nunca informar códigos reduzem muito esse risco.
Visão geral
Como um hacker invade o Instagram na prática
O que mais se vê é o engano: a pessoa entrega, sem perceber, uma de três coisas que abrem a conta. Esse engano tem nome, phishing: uma mensagem ou página que imita o Instagram para você mesmo entregar senha ou código.
- A senha, digitada numa página que imita o login ou reaproveitada de outro serviço que vazou.
- Um código de verificação, recebido por SMS, e-mail ou app, e repassado a quem pediu.
- Uma permissão, dada a um site ou aplicativo que passa a agir em nome da conta.
A conta tomada serve para aplicar golpes nos seus contatos, vender seguidores, divulgar fraudes ou exigir pagamento para devolvê-la. Este guia fica no nível de reconhecer e evitar; se a invasão já aconteceu, vá direto para o que fazer se o Instagram foi hackeado.
Padrões de golpe
Golpes mais comuns: como reconhecer e o que fazer
O golpe quase sempre combina pressa, medo ou vantagem com um link.
| Golpe | Como reconhecer | O que fazer |
|---|---|---|
| Mensagem de segurança falsa (direitos autorais, suporte) | Mensagem ou e-mail dizendo que a conta será excluída em poucas horas se você não "contestar" por um link, ou perfil que se apresenta como "suporte" e escreve no direct. | Não clique nem responda. Entre pelo app oficial e veja se há aviso real nas configurações. |
| Tela de login falsa | Link que leva a uma página parecida com a do Instagram, mas com endereço diferente de instagram.com. | Confira o endereço antes de digitar qualquer coisa. Na dúvida, abra o app em vez de clicar. |
| Pedido de código | Alguém, muitas vezes um conhecido com a conta tomada, pede o código que "chegou por engano" no seu celular. | Nunca informe. Esse código é a chave da sua conta ou da conta de outra pessoa. |
| Selo de verificado grátis ou pago | Mensagem ou anúncio oferecendo verificação da conta por um formulário que pede senha ou código. | O pedido de verificação é feito dentro do app, nas configurações. Não envie senha, código nem documento por link recebido. |
| Proposta de parceria, sorteio ou prêmio | Mensagem de perfil desconhecido, ou de um conhecido com a conta tomada, com um link para "confirmar o cadastro" que pede login. | Não entre pelo link. Verifique a proposta por outro canal (ligação, e-mail oficial da marca) e denuncie o perfil. |
| App ou site que pede permissão | Pede para entrar com o Instagram ou liberar acesso à conta para ganhar seguidores, ver visitas ou algo parecido. | Não autorize. Nas configurações da conta, procure a área de apps e sites com acesso e remova o que não reconhece. |
| Senha reaproveitada | Você usa a mesma senha em vários serviços, e um deles vazou. | Troque agora e use uma senha diferente em cada serviço, guardada num gerenciador. |
Regra de ouro. O Instagram nunca pede senha nem código de verificação por mensagem. Quem pede, mesmo parecendo um amigo ou o suporte, está tentando entrar na conta.
A própria Meta orienta a se proteger contra phishing no Instagram, incluindo como checar se um e-mail é mesmo da plataforma.
Isca
Sites e apps que prometem "ver quem visitou" ou "ver conta privada"
É um golpe frequente em buscas como "app para hackear Instagram". A promessa de ver o que o Instagram não mostra é a isca: na etapa final o site pede o seu login "para confirmar", e a senha vai para o golpista. Quem entrega a senha nesse tipo de site perde a própria conta.
- O Instagram não informa quem visitou o seu perfil, então nenhum site tem essa lista de verdade; veja quem visitou meu perfil no Instagram.
- Nenhum app lê o direct nem abre a conta privada de outra pessoa à distância, só com o @ ou o link; quem promete isso quer a sua senha ou o seu dinheiro. Programas instalados no aparelho da pessoa (stalkerware) existem, mas exigem acesso ao aparelho ou à conta e podem configurar crime.
- Qualquer serviço que peça o login do Instagram para "mostrar" algo deve ser tratado como risco.
O que existe de legítimo é bem mais limitado: consultar perfis públicos, sem senha. Os detalhes estão em app para hackear Instagram: o que existe de verdade.
Defesa
Como não ser hackeado no Instagram: seis hábitos
- Senha exclusivaLonga e usada só no Instagram. Um gerenciador de senhas ajuda a lembrar.
- Verificação em duas etapas com app autenticadorPrefira o app ao SMS: veja como usar um aplicativo de autenticação.
- Nunca informe códigosNem a conhecidos, nem a "suporte". Se um amigo pedir, ligue para ele.
- Confira o remetenteA Central de Ajuda lista os domínios que o Instagram usa nos e-mails (como mail.instagram.com). Na dúvida, abra o app e veja se há aviso nas configurações.
- Entre só em instagram.com e no app oficialDigite o endereço você mesmo ou use o app da loja; evite links recebidos por mensagem.
- Revise apps e aparelhos conectadosNas configurações, procure a área de apps e sites com acesso à conta e remova o que não reconhece. Para os aparelhos, veja como ver aparelhos conectados no Instagram.
Esses hábitos fazem parte do guia de segurança da conta no Instagram, que reúne também o que fazer em cada situação.
Se já aconteceu
Cliquei num link suspeito. E agora?
Troque a senha agora (e a de qualquer serviço que use a mesma) e saia dos aparelhos. O passo a passo completo está em o que fazer se o Instagram foi hackeado e em aparelhos conectados.
Avise os contatos, porque a conta tomada costuma ser usada para enganá-los. Se criaram um perfil falso com os seus dados, veja como denunciar perfil clonado. Golpes digitais podem ser registrados na polícia; guarde mensagens e links como prova.
Dúvidas
Perguntas frequentes
Como os hackers conseguem a senha do Instagram?
Os golpistas conseguem a senha do Instagram, em geral, pelo engano: páginas falsas de login, mensagens que se passam por suporte e senhas reaproveitadas de serviços que vazaram.
A verificação em duas etapas impede a invasão?
A verificação em duas etapas reduz muito o risco de invasão, mas não protege quem entrega o código ao golpista. Por isso a regra é nunca repassar códigos, nem a quem diz ser do suporte.
Receber um e-mail de redefinição de senha que não pedi é sinal de invasão?
Um e-mail de redefinição que você não pediu pode vir só de alguém que digitou o seu usuário por engano ou testou. Ele também pode ser o primeiro sinal de tentativa de invasão. Não clique no link; se quiser conferir, abra o app. A Central de Ajuda explica por que você recebeu esse e-mail.
Existe aplicativo que mostra quem visitou meu perfil?
Nenhum aplicativo mostra de verdade quem visitou o seu perfil: o Instagram não divulga essa lista, e serviços que prometem isso costumam ser isca para roubar login.
Conta protegida? Consulte um perfil público
Consulte um perfil público do Instagram. Sem senha e sem instalar nada. O botão leva a uma ferramenta de consulta de perfis públicos, em outro site. Primeira etapa grátis; o acesso completo é pago: confira condições e preço lá antes de decidir.
Consultar um perfil públicoNunca informe a sua senha do Instagram em outro site.Continue lendo