Ladrões de identidade não precisam mais da sua senha: conheça as novas ameaças de invasão de contas

Criminosos digitais estão contornando a proteção por senha com sessões de login roubadas, troca de SIM, pedidos falsos de aprovação, malware e aplicativos maliciosos conectados às contas.

Você pode imaginar que uma senha roubada é o principal caminho para alguém invadir a sua conta. Mas criminosos online aprenderam que nem sempre precisam roubar a senha em si: é possível sequestrar uma sessão de login já ativa, convencer a vítima a aprovar um acesso, assumir o controle do número de telefone ou usar malware para coletar informações do dispositivo.

As senhas continuam importantes, mas são apenas uma parte do sistema de segurança que protege a sua identidade. Veja a seguir as formas que criminosos usam para contornar a proteção tradicional por senha e as medidas práticas que podem ser adotadas para se proteger.

1. Sessões de login roubadas

Quando você entra em um site, o serviço costuma criar uma sessão que indica que a sua identidade já foi confirmada. O navegador ou o aplicativo mantém essa sessão ativa para que você não precise digitar a senha a cada poucos minutos. Criminosos podem roubar os tokens digitais ou cookies ligados a essas sessões. Se o serviço aceitar a informação roubada, o invasor pode conseguir acesso sem digitar a senha nem concluir outra etapa de verificação.

Como se proteger: revise os dispositivos e as sessões ativas conectadas às suas contas. Encerre a sessão em tudo o que você não reconhecer e verifique se há registros de acesso suspeitos. Se suspeitar de acesso não autorizado, troque a senha usando um dispositivo confiável e revogue as outras sessões quando o serviço permitir. Vale lembrar que remover um dispositivo da lista de contas nem sempre encerra uma sessão de login ativa.

2. SIM swap e fraude na conta telefônica

O número de telefone costuma estar ligado a contas de e-mail, bancos, pagamentos e redes sociais. Criminosos podem tentar convencer a operadora a transferir o seu número para um chip SIM ou eSIM controlado por eles. Se a transferência for concluída, eles podem receber ligações e mensagens destinadas a você, incluindo alguns códigos de verificação de conta. A perda repentina do sinal de celular pode ser um sinal de alerta, especialmente quando não há registro de queda de rede na região. Outros indícios são o aviso inesperado da operadora sobre a troca de dispositivo e uma mensagem de redefinição de senha que você não solicitou.

Como se proteger: pergunte à sua operadora sobre PIN de segurança da conta, bloqueio de transferência de número e proteção contra portabilidade não autorizada. Essas proteções variam conforme a operadora. Para contas sensíveis, use passkey, chave de segurança ou aplicativo autenticador quando estiverem disponíveis. Diferentemente dos códigos enviados por SMS, os códigos de aplicativos autenticadores geralmente não dependem do número de telefone. Se as mensagens de texto forem o seu único segundo fator disponível, mantenha o recurso ativado: ainda é mais proteção do que depender apenas da senha.

3. Aprovações de login falsas e fadiga de MFA

A autenticação multifator (MFA) acrescenta uma camada extra de proteção às contas. No entanto, criminosos às vezes miram a própria pessoa que recebe o pedido de segurança. Uma das táticas é a fadiga de MFA, também chamada de push bombing: o invasor dispara notificações de aprovação repetidamente, na esperança de que a vítima toque em “Aprovar” para que os avisos parem. Criminosos também podem se passar por suporte técnico ou por uma instituição financeira e pedir que você leia em voz alta um código de segurança de uso único.

Como se proteger: nunca aprove um login que você não iniciou nem compartilhe um código de verificação com alguém que entre em contato de forma inesperada. Se avisos repetidos aparecerem, negue todos e verifique a conta pelo site ou aplicativo oficial. Troque a senha se suspeitar que ela foi comprometida. Quando disponível, escolha autenticação resistente a phishing, como passkey ou chave de segurança. Aprovações por aplicativo que exigem correspondência de números também podem oferecer proteção extra contra aprovações acidentais.

4. Malware e extensões de navegador arriscadas

Um infostealer é um software malicioso projetado para coletar informações de um dispositivo. Dependendo das capacidades, ele pode roubar senhas armazenadas no navegador, cookies de sessão, dados de pagamento e outras informações sensíveis. Esses programas podem chegar por falsas atualizações de software, aplicativos piratas, anexos de e-mail suspeitos, anúncios maliciosos ou extensões de navegador comprometidas. Alguns malwares operam de forma silenciosa, o que significa que você pode não perceber nada de anormal de imediato.

Como se proteger: mantenha o sistema operacional, o navegador e o software de segurança atualizados. Evite baixar programas de sites desconhecidos e revise as extensões do navegador com regularidade. Se suspeitar que um dispositivo foi comprometido, use outro dispositivo confiável para proteger as contas importantes. Rode uma verificação com um antivírus confiável e remova os programas suspeitos. Em casos de infecção grave, pode ser necessário buscar assistência profissional ou reinstalar o sistema operacional. Evite entrar novamente em contas sensíveis até ter certeza de que o dispositivo está seguro.

5. Aplicativos maliciosos com acesso às suas contas

Alguns criminosos não precisam roubar a senha nem infectar o dispositivo. Em vez disso, eles induzem a vítima a dar permissão para que um aplicativo conectado acesse as suas informações. Uma falsa ferramenta de produtividade, por exemplo, pode pedir para ler seus e-mails, acessar seus contatos ou gerenciar arquivos no armazenamento em nuvem. A tela de permissões pode parecer legítima ao pedir a aprovação desses acessos. Se você conceder acesso a um aplicativo malicioso, ele pode conseguir recuperar informações por meio das permissões aprovadas. Em certos casos, esse acesso continua mesmo depois da troca da senha da conta. A técnica é chamada de OAuth consent phishing. Em um alerta de setembro de 2026, o FBI explicou que criminosos podem enganar as pessoas para que concedam a aplicativos maliciosos acesso às suas contas, e que esse acesso pode permanecer ativo mesmo após a troca de senha, a menos que a vítima revogue as permissões do aplicativo.

Como se proteger: revise os aplicativos de terceiros conectados ao Google, à Microsoft e a outras contas importantes. Observe com atenção o que cada aplicativo pode acessar. Remova as permissões de apps que você não usa mais ou não reconhece. Tenha cuidado especial com aplicativos que pedem acesso a e-mail, contatos, arquivos na nuvem ou recursos de gerenciamento da conta.

Passkeys ajudam, mas não são a resposta completa

As passkeys podem reduzir bastante o risco do phishing tradicional de senhas. Elas usam credenciais criptográficas associadas ao seu dispositivo, à sua chave de segurança ou ao seu gerenciador de senhas. Diferentemente de uma senha digitada em um site, uma passkey implementada corretamente fica vinculada ao site ou serviço legítimo, o que torna muito mais difícil para uma página de login falsa roubar a credencial. Ainda assim, as passkeys não eliminam todos os riscos: criminosos podem continuar mirando uma sessão já autenticada, um dispositivo infectado, um aplicativo conectado malicioso ou um processo de recuperação de conta.

Como se proteger: use passkeys quando as suas contas importantes oferecerem suporte. Proteja os dispositivos com um bloqueio de tela forte e mantenha as informações de recuperação atualizadas. Se o serviço oferecer códigos de recuperação de backup, guarde-os de forma segura para conseguir retomar o acesso caso o dispositivo principal seja perdido ou danificado.

Por que trocar a senha pode não ser suficiente

Trocar uma senha comprometida é importante, mas pode não remover automaticamente todas as formas de acesso não autorizado. Alguns serviços revogam as sessões existentes após a troca de senha, enquanto outros exigem que você encerre a sessão nos dispositivos separadamente. O criminoso também pode ter criado outra rota de entrada na conta, como uma senha específica de aplicativo, um aplicativo conectado não autorizado ou um novo método de recuperação.

O seu e-mail merece atenção especial. Quem tem acesso à caixa de entrada pode criar regras de encaminhamento que enviam cópias das mensagens silenciosamente para outro endereço. Revise as configurações de segurança em busca de endereços de recuperação, dispositivos conectados, regras de encaminhamento e permissões de aplicativos desconhecidos, e remova tudo o que você não autorizou. Verifique também se a sua senha foi reutilizada em outros serviços; nesse caso, substitua por credenciais únicas. Um gerenciador de senhas facilita essa tarefa sem exigir que você memorize cada login.

O que fazer se alguém contornar a sua senha

Se você suspeitar de uma invasão de conta, aja rápido. Comece pela conta que controla o acesso às demais, normalmente o e-mail principal. Os pontos de atenção são:

• Proteja o e-mail: use um dispositivo confiável para trocar a senha, revogar sessões suspeitas e conferir as informações de recuperação.
• Revise os apps conectados: remova permissões não autorizadas e senhas específicas de aplicativo.
• Verifique a conta telefônica: contate a operadora imediatamente se suspeitar de SIM swap ou transferência de número não autorizada.
• Proteja as contas financeiras: revise as transações recentes e procure o banco ou a emissora do cartão em caso de atividade suspeita.
• Fique atento a roubo de identidade: examine os relatórios de crédito em busca de contas ou consultas desconhecidas e considere registrar um alerta de fraude ou um bloqueio de crédito.
• Preserve evidências: guarde alertas de segurança, capturas de tela, registros de transações, números de protocolo e datas das conversas com instituições financeiras.

O bloqueio de crédito é gratuito e pode ajudar a impedir que criminosos abram novas contas de crédito em seu nome. É necessário contatar os três principais birôs de crédito dos Estados Unidos — Equifax, Experian e TransUnion — para congelar os relatórios em cada um deles. Se você acredita que teve a identidade roubada, o site IdentityTheft.gov oferece um plano de recuperação personalizado da Comissão Federal de Comércio (FTC).

A importância de olhar além do login

Uma segurança de conta forte é essencial, mas o uso indevido de identidade pode acontecer fora da conta original. Um criminoso pode usar informações pessoais expostas para pedir crédito, assumir uma conta de celular ou tentar fraude financeira sem disparar um alerta tradicional de senha. Nesse cenário, um serviço de proteção contra roubo de identidade pode oferecer outra camada de monitoramento, acompanhando determinadas contas financeiras, a atividade de crédito e informações pessoais expostas em busca de sinais suspeitos. Alguns também disponibilizam especialistas em restauração de identidade para ajudar no processo de recuperação. Os recursos variam conforme o fornecedor e o plano, e nenhum serviço consegue impedir todas as formas de roubo de identidade.

Dica: proteja as contas que destravam todas as outras

Uma vez por mês, revise as sessões ativas do seu e-mail principal e das contas financeiras. Remova dispositivos que você não usa mais e verifique se as informações de recuperação ou as permissões de aplicativos conectados mudaram. Fique atento a alertas de login inesperados, mudanças na conta de celular e novas movimentações financeiras. Uma checagem mensal rápida ajuda a identificar alterações suspeitas antes que elas se tornem um problema maior.

As conclusões do autor

O texto reforça que usar senhas fortes e ativar a autenticação em dois fatores continua sendo um bom conselho, mas o que preocupa hoje é a capacidade de criminosos entrarem em contas sem nunca saber a senha. Alguém pode estar lendo o seu e-mail por meio de um aplicativo conectado que você esqueceu, ou usando uma sessão de login roubada para acessar informações que você protegeu com cuidado. Você pode trocar a senha e acreditar que está tudo bem, enquanto esse acesso permanece aberto. Por isso, a recomendação é verificar quais dispositivos e aplicativos têm acesso às suas contas mais importantes, começando pelo e-mail e pela operadora de celular, já que perder o controle de qualquer um dos dois pode gerar problemas nas contas financeiras.