Conta do WhatsApp ou do Telegram hackeada? Como recuperar e proteger

O que fazer se sua conta do WhatsApp for hackeada?

A central de ajuda do WhatsApp indica um único caminho de recuperação para uma conta comprometida, desde que você ainda tenha o chip do seu número ^[1]:

1. Abra o WhatsApp e toque em Entrar novamente e depois em Continuar. Se solicitado, digite seu número de telefone completo, com o código internacional ^[1].
2. Digite o código de 6 dígitos que você receber por SMS ou ligação. Quando você registra a conta de novo com esse código, todos os dispositivos conectados a ela são desconectados automaticamente ^[1].
3. Se for pedido um PIN de confirmação em duas etapas que você não conhece, o invasor pode ter definido um. O WhatsApp orienta esperar 7 dias e tentar de novo; quem estiver usando sua conta é desconectado assim que você digita o código do SMS ^[1].
4. Avise familiares e amigos, porque o invasor pode se passar por você em conversas e grupos ^[1].
5. Depois de recuperar o acesso, ative os recursos de segurança e revise os dispositivos conectados à sua conta ^[1].

O que não funciona?

Trocar a senha não remove outra pessoa da sua conta; o WhatsApp diz que senhas e confirmação em duas etapas protegem uma conta à qual você ainda tem acesso, e que registrar a conta de novo com o código de 6 dígitos é a única forma de remover um invasor ^[1]. O WhatsApp também alerta que, se você denunciar a conta comprometida que está tentando recuperar, ela pode ser banida e você pode perder o acesso, por isso recomenda recuperá-la primeiro ^[1].

O invasor consegue ler minhas conversas antigas?

Segundo o WhatsApp, as mensagens têm criptografia de ponta a ponta e ficam armazenadas no seu dispositivo, então quem registra sua conta em um novo aparelho não consegue ler suas conversas anteriores ^[1]. Mas essa pessoa pode receber mensagens novas e escrever para seus contatos enquanto controla a conta.

Como as contas do WhatsApp e do Telegram são invadidas?

Os métodos de invasão descritos a seguir por órgãos antifraude e pesquisadores de segurança não quebram a criptografia. Eles enganam o dono da conta, ou a operadora de celular dele, para que entregue os meios de fazer login ^[7][8][9].

O golpe do “te mandei meu código por engano”

O Action Fraud, centro nacional de denúncias de fraude do Reino Unido, descreveu o padrão em 2023: um criminoso primeiro toma uma conta do WhatsApp que tem você como contato e depois manda mensagem para você fingindo ser seu amigo ^[7]. Ao mesmo tempo, você recebe uma mensagem do WhatsApp com um código de seis dígitos, porque o criminoso está tentando entrar com o seu número; ele diz que mandou o código para você por engano e pede que você o repasse ^[7]. Assim que o recebe, ele entra na conta, bloqueia seu acesso e repete o truque com os seus contatos ^[7]. Na época, o Action Fraud havia recebido mais de 60 denúncias desse golpe ^[7].

Troca de SIM

Na troca de SIM, criminosos convencem ou subornam uma operadora de celular para transferir seu número para um chip que eles têm, e a partir daí suas ligações e mensagens, incluindo códigos únicos, vão para o aparelho deles ^[9]. O Internet Crime Complaint Center do FBI recebeu 1.611 denúncias de troca de SIM em 2021, com prejuízos ajustados de mais de 68 milhões de dólares americanos ^[9].

QR codes maliciosos e dispositivos conectados

Os dois apps permitem usar a conta em computadores e outros dispositivos. Em novembro de 2024, a Microsoft observou um grupo ligado ao Estado russo, que ela chama de Star Blizzard, enviando por e-mail a alvos um convite para um grupo do WhatsApp; o QR code da página de destino na verdade conectava a conta da vítima a um dispositivo controlado pelos atacantes, permitindo que eles lessem e exportassem mensagens pelo WhatsApp Web ^[8]. A Microsoft disse que a campanha foi limitada e pareceu terminar no fim de novembro de 2024 ^[8].

Outros caminhos

O WhatsApp recomenda definir uma senha difícil de adivinhar para o correio de voz, para que ninguém possa acessá-lo, e não clicar em links de e-mails não solicitados que contenham um código de registro, o que pode significar que alguém está tentando registrar seu número ^[2]. O Telegram alerta os usuários a tratar qualquer bot como um estranho e nunca lhe passar senhas ou códigos do Telegram ^[6].

Como recuperar uma conta hackeada do Telegram?

O Telegram diz que o número de telefone é hoje a única forma de identificar um usuário: quem tem o número tem a conta, e o Telegram não pode ajudar a menos que você tenha acesso ao número ou ao Telegram em um dos seus dispositivos ^[6]. A orientação dele para celulares roubados é o melhor guia para qualquer invasão ^[6]:

1. Se você ainda estiver conectado em outro dispositivo: vá em Configurações, depois Privacidade e Segurança, e ative a Verificação em 2 Etapas, para que só o número de telefone deixe de bastar para fazer login ^[6].
2. Vá em Configurações, depois Dispositivos (ou Privacidade e Segurança, depois Sessões Ativas), e encerre a sessão que você não reconhece. Sem sua senha, esse dispositivo não consegue entrar de novo ^[6].
3. Se você não tiver acesso em nenhum dispositivo: entre em contato com sua operadora para bloquear o chip antigo e emitir um novo com seu número; depois, faça login e encerre as sessões desconhecidas ^[6].

Se alguém estiver se passando por você no Telegram, as perguntas frequentes orientam contatar @NoToScam ^[6]. Os códigos de login do próprio Telegram chegam na conversa de serviço verificada chamada “Telegram” e nunca devem ser compartilhados com ninguém, incluindo outros serviços ou apps ^[6].

O que fica em risco no Telegram?

O Telegram mantém as conversas na nuvem para que você as acesse de qualquer dispositivo, e elas são sincronizadas na hora com todos os dispositivos em que você entra ^[6]. As conversas na nuvem usam criptografia servidor-cliente, enquanto os chats secretos acrescentam criptografia de ponta a ponta, não fazem parte da nuvem do Telegram e só podem ser acessados nos dispositivos de origem ^[6]. Na prática, portanto, uma sessão aberta por um invasor consegue ver suas conversas na nuvem, mas não seus chats secretos, e por isso encerrar rapidamente as sessões desconhecidas é importante.

Quais ajustes protegem as contas do WhatsApp e do Telegram?

Os dois apps oferecem camadas que tornam insuficiente, por si só, um código ou número de telefone roubado. O WhatsApp ressalta que esses recursos só funcionam em uma conta à qual você ainda tem acesso; eles não restauram um acesso perdido nem removem alguém que já entrou ^[2].

• Verificação em duas etapas. No WhatsApp, vá em Configurações, Conta, Confirmação em duas etapas, ative o recurso, crie uma senha forte e, se quiser, adicione um endereço de e-mail ^[3]. O WhatsApp observa que está substituindo o PIN de 6 dígitos usado na confirmação em duas etapas por uma senha ^[3]. No Telegram, a Verificação em 2 Etapas fica em Configurações, Privacidade e Segurança; depois de ativada, você precisa de um código por SMS e de uma senha para entrar ^[6].
• E-mail de recuperação. O WhatsApp diz que um e-mail adicionado no registro permite recuperar a conta sem SMS nem ligação ^[2]. O Telegram permite definir um e-mail de recuperação para o caso de esquecer a senha e recomenda proteger também essa conta de e-mail com senha forte e verificação em 2 etapas ^[6].
• Passkeys. Uma passkey é um método de login vinculado ao bloqueio de tela, à digital ou ao rosto do seu dispositivo. O WhatsApp vincula sua conta ao sistema de segurança do dispositivo quando você configura uma ^[4]. O Telegram diz que as passkeys são mais seguras que os códigos por SMS e podem ter backup em um gerenciador de senhas como o Chaves do iCloud ou o Gerenciador de Senhas do Google ^[6].
• Bloqueio do app e das conversas. O WhatsApp oferece bloqueio do app e bloqueio de conversas ^[2]; o Telegram recomenda um código de acesso para bloquear o app ^[6].
• Opções para alto risco. As configurações rigorosas de conta do WhatsApp aplicam seus controles de privacidade e segurança mais restritos e se destinam a quem acredita que pode ser alvo ^[2]. O Telegram recomenda chats secretos em apps oficiais ou de código aberto verificável para quem se preocupa com a própria segurança pessoal ^[6].

Como conferir dispositivos conectados e sessões ativas?

Um dispositivo conectado ou uma sessão que você não reconhece é um sinal comum de invasão, e o ataque por QR code descrito acima funciona inteiramente por meio de um deles ^[8].

• WhatsApp: abra o menu, toque em Dispositivos conectados para revisar todos os aparelhos, depois toque em um dispositivo e em Desconectar para removê-lo ^[2]. O WhatsApp diz que é importante conferir os dispositivos conectados regularmente e que você pode encerrar todas as sessões do WhatsApp Web pelo celular ^[5].
• WhatsApp Web: antes de escanear o QR code, você pode desmarcar a opção “Continuar conectado neste navegador”, para que a sessão termine quando você fechar a aba ou o navegador ^[5].
• Telegram: Configurações, depois Dispositivos (ou Privacidade e Segurança, depois Sessões Ativas), lista as sessões que você pode encerrar ^[6]. As passkeys podem ser revisadas em Configurações, Privacidade e Segurança, Passkeys, com a data de criação e o último uso ^[6].

Só escaneie um QR code do WhatsApp ou do Telegram no app ou site oficial que você mesmo abriu. Um QR code enviado por e-mail ou mensagem como forma de “entrar em um grupo” merece a mesma desconfiança que um link; a orientação da Microsoft para esses e-mails é contatar o suposto remetente por um endereço conhecido e já usado antes ^[8].

O WhatsApp acrescenta que não pode informar quem acessou sua conta nem quando e de onde ela foi acessada ^[5].

Por que passkeys e verificação em duas etapas são recomendadas?

Um código enviado por SMS prova apenas que alguém consegue receber mensagens no seu número. Se um criminoso enganar você para que o repasse, ou transferir seu número para o chip dele, o código funciona para ele ^[7][9]. Um segundo segredo ou uma passkey vinculada ao dispositivo impede isso.

O FBI recomenda autenticação multifator forte, como biometria, tokens físicos de segurança ou apps autenticadores independentes, e orienta nunca passar dados da conta do celular a quem ligar pedindo sua senha ou PIN ^[9]. O Telegram afirma que os códigos por SMS muitas vezes não chegam e podem ser interceptados ^[6].

Em outubro de 2026, o serviço Report Fraud, do Reino Unido, lançou uma campanha incentivando as pessoas a migrar para passkeys, depois de informar que os valores roubados por meio de invasões de contas de e-mail e de redes sociais subiram para 6,3 milhões de libras em 2025/26, ante 1,2 milhão de libras no ano anterior; as denúncias desse tipo de invasão de conta aumentaram 34% ^[10]. O Report Fraud disse que uma das formas mais comuns de os criminosos usarem contas hackeadas é se passar por familiares e amigos ^[10].

O que os usuários no Irã devem saber?

O acesso aos dois apps no Irã tem sido moldado pelos bloqueios do governo. A Freedom House relata que o Telegram foi filtrado de forma permanente em abril de 2018 e que o WhatsApp e o Instagram foram bloqueados em 2022, em meio aos protestos Mulher, Vida, Liberdade ^[11]. Em dezembro de 2024, a agência oficial de notícias iraniana IRNA disse que se havia chegado a uma votação para suspender as restrições ao WhatsApp e ao Google Play ^[12].

A Freedom House também observa que versões iranianas de apps populares, como Bale, Rubika e Soroush, recebem apoio financeiro significativo do governo, e que um grupo de hackers ligado à Guarda Revolucionária Islâmica se fez passar on-line por jornalistas e ativistas de direitos humanos para atrair críticos para operações de phishing ^[11]. Comprar um chip exige registro com nome real e passaporte ou documento de identidade ^[11].

Pontos práticos que decorrem das próprias orientações das plataformas: instale apps apenas de fontes oficiais, porque o Telegram recomenda apps oficiais ou de código aberto verificável para conversas sensíveis ^[6]; nunca compartilhe um código de login, seja quem for que pedir ^[2][6]; e mantenha a verificação em duas etapas ativada, para que o controle do número de telefone, sozinho, não baste para tomar a conta ^[6].

O que a recuperação não resolve?

A recuperação devolve o controle, mas tem limites que vale conhecer com antecedência:

• Uma conta do WhatsApp não pode ser recuperada sem um chip com o mesmo número de telefone ^[1].
• O WhatsApp não pode desativar contas de outras pessoas, bloquear ou desbloquear contatos em seu nome nem informar quem acessou sua conta ^[1].
• Se você passar para um novo chip, mas mantiver a conta antiga do WhatsApp, precisa usar o recurso de mudar número, ou pode perder o acesso de forma permanente ^[1]. O Telegram também alerta que, se a conta não estiver vinculada a um número que você controla, você corre o risco de perder o acesso para sempre ^[6].
• A recuperação não desfaz o que o invasor já enviou; a orientação do WhatsApp é avisar familiares e amigos, porque o invasor pode se passar por você em conversas e grupos ^[1].

Se dinheiro foi levado ou pedido em seu nome, denuncie à polícia ou ao serviço nacional de denúncia de fraudes do lugar onde você mora; no Reino Unido, esse serviço é o Action Fraud, que também recomenda ligar para um amigo ou parente para confirmar um pedido incomum ^[7].