Email pirateado? O que fazer antes de chegarem ao banco

Quem perde o controlo do email não perde só a caixa de correio. Perde a chave de quase tudo o resto: é para esse endereço que o banco, as redes sociais e as lojas online enviam os links para repor a palavra-passe. Um email pirateado (ou “hackeado”, como também se diz) é, por isso, a primeira peça de um efeito dominó.

E o risco é sério. Segundo o Centro Nacional de Cibersegurança, o phishing e o smishing (mensagens falsas que roubam credenciais) foram o tipo de incidente mais registado pelo CERT.PT em 2024. Nesse ano, os incidentes registados (excluindo deteções automáticas) subiram 36%, para 2758.

Cada hora conta. O Google avisa que um pedido de recuperação pode demorar de algumas horas a vários dias, e a Microsoft responde ao formulário de recuperação num prazo de 24 horas. Enquanto espera, há trabalho que pode (e deve) fazer.

Como saber se o email foi pirateado

Há sinais que não deixam dúvidas. A palavra-passe deixou de funcionar, chegou um alerta de início de sessão num dispositivo desconhecido ou os contactos queixam-se de mensagens estranhas enviadas do seu endereço.

Outros são mais discretos. Emails que desaparecem sem passar pelo lixo, mensagens na pasta de enviados que não escreveu, um número de telemóvel de recuperação que não é o seu. O Google inclui ainda alterações ao nome da conta e compras desconhecidas no Google Pay ou no Google Play. Não espere pela confirmação total para agir, perante qualquer um destes sinais, trate a conta como comprometida até prova em contrário.

O que fazer na primeira hora

A ordem importa, por isso, siga estes passos antes de tudo o resto:

1. Tente entrar e mudar a palavra-passe a partir de um dispositivo e de um local habituais, como recomendam o Google e a Microsoft;
2. Faça uma análise completa com um antivírus atualizado antes de criar a nova palavra-passe. A Microsoft recomenda este passo em primeiro lugar;
3. Avise o banco se tem cartões guardados no email, no navegador ou em carteiras digitais;
4. Mude a palavra-passe das contas que usam o mesmo endereço para iniciar sessão, a começar pelo homebanking;
5. Avise os contactos por outro canal de que mensagens recentes do seu email podem ser falsas.

Se a conta é do Google (Gmail)

Use a página de recuperação de conta e responda ao que lhe for pedido, mesmo que não tenha a certeza. O Google esclarece que respostas erradas não o excluem do processo e que não há limite de tentativas. Também não é possível pedir ajuda por telefone, desconfie de quem se apresente como “apoio Google”.

O pedido pode ficar em espera de segurança durante algumas horas ou vários dias. Se entretanto recuperar acesso a um dispositivo onde costumava entrar, repita o processo a partir dele: as hipóteses melhoram.

Se a conta é da Microsoft (Outlook, Hotmail)

Comece pela ferramenta de ajuda ao início de sessão da Microsoft. Se não receber código, preencha o formulário em account.live.com/acsr. Vai precisar de um email alternativo que funcione, porque é para lá que segue a resposta, em 24 horas.

Quanto mais detalhes der, maior a probabilidade de sucesso: assuntos exatos de emails recentes, contactos com quem trocou mensagens e palavras-passe que possa ter usado. Preencha-o num dispositivo e num local habituais. Os assistentes da Microsoft não podem enviar links de reposição nem alterar dados da conta, o formulário é o caminho oficial.

O que o pirata pode ter deixado na conta

Recuperar o acesso não chega. Quem entra numa conta alheia pode deixar portas abertas para voltar. Reveja, uma a uma, as definições que o Google e a Microsoft indicam como críticas:

• Reencaminhamento automático, copia todos os emails recebidos para outro endereço;
• Filtros, podem desviar ou apagar mensagens recebidas sem que as veja;
• Respostas automáticas e emails agendados;
• Email e telemóvel de recuperação, se foram trocados, o pirata recupera a conta quando quiser;
• Dispositivos com sessão iniciada e aplicações com acesso à conta;
• Delegação de email, outras pessoas autorizadas a ler e enviar em seu nome.

Termine sessão em todos os dispositivos que não reconhece. E veja a pasta de enviados: é a melhor prova do que foi feito em seu nome. Se a recuperação demorar, use esse tempo para o passo seguinte, pois, é aí que se evitam os prejuízos.

Como travar o efeito dominó

O alvo raramente é o email em si. É o que se consegue abrir a partir dele. Por isso, a prioridade são as contas com dinheiro: banco, carteiras digitais, lojas online com cartão guardado e plataformas de pagamento.

Mude as palavras-passe dessas contas, verifique os movimentos recentes e contacte o banco ao primeiro movimento que não reconhece. Segundo o Decreto-Lei n.º 91/2018, a operação não autorizada deve ser comunicada sem atraso injustificado e até 13 meses após o débito. O prazo é um limite, não um conselho: comunique no próprio dia em que deteta o movimento.

A lei afasta a proteção do cliente em caso de negligência grosseira. Se foi o próprio a fornecer códigos ou credenciais a um burlão, o banco pode invocá-la, mas cabe-lhe a ele provar essa negligência. Guarde provas, como capturas de ecrã, emails, datas, para sustentar o seu caso.

Depois, apresente queixa. O acesso a uma conta alheia é crime, mas não consta da lista do portal de queixas eletrónicas: a queixa faz-se num posto da PSP ou da GNR, na Polícia Judiciária ou no Ministério Público, que também aceita queixas por email. Se houve dinheiro desviado, a burla pode ser denunciada online no portal de queixas eletrónicas. Para orientação, a Linha Internet Segura atende gratuitamente pelo 800 21 90 90.

Se além do email houver sinais de uso dos seus dados pessoais, como créditos pedidos, contas abertas em seu nome, o caso já é de roubo de identidade e há passos adicionais a dar nas primeiras 24 horas.

Como evitar que volte a acontecer

A defesa mais eficaz é a verificação em dois passos, que o Google recomenda. Com ela, a palavra-passe roubada deixa de bastar. Mas nem todos os métodos valem o mesmo: o Google indica que as chaves de acesso (passkeys) e as chaves de segurança físicas protegem contra phishing, enquanto os códigos por SMS podem ser vulneráveis a ataques ao número de telefone. A Microsoft está mesmo a deixar de usar o SMS nas contas pessoais.

Depois, use uma palavra-passe única para o email. Se a mesma serve para o email e para uma loja online que sofre uma fuga de dados, o pirata entra nas duas. Um gestor de palavras-passe resolve o problema de as memorizar.

Por fim, mantenha o email e o telemóvel de recuperação atualizados. O Google explica que são essas informações que facilitam uma recuperação futura.

Não espere resolver um email pirateado numa tarde. Mas uma hora bem usada, dispositivo limpo, palavra-passe nova, banco avisado, separa um susto de um prejuízo.

Proteja as suas contas e o seu dinheiro. Subscreva a newsletter do Ekonomista e receba todas as semanas alertas de burlas, mudanças que afetam o seu orçamento e estratégias para poupar mais.