Recebi um código do Instagram pelo WhatsApp: é golpe?

O que circula

Chega pelo WhatsApp um código do Instagram que você não pediu. Antes ou logo depois de ele chegar, alguém pede que você repasse esse código. O pedido pode vir de um desconhecido, de alguém que diz ser do Instagram ou até da conta de um amigo.

O que o VOM encontrou

Receber pelo WhatsApp um código de verificação do Instagram que você não pediu é um risco significativo para a segurança da sua conta. As fontes indicam que mandar esse código para outra pessoa não é seguro e pode, de fato, fazer você perder o acesso à conta. Conseguir que a vítima compartilhe o código é uma tática comum de golpistas para entrar em contas sem autorização, porque o código é uma credencial de segurança essencial: é ele que prova a identidade do dono da conta. Com o código, outra pessoa pode entrar, trocar a senha ou até roubar a sua conta do Instagram. Mesmo quando o código chega pelo WhatsApp, a regra de nunca compartilhar códigos de segurança continua valendo. A recomendação é denunciar o caso ao Instagram e não passar o código a ninguém, nem a quem diga ser "atendente" do Instagram, porque essa prática não é autorizada pela Meta.

O VOM lê a mensagem ou o print, mas não sabe quem pediu o código e não recupera contas; para isso, use www.instagram.com/hacked.

Como o golpe funciona

• Alguém tenta entrar na sua conta e usa a opção "Esqueceu a senha?". O Instagram então manda um código de recuperação para o seu celular.
• Esse código pode chegar pelo WhatsApp quando o número cadastrado no Instagram é o mesmo do WhatsApp. O WhatsApp também é um dos métodos que a autenticação de dois fatores do Instagram usa para mandar códigos de login, ao lado do SMS.
• O pedido do código vem com uma desculpa, antes ou logo depois de ele chegar. Um alerta do Ministério Público de Minas Gerais descreve golpistas dizendo que era o código de uma promoção. Também pode aparecer alguém dizendo ser atendente do Instagram, até por telefone; a Serasa avisa para não confiar o código nem a quem diga representar o Instagram, pois essa prática não é autorizada pela Meta.
• Se o pedido vem da conta de um amigo, essa conta pode já ter sido invadida e estar nas mãos de golpistas.
• Com o código, os golpistas entram, mudam a senha e os dados de verificação, e o dono perde o acesso à conta.
• Depois, usam o perfil para enganar quem confia nele: anunciam nos stories produtos muito abaixo do preço de mercado e pedem Pix, ou mandam mensagens no Direct pedindo dinheiro emprestado.

O que fazer

• Não repasse o código para ninguém: nem para um amigo, nem para quem diga ser do Instagram.
• Se o código chegou sem você pedir, ignore a mensagem e não repasse o código. Se era um código de login, troque também a senha: segundo a Serasa, com a verificação em duas etapas ativa, o Instagram pede o código de login além da senha.
• Se o pedido veio da conta de um amigo, fale com ele diretamente, fora dessa conversa, antes de responder qualquer coisa.
• Denuncie ao Instagram a conta que pediu o código.
• Ative a autenticação de dois fatores. Nas configurações do Instagram, entre em Central de Contas > Senha e segurança > Autenticação de dois fatores (passo a passo na Central de Ajuda). A Meta recomenda o app de autenticação, e a cartilha do CERT.br sobre autenticação orienta usar SMS só quando não houver outra opção.
• Guarde os códigos de reserva em um lugar seguro, para quando os outros métodos não estiverem disponíveis.
• Ficou em dúvida sobre a conversa? Cole a mensagem que pediu o código na caixa do topo desta página, ou use "Envie o print no VOM". Antes, apague ou cubra o código: ele não deve ir para ninguém.

Já mandei o código. E agora?

• Se ainda consegue entrar na conta, troque a senha na hora, ative a autenticação de dois fatores e confira se o telefone e o e-mail cadastrados na conta ainda são os seus.
• Se perdeu o acesso, entre em www.instagram.com/hacked pelo navegador do celular ou do computador.
• Se chegou um e-mail de security@mail.instagram.com avisando que o e-mail da conta foi trocado, pode ser possível desfazer a troca pela opção de proteger a conta que vem nessa mensagem. Os e-mails do Instagram só vêm de @mail.instagram.com.
• Avise seus amigos e seguidores por outro canal que a conta foi invadida, para que ninguém faça Pix nem mande código.
• Não apague a conversa com o golpista. Tire prints da conversa e registre um boletim de ocorrência.

Perguntas frequentes

Recebi um código do WhatsApp que não solicitei. É o mesmo golpe?

É o mesmo truque, com a conta do WhatsApp. O código de seis dígitos chega quando alguém tenta registrar o seu número em outro celular. Depois, a pessoa pede o código se passando por amigo, parente, empresa conhecida ou suporte do WhatsApp, ou dizendo que ele chegou para você por engano. Com o código, o golpista assume a sua conta do WhatsApp e você é desconectado. Não mande o código a ninguém e ative a verificação em duas etapas do WhatsApp, que cria um PIN extra.

Recebi um código do Facebook no WhatsApp. O que isso quer dizer?

A autenticação de dois fatores do Facebook, como a do Instagram, pode mandar códigos de login pelo WhatsApp, e o código é pedido quando há uma tentativa de login em um dispositivo não reconhecido. Se não foi você tentando entrar, não repasse o código e troque a senha do Facebook.

Recebi um código de verificação sem solicitar. Minha conta foi invadida?

Depende do código, e nos dois casos ele não deve ser repassado. Se era um código para redefinir a senha, não necessariamente: sobre e-mails de redefinição de senha que você não pediu, a Central de Ajuda do Instagram explica que alguém pode ter digitado o seu e-mail ou nome de usuário por engano. Mesmo assim, esse código é o que um golpista precisa para entrar na sua conta; se ficou preocupado, troque a senha e ative a autenticação de dois fatores. Já o código de login, segundo a Serasa, o Instagram pede além da senha quando a verificação em duas etapas está ativa. Se chegou um código de login que você não pediu, troque a senha: o CERT.br orienta trocar as senhas imediatamente sempre que você desconfiar que elas foram descobertas.

Recebi uma mensagem do Instagram no WhatsApp. É do Instagram mesmo?

Pode ser um código de login de verdade: o WhatsApp é um dos métodos de segurança que o Instagram usa para mandar esses códigos. Se não foi você que tentou entrar, veja a resposta anterior. Mas, segundo a Serasa, o Instagram não usa o WhatsApp nem o Direct para falar de violação dos termos de uso, suspensão de conta ou selo azul de verificação. Desconfie de mensagem assim, e de qualquer uma que peça o código de volta. Cole o texto na caixa do topo desta página, sem o código, antes de fazer qualquer coisa.