Se alguém entrou no seu Instagram, a recuperação depende de agir rápido e pelos caminhos oficiais. Primeiro, procure no seu e-mail a mensagem do Instagram avisando que o e-mail ou a senha da conta foram alterados: em geral, ela traz uma opção para reverter a mudança. Se isso não resolver, use a ajuda para entrar na própria tela de login do aplicativo, que leva ao fluxo de recuperação de contas invadidas. Depois de retomar o acesso, troque a senha, encerre as sessões desconhecidas e ative a autenticação de dois fatores. Ninguém de fora, nem perfil que diga ser do suporte, precisa da sua senha para isso.

Os sinais de que a conta foi invadida

O sintoma mais claro é não conseguir entrar com a senha de sempre. Mas a invasão nem sempre começa assim. Fique atento a estes sinais, mesmo com o acesso funcionando:

  • e-mail avisando de login em aparelho ou cidade que você não reconhece;
  • e-mail ou telefone da conta trocados sem que você tenha feito isso;
  • posts, stories ou mensagens no Direct que você não publicou nem enviou;
  • contas seguidas ou deixadas de seguir sem explicação;
  • seguidores perguntando por que você mandou um link estranho ou pediu dinheiro.

Qualquer um desses sinais pede ação imediata, porque o invasor costuma trocar os dados de recuperação logo depois de entrar.

Como a invasão costuma acontecer

Entender a causa ajuda a fechar a porta certa depois. As mais comuns são quatro:

  • Página de login falsa. Uma mensagem diz que o perfil violou direitos autorais ou que será desativado e manda clicar num link para “confirmar” a conta. O link abre uma página idêntica à do Instagram, que captura a senha.
  • Código de verificação repassado. Um contato conhecido, já invadido, pede que você envie “por engano” o código que chegou por SMS. Esse código é justamente o que permite entrar na sua conta.
  • Senha repetida. Quem usa a mesma senha em vários serviços fica exposto quando qualquer um deles tem dados vazados.
  • Aplicativo de terceiros com a senha. Serviços que prometem seguidores, curtidas ou relatórios de quem deixou de seguir guardam a senha e podem perder o controle dela.

Exemplo hipotético: numa loja de roupas, a pessoa que cuida do perfil recebe no Direct um aviso de “violação de direitos autorais” com prazo de 24 horas. Ela clica, digita a senha e, minutos depois, o e-mail da conta já é outro. O golpe funcionou porque a pressa venceu a desconfiança.

Se você ainda consegue entrar

Quando o acesso continua funcionando, a prioridade é expulsar o invasor antes que ele troque os dados. Faça nesta ordem:

  1. Troque a senha por uma nova, longa e que você não use em nenhum outro serviço.
  2. Encerre as sessões desconhecidas. Nas configurações de segurança há uma lista dos aparelhos conectados à conta; saia de todos os que você não reconhece.
  3. Confira e-mail e telefone cadastrados e corrija o que tiver sido alterado.
  4. Revogue aplicativos e sites autorizados que você não usa ou não reconhece.
  5. Ative a autenticação de dois fatores e guarde os códigos de recuperação.

Os nomes e a localização dessas opções mudam com as atualizações do aplicativo. Se não encontrar algum item, procure pelo termo na central de ajuda do Instagram.

Se o perfil é de empresa e outras pessoas trabalham nele, aproveite para revisar quem tem acesso pelo portfólio empresarial da Meta. Remova quem já saiu da equipe e confira se nenhuma pessoa ou parceiro desconhecido foi adicionado durante a invasão. Avise a equipe da troca de senha, para que ninguém tente entrar com a antiga e gere novos alertas de acesso suspeito.

Se o invasor trocou a senha e o e-mail

Mesmo sem acesso, ainda há caminhos oficiais. O primeiro é a caixa de entrada do e-mail original: quando o e-mail da conta é alterado, o Instagram costuma enviar uma mensagem ao endereço antigo com a opção de reverter a mudança e proteger a conta. Procure também na pasta de spam.

Se esse e-mail não chegou ou o link expirou, use a opção de ajuda para entrar na tela de login. O aplicativo pergunta o que aconteceu e oferece etapas para contas invadidas, como receber um código no e-mail ou no telefone que você tinha cadastrado. Em alguns casos, ele pode pedir uma confirmação de identidade, por exemplo um vídeo do rosto quando há fotos suas no perfil. Quais opções aparecem depende da conta e da região, então siga o que a tela mostrar e consulte a central de ajuda se travar.

Dois cuidados nesse momento: faça o pedido a partir de um aparelho e de uma rede que você já usou para entrar na conta, e não envie várias solicitações seguidas, porque isso pode atrasar a análise.

Enquanto aguarda, anote o que já fez e quando: data do e-mail de alteração, pedidos enviados, códigos recebidos. Se precisar repetir o processo ou falar com o suporte por um canal oficial, essas informações agilizam a análise.

O que não fazer durante a recuperação

A conta invadida atrai um segundo golpe. Perfis e anúncios prometem “recuperar qualquer conta em poucas horas” mediante pagamento e pedem dados de acesso. O Instagram não cobra para recuperar contas nem atende por perfis comuns no Direct. Quem oferece isso, no melhor dos casos, não consegue nada além do que você mesmo faria pela tela de login; no pior, fica com seu dinheiro ou com sua outra conta.

Também não crie um perfil novo para “substituir” o antigo antes de esgotar a recuperação. Os seguidores ficam divididos, e o perfil invadido continua ativo nas mãos de outra pessoa.

Como avisar seus seguidores

Enquanto o perfil estiver com o invasor, ele pode usá-lo para pedir dinheiro ou espalhar links falsos para quem confia em você. Avise por outros canais: um perfil pessoal, o perfil de um sócio, o status do aplicativo de mensagens, o e-mail para clientes. A mensagem deve ser curta: a conta foi invadida, não responda a pedidos de pagamento ou links vindos dela, e denuncie o perfil se receber algo suspeito.

Depois de recuperar o acesso, revise a biografia, o link do perfil, os destaques e os posts recentes. Invasores costumam trocar o link da bio e apagar conteúdo; restaurar esse conjunto é parte de otimizar o perfil no Instagram de novo, agora com mais atenção.

Como evitar uma nova invasão

A prevenção cabe numa lista curta, e cada item fecha uma das portas descritas acima:

  • Autenticação de dois fatores por aplicativo autenticador, quando disponível. O código por SMS é melhor que nada, mas fica vulnerável se alguém conseguir transferir sua linha para outro chip.
  • Códigos de recuperação guardados fora do celular, em local seguro, para o caso de perder o aparelho.
  • Senha única e longa, guardada num gerenciador de senhas ou anotada em lugar protegido.
  • Desconfiança de qualquer prazo urgente. Avisos oficiais sobre a conta costumam aparecer nas configurações, na área de status da conta, e muitas contas têm, na parte de segurança, uma lista dos e-mails enviados pelo Instagram. Antes de clicar num link recebido por e-mail, confira se a mensagem está lá.
  • Código de verificação não se repassa, nem para amigos, nem para “suporte”.
  • Equipe entra com acesso próprio, pelo portfólio empresarial da Meta, em vez de dividir a senha.

Se a conta foi recuperada mas você quer entender se ficou alguma restrição, confira a área de status da conta e, na dúvida, a central de ajuda do Instagram, que é a fonte final sobre recursos e regras.