Para mudar a senha do Instagram, acesse o menu do perfil, entre em Configurações e atividade > Central de Contas > Senha e segurança > Alterar senha, selecione a conta desejada e informe a credencial atual seguida da nova combinação. Caso a conta tenha sido hackeada e o invasor tenha trocado o e-mail, o telefone e ativado uma verificação em duas etapas própria, a recuperação deve ser iniciada imediatamente pelo endereço oficial instagram.com/hacked no navegador do celular, utilizando a validação biométrica por Vídeo Selfie para receber um código de reserva de 8 dígitos capaz de anular o bloqueio do criminoso.
Principais Aprendizados
- Gerenciamento unificado: A troca de senha, o encerramento de sessões e a configuração de chaves de acesso (Passkeys) acontecem dentro da Central de Contas (atualizada gradualmente para a nova Conta da Meta).
- Quebra da 2FA do invasor: Mesmo que o hacker ative a autenticação de dois fatores no perfil sequestrado, a aprovação no Vídeo Selfie via
instagram.com/hackedgera um código de backup de 8 dígitos que contorna essa barreira. - Escalonamento no Brasil: Quando o sistema automatizado falha, o protocolo envolve registrar Boletim de Ocorrência na Polícia Civil e abrir reclamação formal contra a Meta no portal federal Consumidor.gov.br.
Por que o Instagram é o principal alvo de sequestro de contas?
É fato verificado que o Instagram ocupa a liderança global em invasões de mídias sociais. Com mais de 2,9 bilhões de usuários ativos mensais segundo a Statista, a plataforma concentra 31% de todos os ataques a contas de redes sociais no mundo, de acordo com levantamento da empresa de cibersegurança StationX destacado pela Forbes.
O interesse financeiro explica esse volume: perfis reais possuem histórico de confiança com amigos e familiares, sendo explorados minutos após a invasão para aplicar fraudes financeiras nos Stories ou extorquir os próprios titulares. Dominar o fluxo correto de gerenciamento de credenciais e de resposta a incidentes é determinante para preservar o acesso ao perfil.
Como mudar a senha do Instagram pelo celular e pelo PC
O Instagram não mantém mais os controles de credenciais isolados nas opções antigas do aplicativo. Todo o gerenciamento de acesso foi unificado na Central de Contas (Accounts Center) — interface que, conforme anúncio oficial da Meta Newsroom em 23 de abril de 2026, passa por transição gradual ao longo de 12 meses para a nova Conta da Meta (Meta Account).
Passo a passo no aplicativo (Android e iPhone) e no navegador
- Abra o aplicativo do Instagram (ou acesse
instagram.comno computador) e toque na sua foto de perfil no canto inferior direito (ou em Mais, no menu lateral do PC). - Toque no ícone de menu (três linhas horizontais) no canto superior direito para abrir as Configurações e atividade.
- Selecione Central de Contas (ou Conta da Meta) logo no topo da tela.
- Na seção de configurações da conta, toque em Senha e segurança e, em seguida, em Alterar senha.
- Escolha o perfil do Instagram que terá a credencial modificada.
- Digite a senha atual, insira a nova senha duas vezes e confirme em Alterar senha (marcando a opção para desconectar outros aparelhos caso suspeite de acesso indevido).
Como redefinir a senha se você esqueceu a atual
Se você ainda está conectado ao aplicativo, mas não lembra a senha antiga, basta tocar em Esqueceu a senha? dentro da própria tela de alteração na Central de Contas. O sistema enviará imediatamente um link de redefinição para o e-mail ou número de telefone vinculado, sem exigir a digitação da combinação anterior.
Caso esteja desconectado do aplicativo, toque em Esqueceu a senha? na tela inicial de login, informe seu nome de usuário (@), e-mail ou telefone e siga o link enviado. Na prática, a recomendação técnica é exigir cautela redobrada com e-mails de redefinição que você não pediu: entre 7 e 11 de janeiro de 2026, milhões de usuários receberam disparos legítimos em massa de troca de senha após uma falha técnica confirmada pela Meta, episódio que coincidiu com a exposição de 17,5 milhões de registros de contas (contendo nomes, @, e-mails e telefones extraídos via scraping) reportada pela Malwarebytes e pelo Tudocelular. Se você receber um e-mail de redefinição sem tê-lo solicitado, nunca clique no botão da mensagem; abra o aplicativo separadamente e verifique a seção Onde você fez login.
Como recuperar uma conta do Instagram hackeada (Passo a Passo)
Nos ataques modernos de sequestro de conta (Account Takeover), o invasor age nos primeiros minutos para alterar o endereço de e-mail, o número de telefone, o nome de usuário (@) e cadastrar um aplicativo autenticador (2FA) próprio. Para reaver o perfil, é necessário seguir uma ordem estrita de contenção e recuperação.
Passo 1: Proteja primeiro o seu e-mail principal
O consenso na área de resposta a incidentes determina que a proteção da caixa de e-mail antecede qualquer ação no Instagram. Se o criminoso tiver acesso ao seu Gmail, Outlook ou iCloud, ele interceptará todos os códigos enviados pela Meta.
- Troque imediatamente a senha do seu provedor de e-mail e encerre todas as sessões ativas.
- Verifique nas configurações do webmail (especialmente pelo computador) se o invasor não criou regras de encaminhamento automático ou filtros de exclusão imediata para mensagens vindas do domínio
@mail.instagram.com. Esse é o motivo mais comum pelo qual vítimas afirmam que o código do Instagram "nunca chega".
Passo 2: Use o link de reversão do remetente [email protected]
Conforme documentado na Central de Ajuda da Meta, sempre que o e-mail vinculado a um perfil é substituído, o Instagram envia uma mensagem automática para o endereço de e-mail antigo a partir do remetente oficial [email protected].
Procure por esse endereço na caixa de entrada, na lixeira e no spam. Ao localizar o aviso informando que seu e-mail foi alterado, clique no link "Proteger minha conta" ou "Reverter esta alteração" (Revert this change). Se o link ainda estiver dentro da janela de validade, a troca feita pelo hacker é desfeita instantaneamente.
Passo 3: Acesse o hub oficial instagram.com/hacked
Quando o link de reversão por e-mail já expirou ou o criminoso trocou todos os dados de contato simultaneamente, o caminho oficial é o portal centralizado de recuperação lançado pela plataforma em 15 de dezembro de 2022.
- Abra o navegador do celular que você costumava usar para acessar a conta (o histórico do dispositivo e o endereço IP ajudam na validação antifraude) e digite
instagram.com/hacked. - Selecione a opção "Minha conta foi invadida" e toque em Avançar.
- Informe o nome de usuário atual (mesmo que o hacker tenha mudado o
@, peça para um amigo olhar como o perfil está aparecendo agora), ou digite o telefone/e-mail original da conta. - Caso o sistema exiba os dados mascarados do invasor, toque em "Tentar de outra forma" (ou "Precisa de mais ajuda?") na parte inferior da tela.
- Se disponível para o seu perfil, escolha a opção de Confirmar identidade com 2 amigos: você seleciona dois contatos de confiança do Instagram, que receberão uma notificação no aplicativo deles e terão até 48 horas para confirmar que você é o verdadeiro titular.
Passo 4: Como derrubar a Autenticação de Dois Fatores (2FA) do hacker com Vídeo Selfie
Um dos maiores mitos entre usuários é acreditar que a conta está perdida para sempre quando o criminoso ativa a verificação em duas etapas no perfil. O fluxo de Vídeo Selfie foi projetado exatamente para anular a 2FA do invasor em contas que possuem fotos do rosto do titular.
- Dentro do fluxo do
instagram.com/hacked(após clicar em "Tentar de outra forma"), selecione que você não tem acesso aos métodos de contato exibidos e indique que a conta tem mais de uma foto sua. - Forneça um novo endereço de e-mail seguro (que nunca tenha sido vinculado ao Instagram antes e ao qual apenas você tenha acesso) e digite o código de confirmação enviado para ele.
- Grave o Vídeo Selfie seguindo as instruções na tela (girando a cabeça nas direções indicadas para comprovar que se trata de uma pessoa real e permitir a comparação biométrica com as fotos publicadas ou arquivadas no perfil).
- Aguarde a análise da Meta, que leva de alguns minutos até 4 dias úteis. Evite enviar dezenas de vídeos repetidos em aparelhos diferentes durante esse período: segundo alerta técnico da ESET, submeter múltiplos formulários seguidos aciona travas de rate limit e invalida os protocolos anteriores na fila.
- O pulo do gato na aprovação: Quando o Vídeo Selfie é aprovado, o e-mail enviado pela Meta traz o link para redefinir a senha e um código de reserva (backup) de 8 dígitos. Após criar a nova senha, o aplicativo ainda pedirá o código de 6 dígitos do autenticador do hacker; nesse momento, toque em "Tentar de outra forma" > "Código de reserva", digite o código de 8 dígitos recebido no e-mail, entre na conta e remova imediatamente o autenticador do invasor na Central de Contas.
Contas comerciais sem fotos humanas e a controvérsia do Meta Verified
A validação por Vídeo Selfie falha automaticamente quando aplicada a perfis exclusivamente comerciais (lojas, marcas ou portais) que não possuem fotos do rosto do proprietário no feed ou no arquivo de Stories. Nesses cenários, a recuperação técnica exige informar que a conta não possui fotos suas para validar o acesso por meio do primeiro e-mail ou telefone usado na criação do perfil, ou acionar o suporte comercial através do Portfólio Empresarial (Gerenciador de Negócios da Meta) vinculado à conta de anúncios.
Existe ainda uma controvérsia prática no mercado sobre assinar o selo Meta Verified em uma conta secundária (ou no Facebook) como "atalho" para falar com atendentes humanos via chat. Avaliações técnicas mostram resultados mistos: o suporte do Meta Verified costuma destravar casos quando acionado a partir de um perfil do Facebook que já pertencia à mesma Central de Contas do Instagram invadido, mas os atendentes frequentemente recusam abrir chamados internos para perfis externos que não apresentem vínculo prévio comprovado na mesma estrutura.
O que fazer quando a recuperação automática falha no Brasil?
Se o invasor apagou todas as fotos, o reconhecimento facial foi recusado repetidas vezes ou a conta está sendo usada ativamente para aplicar golpes em seguidores, o titular no Brasil dispõe de três medidas formais de contenção e recuperação administrativa ou judicial.
1. Registro de Boletim de Ocorrência (B.O.) e alerta a contatos
Conforme orientação oficial da Polícia Civil, delegacias não possuem acesso administrativo aos servidores da Meta para devolver senhas. No entanto, registrar o Boletim de Ocorrência (pela Delegacia Virtual do seu estado) é indispensável para resguardar a vítima civil e criminalmente contra estelionatos praticados em seu nome.
Avise amigos e clientes por outros aplicativos que o perfil foi comprometido. Caso algum seguidor já tenha transferido valores para os criminosos acreditando em falsas vendas ou pedidos de ajuda nos Stories, oriente-o a acionar imediatamente o MED do Pix junto ao banco para tentar bloquear os recursos na conta recebedora. Além disso, se você suspeita que o invasor interceptou códigos de SMS por meio de troca fraudulenta de chip (SIM Swap), verifique os sinais de que o celular foi clonado e contate sua operadora imediatamente.
2. Reclamação administrativa pelo Consumidor.gov.br
Tanto a Polícia Civil quanto o Portal Gov.br recomendam acionar a plataforma pública Consumidor.gov.br quando o fluxo do aplicativo não resolve o problema:
- Requisito obrigatório: possuir uma conta Gov.br de nível Prata ou Ouro.
- Busque pela empresa Facebook / Instagram (Facebook Serviços Online do Brasil).
- No relato, informe o
@original da conta, o@atual (se tiver sido alterado pelo hacker), a data e hora aproximadas da invasão, o e-mail e o telefone originais de cadastro, e forneça um novo e-mail exclusivo (nunca antes associado a contas da Meta) para que a equipe de suporte envie um link manual de restauração. - Anexe o Boletim de Ocorrência em PDF, capturas de tela dos e-mails de alteração e cópia do seu documento de identidade (ou CNPJ, em caso de perfil empresarial).
3. Juizado Especial Cível (JEC) e responsabilidade da plataforma
Se a via administrativa no Consumidor.gov.br não restabelecer o acesso (a empresa tem até 10 dias para responder), o caminho final é ingressar com uma ação de obrigação de fazer com pedido de tutela de urgência (liminar) no Juizado Especial Cível. Na jurisprudência brasileira, aplica-se o artigo 14 do Código de Defesa do Consumidor (responsabilidade objetiva por falha na segurança do serviço), reforçado pelo julgamento do Tema 987 do Supremo Tribunal Federal (STF), concluído em junho de 2025, que ampliou o dever de cuidado das plataformas digitais diante de falhas sistêmicas e demora na contenção de contas fraudadas. Em casos de risco jurídico ou prejuízo comercial elevado, a recomendação é validar o caso com um advogado especializado em Direito Digital.
Regra de ouro de segurança: Jamais pague valores de resgate pedidos pelo invasor e nunca contrate supostos "hackers de recuperação" que oferecem serviços nos comentários de redes sociais. O consenso entre órgãos policiais e empresas de cibersegurança é absoluto: 100% dessas ofertas de recuperação paralela tratam-se de golpes secundários (recovery scams) destinados a extorquir vítimas desesperadas.
Como blindar o Instagram contra novas invasões: Passkeys e 2FA
Assim que você mudar a senha ou recuperar o perfil, o Instagram desconectará automaticamente a conta de todos os outros dispositivos ativos. No entanto, manter apenas uma senha alfanumérica não é mais suficiente contra ataques de phishing modernos. Veja a hierarquia técnica de proteção disponível na Conta da Meta:
| Método de Segurança | Nível de Proteção | Como Funciona e Por Que Usar |
|---|---|---|
| Passkeys (Chaves de acesso) | Máximo (Resistente a Phishing) | Substitui ou blinda a senha usando biometria (Face ID, digital ou PIN do aparelho). Obrigatório para contas inscritas na Proteção Avançada da Meta. |
| App de Autenticação (TOTP) | Alto | Gera códigos temporários de 6 dígitos no Google Authenticator, Microsoft Authenticator ou 2FAS, sem depender de rede de telefonia. |
| Códigos de Reserva (Backup) | Essencial (Contingência) | Conjunto de 5 códigos de 8 dígitos gerados na Central de Contas para guardar fora do celular caso você perca o aparelho. |
| 2FA via SMS | Baixo (Não recomendado isoladamente) | Vulnerável a SIM Swapping (portabilidade ou clonagem fraudulenta do chip em lojas de operadoras) e interceptação. |
Como ativar Passkeys e Autenticação de Dois Fatores
- Vá em Configurações e atividade > Central de Contas (ou Conta da Meta) > Senha e segurança.
- Toque em Chave de acesso (Passkey) para criar uma credencial criptográfica vinculada ao desbloqueio facial ou digital do seu smartphone (conforme a documentação de Passkeys da Meta, perfis de alto alcance, contas de anúncios e assinantes do Meta Verified enquadrados na Proteção Avançada passam a ter o uso de Passkey exigido obrigatoriamente).
- Retorne ao menu Senha e segurança, toque em Autenticação de dois fatores, selecione seu perfil e configure prioritariamente um Aplicativo de autenticação.
- Dentro da tela da autenticação de dois fatores, toque em Métodos adicionais > Códigos de reserva e anote os 5 códigos de 8 dígitos em um local físico seguro fora do smartphone.
- Por fim, acesse Onde você fez login na mesma aba de segurança e remova qualquer aparelho desconhecido que tenha permanecido listado.
Para fechar o cerco de privacidade e impedir que criminosos utilizem outros vetores do seu aparelho, vale também ativar a proteção de senha no WhatsApp (incluindo o PIN de confirmação em duas etapas do mensageiro) e ajustar a exposição do perfil aprendendo a ocultar o status online do Instagram para desconhecidos.
Perguntas Frequentes
O que fazer se o hacker ativou a autenticação de dois fatores (2FA) no meu Instagram?
Acesse instagram.com/hacked pelo navegador do celular, informe o usuário da conta, toque em "Tentar de outra forma" e escolha a validação por Vídeo Selfie (para contas que possuem fotos do seu rosto). Quando a análise da Meta for aprovada (em até 4 dias úteis), você receberá por e-mail um link de redefinição de senha acompanhado de um código de reserva de 8 dígitos, que deve ser inserido em "Tentar de outra forma > Código de reserva" para derrubar a 2FA cadastrada pelo invasor.
Recebi um e-mail de redefinição de senha do Instagram sem ter pedido. Minha conta foi invadida?
Não necessariamente. Criminosos ou bots externos podem disparar solicitações de redefinição apenas sabendo seu nome de usuário ou e-mail — como ocorreu no incidente global de janeiro de 2026. Nunca clique em links de e-mails que você não solicitou. Abra o aplicativo oficial do Instagram de forma independente e verifique em "Central de Contas > Senha e segurança > Onde você fez login" se há algum acesso desconhecido.
Como recuperar uma conta do Instagram quando o Vídeo Selfie é recusado?
Se o Vídeo Selfie falhar repetidamente ou se o perfil for comercial sem fotos humanas, registre um Boletim de Ocorrência online na Polícia Civil e abra uma reclamação administrativa contra o Facebook Serviços Online do Brasil no portal federal Consumidor.gov.br (exige conta Gov.br Prata ou Ouro), anexando o B.O., documentos pessoais ou CNPJ e indicando um novo endereço de e-mail nunca antes vinculado à Meta.
Fontes
- Meta Newsroom — Evolução da Central de Contas para Meta Account e suporte a Passkeys
- Meta Help Center — Documentação Oficial sobre Chaves de Acesso (Passkeys) e Proteção Avançada
- Meta Help Center — Contas Invadidas ou Comprometidas (Recuperação de Conta)
- Sobre o Instagram (Blog Oficial) — Lançamento do instagram.com/hacked e Verificação por Amigos
- Forbes — Instagram Hacked: Estatísticas de Invasão e Recuperação
- ESET — Guia Técnico de Recuperação de Contas do Instagram
- Tudocelular — Posicionamento da Meta sobre Disparo de E-mails de Redefinição e Exposição de Dados
- Portal Gov.br — Orientações Oficiais para Redes Sociais Invadidas ou Clonadas
- Polícia Civil do Paraná — Protocolo de Recuperação de Instagram e Registro de B.O.
- Consumidor.gov.br — Plataforma Federal de Resolução de Conflitos de Consumo
- Rosenbaum Advogados — Responsabilidade Civil da Meta e Tema 987 do STF
0 Comentários