Ladrões não precisam mais da sua senha: 6 golpes que invadem contas sem login

Criminosos estão invadindo contas online sem precisar descobrir a senha, segundo alerta publicado pela Fox News com o jornalista Kurt "CyberGuy" Knutsson. Em vez de adivinhar o código de acesso, eles roubam a sessão já logada, transferem seu número de celular para outro chip, forçam aprovações de login ou usam programas espiões e aplicativos conectados.

A senha continua importante, mas agora é só uma parte da proteção. O texto explica que trocar a senha nem sempre expulsa o invasor, porque o acesso pode continuar por uma sessão ativa, um app autorizado ou uma regra criada no seu e-mail.

Sessão roubada, SIM swap e cansaço do MFA

Quando você fica logado, o site cria uma sessão, que é um registro temporário que diz ao serviço que você já provou quem é. Essa sessão usa tokens ou cookies, pequenos arquivos digitais de identificação. Se o criminoso rouba esse token, o serviço pode liberar a entrada sem pedir senha ou nova verificação.

Outro golpe é a troca de chip, chamada de SIM swap. O golpista convence a operadora a passar seu número para um chip ou eSIM que ele controla. Com isso, ele recebe ligações e SMS destinados a você, incluindo códigos de verificação. Perda repentina de sinal do celular, aviso inesperado de troca de aparelho e mensagem de redefinição de senha que você não pediu são sinais de alerta.

A terceira tática mira a autenticação de dois fatores, o MFA, que é aquela camada extra além da senha. No golpe do cansaço do MFA, também chamado de push bombing, o criminoso dispara pedidos de aprovação sem parar até você tocar em "Aprovar" só para parar o incômodo. Ele também pode se passar por suporte técnico e pedir que você leia em voz alta um código único.

Vírus espião e apps com permissão demais

O quarto risco é o infostealer, um vírus feito para coletar informações do aparelho. Ele pode roubar senhas salvas no navegador, cookies de sessão e dados de pagamento. Ele chega em falsa atualização de programa, aplicativo pirata, anexo suspeito, anúncio malicioso ou extensão de navegador comprometida, e pode agir em silêncio.

O quinto golpe nem precisa de vírus: é o app malicioso com acesso à conta. Um falso aplicativo de produtividade pede permissão para ler seu e-mail, contatos ou arquivos na nuvem em uma tela de autorização que parece legítima. Essa técnica, chamada de OAuth consent phishing, foi citada em um alerta do FBI de setembro de 2026. Esse acesso pode continuar mesmo depois que você muda a senha, até você revogar a permissão.

O que fazer agora

A orientação é usar passkeys quando disponíveis. Passkey é um login sem senha digitada, liberado com biometria como impressão digital ou reconhecimento facial, chave de segurança ou gerenciador de senhas, e vinculado ao site verdadeiro. Para contas sensíveis, o texto também recomenda chave de segurança ou aplicativo autenticador, que gera códigos que geralmente não dependem do seu número de telefone.

Na prática, revise sessões e aparelhos conectados, saia do que não reconhecer e nunca aprove um login que você não iniciou. Pergunte à operadora sobre PIN de segurança, bloqueio de transferência do número e proteção contra port-out. Revise os aplicativos de terceiros ligados ao Google, Microsoft e outras contas importantes e remova o que não usa. Se suspeitar de invasão, comece pelo e-mail principal, que destrava todas as outras contas, usando um aparelho confiável.

• E-mail: troque a senha, encerre sessões suspeitas e confira endereços de recuperação e regras de encaminhamento.
• Celular e banco: avise a operadora em caso de SIM swap e confira transações com banco ou cartão.
• Monitoramento: confira relatórios de crédito, considere alerta de fraude ou congelamento, que é gratuito, nas três agências Equifax, Experian e TransUnion.
• Recuperação nos EUA: em caso de roubo de identidade, o texto indica o site IdentityTheft.gov, da Federal Trade Commission.