Felipe Sanches — Advogado do ConsumidorFalar com um advogadoWhatsApp

Redes Sociais

Instagram hackeado: o invasor ativou a autenticação em dois fatores — o que fazer?

Se o invasor ativou a autenticação em dois fatores e você não recebe o código, não tente adivinhar códigos nem pague intermediários. Proteja primeiro o e-mail e o telefone vinculados, use o fluxo oficial em instagram.com/hacked, escolha as opções de que a conta foi invadida ou de que você não tem acesso ao método de autenticação e conclua a verificação de identidade apresentada. Guarde telas, e-mails e protocolos. Os caminhos disponíveis variam conforme a conta, o dispositivo e os sinais usados pela plataforma.

A autenticação em dois fatores normalmente protege a conta. Quando é configurada pelo invasor, porém, o titular pode acertar a senha e ainda ficar impedido de entrar porque o código é gerado em um aparelho ou aplicativo que não controla.

Esse cenário exige recuperar a identidade da conta, não apenas redefinir a senha. As telas do Instagram podem variar, por isso este guia organiza providências seguras sem prometer prazo ou reativação.

Por Felipe Sanches — Advogado do Consumidor, OAB/SP 391.932 · Publicado em 21 de setembro de 2026

Neste conteúdo

  1. Confirme o que foi alterado
  2. Proteja o e-mail e o telefone antes de insistir no Instagram
  3. Use o fluxo oficial de conta invadida
  4. E os códigos de reserva?
  5. Vídeo selfie e outras formas de confirmação
  6. Depois de recuperar a conta
  7. Se a conta foi usada para golpes
  8. Passo a passo recomendado
  9. Provas e documentos úteis
  10. Quando avaliar orientação jurídica
  11. Perguntas frequentes

Confirme o que foi alterado

Registre a tela que solicita o código e observe quais métodos aparecem: aplicativo autenticador, SMS, WhatsApp ou código de reserva. Não publique números parcialmente exibidos nem códigos recebidos.

Verifique se o nome de usuário, e-mail, telefone, foto ou contas vinculadas também mudaram. Procure alertas oficiais na caixa de entrada e registre data e horário.

  • Capture a mensagem completa de autenticação.
  • Localize o perfil por outro aparelho.
  • Confira e-mail, spam e lixeira.
  • Anote o último acesso legítimo.
  • Liste aparelhos em que a conta já foi usada.

Proteja o e-mail e o telefone antes de insistir no Instagram

Se o invasor também controla o e-mail, ele pode redefinir a conta novamente. Altere a senha do e-mail em um dispositivo confiável, encerre sessões desconhecidas e revise endereço de recuperação e regras de encaminhamento.

Confirme com a operadora se houve troca de chip, portabilidade ou outra alteração não reconhecida. Se a mesma senha era usada em outros serviços, substitua-a por senhas únicas.

Use o fluxo oficial de conta invadida

Acesse diretamente [instagram.com/hacked](https://www.instagram.com/hacked/) e informe que sua conta foi invadida. Use o nome de usuário e um e-mail seguro ao qual somente você tenha acesso.

Quando a tela pedir um código que você não possui, procure a opção equivalente a tentar outra forma, obter suporte ou informar que não tem acesso ao método. As opções podem mudar conforme o aparelho e a análise de segurança.

  • Faça o procedimento em aparelho e local já usados na conta, quando possível.
  • Envie informações coerentes em todas as etapas.
  • Não abra muitos pedidos contraditórios.
  • Guarde o protocolo e as mensagens recebidas.
  • Confira o domínio antes de digitar senha.

E os códigos de reserva?

Códigos de reserva só ajudam se tiverem sido gerados e guardados pelo titular antes da perda de acesso. Nunca compre códigos e não aceite arquivos enviados por terceiros.

Se o invasor alterou a autenticação, códigos antigos podem deixar de funcionar. Nesse caso, avance pelo fluxo de recuperação e verificação de identidade mostrado pela plataforma.

Vídeo selfie e outras formas de confirmação

A Meta informa que os fluxos de recuperação podem adaptar as opções ao caso e, em situações elegíveis, apresentar vídeo selfie para confirmação. Esse recurso deve ser feito somente dentro do aplicativo ou do ambiente oficial.

Nem toda conta verá a mesma opção. Perfis sem imagens claras do titular podem receber caminhos diferentes. Não envie vídeo, documento, senha ou código por direct, WhatsApp ou e-mail de suposto recuperador.

Depois de recuperar a conta

Troque a senha, confirme e-mail e telefone, encerre sessões desconhecidas e revise contas conectadas. Remova métodos de autenticação que você não reconhece e configure seu próprio segundo fator.

A Meta recomenda a autenticação em dois fatores e o Security Checkup. Salve novos códigos de reserva em local seguro e mantenha mais de uma forma legítima de recuperação.

  • Revogue aparelhos e aplicativos desconhecidos.
  • Revise o Centro de Contas.
  • Apague conteúdos e links inseridos pelo invasor depois de preservar provas.
  • Avise contatos sobre mensagens fraudulentas.
  • Monitore novas tentativas de acesso.

Se a conta foi usada para golpes

Preserve mensagens, nomes de usuário, chaves de pagamento, comprovantes e relatos das pessoas abordadas. Oriente cada vítima a guardar suas próprias provas e procurar os canais adequados.

Se a conta é profissional, documente anúncios, contratos, interrupções e prejuízos efetivamente demonstráveis. Estimativas genéricas não têm o mesmo valor de registros objetivos.

Passo a passo recomendado

Siga uma ordem para evitar que o invasor retome o acesso:

  1. 01

    Registre a tela que pede o segundo fator.

  2. 02

    Proteja o e-mail e o telefone vinculados.

  3. 03

    Acesse o fluxo oficial de conta invadida.

  4. 04

    Tente outra forma de verificação quando não tiver o código.

  5. 05

    Conclua a confirmação de identidade exibida.

  6. 06

    Guarde protocolos e respostas.

  7. 07

    Avise contatos se houver risco de golpe.

  8. 08

    Após recuperar, remova sessões e métodos desconhecidos.

Provas e documentos úteis

Guarde arquivos originais e organize uma linha do tempo.

  • Captura da solicitação de código 2FA.
  • E-mails de alteração de segurança.
  • Alertas de login e dispositivos.
  • URL e nome de usuário do perfil.
  • Protocolos da recuperação.
  • Mensagens enviadas pelo invasor.
  • Comprovantes de anúncios ou assinatura.
  • Documentos de golpes ou prejuízos profissionais.

Quando avaliar orientação jurídica

Uma análise individual pode ser útil quando os canais oficiais não resolvem, a conta continua sendo usada em golpes, existe risco de perda de atividade profissional ou há dados e valores relevantes vinculados ao perfil.

A providência depende das provas, da urgência, das respostas da plataforma e do dano demonstrado. Nem toda invasão gera responsabilidade automática, e não existe garantia de recuperação, prazo ou indenização. Este texto é informativo e não substitui análise jurídica individual.

Perguntas frequentes

O invasor ativou o 2FA. Ainda consigo recuperar o Instagram?
Pode haver caminhos oficiais de recuperação e confirmação de identidade, mas as opções variam por conta. Use instagram.com/hacked e siga as alternativas exibidas quando não tiver acesso ao código.
O Instagram envia o código do autenticador por e-mail?
O código de aplicativo autenticador é gerado no aplicativo vinculado. E-mail, SMS, WhatsApp e códigos de reserva são métodos diferentes e só aparecem quando disponíveis para a conta.
Posso usar um código de reserva antigo?
Ele pode funcionar se ainda for válido e não tiver sido revogado. Se a configuração foi alterada pelo invasor, avance pelo fluxo oficial em vez de comprar ou solicitar códigos a terceiros.
O vídeo selfie é oficial?
A Meta informa que pode apresentar vídeo selfie como opção de verificação em situações elegíveis. Faça o procedimento somente no aplicativo ou ambiente oficial.
Devo pagar alguém que promete remover o 2FA?
Não entregue senha, código ou acesso remoto. Promessas de recuperação garantida são um sinal de risco e podem gerar nova fraude.
Cabe processo contra a plataforma?
Depende dos fatos, das tentativas de solução, das respostas, da urgência e dos prejuízos comprovados. A invasão, sozinha, não garante reativação ou indenização.

Continue lendo sobre a sua situação

O invasor ativou o 2FA e a recuperação não avançou?

Organize as telas, e-mails, protocolos e registros de impacto para uma análise individual.

Quero analisar meu caso

Atendimento online em todo o Brasil. Análise individual de cada caso, sem promessa de resultado.

Sobre o autor

Felipe Sanches, advogado com atuação em Direito do Consumidor

Felipe Sanches — Advogado do Consumidor | OAB/SP 391.932

Felipe Sanches é advogado inscrito na OAB/SP 391.932, com atuação em Direito do Consumidor e atendimento em casos envolvendo bloqueios, suspensões, banimentos e invasões de contas em aplicativos, redes sociais e marketplaces.

O atendimento é feito de forma online para todo o Brasil, com análise individual de cada situação. Felipe Sanches não possui relação, parceria ou representação junto às plataformas mencionadas neste conteúdo.

Artigos relacionados

As marcas citadas pertencem às respectivas empresas. Este conteúdo é informativo e não representa nem possui vínculo com as plataformas mencionadas.

Fale conosco