Conta invadida, perfil clonado e golpe do Pix: o que fazer nos primeiros minutos

Resposta curta: se o seu WhatsApp ou Instagram foi invadido, recupere o acesso pelo próprio aplicativo ou pela página oficial de recuperação, avise seus contatos por outros canais que ninguém deve fazer Pix a pedido daquela conta e, se alguém já transferiu, ele deve falar imediatamente com o próprio banco e pedir a devolução pelo MED. Desde fevereiro de 2026, o MED 2.0 do Banco Central permite seguir o dinheiro além da primeira conta que recebeu o Pix.

O golpe costuma começar com uma mensagem urgente: um "suporte" que pede o código de seis dígitos recebido por SMS, um endereço para "verificar a conta", um aviso de que o perfil será suspenso. Em minutos, o criminoso assume o WhatsApp ou o Instagram da vítima e passa a pedir Pix a amigos, familiares e clientes. A escala é grande. O relatório 2026 da Global Anti-Scam Alliance estima 34,5 bilhões de tentativas de golpe por ano no Brasil, e o WhatsApp é o canal mais citado pelas vítimas (64%), à frente de Gmail e Instagram. Segundo o Anuário Brasileiro de Segurança Pública 2026, o estelionato por meio eletrônico chegou a 346.753 registros em 2025, alta de 20,6% em um ano.

Há duas situações diferentes, e é importante separá-las. Na invasão, o golpista entra na sua conta verdadeira. No perfil clonado, ele cria outra conta, com outro número, usando sua foto e seu nome. O que fazer depende do caso.

Os números em resumo

• Escala industrial. O relatório "O Estado dos Golpes no Brasil 2026", da GASA, estima 34.451.377.229 tentativas de golpe por ano no país (março de 2025 a fevereiro de 2026). WhatsApp (64%), Gmail (32%) e Instagram (22%) foram os canais mais citados; 81% dos adultos se depararam com algum golpe.
• O crime migrou para o digital. O estelionato por meio eletrônico passou de 286.226 para 346.753 registros entre 2024 e 2025 (+20,6%). O estelionato total cresceu 2,7% e chegou a 2.261.055 boletins.
• O Pix pode ser rastreado além da primeira conta. O MED 2.0 (Resolução BCB 493 e IN BCB 653, de 28/08/2025) está em vigor desde 02/02/2026. O primeiro MED foi criado pela Resolução BCB 103/2021.
• Lojista também é vítima. A IN BCB 766, em vigor desde 01/09/2026, ampliou de 30 para 80 dias o prazo para o recebedor de boa-fé contestar uma devolução feita pelo MED.
• Bancos respondem quando ignoram o fora do padrão. Em maio de 2026, a 3ª Turma do STJ condenou Nubank e Inter a devolver R$ 51.796 a uma idosa de 75 anos vítima do golpe do bilhete premiado, além de R$ 10 mil por danos morais.

Se o WhatsApp foi invadido

Abra o WhatsApp no seu celular, informe o seu número e peça um novo código de verificação. Ao registrar o número de novo no seu aparelho, a sessão no aparelho do criminoso é encerrada. Se você perdeu o chip, ou se o golpe envolveu a troca fraudulenta do chip, ligue para a operadora, peça o bloqueio da linha e um novo chip com o mesmo número.

Atenção a uma dica antiga que ainda circula: mandar e-mail ao WhatsApp pedindo a desativação da conta. A Central de Ajuda oficial informa hoje que o WhatsApp não pode desativar a conta pelo usuário, porque não tem como confirmar que o número pertence a quem pede. O caminho oficial é recuperar o chip e registrar a conta novamente.

Depois de recuperar o acesso, ative a verificação em duas etapas (Configurações > Conta > Verificação em duas etapas) e confira a lista de aparelhos conectados.

Se o Instagram foi invadido

Verifique se você recebeu um e-mail do Instagram avisando da troca do endereço cadastrado; essa mensagem costuma trazer a opção de desfazer a alteração. Se não der certo, use a página oficial instagram.com/hacked, que conduz a recuperação e pode pedir confirmação de identidade, inclusive por vídeo-selfie. Perfis comerciais que nunca mostraram o rosto do dono podem ter mais dificuldade nessa etapa. Por isso vale publicar, de vez em quando, conteúdo com a pessoa responsável pela marca.

Se em vez de invasão a plataforma suspendeu a sua conta, o caminho é outro: veja o guia sobre conta suspensa no Instagram, Facebook ou WhatsApp.

Avise todo mundo, por outros canais

Enquanto tenta recuperar a conta, avise clientes e contatos por outros meios: o perfil de um sócio ou familiar, uma lista de e-mails, um aviso no site ou na loja. Deixe claro que ninguém deve fazer Pix a pedido daquela conta. Guarde capturas de tela com data e hora desses avisos e das mensagens do golpista. Isso ajuda no boletim de ocorrência e em eventual ação judicial.

Se alguém já fez o Pix

Quem transferiu deve falar imediatamente com o próprio banco, pelo aplicativo ou pela central oficial, relatar o golpe e pedir a devolução pelo Mecanismo Especial de Devolução (MED). Quanto mais cedo, maior a chance de haver saldo para bloquear.

Desde 2 de fevereiro de 2026 está em vigor o MED 2.0, criado pela Resolução BCB 493. A diferença é que o dinheiro pode ser rastreado depois de sair da primeira conta que recebeu o Pix, o que dificulta a tática de pulverizar o valor em várias contas de laranjas. A devolução não é certa: depende de haver dinheiro nas contas atingidas e pode ser parcial.

O pequeno lojista também precisa conhecer as regras. Um golpe comum é o falso cliente que paga, pede a devolução "por engano" para outra chave e depois aciona o MED alegando fraude, recebendo duas vezes. Desde 1º de setembro de 2026, a Instrução Normativa BCB 766 deu ao recebedor de boa-fé 80 dias, e não mais 30, para contestar uma devolução indevida.

Boletim de ocorrência: duas vítimas, dois registros

Registre o boletim de ocorrência na delegacia eletrônica do seu estado. Se a sua conta foi invadida, o registro é de invasão e uso indevido de identidade. Quem fez o Pix registra estelionato por meio eletrônico, anexando o comprovante (com o identificador da transação e os dados do recebedor), as conversas e o protocolo do pedido de devolução no banco.

Quando a Justiça entra

Os tribunais têm responsabilizado bancos que deixam passar operações muito fora do padrão do cliente ou que não comprovam ter aberto com segurança a conta que recebeu o dinheiro. Em maio de 2026, a 3ª Turma do STJ condenou Nubank e Inter a devolver R$ 51.796 a uma idosa de 75 anos, vítima do golpe do bilhete premiado em Santos, além de pagar R$ 10 mil por danos morais. No caso de troca fraudulenta de chip, a operadora também pode ser acionada.

Prevenção em cinco minutos

• Ative a verificação em duas etapas no WhatsApp e, no Instagram, prefira um aplicativo autenticador ao SMS.
• Use senha longa e única em cada serviço e proteja também o e-mail de recuperação. O gerador de senhas cria uma senha forte no próprio navegador.
• Não use na bio ou no site o mesmo e-mail e telefone que servem para recuperar a conta.
• Nunca informe códigos recebidos por SMS, nem a quem diz ser do suporte ou do banco.
• Negócios: fixe no perfil o nome e o CNPJ da única conta que recebe Pix e oriente clientes a recusar transferências para terceiros.

Onde buscar ajuda

• Seu banco, pelo aplicativo ou canais oficiais, para pedir o MED
• Banco Central, reclamação contra instituição financeira: gov.br
• Delegacia eletrônica da Polícia Civil do seu estado (boletim de ocorrência pela internet)
• WhatsApp, perda ou roubo do aparelho: Central de Ajuda do WhatsApp
• Instagram, conta invadida: instagram.com/hacked
• Operadora de celular, para bloquear a linha e emitir novo chip
• Consumidor.gov.br e Procon do seu estado
• SaferNet Brasil, canal de ajuda: safernet.org.br

Fontes

Dados públicos compilados pela Equipe SigaFast. Números conferidos nas fontes abaixo em 22/10/2026.

Dado	Valor	Fonte	Data
Tentativas de golpe no Brasil por ano	34.451.377.229 (cerca de 34,5 bilhões), mar/2025–fev/2026	GASA, O Estado dos Golpes no Brasil 2026	ago/2026
Canais mais citados pelas vítimas	WhatsApp 64%, Gmail 32%, Instagram 22%; 81% dos adultos se depararam com golpe	CNN Brasil (com GASA)	ago/2026
Phishing detectado pela Kaspersky no Brasil	553 milhões em 12 meses (cerca de 1,5 milhão por dia)	Jornal de Brasília	set/2025
Estelionato por meio eletrônico	286.226 (2024) → 346.753 (2025), +20,6%	Anuário Brasileiro de Segurança Pública 2026, p. 120	jul/2026
Estelionato total	2.193.122 (2024) → 2.261.055 (2025), +2,7%	Anuário 2026 (idem)	jul/2026
Golpe do WhatsApp entre clientes bancários	153 mil casos em 2024, 1º lugar no ranking da Febraban	Poder360	14/04/2025
MED 2.0	Res. BCB 493 + IN BCB 653 (28/08/2025); em vigor desde 02/02/2026	Agência Brasil	fev/2026
Origem do MED e bloqueio cautelar	MED criado pela Res. BCB 103 (08/06/2021); bloqueio cautelar de até 72 horas incluído pela Res. BCB 147/2021	Res. BCB 103; Res. BCB 147	2021
Prazo do recebedor para contestar devolução	30 → 80 dias (IN BCB 766), desde 01/09/2026	Jornal União (com Agência Brasil)	01/09/2026
STJ, golpe do bilhete premiado	Nubank e Inter condenados a devolver R$ 51.796 + R$ 10 mil de danos morais; vítima de 75 anos	Sele Nafes	mai/2026
Recuperação do WhatsApp em caso de perda ou roubo	O WhatsApp informa que não pode desativar a conta pelo usuário; o caminho é bloquear o chip e registrar a conta em novo chip com o mesmo número	WhatsApp, Central de Ajuda	consultado em 22/10/2026