Por que recebi um código de verificação que não solicitei?

Por que você pode receber um código de verificação que não solicitou

Um código de verificação inesperado pode vir de um erro de digitação, de uma tentativa de login ou de redefinição de senha, ou de uma mensagem de golpe criada para fazer você responder. Um código que você não solicitou não prova, por si só, que sua conta foi acessada ou que alguém sabe sua senha. Não compartilhe o código, não aprove um prompt inesperado nem use links da mensagem. Abra o serviço mencionado diretamente e verifique a atividade da sua conta.

O que o código protege depende do serviço. Ele pode confirmar um novo cadastro, um login, uma redefinição de senha, uma tentativa de recuperação, um número de telefone ou uma ação sensível, como um pagamento. Por isso, a resposta certa depende do padrão, não do código em si.

• Um código, sem nenhum outro aviso: pode ser um erro de digitação, um cadastro, uma tentativa de login ou de redefinição, ou uma mensagem falsa. Não use o código; verifique diretamente a conta mencionada, se você tiver uma.
• Códigos que não param de chegar: alguém pode estar tentando fazer login ou redefinir o acesso repetidamente. Verifique essa conta agora.
• Um código mais um alerta de conta: um aviso de login em novo dispositivo, de alteração de senha ou de alteração dos métodos de recuperação exige ação hoje.
• Qualquer pessoa que peça o código: trate como golpe, seja quem for que ela diga ser.

Alguém digitou seu e-mail ou número de telefone por engano

As pessoas erram os próprios dados de contato o tempo todo, e o código acaba chegando para você em vez de para elas. A página de ajuda do Login.gov "Estou recebendo códigos de uso único que não solicitei" aponta isso como uma causa provável, assim como alguém que compartilha seu telefone, como cônjuge, pai ou filho, entrando na própria conta. Um único código sem desdobramentos é o sinal típico desse tipo de confusão.

Alguém tentou fazer login ou redefinir sua senha

Muitos serviços enviam um código quando um login vem de um novo dispositivo ou local, ou quando alguém inicia uma redefinição de senha. Essa pessoa pode ser você em outro dispositivo, alguém que confundiu sua conta com a dele, ou uma tentativa automatizada de login usando uma senha vazada de outro site. Dependendo do serviço, o código pode ser uma segunda etapa após a senha ou a credencial principal de um login sem senha, e você não consegue saber qual é o caso apenas pelo código. Não o compartilhe nem o insira, e verifique a conta pelo aplicativo ou site oficial.

Alguém usou seus dados de contato para se cadastrar

Um código de cadastro pode chegar para um serviço que você nunca usou porque alguém digitou seu endereço de e-mail ou número de telefone ao criar uma conta. A maioria dos serviços só conclui o cadastro quando o código ou o link de confirmação é usado, então ignorar a mensagem geralmente basta. Não crie uma conta só para investigar.

A mensagem é phishing, não um código real

Uma mensagem pode imitar um aviso de verificação e incluir um link, um número de telefone ou uma instrução de "responda para cancelar" mesmo quando nenhuma ação real ocorreu na conta. O objetivo é fazer você ligar, clicar ou digitar algo em uma página falsa. Não teste o link. Abra o aplicativo oficial ou digite você mesmo o endereço conhecido do serviço.

Um problema do lado do serviço provocou uma onda de mensagens

Às vezes, a causa está do lado da empresa. Em janeiro de 2026, o Instagram atribuiu uma onda de e-mails inesperados de redefinição de senha a "um problema que permitiu que uma parte externa solicitasse e-mails de redefinição de senha para alguns usuários do Instagram", segundo o grupo de consumidores Which?, e o Instagram negou que seus sistemas tenham sido invadidos. Mesmo em um caso assim, a resposta segura é a mesma: ignore os links e verifique a conta no app.

O que fazer agora

A resposta mais segura a um código não solicitado leva alguns minutos e nunca envolve a própria mensagem. Siga estas etapas em ordem e pare quando a conta estiver verificada.

1. Não compartilhe, não encaminhe e não leia o código em voz alta. Não o insira em lugar nenhum nem aprove um prompt de login que você não iniciou. A página de ajuda do Google "Quando o Google pode enviar um SMS para você" diz que você pode ignorar e excluir um código por SMS que não solicitou e que não deve compartilhar nenhum código recebido.
2. Não use nada que esteja na mensagem. Ignore os links, os números de telefone e qualquer instrução de resposta, mesmo que o remetente pareça conhecido.
3. Abra o serviço você mesmo. Use o aplicativo oficial ou digite o endereço que você já conhece e, em seguida, veja a atividade recente de login, os dispositivos conectados e os alertas de segurança. A página "O que é a página de atividade recente?" da Microsoft explica que ela mostra a atividade da conta Microsoft dos últimos 30 dias e permite que você selecione "Não fui eu" para qualquer item sinalizado como incomum.
4. Altere a senha quando os fatos exigirem. Faça isso pelo serviço oficial se a atividade parecer desconhecida, se o serviço confirmar uma tentativa de login, se você compartilhou o código ou se a senha for reutilizada em outros sites. Use uma senha exclusiva para essa conta.
5. Ative uma autenticação multifator mais forte. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) classifica a chave de segurança como a opção mais forte, seguida pelo aplicativo autenticador, e os códigos por texto ou e-mail como os mais fracos. A CISA recomenda usar códigos por texto ou e-mail apenas quando a conta não oferecer nada mais forte.
6. Entre em contato com o serviço se os códigos continuarem chegando. Use a central de ajuda dentro do app ou no site oficial, não um número da mensagem.

Se você não tem conta no serviço citado, alguém pode estar se cadastrando com seu endereço de e-mail ou número de telefone, ou a mensagem pode ser falsa. Ignore-a. Se o mesmo serviço continuar entrando em contato com você, procure a equipe de suporte pelo site oficial.

Um código, códigos repetidos ou um alerta de conta: o que cada padrão significa

As evidências ao redor importam mais do que a quantidade de códigos. Um código pode vir de um erro de digitação, de um cadastro, de uma tentativa de login ou de redefinição, ou de uma mensagem falsa. Códigos repetidos justificam uma revisão rápida da conta, enquanto um código acompanhado de um alerta de login ou de alteração de conta desconhecido exige ação imediata pelo serviço oficial.

Códigos sozinhos raramente contam a história completa. Os sinais de que uma conta foi realmente acessada são mais específicos:

• Você não consegue mais fazer login, ou o serviço confirma que sua senha ou seus dados de recuperação foram alterados.
• Sua conta mostra dispositivos, sessões ou locais que você não reconhece.
• Aparecem mensagens, publicações ou compras que você não fez.
• Sua conta de e-mail tem novas regras de encaminhamento ou filtros que você não configurou.

Se você identificar algum desses sinais, use imediatamente o processo oficial de recuperação de conta do provedor.

Códigos por e-mail, códigos por texto e solicitações de login

O canal muda o que vale a pena verificar. Um código por e-mail aponta para a conta de e-mail e o serviço citado, uma mensagem de texto aponta para seu número de telefone, e uma solicitação de aprovação significa que um login está aguardando você.

Se você recebeu um e-mail com um código de verificação aleatório

Um e-mail com código de verificação aleatório pode vir de um cadastro, de uma tentativa de login ou de redefinição de senha, de um erro de digitação ou de uma mensagem falsa. Verifique a conta mencionada pelo site ou aplicativo oficial. Se houver outros sinais de que alguém acessou sua caixa de correio, revise também as sessões recentes, o e-mail e o telefone de recuperação, a caixa de enviados e quaisquer regras ou filtros de encaminhamento. Uma regra de encaminhamento que você não criou pode copiar mensagens futuras, incluindo códigos, então remova-a e proteja a caixa de correio.

Se você recebeu um código de verificação por mensagem de texto

Não responda, não ligue para um número da mensagem nem presuma que uma conversa familiar prova que a mensagem é genuína. Para mensagens que parecem spam, o guia da FTC "How To Recognize and Report Spam Text Messages" sugere encaminhá-las para 7726 (SPAM). Tenha cuidado ao bloquear o número de um serviço real, pois você pode precisar dos códigos dele depois. Se seu telefone perder o serviço celular de repente enquanto chegam códigos ou alertas de conta, entre em contato com sua operadora por um canal em que você já confie; quedas de serviço têm causas comuns, mas a combinação merece uma verificação rápida.

Se você recebeu um pedido de aprovação de login

Recuse qualquer login que você não tenha iniciado. O Guia do Usuário de Segurança Pessoal da Apple diz que, se você receber uma notificação sobre um login em um novo dispositivo que não reconhece, deve selecionar "Não Permitir". Pedidos repetidos podem ser uma tentativa de te desgastar, então nunca aprove um só para fazer as notificações pararem.

Golpes de código de verificação: quando alguém pede o código

Um pedido do seu código é o sinal de alerta mais claro de todos. O alerta ao consumidor da FTC de março de 2024 "What's a verification code and why would someone ask me for it?" é direto: "Qualquer pessoa que peça seu código de verificação de conta é um golpista." Empresas reais enviam códigos para você mesmo digitá-los em uma tela que você abriu.

O roteiro muda, mas o pedido é sempre o código:

• A ligação do "departamento de fraudes". Um interlocutor afirma ser do seu banco, de uma equipe de suporte ou de um órgão do governo e diz que precisa do código para proteger ou verificar sua conta.
• O amigo que enviou um código "por engano". Uma mensagem de um contato conhecido diz que um código chegou até você por acidente e pede que você o devolva. Entre em contato com essa pessoa por um canal separado em que você confie. A conta pode estar comprometida ou ter sido falsificada, e o código pode permitir que alguém registre seu número de telefone ou assuma uma conta.
• O comprador do marketplace. O alerta da FTC de outubro de 2021 sobre o golpe do código de verificação do Google Voice descreve pessoas que vendem itens online sendo solicitadas a ler um código para "provar" que são reais. O conselho da FTC: não compartilhe nenhum código de verificação com alguém se você não entrou em contato primeiro.

Nunca forneça um código em resposta a um contato inesperado. Se você mesmo iniciou uma conversa com o suporte, siga apenas as instruções mostradas no aplicativo ou site oficial da organização e leia o aviso na mensagem do código. Para verificar uma conta, entre em contato com a empresa usando um número em que você já confie, como o do seu cartão ou do aplicativo, e denuncie tentativas de golpe em ReportFraud.ftc.gov.

Se você já compartilhou um código ou aprovou um pedido

Aja rápido e mantenha a calma. Compartilhar um código nem sempre significa que alguém entrou, mas você deve presumir que pode ter entrado e proteger a conta imediatamente.

1. Abra o serviço diretamente e altere a senha. Depois, encerre as outras sessões ou desconecte outros dispositivos se o serviço oferecer essa opção.
2. Revise as configurações de segurança, incluindo e-mail de recuperação, telefone de recuperação, métodos multifator e quaisquer códigos de backup. O Login.gov, por exemplo, orienta quem recebe códigos inesperados a alterar a senha, confirmar os métodos de autenticação e regenerar os códigos de backup caso os utilize.
3. Ligue para o seu banco ou emissor do cartão usando o número do seu cartão ou extrato se o código for de uma conta financeira.
4. Verifique sua conta de e-mail em busca de regras de encaminhamento, filtros ou mensagens enviadas que você não criou, se o código compartilhado for da sua caixa de correio.
5. Use as etapas oficiais de recuperação do serviço se um aplicativo de mensagens ou serviço de número de telefone estiver envolvido e você tiver perdido o acesso.
6. Denuncie em ReportFraud.ftc.gov e espere mensagens de acompanhamento que tentem "ajudar" você a recuperar o acesso. Trate essas mensagens com a mesma cautela.

Mantenha cadastros de baixo risco fora da sua caixa de entrada principal

Seu endereço de e-mail principal é a rota de recuperação de muitas contas importantes, por isso vale a pena compartilhá-lo com cuidado. Usar um endereço separado para cadastros de baixo risco pode manter códigos de cadastro e mensagens de marketing fora da sua caixa de entrada principal. Isso não impede que alguém digite errado ou use indevidamente seu endereço de e-mail real, e não substitui uma senha forte nem a autenticação multifator.

Para newsletters, downloads únicos ou testes gratuitos que você talvez não mantenha, um endereço de e-mail temporário dá a essas mensagens uma caixa de entrada própria. Isso pode reduzir a bagunça na sua caixa de entrada principal, mas um código inesperado que chegue lá ainda não revela quem o solicitou nem por quê.

O e-mail temporário tem limites reais, e eles importam sobretudo para a segurança. O Tmailor é somente para recebimento, as mensagens desaparecem cerca de 24 horas após a chegada, e um endereço só pode ser reaberto com seu Access Token. Um Access Token perdido não pode ser recuperado, e é por isso que o página de reutilização do Token de Acesso é a única forma de voltar a um endereço que você salvou.

Códigos de alguns serviços podem nem chegar a endereços descartáveis, como explica o guia sobre sobre o que funciona e o que falha com OTPs temporários de correspondência. Mantenha suas contas bancárias, de e-mail principal, de operadora, de trabalho e de dispositivo em um endereço permanente que você controla; a visão geral dos limites e riscos de correio temporário aborda onde uma caixa de entrada descartável não deve ser usada.

Se a mensagem que você recebeu foi um "código de login temporário do ChatGPT", o guia de códigos de login do ChatGPT detalha os passos específicos da OpenAI. Quando estiver pronto para separar seu próximo cadastro de baixo risco, você pode criar um endereço temporário gratuito em segundos.

A regra que cobre todos os casos

Qualquer que seja a causa da mensagem, não compartilhe nem use um código que você não solicitou. Verifique a conta citada pelo aplicativo ou site oficial dela. Proteja-a rapidamente se os códigos continuarem chegando, se você notar atividade desconhecida, se você compartilhou o código ou se aprovou um aviso que não iniciou. Se o seu problema for o contrário, um código que você pediu nunca apareceu, veja por que os códigos OTP não chegam.