Por que recebi um código de verificação que não solicitei?
A maioria dos códigos inesperados vem de um erro de digitação, de uma tentativa de login ou de redefinição de senha, ou de uma mensagem de golpe. Saiba como identificar qual padrão você está vendo, o que verificar e a única coisa que você nunca deve fazer com o código.
Acesso rápido
Por que você pode receber um código de verificação que não solicitou
Um código de verificação inesperado pode vir de um erro de digitação, de uma tentativa de login ou de redefinição de senha, ou de uma mensagem de golpe criada para fazer você reagir. Um código que você não solicitou não prova, por si só, que sua conta foi acessada ou que alguém sabe sua senha. Não compartilhe o código, não aprove um prompt inesperado e não use links da mensagem. Abra o serviço mencionado diretamente e verifique a atividade da sua conta.
O que o código protege depende do serviço. Ele pode confirmar um novo cadastro, um login, uma redefinição de senha, uma tentativa de recuperação, um número de telefone ou uma ação sensível, como um pagamento. Por isso, a resposta certa depende do padrão, não do código em si.
- Um código, sem nenhum outro aviso: pode ser um erro de digitação, um cadastro, uma tentativa de login ou de redefinição, ou uma mensagem falsa. Não use o código; verifique diretamente a conta mencionada, se você tiver uma.
- Códigos que não param de chegar: alguém pode estar tentando fazer login ou redefinir o acesso repetidamente. Verifique essa conta agora.
- Um código mais um alerta de conta: um aviso de login em novo dispositivo, de alteração de senha ou de alteração dos métodos de recuperação exige ação hoje.
- Qualquer pessoa que pedir o código: trate como golpe, seja quem for que ela diga ser.
Alguém digitou seu e-mail ou número de telefone por engano
As pessoas erram os próprios dados de contato o tempo todo, e o código acaba chegando para você em vez de para elas. A página de ajuda do Login.gov "Estou recebendo códigos de uso único que não solicitei" aponta isso como uma causa provável, além de alguém que compartilha seu telefone, como cônjuge, pai ou filho, fazendo login na própria conta. Um único código sem desdobramentos é o sinal típico desse tipo de confusão.
Alguém tentou fazer login ou redefinir sua senha
Muitos serviços enviam um código quando o login vem de um novo dispositivo ou local, ou quando alguém inicia uma redefinição de senha. Essa pessoa pode ser você em outro dispositivo, alguém que confundiu sua conta com a dele, ou uma tentativa automatizada de login usando uma senha vazada de outro site. Dependendo do serviço, o código pode ser uma segunda etapa após a senha ou a credencial principal de um login sem senha, e você não consegue saber qual é o caso apenas pelo código. Não compartilhe nem insira o código, e verifique a conta pelo aplicativo ou site oficial.
Alguém usou seus dados de contato para se cadastrar
Um código de cadastro pode chegar para um serviço que você nunca usou porque alguém digitou seu endereço de e-mail ou número de telefone ao criar uma conta. A maioria dos serviços só conclui o cadastro quando o código ou o link de confirmação é usado, então ignorar a mensagem geralmente basta. Não crie uma conta só para investigar.
A mensagem é phishing, não um código real
Uma mensagem pode imitar um aviso de verificação e incluir um link, um número de telefone ou uma instrução de "responda para cancelar" mesmo quando nenhuma ação real ocorreu na conta. O objetivo é fazer você ligar, clicar ou digitar algo em uma página falsa. Não teste o link. Abra o aplicativo oficial ou digite você mesmo o endereço conhecido do serviço.
Um problema do lado do serviço provocou uma onda de mensagens
Às vezes, a causa está do lado da empresa. Em janeiro de 2026, o Instagram atribuiu uma onda de e-mails inesperados de redefinição de senha a "um problema que permitiu a uma parte externa solicitar e-mails de redefinição de senha para alguns usuários do Instagram", segundo o grupo de consumidores Which?, e o Instagram negou que seus sistemas tenham sido invadidos. Mesmo em um caso assim, a resposta segura é a mesma: ignore os links e verifique a conta no aplicativo.
O que fazer agora
A resposta mais segura a um código não solicitado leva alguns minutos e nunca envolve a própria mensagem. Siga estas etapas em ordem e pare assim que a conta estiver verificada.
- Não compartilhe, não encaminhe e não leia o código em voz alta. Não o insira em lugar nenhum nem aprove um prompt de login que você não iniciou. A página de ajuda do Google "Quando o Google pode enviar um SMS para você" diz que você pode ignorar e excluir um código por SMS que não solicitou e não deve compartilhar nenhum código recebido.
- Não use nada que esteja dentro da mensagem. Ignore os links, os números de telefone e qualquer instrução de resposta, mesmo que o remetente pareça conhecido.
- Abra o serviço você mesmo. Use o aplicativo oficial ou digite o endereço que você já conhece e, em seguida, veja a atividade recente de login, os dispositivos conectados e os alertas de segurança. A página "O que é a página Atividade recente?" da Microsoft explica que ela mostra a atividade da conta Microsoft dos últimos 30 dias e permite que você selecione "Não fui eu" para qualquer item sinalizado como incomum.
- Altere a senha quando os fatos exigirem. Faça isso pelo serviço oficial se a atividade parecer estranha, se o serviço confirmar uma tentativa de login, se você compartilhou o código ou se a senha for reutilizada em outros sites. Use uma senha única para essa conta.
- Ative uma autenticação multifator mais forte. A Agência de Segurança de Cibersegurança e Infraestrutura dos EUA (CISA) classifica uma chave de segurança como a opção mais forte, seguida por um aplicativo autenticador e códigos de texto ou e-mail como os mais fracos. A CISA recomenda usar códigos de texto ou e-mail apenas quando a conta não oferece nada mais forte.
- Entre em contato com o serviço se os códigos continuarem chegando. Use o centro de ajuda dentro do app ou no site oficial, não um número da mensagem.
Se você não tem conta no serviço mencionado, alguém pode estar se cadastrando com seu endereço de e-mail ou número de telefone, ou a mensagem pode ser falsa. Ignore-a. Se o mesmo serviço continuar entrando em contato com você, procure a equipe de suporte pelo site oficial.
Um código, códigos repetidos ou um alerta de conta: o que cada padrão significa
As evidências ao redor importam mais do que a quantidade de códigos. Um código pode vir de um erro de digitação, de um cadastro, de uma tentativa de login ou de redefinição de senha, ou de uma mensagem falsa. Códigos repetidos justificam uma revisão rápida da conta, enquanto um código acompanhado de um alerta de login ou de alteração de conta desconhecido exige ação imediata pelo serviço oficial.
| O que você vê | O que isso costuma significar | O que fazer |
|---|---|---|
| Um código, nenhuma outra mensagem | Um erro de digitação, um cadastro, uma tentativa de login ou de redefinição de senha, ou uma mensagem falsa | Não use nem compartilhe; se você tem essa conta, verifique no app |
| Vários códigos, ou códigos que continuam chegando | Alguém pode estar tentando fazer login repetidamente ou redefinir o acesso | Revise atividades e dispositivos; atualize a senha caso ela tenha sido reutilizada; adicione uma proteção de login mais forte |
| Um código mais um alerta de login, senha ou recuperação | Pode haver um login ou uma alteração de conta em andamento | Abra o serviço diretamente agora e siga as etapas de segurança da conta |
Códigos sozinhos raramente contam a história toda. Os sinais de que uma conta foi realmente acessada são mais específicos:
- Você não consegue mais fazer login, ou o serviço confirma que sua senha ou seus dados de recuperação foram alterados.
- Sua conta mostra dispositivos, sessões ou locais que você não reconhece.
- Aparecem mensagens, publicações ou compras que você não fez.
- Sua conta de e-mail tem novas regras de encaminhamento ou filtros que você não configurou.
Se você identificar algum desses sinais, use imediatamente o processo oficial de recuperação de conta do provedor.
Códigos por e-mail, códigos por texto e solicitações de login
O canal muda o que vale a pena verificar. Um código por e-mail aponta para a conta de e-mail e para o serviço mencionado, um código por texto aponta para seu número de telefone, e uma solicitação de aprovação significa que um login está aguardando você.
Se você recebeu um e-mail com um código de verificação aleatório
Um e-mail com código de verificação aleatório pode vir de um cadastro, de uma tentativa de login ou de redefinição de senha, de um erro de digitação ou de uma mensagem falsa. Verifique a conta mencionada pelo site ou aplicativo oficial. Se houver outros sinais de que alguém acessou sua caixa de correio, revise também as sessões recentes, o e-mail e o telefone de recuperação, a caixa de enviados e quaisquer regras de encaminhamento ou filtros. Uma regra de encaminhamento que você não criou pode copiar mensagens futuras, incluindo códigos, então remova-a e proteja a caixa de correio.
Se você recebeu um código de verificação por mensagem de texto
Não responda, não ligue para um número da mensagem nem presuma que uma conversa familiar prova que o texto é genuíno. Para mensagens que parecem spam, o guia da FTC "How To Recognize and Report Spam Text Messages" sugere encaminhá-las para 7726 (SPAM). Tenha cuidado ao bloquear o número de um serviço real, pois você pode precisar dos códigos dele mais tarde. Se seu telefone perder o serviço celular de repente enquanto chegam códigos ou alertas de conta, entre em contato com sua operadora por um canal em que você já confie; quedas de serviço têm causas comuns, mas a combinação merece uma verificação rápida.
Se você recebeu um pedido de aprovação de login
Recuse qualquer login que você não tenha iniciado. O Guia do Usuário de Segurança Pessoal da Apple diz que, se você receber uma notificação sobre um login em um novo dispositivo que não reconhece, deve selecionar "Não Permitir". Pedidos repetidos podem ser uma tentativa de te desgastar, então nunca aprove um só para fazer as notificações pararem.
Golpes de código de verificação: quando alguém pede o código
Um pedido do seu código é o sinal de alerta mais claro de todos. O alerta ao consumidor da FTC de março de 2024 "What's a verification code and why would someone ask me for it?" resume claramente: "Qualquer pessoa que peça seu código de verificação de conta é um golpista." Empresas reais enviam códigos para você mesmo digitá-los em uma tela que você abriu.
O roteiro muda, mas o pedido é sempre o código:
- A ligação do "departamento de fraudes". Um interlocutor afirma ser seu banco, uma equipe de suporte ou um órgão do governo e diz que precisa do código para proteger ou verificar sua conta.
- O amigo que enviou um código "por engano". Uma mensagem de um contato conhecido diz que um código foi enviado a você por acidente e pede que você o repasse. Entre em contato com essa pessoa por um canal separado em que você confie. A conta pode estar comprometida ou ter sido falsificada, e o código pode permitir que alguém registre seu número de telefone ou assuma uma conta.
- O comprador do marketplace. O alerta da FTC de outubro de 2021 sobre o golpe do código de verificação do Google Voice descreve pessoas que vendem itens online sendo solicitadas a ler um código para "provar" que são reais. O conselho da FTC: não compartilhe nenhum código de verificação com alguém se você não entrou em contato primeiro.
Nunca forneça um código em resposta a um contato inesperado. Se você mesmo iniciou uma conversa com o suporte, siga apenas as instruções mostradas no aplicativo ou site oficial da organização e leia o aviso na mensagem do código. Para verificar uma conta, entre em contato com a empresa usando um número em que você já confie, como o do seu cartão ou do aplicativo dela, e denuncie tentativas de golpe em ReportFraud.ftc.gov.
Se você já compartilhou um código ou aprovou um pedido
Aja rápido e mantenha a calma. Compartilhar um código nem sempre significa que alguém entrou, mas você deve presumir que pode ter entrado e proteger a conta imediatamente.
- Abra o serviço diretamente e altere a senha. Depois, encerre as outras sessões ou desconecte outros dispositivos se o serviço oferecer essa opção.
- Revise as configurações de segurança, incluindo e-mail de recuperação, telefone de recuperação, métodos de autenticação multifator e quaisquer códigos de backup. O Login.gov, por exemplo, orienta as pessoas que recebem códigos inesperados a alterar a senha, confirmar seus métodos de autenticação e regenerar os códigos de backup caso os utilizem.
- Ligue para o seu banco ou emissor do cartão usando o número do seu cartão ou extrato se o código for de uma conta financeira.
- Verifique sua conta de e-mail em busca de regras de encaminhamento, filtros ou mensagens enviadas que você não criou, se o código compartilhado for da sua caixa de correio.
- Use as etapas oficiais de recuperação do serviço se um aplicativo de mensagens ou serviço de número de telefone estiver envolvido e você tiver perdido o acesso.
- Denuncie em ReportFraud.ftc.gov e espere mensagens de acompanhamento que tentem "ajudar" você a recuperar o acesso. Trate essas mensagens com a mesma cautela.
Mantenha cadastros de baixo risco fora da sua caixa de entrada principal
Seu endereço de e-mail principal é a rota de recuperação de muitas contas importantes, por isso vale a pena compartilhá-lo com cuidado. Usar um endereço separado para cadastros de baixo risco pode manter os códigos de cadastro e as mensagens de marketing fora da sua caixa de entrada principal. Isso não impede que alguém digite errado ou use indevidamente seu endereço de e-mail real, nem substitui uma senha forte ou a autenticação multifator.
Para newsletters, downloads únicos ou testes gratuitos que você talvez não mantenha, um endereço de e-mail temporário dá a essas mensagens uma caixa de entrada própria. Isso pode reduzir a bagunça na sua caixa de entrada principal, mas um código inesperado que chegue lá ainda não revela quem o solicitou nem por quê.
O e-mail temporário tem limites reais, e eles importam sobretudo para a segurança. O Tmailor é somente de recebimento, as mensagens desaparecem cerca de 24 horas após a chegada, e um endereço de convidado só pode ser reaberto com seu Access Token. Um Access Token perdido de um endereço de convidado não pode ser recuperado, e é por isso que o página de reutilização do Access Token é o caminho de volta para um endereço que você salvou sem uma conta. Os endereços que você cria enquanto está conectado a uma conta gratuita da Tmailor também aparecem em E-mails Criados, para que você possa reabri-los sem o token.
Os códigos de alguns serviços podem nem chegar a endereços descartáveis, como explica o guia sobre sobre o que funciona e o que falha com OTPs temporários de correspondência. Mantenha suas contas bancárias, de e-mail principal, de operadora, de trabalho e de dispositivo em um endereço permanente que você controla; a visão geral dos limites e riscos de correio temporário aborda onde uma caixa de entrada descartável não deve ser usada.
Se a mensagem que você recebeu foi um "código de login temporário do ChatGPT", o guia de códigos de login do ChatGPT detalha os passos específicos da OpenAI. Quando estiver pronto para separar seu próximo cadastro de baixo risco, você pode criar um endereço temporário gratuito em segundos.
Perguntas frequentes
Um código de verificação inesperado significa que alguém sabe minha senha?
Não necessariamente. Muitos serviços enviam códigos para cadastros, redefinições de senha ou logins sem senha que não exigem sua senha, e alguns códigos vêm de erros de digitação. Verifique a conta diretamente. Troque a senha se você notar atividade desconhecida, se o serviço confirmar uma tentativa de login ou se você reutilizar essa senha em outro lugar.
E se o código não disser para qual app ou conta ele é?
Trate um código não identificado como suspeito e não faça nada com ele. Não responda perguntando, e não ligue nem toque em nada da mensagem. Se você estiver preocupado com uma conta específica, abra o aplicativo ou site desse serviço por conta própria e verifique a atividade recente.
Por que recebi um código para um serviço que não uso?
Alguém pode ter inserido seu endereço de e-mail ou número de telefone durante o cadastro, ou a mensagem pode ser falsa. A maioria dos serviços não conclui um cadastro até que o código ou link seja usado, então geralmente você pode ignorá-lo. Não crie uma conta para investigar e entre em contato com o serviço pelo site oficial se as mensagens continuarem chegando.
Por que estou recebendo mensagens OTP de aplicativos diferentes?
Seu endereço de e-mail ou número de telefone pode ter sido inserido em vários aplicativos, por engano ou de propósito, e algumas mensagens podem ser phishing. Mensagens OTP de aplicativos diferentes não provam, por si só, um ataque coordenado. Verifique cada serviço citado diretamente, troque qualquer senha que você reutilize entre essas contas e ative a proteção de login mais forte onde ela estiver disponível.
Posso bloquear mensagens de texto indesejadas com códigos de verificação?
Você pode bloquear um remetente ou usar o filtro de spam do seu celular, e a FTC sugere encaminhar mensagens de spam para 7726 (SPAM). Bloquear o número de um serviço real pode impedir o recebimento de códigos que você precisará depois. Se as mensagens vierem de um serviço que você usa, proteja essa conta e entre em contato com a equipe de suporte dele.
O que devo fazer com um e-mail de redefinição de senha que não solicitei?
Uma mensagem de redefinição não solicitada geralmente significa que uma redefinição foi solicitada, mas não concluída. Não use os links dela. Abra o serviço diretamente para confirmar que sua senha e seus dados de recuperação não foram alterados, especialmente se a mensagem disser que uma alteração já foi feita.
A regra que vale para todos os casos
Qualquer que seja a causa da mensagem, não compartilhe nem use um código que você não solicitou. Verifique a conta citada pelo aplicativo ou site oficial dela. Proteja-a rapidamente se os códigos continuarem chegando, se você notar atividade desconhecida, se você compartilhou o código ou se aprovou um aviso que não iniciou. Se o seu problema for o contrário, um código que você pediu nunca apareceu, veja por que os códigos OTP não chegam.
Priya Nair focuses on email deliverability and one-time-password (OTP) flows. She tests how verification codes from Google, Apple, social and crypto platforms land in disposable inboxes, and documents what improves OTP reliability on temp mail.
