Código de verificação não solicitado: o que fazer?

Recebeu um código de verificação sem pedir? Não o compartilhe, não o digite em um link recebido e não aprove uma entrada que você não iniciou. Abra o aplicativo ou site oficial por conta própria para conferir a situação. Um código inesperado, sozinho, não comprova que alguém entrou na sua conta.

Este guia explica como separar uma mensagem isolada de sinais que exigem ação. As orientações são gerais: cada serviço tem seu próprio processo de acesso e recuperação.

Por que chega um código que você não solicitou?

Há mais de uma explicação possível. A Microsoft relaciona três situações: tentativa de acesso por outra pessoa, telefone ou e-mail digitado por engano e atraso na entrega de um código solicitado anteriormente. Não é possível distinguir essas hipóteses apenas olhando a sequência recebida. Consulte a orientação oficial sobre códigos não solicitados.

Por isso, evite duas conclusões precipitadas: “minha conta já foi invadida” e “não existe risco algum”. O caminho útil é não autorizar a tentativa e verificar a conta pelo canal legítimo.

O que fazer na hora

1. Não repasse o código. Isso inclui mensagens, ligações e capturas de tela. Uma pessoa dizer que é do suporte ou que digitou seu número por engano não é motivo para entregar a sequência.


2. Não aprove uma solicitação de entrada inesperada. Se aparecer um pedido de confirmação, recuse quando você não estiver tentando entrar.


3. Saia da mensagem e abra o serviço diretamente. Use o aplicativo que você já utiliza ou digite o endereço oficial conhecido. Não use o link recebido para “cancelar” uma tentativa.


4. Confira o contexto. Você tentou entrar há pouco? O aviso identifica um serviço que utiliza? Há algum alerta dentro da própria conta? Se não reconhecer o serviço, não crie cadastro nem responda só para investigar a mensagem.

O CERT.br recomenda não repassar códigos de autenticação e ignorar os não solicitados em aplicativos de mensagens. Sua orientação sobre autenticação também recomenda negar pedidos de autorização de login que você não iniciou. Veja as dicas de segurança do CERT.br e a explicação do NIC.br sobre autenticação.

Quando verificar sessões e atividade da conta

Uma mensagem isolada sem outros indícios pede cautela, não pânico. Já códigos repetidos, avisos de acesso desconhecido, mudanças que você não fez ou perda de acesso justificam uma verificação mais cuidadosa no serviço oficial.

Procure a área de segurança, atividade recente ou dispositivos conectados. No Google, por exemplo, a orientação é revisar ocorrências de segurança e dispositivos, marcar atividades não reconhecidas e seguir as etapas de proteção. Se alguém alterou os meios de recuperação ou você não consegue entrar, use o processo oficial de recuperação. Os caminhos estão na ajuda para proteger uma Conta do Google comprometida.

Os nomes dos menus e as medidas disponíveis variam entre serviços. Não procure uma opção inexistente nem suponha que o procedimento de um aplicativo serve integralmente para outro.

E se você já informou o código?

Interrompa a conversa e acesse imediatamente a ajuda oficial do serviço identificado na mensagem. Explique o que aconteceu e siga o fluxo de proteção ou recuperação da conta, conforme ainda tenha acesso ou não.

Se também entregou a senha, trate isso como exposição da senha, não apenas do código. O CERT.br orienta alterá-la quando houver suspeita de que foi descoberta. Faça a mudança pelo serviço legítimo, nunca pelo link enviado pelo interlocutor. Revise também sessões que não reconhece, conforme as opções do aplicativo.

Não compartilhe novos códigos com quem promete “desfazer” o problema. Para pedir ajuda, descreva o serviço, o horário aproximado e o que você fez, sem incluir senhas ou sequências de autenticação. Uma captura destinada a terceiros deve ocultar esses dados.

Precisa trocar a senha por causa de um único código?

Não há uma resposta única para todos os serviços. O recebimento isolado não demonstra, por si só, que a senha foi descoberta. Avalie o histórico da conta e as orientações do provedor. Se houver senha exposta, acesso que você não reconhece ou alterações indevidas, não trate o caso apenas como uma mensagem para apagar.

Um cuidado simples para lembrar

Antes de usar qualquer código, pergunte: “Fui eu quem iniciou esta ação, neste serviço, agora?” Se a resposta for não, não use a sequência para atender ao pedido de outra pessoa. Investigue pelo aplicativo ou site oficial, sem transformar a curiosidade em uma nova exposição.

Para ampliar os cuidados com contas e informações públicas, leia também o guia de privacidade digital do Tops do Job. Este artigo se concentra na reação a códigos inesperados, sem substituir o suporte do serviço envolvido.

Fontes consultadas em 24 de outubro de 2026. Imagem de capa ilustrativa gerada por inteligência artificial, sem dados reais.