Golpe do código de login no Telegram: como proteger a conta

Resumo rápido

• O código de login do Telegram é a chave da conta: quem digita esse número em outro aparelho entra nela, então ninguém deve receber o código, nem quem diz falar em nome do app.
• A senha adicional da “Verificação em Duas Etapas” faz o código sozinho deixar de bastar; ligue-a hoje, com um e-mail de recuperação que só você acessa.
• Se alguém já entrou, use um aparelho onde a sua sessão é antiga para encerrar a do invasor, porque uma sessão nova só consegue derrubar as outras depois de 24 horas.
• Esquecer a senha sem e-mail de recuperação custa caro: a redefinição pelo app leva 7 dias e só pode ser pedida de um aparelho que já está logado.

Uma mensagem pede os números que acabaram de chegar no seu Telegram, com uma desculpa que parece razoável: confirmar a entrada num grupo, liberar um sorteio, provar que você não é robô. Esses números são o código de login da sua conta, e repassá-los permite que outra pessoa abra o seu Telegram no aparelho dela. A seguir, o que esse código faz, como travar a conta com a senha adicional e a ordem certa para agir se o invasor já estiver lá dentro.

Código de login e senha adicional: as duas chaves que guardam a conta

Quando alguém tenta entrar na sua conta num aparelho novo, o Telegram manda um código. Ele pode chegar por SMS ou, se você usou o app em outro dispositivo há pouco tempo, dentro da conversa chamada “Telegram”, um perfil oficial com selo azul na sua lista de chats. O FAQ oficial é direto: esse código nunca deve ser compartilhado com ninguém, incluindo outros serviços ou aplicativos.

O motivo é simples. O próprio Telegram explica que o número de telefone é a única forma de identificar a conta, então quem tem o número e o código consegue entrar. Não existe pergunta de segurança, documento ou atendimento humano que desfaça um login feito com o código certo.

A senha adicional, criada em “Verificação em Duas Etapas”, muda essa conta. Com ela ligada, o login num aparelho novo exige o código e a senha que só você conhece. O código vazado continua sendo um problema, mas deixa de entregar a conta sozinho.

Qualquer usuário pode ligar a senha adicional, seja você só participante de grupos e canais, seja administrador de algum. Antes de começar, tenha em mãos três coisas: o celular com o Telegram aberto, uma senha nova que você não usa em nenhum outro lugar e um e-mail que só você acessa. O FAQ recomenda que esse e-mail de recuperação também tenha senha forte e verificação em duas etapas, já que ele vira a porta de volta caso a senha seja esquecida.

Do pedido no privado ao chip trocado: como cada cenário muda a resposta

O pedido mais comum chega antes de qualquer estrago, e o passo a passo dele vem na próxima seção. Os cenários abaixo pedem ajustes no caminho, e alguns invertem a prioridade.

O código chegou sem você pedir

Um aviso com código aparece na conversa “Telegram” sem que você tenha tentado entrar em lugar nenhum. Isso significa que alguém digitou o seu número na tela de login de outro aparelho. Ninguém entra sem o código, então basta não repassá-lo; a seguir, ligue a senha adicional para que um próximo vazamento também não abra a conta.

O pedido veio de um contato conhecido

Numa situação hipotética, a Carla recebe da conta da prima: “mandei um código para o seu Telegram por engano, me passa?”. A conta da prima pode já estar nas mãos de outra pessoa, que usa a confiança para pegar a próxima. Confirme por ligação ou pessoalmente antes de qualquer coisa, e lembre que nenhum motivo legítimo exige o código de login de outra pessoa.

Alguém se apresentou como suporte, administrador ou bot

O golpista diz ser da equipe do Telegram, administrador de um grupo em que você acabou de entrar ou um bot de “liberação de acesso”. O texto muda, a regra não: o FAQ inclui outros serviços e aplicativos na lista de quem não deve receber o código. As variações dessa abordagem estão no guia sobre o golpe do falso administrador em conversa privada, e os limites do que um bot pode pedir aparecem no texto sobre o que um bot do Telegram enxerga.

Você já repassou o código e ainda consegue usar o app

Aqui o tempo pesa a seu favor só se você agir pelo aparelho onde a sua sessão é a mais antiga. A documentação técnica do Telegram mostra que uma sessão com menos de 24 horas não consegue desconectar as outras. Na prática, o invasor recém-chegado não derruba você logo de cara, e você, pelo seu celular de sempre, consegue derrubá-lo. A sequência completa está no fim da próxima seção.

Celular roubado ou chip trocado

Sem o aparelho, a recuperação depende do número. Se houver outro aparelho logado, o FAQ manda ligar a senha adicional por ele, encerrar a sessão do celular perdido e pedir à operadora o bloqueio do chip. Sem outro aparelho, a ordem se inverte: primeiro a operadora bloqueia o chip e emite outro com o mesmo número, depois você entra com ele e encerra a sessão antiga. Encerrada essa sessão, quem está com o celular precisaria de um código novo e da sua senha para voltar.

Pediram seu código numa conversa: o que fazer em seguida

Pense numa situação hipotética: você entra num grupo de fãs de uma série e, minutos depois, um perfil chama no privado dizendo que precisa “confirmar sua participação” e pede o código que vai chegar. Logo em seguida, o aviso aparece na conversa “Telegram”. O caminho abaixo vale para quem ainda não repassou nada.

1. Ignore o pedido e não copie, não fotografe e não dite o código para ninguém.
2. Abra a conversa “Telegram” e confira se o aviso de código está lá; ele indica que alguém tentou entrar com o seu número.
3. Toque em “Configurações”.
4. Entre em “Privacidade e Segurança”.
5. Toque em “Verificação em Duas Etapas”.
6. Toque em “Configurar senha adicional”, crie uma senha longa que você não usa em outro serviço e repita para confirmar.
7. Se o app pedir uma dica, escreva algo que ajude você a lembrar sem revelar a senha nem parte dela.
8. Informe o e-mail de recuperação e digite o código que chegar nele para concluir.
9. Abra “Dispositivos” em “Configurações” (em algumas versões, a lista fica em “Privacidade e Segurança”, como sessões ativas) e confirme que só aparecem aparelhos seus.
10. Denuncie o perfil que pediu o código e saia do grupo se o contato veio de lá.

Depois do passo 8, o código que o golpista pediu deixa de abrir a conta sozinho. Mesmo que outra pessoa receba o próximo código, a tela pedirá a senha e ela não passará dali.

Se o código já saiu da sua mão: a ordem que funciona

Quando o invasor já entrou, a pressa leva a erros como reinstalar o app ou sair da conta, o que cria uma sessão nova sem poder de encerrar as outras por 24 horas. Faça nesta ordem, pelo aparelho que você usa há mais tempo:

1. Abra “Dispositivos” (ou as sessões ativas em “Privacidade e Segurança”) e encerre cada sessão que você não reconhece, ou todas as outras de uma vez.
2. Ligue a senha adicional, ou troque a atual se o invasor teve tempo de vê-la.
3. Confira se o e-mail de recuperação é o seu; se não for, troque e proteja também a caixa de e-mail.
4. Revise nome, foto, @username e conversas apagadas ou enviadas, e avise seus contatos por outro canal que a conta foi invadida por algumas horas.
5. Guarde prints das mensagens do golpista e, se houve pedido de dinheiro ou dano, registre boletim de ocorrência na delegacia ou na delegacia online do seu estado.

Celular Android, iPhone e Telegram Desktop: o que muda no caminho

A sequência de “Privacidade e Segurança” e “Verificação em Duas Etapas” é a mesma nos três. O que muda é onde fica a porta de entrada e qual aparelho convém usar em cada tarefa.

Aparelho	Onde começa	Ponto de atenção
Android	Menu de três linhas no canto superior, depois “Configurações”	A lista de aparelhos conectados aparece em “Dispositivos”
iPhone	Aba “Configurações” na barra inferior	Mesmo caminho de “Privacidade e Segurança”; a lista de aparelhos também fica nas configurações
Computador (Telegram Desktop)	Menu de três linhas, depois “Configurações”	Serve para encerrar a sessão do invasor se ele for o seu aparelho mais antigo logado

O FAQ cita dois lugares para a lista de sessões, conforme o app: “Dispositivos” nas configurações ou a lista de sessões dentro de “Privacidade e Segurança”. Se não encontrar de primeira, procure nos dois. O FAQ ainda descreve as chaves de acesso, gerenciadas em “Configurações” e “Privacidade e Segurança”: elas usam o PIN, a digital ou o rosto do aparelho para entrar sem esperar SMS. Como o código por SMS continua disponível como alternativa, o número da conta precisa seguir no seu nome e sob seu controle.

Até onde a senha adicional protege e onde as pessoas tropeçam

A senha adicional fecha a porta do login, mas não resolve tudo. Os tropeços abaixo são os que mais complicam a recuperação, cada um com a saída.

Situação	Por que acontece	Saída
Esqueceu a senha e tem e-mail de recuperação	O app oferece enviar um código para o e-mail cadastrado	Peça a recuperação pela tela de senha e use o código do e-mail
Esqueceu a senha e não tem e-mail	A redefinição só pode ser pedida de um aparelho já logado	Peça a redefinição por esse aparelho e aguarde o prazo de 7 dias
Entrou num aparelho novo e não consegue derrubar a outra sessão	Sessões com menos de 24 horas não encerram as demais	Use o aparelho antigo ou aguarde as 24 horas
Ficou fora da conta e o login pede uma senha que você não criou	O invasor ligou a própria senha adicional antes de derrubar você	Peça a recuperação na própria tela de senha: o código só vai para o e-mail cadastrado; se o e-mail também for do invasor, a saída prevista é apagar a conta e criar outra
Código não chega por SMS	Com o app aberto em outro aparelho, o código pode ir para a conversa “Telegram”	Abra o Telegram no outro aparelho e procure o aviso nessa conversa
O invasor sabia o e-mail de recuperação	A caixa de e-mail também estava exposta	Troque a senha do e-mail e ligue nele a verificação em duas etapas antes de mexer no Telegram

O prazo de 7 dias funciona como alarme. A documentação técnica diz que a redefinição pode ser cancelada durante esse período; se aparecer na sua conta um pedido de redefinição que você não fez, cancele e troque a senha. Sem e-mail e sem nenhum aparelho logado, a saída prevista na documentação é apagar a conta e criar outra, o que leva embora conversas e contatos.

Outro limite: o servidor do Telegram invalida o código quando ele é colado em outra conversa, e os apps oficiais o invalidam quando você tira print ou encaminha o aviso. Essa proteção não alcança o código ditado numa ligação ou digitado num site falso. Também vale lembrar que a senha adicional não esconde o seu número de quem está nos grupos; para isso, siga o guia de como deixar o telefone fora de vista e usar um @.

Com a conta travada, dá para voltar a procurar comunidades com mais calma pelo hub de categorias de grupos e canais, sabendo que nenhum convite legítimo depende do seu código de login. Outros guias de segurança ficam reunidos no blog do Links de Telegram BR.