Conta de e-mail hackeada: regras de encaminhamento ocultas e recuperação¶

Sua conta de e-mail principal é a chave mestra de toda a sua identidade digital, financeira e jurídica. Ao contrário de um perfil de mídia social comprometido ou login de streaming, uma conta hackeada do Gmail, Microsoft Outlook/Microsoft 365, Yahoo, Apple iCloud Mail ou ProtonMail dá ao invasor o poder de clicar em "Esqueci a senha" em suas contas bancárias, bolsas de criptomoedas, corretoras de aposentadoria, portais fiscais e unidades de nuvem. O mais perigoso é que apenas alterar sua senha de e-mail e ativar a autenticação de dois fatores (2FA) raramente tira um invasor sofisticado de uma caixa de entrada invadida. Dentro de 30 segundos após invadir uma conta de e-mail, os invasores modernos plantam cinco camadas de backdoors de persistência silenciosa: Regras de varredura e encaminhamento de caixa de entrada ocultas (geralmente denominadas ., .., ou [Blank] que movem silenciosamente e-mails de redefinição de senha diretamente para o Trash ou RSS Feeds pasta para que você nunca os veja), Concessões de aplicativos OAuth de terceiros (eM Client, Thunderbirdou falso Google Docs aplicativos que mantêm acesso completo de leitura/gravação à API sem precisar de sua senha), Permissões de caixa de correio delegadas, Senhas de aplicativo (IMAP/SMTP) e Trocas de e-mail/número de telefone de recuperação.

Se um comprometimento de e-mail envolver ameaças imediatas de violência física, perseguição, violência doméstica ou extorsão contra um menor, ligue para o número de emergência local (911 nos Estados Unidos e no Canadá, 112 em toda a União Europeia, 999 no Reino Unido) ou consulte nosso diretório de internacionais números de emergência imediatamente. Para todas as aquisições de caixas de entrada de consumidores e empresas, execute a sequência de erradicação de 6 etapas abaixo na ordem exata.

Faça isso agora¶

1. NÃO altere sua senha do mesmo PC Windows ou Mac se você suspeitar de um vírus Infostealer: Se seu e-mail foi hackeado mesmo que você já tivesse a autenticação de dois fatores (2FA) ativada, seu computador provavelmente tem uma infecção por malware Infostealer (como Lumma Stealer, RedLine ou Atomic macOS Stealer) ou uma extensão maliciosa do Chrome/Edge que rouba cookies de sessão de navegador autenticados ao vivo (SAPISID/SID no Google ou ESTSAUTH na Microsoft). Pegue um smartphone limpo (iOS ou Android) para realizar a alteração de senha e limpeza de segurança agora mesmo.
2. Audite e reverta seu e-mail de recuperação de conta, número de telefone de recuperação e dispositivos autenticadores MFA ANTES de alterar sua senha (ou dentro de 30 segundos depois): os invasores adicionam imediatamente seu próprio número de telefone gravador, endereço de e-mail descartável ou aplicativo autenticador não autorizado às suas configurações de segurança. Se você alterar sua senha sem excluir o telefone de recuperação ou a chave de acesso não autorizada do invasor, o invasor simplesmente clicará em "Esqueci a senha" 10 segundos depois e bloqueará você permanentemente.
3. Forçar o encerramento de todas as sessões de login ativas, cookies persistentes do navegador e senhas de aplicativos globalmente: a alteração de uma senha nem sempre elimina imediatamente os tokens IMAP móveis existentes ou os cookies de sessão da web ativos. Clique explicitamente em "Sair de todos os dispositivos/Revogar todas as sessões" no painel de segurança do Google, Microsoft, Yahoo ou Apple e exclua todas as Senhas de aplicativo de 16 caracteres da conta.
4. Abra um navegador de desktop (não um aplicativo de e-mail móvel) e exclua todas as regras de caixa de entrada, filtros, encaminhadores automáticos e regras de varredura ocultos: aplicativos de e-mail móvel (Gmail ou Outlook no iOS/Android) frequentemente ocultam regras avançadas de roteamento do lado do servidor. Abra as configurações do seu webmail em um navegador de desktop e inspecione Filtros e endereços bloqueados, Encaminhamento e POP/IMAP e Regras/varredura. Exclua qualquer regra que encaminhe e-mails externamente ou mova automaticamente e-mails contendo palavras como "bank", "code", "reset", "security", "wire", "invoice", ou "crypto" para dentro do Trash, Archive, ou RSS Feeds pasta.
5. Revogar todos os aplicativos conectados OAuth de terceiros e delegados de caixa de correio: navegue até Aplicativos e serviços de terceiros (Google) ou Aplicativos e serviços aos quais você concedeu acesso (Microsoft/Yahoo) da sua conta e revogue todos os aplicativos com Mail.Read, Mail.ReadWrite, ou Gmail API permissões, além de marcar Conceder acesso à sua conta (delegação) para que o invasor não possa ler sua caixa de entrada por meio de um token OAuth que ignora completamente as alterações de senha.
6. Consulte seu Trash (Bin), Sente Spam imediatamente para ver quais contas financeiras ou criptográficas o invasor já redefiniu: Os invasores excluem os alertas de segurança recebidos do seu banco, Coinbase/Binance, Amazon, PayPal ou Steam segundos após receberem o código de verificação de 6 dígitos. Abra o seu Trash e Sent pastas agora: cada e-mail de redefinição de senha em seu Trash é uma conta que o invasor já violou ou tentou violar.

Árvore de decisão: recuperando o controle e eliminando backdoors de persistência¶

Siga esta árvore de triagem passo a passo se você ainda tiver acesso à sua caixa de entrada ou se tiver sido completamente bloqueado pelo invasor:

flowchart TD
    A["Suspeita ou confirmação de comprometimento da conta de e-mail"] --> B{"Você ainda consegue fazer login na sua conta de e-mail agora?"}
    B -->|"Sim: ainda tenho acesso"| C["Mude para um smartphone limpo (evite PC potencialmente infectado)"]
    C --> D["1. Remova o telefone de recuperação, o e-mail de recuperação e as chaves de acesso MFA fraudulentas do invasor"]
    D --> E["2. Altere a senha para uma senha exclusiva com mais de 20 caracteres e ative 2FA resistente a phishing"]
    E --> F["3. Clique em ‘Sair de todos os dispositivos’ e exclua todas as senhas de aplicativos de 16 caracteres"]
    F --> G["4. Abra o Webmail da área de trabalho: limpe encaminhamento oculto, filtros, regras de varredura e delegados"]
    G --> H["5. Revogar aplicativos OAuth de terceiros e inspecionar lixeira/pastas enviadas em busca de contas externas violadas"]
    B -->|"Não: o invasor alterou a senha e o telefone/MFA de recuperação"| I{"Que tipo de conta de e-mail está bloqueada?"}
    I -->|"Domínio Trabalho/Escola/Corporativo (@company.com)"| J["Contate o administrador de TI imediatamente: o administrador pode redefinir MFA, revogar tokens e restaurar o acesso em 60 segundos por meio do Admin Console"]
    I -->|"Gmail pessoal / Outlook.com / Yahoo / iCloud"| K["Execute o formulário de recuperação automática de conta a partir do seu IP histórico de Wi-Fi doméstico e navegador/telefone familiar"]
    K --> L["Ligue imediatamente para seus bancos, operadoras de celular e trocas de criptografia por telefone para congelar contas vinculadas a esse e-mail"]

Fase 1: Auditoria de persistência de limpeza profunda por provedor de e-mail (Gmail, Outlook/M365, Yahoo, iCloud)¶

Todos os principais provedores de e-mail armazenam regras de encaminhamento, filtros, tokens OAuth e delegados de caixa de correio em menus ligeiramente diferentes. Mesmo se você usar o Apple Mail ou o Outlook Desktop em seu computador, você deve fazer login na interface de webmail oficial do provedor em um navegador de desktop (ou solicitar o "Site para Desktop" em seu navegador móvel) para ver essas configurações do lado do servidor.

Passo a passo detalhado 1: Limpando uma conta hackeada do Google/Gmail¶

Ao limpar uma conta comprometida do Gmail ou do Google Workspace, trabalhe exatamente nessas sete guias sem pular nenhuma:

1. Auditoria de segurança e senhas (myaccount.google.com/security):
   • Clique em Senhas e chaves de segurança: os invasores registram imediatamente uma chave de acesso sincronizada ou um autenticador virtual em seu próprio navegador para que possam fazer login novamente sem senha e sem solicitação de SMS. Exclua qualquer chave de acesso que você não reconheça com 100% de certeza.
   • Clique em Verificação em duas etapas -> marque Autenticador, Dispositivos de prompt do Google, Telefone de recuperação e Códigos de backup. Clique em Gerar novos códigos para invalidar imediatamente quaisquer códigos de backup de 8 dígitos capturados pelo invasor.
2. Destruir senhas de aplicativos ativos (myaccount.google.com/apppasswords):
   • Uma senha de aplicativo é uma senha de 16 letras que permite que um cliente de e-mail IMAP (como o Thunderbird ou um script Python de um hacker) baixe toda a sua caixa de entrada para sempre enquanto ignora completamente a verificação em duas etapas. Exclua todas as senhas de aplicativo listadas.
3. Revogar conexões OAuth de terceiros (myaccount.google.com/connections):
   • Procure qualquer aplicativo com acesso ao Gmail, Google Drive ou Contatos do Google (os invasores geralmente usam clientes de e-mail aparentemente legítimos, como eM Client, Newton Mail, Cleanfoxou scripts OAuth personalizados). Clique no aplicativo -> Exclua todas as conexões que você tem com [Nome do aplicativo].
4. Verifique o Gmail Accounts and Import Guia (Delegação de Correio e Reply-To Sequestro):
   • No Gmail em um computador desktop, clique no ícone de engrenagem -> Ver todas as configurações -> Contas e importação.
   • Em Conceder acesso à sua conta, verifique se ZERO endereços de e-mail estão listados. Um usuário delegado pode ler, enviar e excluir seus e-mails sem saber sua senha.
   • Em Enviar e-mail como, clique em editar informações ao lado do seu próprio nome e verifique se o invasor não inseriu um segredo Specify a different "reply-to" address (por exemplo, configurando sua resposta para yourname.company@gmail.com ou um domínio semelhante ao do invasor, para que sempre que alguém responder aos seus e-mails legítimos, a resposta vá para o hacker e não para você).
5. Verifique o Gmail Filters and Blocked Addresses Guia:
   • Observe atentamente cada filtro. Os invasores geralmente criam filtros correspondentes from:(a|e|i|o|u) ou size > 0 ou has:attachment ou palavras-chave como invoice, wire, bank, security, alert, code com a ação Skip the Inbox (Archive it), Mark as read, Delete it, ou Forward it to:. Exclua todos os filtros desconhecidos.
6. Verifique o Gmail Forwarding and POP/IMAP Guia:
   • Verifique se Encaminhamento está definido como Desativar encaminhamento, remova qualquer endereço de encaminhamento não reconhecido da lista suspensa e defina Acesso IMAP como Desativar IMAP (a menos que você use especificamente um cliente de desktop seguro).
7. Verifique a lixeira do Google Drive e o histórico do Google Takeout:
   • Os invasores frequentemente acionam um Google Takeout (takeout.google.com) arquivo para baixar um .zip de todos os seus e-mails, Google Fotos e documentos do Google Drive, incluindo declarações fiscais e listas de senhas. Visite takeout.google.com right now: if you see an active or completed export you did not request, click Cancel export and see exactly which data categories were packaged.

Detailed Walkthrough 2: Purging a Hacked Microsoft Outlook.com / Hotmail / Microsoft 365 Account¶

Microsoft accounts (@outlook.com, @hotmail.com, @live.com, @msn.com, and corporate Microsoft 365 Exchange Online mailboxes) have several unique hiding spots that attackers exploit during Business Email Compromise (BEC) and consumer hacks:

1. The Hidden RSS Feeds e Conversation History Folder Trap:
   • In Outlook, attackers rarely route suppressed emails into the main Deleted Items folder because users check Deleted Items. Instead, they create an Outlook Rule named . ou 1 that moves incoming emails into the RSS Feeds, Archive, ou Conversation History folder and marks them as read. Check every folder in your left sidebar, especially RSS Feeds, right now.
2. Audit Both Rules AND Sweep in Outlook Web (outlook.live.com ou outlook.office.com):
   • Click the Settings Gear (top right) -> Mail -> Rules. Delete any rule you did not create.
   • Notice the checkbox at the bottom of an attacker's rule: Stop processing more rules. Attackers check this box on their top rule so none of your legitimate rules run.
   • Em seguida, clique em Correio -> Varrer e Correio -> Lixo eletrônico -> Remetentes e domínios bloqueados. Os invasores adicionam rotineiramente @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.come @coinbase.com à sua lista Remetentes e Domínios Bloqueados para que os alertas de segurança sejam devolvidos ou vão silenciosamente para o Lixo Eletrônico. Limpe sua lista de remetentes bloqueados de quaisquer empresas legítimas.
3. Verificar Mail -> Forwarding and IMAP:
   • Certifique-se de que Ativar encaminhamento esteja desmarcado. Se o endereço de e-mail de um invasor estiver na caixa com "Keep a copy of forwarded messages" desmarcado, todos os e-mails enviados para você foram encaminhados ao hacker e excluídos da sua caixa de correio antes mesmo de chegarem à sua caixa de entrada.
4. For Corporate Microsoft 365 Administrators: Run PowerShell to Uncover Hidden MAPI / Corrupt Inbox Rules (MFCMAPI):
   • Atores sofisticados de ameaças BEC usam a API Exchange Web Services (EWS) ou MFCMAPI to create hidden corrupted Inbox rules (by stripping the PR_RULE_MSG_NAME e PR_RULE_MSG_PROVIDER MAPI properties) that do not show up at all in the Outlook Web GUI or standard Exchange Admin Center.
   • An IT Administrator should connect to Exchange Online PowerShell and run:

     Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
     

   • Adding the -IncludeHidden flag exposes stealth MAPI rules hiding in the mailbox's Associated Contents table (FAI), which can then be purged via Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" or by launching outlook.exe /cleanrules.
   • Also inspect Tenant-Level Exchange Transport Rules (Mail Flow Rules) via Get-TransportRule: if the attacker compromised an Exchange Administrator account, they may have created a global organization-wide mail flow rule rather than an individual mailbox rule.

Phase 2: What to do if you are completely locked out (Attacker changed password & 2FA)¶

If the attacker already changed your password, replaced your recovery phone number with their own, and turned on their own Authenticator app or hardware key, every minute counts because the attacker is actively looting your linked accounts while you are locked out.

Step 1: Cut Off the Attacker's Financial Leverage First (First 15 Minutes)¶

Não gaste três horas lutando contra um formulário automático de recuperação de e-mail enquanto o hacker drena sua conta bancária usando sua caixa de entrada sequestrada:

1. Ligue para seus bancos, emissores de cartão de crédito e corretoras de investimentos por telefone:
   • Informe ao Departamento de Fraude: "Meu endereço de e-mail principal [seu@email.com] foi comprometido e estou atualmente bloqueado. Coloque uma senha verbal imediata/congelamento de segurança em meu perfil, revogue sessões ativas da Web/móveis e remova esse endereço de e-mail das redefinições de senha de autoatendimento."
2. Bloqueie sua conta da operadora de celular contra uma troca subsequente de SIM:
   • Dentro da sua caixa de entrada hackeada, o invasor pode ler suas contas mensais da AT&T, Verizon, T-Mobile, Rogers, Vodafone ou O2, fornecendo-lhes o número da sua conta móvel e endereço de cobrança. Ligue para sua operadora imediatamente para verificar se seu PIN de transferência de número/congelamento de porta e a senha da conta estão bloqueados.
3. Congelar suas contas de câmbio de criptomoedas (Coinbase, Binance, Kraken, Gemini):
   • A maioria das principais exchanges oferece um telefone de emergência com um clique Bloqueio de conta se seu e-mail estiver comprometido (por exemplo, ligar para o bloqueio de emergência automatizado da Coinbase em +1 (888) 908-7930 nos EUA/Internacional ou +44 808 168 4635 no Reino Unido).
4. Altere o endereço de e-mail registrado em todas as contas nas quais você ainda pode fazer login:
   • Você provavelmente ainda está logado** na Amazon, PayPal, Venmo, Steam, Discord, Apple ID e seu gerenciador de senhas no aplicativo do seu smartphone agora. Crie uma conta de e-mail de emergência totalmente nova e limpa (por exemplo, no ProtonMail ou em um Gmail novo protegido por uma chave de hardware) e acesse imediatamente as configurações dos aplicativos ainda conectados para desviar o e-mail de contato do endereço hackeado antes que o invasor os redefina.

Etapa 2: como passar nos algoritmos automatizados de recuperação de conta (Google, Microsoft, Yahoo)¶

Para contas de e-mail gratuitas para consumidores (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), os agentes de suporte humano são estritamente proibidos pelos controles de engenharia de redefinir senhas manualmente ou ignorar 2FA por telefone (para evitar engenharia social). Em vez disso, a recuperação é controlada por um Mecanismo de pontuação de identidade e risco automatizado. Para maximizar sua pontuação de confiança criptográfica e acionar a "Substituição de retenção de segurança de 7 dias/30 dias" oculta:

1. REGRA CRÍTICA: Envie o formulário de recuperação do histórico exato do seu dispositivo, navegador e endereço IP Wi-Fi doméstico:
   • Nunca corra accounts.google.com/signin/recovery ou account.live.com/acsr a partir de uma nova janela anônima do navegador em dados de celular ou por meio de uma VPN.
   • Use o laptop, desktop ou smartphone exato e o navegador exato (com cookies intactos/armazenamento local) onde você fez login nessa conta de e-mail todos os dias durante o ano passado, enquanto estava conectado ao seu roteador Wi-Fi normal de casa ou escritório (ASN e correspondência de geolocalização). O algoritmo de recuperação pesa muito os tokens de impressão digital do dispositivo (DeviceID) e sub-redes IP históricas.
2. Recuperação do Google/Gmail (accounts.google.com/signin/recovery):
   • Mesmo que o invasor tenha alterado seu telefone de recuperação e seu e-mail de recuperação segundos atrás, o Google manterá seu número de telefone de recuperação ANTERIOR e seu endereço de e-mail de recuperação ANTERIOR como fatores de recuperação válidos por exatamente sete dias corridos (168 horas) depois que um invasor os modificar.
   • Quando solicitado durante signin/recovery, clique em "Tentar de outra maneira" até que ele ofereça o envio de um código para seu número de telefone original ou endereço de e-mail de recuperação original, ou avise seu telefone/iPhone Android registrado anteriormente por meio do Google Prompt.
   • Se você assinar o Google One (armazenamento em nuvem pago) ou o canal YouTube Premium/YouTube:
     • Assinantes pagos do Google One têm acesso ao suporte humano ao vivo do Google One (one.google.com/support) que pode escalar contas bloqueadas internamente.
     • Se sua conta do Google hackeada possui um canal do YouTube, entre em contato com @TeamYouTube no X (antigo Twitter) publicamente imediatamente. Ao contrário do Gmail padrão, @TeamYouTube O suporte ao criador de conteúdo fornece um Formulário de escalonamento de conta hackeada dedicado, conduzido por engenheiros humanos de confiança e segurança do Google que verificam seu original Channel ID (UC..), ID do AdSense e upload do histórico de IP para remover fisicamente as chaves de acesso/MFA do invasor e restaurar toda a sua conta do Google/Gmail dentro de 24 a 72 horas.
3. Recuperação de conta Microsoft Outlook/Hotmail/Xbox (account.live.com/acsr):
   • Primeiro, tente fazer login e clicar em "Não tenho nenhum destes" na tela 2FA: se você tiver um Código de recuperação da Microsoft de 25 caracteres salvo quando configurou originalmente sua conta, inseri-lo permitirá que você substitua as informações de segurança do invasor (sujeito ao período de espera obrigatório de substituição de informações de segurança de 30 dias da Microsoft, durante o qual o invasor também poderá ser bloqueado se você sinalizar a conta).
   • Ao preencher o Formulário de Recuperação de Conta Microsoft (account.live.com/acsr) do IP Wi-Fi da sua casa:
     • Forneça as linhas de assunto exatas de 3 a 4 e-mails recentes que você enviou (peça a amigos ou familiares para olharem em suas próprias caixas de entrada e lerem para você as linhas de assunto exatas, caractere por caractere, dos e-mails que você enviou recentemente).
     • Forneça os endereços de e-mail exatos dos contatos para os quais você enviou e-mails recentemente.
     • Forneça seu Hardware do console Xbox LiveDeviceID / Número de série se você já entrou em um Xbox com essa conta da Microsoft e os últimos quatro dígitos e a data de validade de qualquer cartão de crédito já usado na Microsoft Store / Skype / Office 365.

Fase 3: Controle de danos aos segredos expostos em seus e-mails antigos¶

Depois de bloquear o invasor e limpar todas as regras e tokens OAuth, você deve enfrentar uma realidade forense preocupante: se o invasor teve acesso IMAP, OAuth ou web à sua caixa de correio por pelo menos 15 minutos, suponha que ele executou uma pesquisa automatizada por palavra-chave em todo o seu arquivo histórico de e-mail.

Os invasores não leem manualmente seus 50.000 e-mails antigos. Seus scripts automatizados pesquisam imediatamente em sua caixa de entrada essas dez palavras-chave de alto valor e baixam todas as mensagens e anexos em PDF correspondentes:

1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Se você já enviou a si mesmo por e-mail uma foto, nota de texto ou zip criptografado de uma frase inicial de criptomoeda ou código de backup 2FA, considere essa carteira comprometida imediatamente e mova todos os fundos para uma carteira de hardware totalmente nova.
2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Loan applications, apartment leases, and CPA emails inside your inbox almost certainly contain PDFs with your unredacted Social Security Number (or national ID), date of birth, and driver's license photo. Place an immediate Credit Freeze with Equifax, Experian, and TransUnion (see our guide on identity theft response).
3. "password", "login", "credentials", "welcome to", "backup codes": Search your own inbox right now for the words password e backup code, delete those dangerous plaintext emails after rotating every single password mentioned in them.
4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": If you are in the middle of buying a house, paying a contractor, or running a business, the attacker now has copies of your real invoices and banking routing details and will attempt to impersonate you or your title company to steal the wire transfer. Call your real estate title company, escrow officer, or clients on the telephone immediately to warn them.

Perguntas frequentes¶

Fontes verificadas¶

• Cybersecurity and Infrastructure Security Agency (CISA, United States): Protecting Against Business Email Compromise (BEC), OAuth Application Abuse, and Phishing-Resistant MFA Guidance (cisa.gov/MFA e cisa.gov).
• Microsoft Security Response Center & Defender Threat Intelligence (United States): Responding to a Compromised Email Account in Microsoft Defender for Office 365 (Hidden Inbox Rules -IncludeHidden, OAuth Consent Grants, and Session Revocation) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
• Google Account Security & Workspace Admin Help (United States): Secure a Hacked or Compromised Google Account, OAuth Third-Party Connections, and Advanced Protection Program (support.google.com/accounts/answer/6294825).
• National Cyber Security Centre (NCSC, United Kingdom): Recovering a Compromised Email Account and Mitigating Email Forwarding Rule Persistence (ncsc.gov.uk).
• Federal Trade Commission (FTC, United States): What To Do if Your Email Account Is Hacked (consumer.ftc.gov).
• Australian Cyber Security Centre (ACSC / ASD, Australia): Protecting Email Accounts and Detecting Unauthorized Inbox Rules (cyber.gov.au).

Guias relacionados¶

• Phishing e contas comprometidas
• MFA phishing and adversary-in-the-middle bypass
• Bloqueio de MFA e recuperação de autenticador
• Data breach response and password leaks
• Malware, ransomware, and spyware infection
• SIM swapping