Phishing no Instagram: como reconhecer antes de clicar

O phishing no Instagram evoluiu de e-mail mal escrito para operação convincente: layout idêntico, domínio parecido, urgência calibrada e, em alguns casos, um atendente humano do outro lado mantendo a conversa. O que não mudou foi a mecânica — em algum momento, a mensagem precisa que você entregue algo.

Os quatro formatos que concentram os casos

1. Violação de direitos autorais

Uma DM ou e-mail avisa que sua conta será removida em 24 ou 48 horas por uso indevido de conteúdo, com um botão de "recurso". O formulário pede login e, na sequência, o código de verificação — que o golpista usa em tempo real no site verdadeiro.

O sinal: o Instagram não trata contestação de direitos autorais por DM, e nenhum processo real dá prazo de 24 horas com botão em link externo.

2. Selo de verificado

Oferta de verificação com "análise gratuita", pedindo dados da conta e, muitas vezes, um pagamento simbólico. Atinge principalmente criadores em crescimento — o público com mais motivo para querer acreditar.

O sinal: a solicitação de verificação existe apenas dentro do app, no menu de configurações da própria conta.

3. Suporte falso após um problema real

Este é o mais cruel: acontece depois de a pessoa já ter perdido o acesso e ter postado pedindo ajuda. Perfis monitoram essas publicações e oferecem recuperação paga.

O sinal: não existe suporte pago do Instagram, nem intermediário com "contato interno". Qualquer pedido de senha ou de código de 6 dígitos é a segunda etapa do golpe.

4. Sorteio, parceria ou marca

Mensagem de uma marca conhecida propondo colaboração, com link para "cadastro de criadores". O domínio é quase o correto — uma letra trocada, um hífen a mais, um .com virando .co.

O sinal: leia o domínio da direita para a esquerda, a partir do .com. É ali que a falsificação aparece.

O teste de três perguntas

Antes de qualquer clique:

1. Isso apareceu dentro do app? Notificações reais sobre a conta aparecem no Instagram, não só no e-mail.
2. Está pedindo urgência? Prazos curtos existem para impedir que você confira.
3. Está me levando para fora? Ação legítima sobre sua conta se resolve dentro do próprio aplicativo.

Duas respostas ruins bastam para descartar a mensagem.

A verificação que encerra a dúvida

Configurações → Central de Contas → Senha e segurança → E-mails do Instagram.

Essa tela lista todos os e-mails oficiais enviados para você nos últimos 14 dias. Recebeu algo alarmante? Compare. Se não estiver na lista, é falso — e não há mais nada a discutir.

Se você já entregou os dados

A ordem importa, porque cada passo fecha uma porta que o próximo depende:

1. Troque a senha do e-mail vinculado primeiro. Ele é a chave-mestra.
2. Troque a senha do Instagram.
3. Encerre todas as sessões em Onde você fez login.
4. Ative 2FA por app autenticador (guia completo).
5. Revise aplicativos de terceiros autorizados.

Se o acesso já foi perdido, o caminho muda: passa a ser o fluxo de conta invadida, e o formulário correto depende de você ainda receber ou não os e-mails do Instagram — detalhado no guia de conta hackeada.