Perdi o Instagram em 5 minutos: passkeys, 2FA e como proteger a conta que sustenta o negócio

Capítulo 14 da série Do perfil à venda, que encerra esta temporada. A Carol é uma personagem ilustrativa; os dados e as fontes são reais.

#Resumo rápido

• Desde abril de 2026, as passkeys funcionam no Instagram, além de Facebook e Messenger, segundo a Meta.
• Passkey é login com a biometria ou o bloqueio de tela do celular, sem senha para roubar.
• Mantenha também a verificação em duas etapas e guarde os códigos de recuperação fora do celular.
• Nunca passe códigos que chegam por SMS ou WhatsApp, para ninguém.

O e-mail chegou às 14h17: "Sua senha do Instagram foi alterada". Às 14h19, outro: "O e-mail da sua conta foi alterado". Às 14h22, a Carol já não conseguia entrar. Na véspera, ela tinha recebido uma mensagem de uma suposta "equipe de parcerias" de uma marca grande, com um link para "confirmar os dados para receber o produto". Ela clicou, digitou o login e a senha numa página que parecia a do Instagram, e também o código que chegou no celular.

Cinco minutos. Foi o tempo que levou para perder a conta que sustentava o negócio dela.

#O que mudou: a senha está aposentando

Esse roteiro (mensagem falsa, página parecida com a original, pedido de senha e código) é o mais comum para tomar contas de criadores. E é justamente o que as passkeys foram criadas para impedir.

Uma passkey é uma forma de entrar sem senha, usando a biometria ou o bloqueio de tela do próprio aparelho. Em vez de você digitar algo que pode ser copiado numa página falsa, o aparelho prova que é você para o site certo. A FIDO Alliance, a organização por trás do padrão, destaca que as passkeys resistem a phishing.

A Meta vem adotando o padrão por etapas. Em junho de 2025, anunciou as passkeys no Facebook. Em abril de 2026, com a nova Conta Meta, afirmou que as passkeys "passam a funcionar no Instagram, além do Facebook e do Messenger". E reforça que elas ficam guardadas no seu dispositivo e não são compartilhadas com a empresa.

#Por que criador é alvo

• Conta com seguidores vale dinheiro. Pode ser revendida, usada em golpes ou para pedir resgate.
• Criador recebe muita mensagem de "parceria". É o disfarce perfeito para o link falso.
• O perfil é a loja. Perder a conta é perder a vitrine, os contatos e o link da bio de uma vez.
• Golpistas usam a sua conta contra os seus seguidores. Com o seu perfil, eles anunciam "achados" falsos e pedem Pix, usando a confiança que você construiu.

#O que fazer hoje: o checklist de 15 minutos

#1. Ative a passkey

No Instagram, procure as opções de senha e segurança na Central de Contas e crie uma chave de acesso no aparelho que você mais usa. O caminho exato pode mudar com as atualizações do app.

#2. Mantenha a verificação em duas etapas

Prefira um aplicativo autenticador a SMS. E anote os códigos de recuperação num lugar fora do celular (papel guardado ou gerenciador de senhas). Se o celular for roubado, são eles que salvam você.

#3. Proteja o e-mail da conta

Quem toma o seu e-mail toma o seu Instagram. Ative passkey ou verificação em duas etapas também no e-mail, com uma senha que você não usa em nenhum outro lugar. O post admin123 explica o que torna uma senha forte de verdade.

#4. Revise quem tem acesso

Veja os aparelhos conectados e os aplicativos com acesso à conta. Remova o que você não reconhece.

#5. Nunca passe códigos

Código que chega por SMS, e-mail ou WhatsApp é só seu. Marca, suporte ou "equipe de parcerias" de verdade não pedem código.

#6. Desconfie de link de "parceria"

Confira se o perfil que mandou é verificado e oficial. Não faça login a partir de link recebido por mensagem; abra o app você mesmo.

#O plano de recuperação (faça antes de precisar)

O que guardar	Onde
Códigos de recuperação da verificação em duas etapas	Fora do celular
E-mail e telefone da conta, atualizados	Conferidos a cada poucos meses
Lista dos seus links principais e do link da bio	Num documento seu
Um canal próprio para avisar os clientes	Canal do WhatsApp ou lista de e-mail

O último item é o que mais faz diferença no dia ruim. É pelo seu canal próprio, aquele do capítulo 9, que você avisa os clientes: "minha conta foi invadida, não façam Pix para ninguém em meu nome".

#Bastidor: segurança também mora no link

No Curtly, a conta tem verificação em duas etapas, e todo destino de link é checado contra listas de sites maliciosos, inclusive quando é editado. O motivo é o mesmo deste capítulo: se alguém invade uma conta e troca o destino de um link já divulgado para uma página falsa, o golpe chega aos seguidores com a sua cara. Proteger o acesso à conta é proteger o caminho inteiro, do perfil ao link.

#Desfecho

A Carol recuperou o Instagram em dois dias, pelo processo de recuperação da plataforma, mas perdeu centenas de seguidores e precisou avisar que não tinha pedido Pix a ninguém. Fez isso pelo canal do WhatsApp, que salvou a reputação dela. Na mesma noite, ativou a passkey, trocou a verificação por um aplicativo autenticador, guardou os códigos num papel e protegeu o e-mail.

É aqui que termina esta temporada de Do perfil à venda. A Carol começou sem saber de onde vinham as vendas e terminou com um negócio que mede cada clique, tem público próprio, usa IA sem perder a confiança e está protegido. Se você acompanhou até aqui, já tem o mapa completo. A próxima temporada vem aí.

Fontes: Meta: Conta Meta e passkeys no Instagram, Meta: passkeys no Facebook, FIDO Alliance: o que são passkeys.