Chega um código para algo que você não fez. A mensagem em si não diz por que foi enviada, e essa é a dificuldade: o mesmo SMS é compatível com várias situações bem diferentes.
TL;DR: Não repasse o código a ninguém que entre em contato sobre ele, e não siga links nem números que estejam dentro da mensagem. A orientação do Google para um código não solicitado é ignorar e apagar, sem compartilhar. Além disso, o que vale a pena fazer depende do que mais você consegue observar — se o código cita um serviço que você realmente usa, se vêm outros códigos atrás, se algo parece diferente naquela conta e se o seu serviço de telefonia está funcionando normalmente.
As três primeiras coisas a fazer
- Não repasse o código. Se alguém entrar em contato pedindo um código de login, de cadastro ou de recuperação — por ligação, chat ou mensagem —, não entregue. Use apenas um fluxo que você iniciou, dentro do aplicativo ou do site oficial do serviço.
- Não siga os links nem os telefones da própria mensagem. A chegada de um código não torna verdadeiro o texto ao redor dele.
- Se o código cita um serviço que você usa, abra esse serviço por conta própria — o aplicativo oficial dele, ou o endereço digitado por você — e olhe a conta a partir dali.
A ajuda do Google sobre códigos de verificação não solicitados afirma que você pode ignorar e apagar a mensagem e não deve compartilhar o código, e aponta a Verificação de Segurança para uma revisão mais ampla.
O que isso pode significar
A mensagem sozinha não distingue essas hipóteses. A página de solução de problemas da Microsoft para códigos não solicitados cita três possibilidades diretamente:
- Alguém está tentando acessar uma conta.
- Alguém digitou o número de telefone ou o e-mail errado ao tentar entrar.
- Um código que você pediu antes atrasou e só chegou agora. Se você não tem certeza de qual canal uma solicitação anterior usou, para onde os códigos de verificação realmente vão cobre a leitura do destino.
Vale manter outras duas em mente:
- A mensagem pode ser isca. Uma mensagem com cara de código pode acompanhar uma tentativa de fazer você ligar para um número, abrir um link ou ler o código para alguém.
- O número pode carregar o histórico de um titular anterior. Números são reatribuídos, e esse é o mesmo mecanismo por trás de um número que chega já registrado no WhatsApp.
Todas essas são possibilidades, não um diagnóstico. Decidir entre elas exige algo além do SMS, como a própria conta.
O que olhar, conforme o que você consegue observar
| O que você consegue observar | Com o que isso é compatível | Resposta proporcional |
|---|---|---|
| Um código, de um serviço que você não usa | Número digitado errado, mensagem atrasada, ou tentativa contra uma conta que não é sua | Ignore e apague; não digite o código em lugar nenhum |
| Um código, de um serviço que você usa | Qualquer das possibilidades acima, inclusive uma tentativa | Abra o serviço por conta própria e revise a página de segurança dele |
| Mais códigos chegando | Tentativas repetidas, ou um serviço repetindo o envio | Revise as configurações de segurança da conta citada e reforce o login dela |
| Alguém entra em contato pedindo o código | Uma tentativa de obtê-lo de você | Não repasse; encerre o contato; denuncie pelo canal oficial do serviço |
| Algo desconhecido na conta — uma sessão, um aparelho ou um método de recuperação alterado | Possível acesso | Use os controles do próprio serviço, começando pelos métodos de recuperação |
| O serviço de telefonia para de funcionar sem explicação | Uma queda de rede, defeito no aparelho ou no chip, ou uma alteração na linha | Fale com a sua operadora — veja abaixo |
Os métodos de recuperação merecem o olhar mais atento
Se você for inspecionar uma única parte de uma conta depois de um código inesperado, que seja esta.
O acesso a uma conta pode se tornar duradouro pela alteração dos métodos de recuperação dela — o e-mail reserva, o telefone de recuperação, os aparelhos confiáveis, as sessões vinculadas. Restaurar a senha não desfaz necessariamente isso, porque o caminho de volta para dentro foi reapontado.
Então, na página de segurança da conta, procure especificamente por:
- um e-mail de recuperação que você não reconhece ou não consegue abrir;
- um telefone de recuperação que não é seu;
- aparelhos vinculados ou sessões ativas que você não reconhece;
- aplicativos conectados ou senhas de aplicativo, cujo comportamento após uma troca de senha varia conforme o serviço — consulte a documentação do próprio serviço em vez de presumir que foram revogados.
O Google documenta como revisar a atividade e os aparelhos da conta para as contas dele.
Se o seu celular ficar sem sinal
Perder o serviço móvel tem causas comuns: uma queda de rede, um chip danificado ou fora do lugar, um defeito no aparelho, uma questão de cobrança.
Isso também pode acompanhar uma alteração na própria linha. O que torna isso digno de uma ligação rápida para a operadora é a combinação — o serviço parar sem explicação comum, especialmente junto de mensagens sobre alterações de conta, transferências de número ou pedidos de portabilidade que você não iniciou.
Fale com a sua operadora por um número que você mesmo procure, não por um número que veio numa mensagem. Como exemplo de uma operadora, a orientação da AT&T nos Estados Unidos pede que clientes que suspeitem de uma transferência ilegal de número entrem em contato prontamente; outras operadoras têm procedimentos e canais próprios, então use os do seu provedor. A perda de sinal sozinha não estabelece que um número foi transferido; ela é um motivo para checar rápido, porque o controle de uma linha comanda o login e a recuperação baseados em SMS.
Duas situações para percorrer
Cenários ilustrativos, não relatos de contas reais.
Um código de um serviço que você nunca usou. Ele cita um marketplace em que você não tem conta. Não há nada seu para proteger. Ignore e apague, e não crie uma conta ali para investigar — isso transforma uma mensagem perdida numa pegada real. Se chegarem mais do mesmo serviço, o canal de segurança ou de ajuda dele é o lugar para relatar; marketplaces publicam orientações, por exemplo a ajuda de segurança de conta da Shopee. O WhatsApp também publica orientação para um código que você não pediu.
Um código de um serviço que você usa, duas vezes em dez minutos. Aqui há algo a inspecionar. Abra o aplicativo do próprio serviço, vá até a página de segurança e leia a atividade de login, os aparelhos e os métodos de recuperação, nessa ordem. Se tudo bater com o que você espera, reforçar o login é uma resposta razoável. Se, em vez disso, a conta estiver recusando um número que você está tentando adicionar, isso é outro problema — veja o que significa a recusa de número de telefone do Google. Se houver um método de recuperação que você não reconhece, esse é o achado, e os controles de recuperação e segurança do próprio serviço são onde ele se resolve.
Se você já entregou o código a alguém
Isso acontece, e a pressão aplicada é desenhada para funcionar. O que fazer depende de você ainda conseguir ou não entrar na conta.
Se você ainda tem acesso:
- Abra o serviço diretamente — o aplicativo dele, ou o endereço digitado por você.
- Revise primeiro os métodos de recuperação e restaure os que tiverem sido alterados.
- Revise aparelhos vinculados e sessões ativas. Encerre as que você não reconhece; tenha cuidado ao encerrar todas de uma vez se uma sessão que você ainda tem for a sua única forma de entrar.
- Troque a credencial que aquele serviço realmente usa. Nem todo serviço usa uma senha convencional — o WhatsApp, por exemplo, se organiza em torno do número de registro e do PIN ou senha de duas etapas oferecidos pelo aplicativo —, então use o que a página de segurança daquele serviço oferecer.
- Ative o segundo fator mais forte disponível, lembrando que um fator de login não é automaticamente um método de recuperação.
Se você já perdeu o acesso: vá direto ao processo oficial de recuperação de conta do serviço. Não fique tentando logins alternativos, e não interaja com quem entrou em contato.
Se houve movimentação de dinheiro ou alguma ação foi executada, relate diretamente ao canal oficial de resposta daquele serviço — um provedor de pagamento, um banco ou um marketplace tem processo próprio para isso.
Nenhuma sequência garante que todas as consequências sejam desfeitas. O objetivo é fechar os caminhos de volta para dentro.
Se você quiser denunciar
Denuncie pelo canal oficial do serviço de onde a mensagem diz vir. É útil incluir:
- que você recebeu um código de verificação que não solicitou;
- a data e o horário aproximados;
- o nome do serviço ou do remetente exibido;
- o seu número mascarado até os últimos dígitos.
Mantenha fora de qualquer denúncia: o código em si, senhas e códigos de recuperação. Uma evidência com tarja — uma captura de tela com o código apagado, por exemplo — é coisa diferente do código em si. Siga as exigências de evidência do formulário que você estiver usando, mantendo códigos, senhas e códigos de recuperação fora dele.
Se você aluga uma caixa de entrada conosco, lembre que um número alugado pode carregar associações anteriores e pode ser reatribuído depois, então uma mensagem que nada tem a ver com você é um desfecho banal, não um sinal sobre a sua conta. Uma mensagem inesperada, sozinha, não estabelece que algo seu foi afetado. Mas se o código cita um serviço que você de fato usa, trate como qualquer outra conta sua e inspecione normalmente. Se você acredita que um pedido está errado, um chamado de suporte com o ID do pedido (Order ID) é o caminho, e o FAQ expõe o que um pedido estabelece e o que não estabelece.
Limitações deste guia
- Uma única mensagem não estabelece quem pediu um código nem por quê. Não conseguimos identificar quem originou a solicitação a partir de um SMS recebido; o serviço de destino pode guardar registros de atividade, e nem esses estabelecem a identidade de uma pessoa.
- As possibilidades listadas são possibilidades. Distingui-las exige a conta, não a mensagem.
- Os controles de segurança e os nomes deles diferem de serviço para serviço e mudam com o tempo. A página de segurança do próprio serviço é o que vale.
- Nenhuma sequência de passos garante que um comprometimento seja totalmente revertido.
FAQ
Um código inesperado significa que minha conta foi acessada?
Não — ele é compatível com várias situações, incluindo um número digitado errado, uma solicitação anterior atrasada e uma tentativa que não teve sucesso. Para um código isolado, a orientação do Google é ignorar e apagar, sem compartilhar.
Alguém diz que enviou por engano e pede que eu encaminhe. Devo?
Não. Não repasse um código de login, de cadastro ou de recuperação a ninguém que entre em contato com você. Se o pedido for genuíno, essa pessoa pode iniciar o fluxo de novo por conta própria.
Vocês conseguem descobrir quem pediu o código?
Não conseguimos. Um SMS recebido não carrega essa informação, e não temos visibilidade sobre o serviço que fez a solicitação. O próprio serviço pode guardar registros de atividade, mas esses registros mostram solicitações e aparelhos, sem estabelecer a identidade de uma pessoa.
Continuo recebendo códigos do mesmo serviço. E agora?
Se é uma conta que você usa, abra-a diretamente e revise a atividade de login, os aparelhos e os métodos de recuperação, depois reforce o login. Se não é sua conta, não há nada seu a proteger; denuncie pelo canal oficial daquele serviço em vez de se cadastrar para investigar.
Meu celular ficou sem sinal mais ou menos na mesma hora. Tem relação?
Pode ter, e pode ser uma queda de rede, um defeito no chip ou no aparelho. A combinação que merece ação rápida é a perda de sinal sem explicação junto de notificações sobre alterações de conta ou transferências de número que você não iniciou. Ligue para a sua operadora por um número que você mesmo procure.
Trocar de número de telefone resolveria isso?
Não como resposta geral — qualquer número pode receber um código perdido, e a proteção de uma conta está nos controles dela. Trocar de número é uma decisão para circunstâncias específicas, como contato indesejado persistente, e não uma resposta rotineira a uma mensagem.
Recebi um código num número alugado. Isso quer dizer que tem algo errado?
Não por si só. Um número alugado pode carregar associações anteriores e pode ser reatribuído depois, então mensagens sem relação com você são banais. Não digite esses códigos em lugar nenhum. Se o código cita um serviço que você pessoalmente usa, inspecione aquela conta como faria normalmente.