Resposta curta
Quando você faz login, o site guarda um cookie de sessão no navegador para que você não precise entrar de novo. O malware que rouba cookies (infostealer) copia esses cookies e os envia ao invasor, que pode abrir sua conta sem a senha e sem o código 2FA — o Google observa que o roubo de cookies acontece depois do login e, por isso, contorna a verificação em duas etapas. A solução é uma ordem: limpe primeiro o aparelho infectado; depois, de um aparelho limpo, troque as senhas, encerre todas as sessões e confira os dados de recuperação, as regras de encaminhamento e os apps conectados.
Como o ataque funciona
- Você executa um arquivo que parece útil: um briefing de “patrocínio”, um cheat de jogo, um programa pirata, um falso leitor de PDF ou uma extensão de navegador.
- O malware lê as senhas salvas e os cookies de sessão do navegador e os envia em segundos.
- O invasor carrega os cookies no próprio navegador e já está logado: sem senha, sem código.
- Ele troca o e-mail, o telefone e a 2FA, ou usa a conta em silêncio. O Threat Analysis Group do Google relatou canais do YouTube sequestrados assim e vendidos ou usados para transmitir golpes com criptomoedas.
Sinais de alerta
- Um alerta de login ou uma sessão que você não reconhece — mas muitas vezes não chega alerta nenhum, porque o invasor reaproveita uma sessão que você já tinha aberto.
- Mudanças que você não fez: nome do canal, e-mail de recuperação, dispositivos vinculados, gastos com anúncios, posts ou mensagens.
- Várias contas com problema ao mesmo tempo: sinal de que senhas e cookies saíram de um único computador infectado.
- Você instalou recentemente um programa, mod ou extensão fora de uma loja oficial, ou abriu um arquivo compactado enviado por uma “marca”.
Faça a limpeza nesta ordem
Trocar as senhas no computador infectado não adianta: o malware pode capturar as novas também.
- Pare de fazer login no aparelho infectado. Faça uma varredura com um antivírus atualizado e remova extensões desconhecidas — ou restaure o aparelho, se puder.
- De um aparelho limpo, proteja primeiro a conta de e-mail: senha nova, saída das outras sessões, conferência do telefone e do e-mail de recuperação.
- Troque as senhas das outras contas afetadas e saia de todos os lugares: Conta do Google → Segurança → Seus dispositivos; Microsoft → Sair de todos os lugares; Central de Contas → Onde você está conectado.
- Remova o que o invasor pode ter deixado: regras de encaminhamento e filtros, apps conectados, novos métodos 2FA e dados de recuperação.
- Ative uma chave de acesso (passkey) ou 2FA por aplicativo e salve novos códigos de backup.
Por que a verificação em duas etapas não impediu
A 2FA verifica você no momento do login. Um cookie roubado é a prova de que o login já aconteceu, então o site não tem motivo para perguntar de novo. É por isso que o Google está criando as Device Bound Session Credentials, que prendem a sessão ao aparelho que a criou, de modo que um cookie copiado vale muito pouco em outro lugar. Até essas proteções chegarem a todo lugar, a melhor defesa é simples: não execute arquivos que você não pediu e revise suas sessões com frequência — veja como ver os dispositivos conectados.
Se você não consegue mais entrar
Se o invasor já trocou o e-mail e o número de telefone, use o caminho de recuperação da própria plataforma: links oficiais de recuperação, canal do YouTube hackeado ou conta do Google hackeada. Nosso serviço de recuperação de conta hackeada trabalha só por esses canais oficiais.
Perguntas frequentes
Alguém pode entrar na minha conta sem a senha e sem o código 2FA?
Sim. Se o malware rouba o cookie de sessão do seu navegador, o invasor pode reaproveitar uma sessão que você já abriu — senha e código só são pedidos de novo quando ela termina.
Trocar a senha expulsa o hacker?
Na maioria das plataformas encerra as outras sessões, mas faça isso de um aparelho limpo e use também “sair de todos os lugares”. Num computador infectado, a senha nova também pode ser roubada.
Como saber se meu computador tem malware que rouba cookies?
O sinal típico é várias contas invadidas ao mesmo tempo depois de instalar programa pirata, cheats ou extensões desconhecidas. Faça uma varredura com antivírus atualizado; na dúvida, restaure o aparelho.
Uma chave de acesso impede o roubo de cookies?
A chave de acesso impede o phishing do login, mas um cookie roubado depois do login ainda pode ser usado. Combine chaves de acesso com aparelhos limpos e saída das sessões que você não usa.
Fontes: Google Threat Analysis Group — malware que rouba cookies de criadores do YouTube, Google — combate ao roubo de cookies com sessões vinculadas ao dispositivo, Ajuda da Conta do Google — dispositivos com acesso à sua conta, Suporte da Microsoft — sair de todos os lugares na conta Microsoft, Ajuda do YouTube — limpar um canal hackeado