Recebeste uma mensagem da "Meta AI" a dizer que a tua conta vai ser desativada e a pedir para abrires um ficheiro? É burla

Chega-te uma mensagem, muitas vezes pelo Messenger, de uma conta chamada “Meta AI”, com o símbolo colorido da Meta na foto de perfil. Tem um ar oficial, até diz que a conversa está protegida por encriptação ponto a ponto. A mensagem começa com “Aviso da Meta” e diz que o sistema detetou várias contas com informações iguais às tuas, que uma delas foi comprometida, e que precisas de confirmar a tua identidade. No fim, vem um ficheiro em PDF com um nome tipo “Verifique a sua conta aqui” e o aviso de que, se não concluíres a verificação, a tua conta será considerada fraudulenta e desativada.

Antes de abrires seja o que for, para um segundo. Isto é phishing. É uma burla feita para te assustar e te levar a entregar o acesso ao teu Facebook. Desconfiar disto não é ser paranoico, é ser esperto. Se recebeste a mensagem, desconfiaste e vieste confirmar, fizeste exatamente o que devias.

Reconstrução do caso real que nos chegou pelo eburla.pt. O nome verdadeiro foi ocultado, por ser quase de certeza a conta pirateada de uma pessoa inocente. Repara no essencial: assim que a conta foi bloqueada e denunciada, o nome “Meta AI” caiu e apareceu o nome de uma pessoa.

O sinal que entrega tudo

Há um pormenor que costuma denunciar esta burla. Quando a pessoa bloqueia e denuncia a conta, o nome “Meta AI” desaparece e aparece o nome verdadeiro de quem estava por trás, muitas vezes um nome comum de pessoa. Isto acontece porque não era a Meta nenhuma. Era a conta de um utilizador qualquer (muitas vezes uma conta pirateada, roubada a outra vítima) que foi disfarçada com o nome “Meta AI” e o logótipo da empresa para parecer oficial. A verdadeira Meta AI é um assistente de conversa dentro das apps. Não é um serviço de segurança, não te manda avisos destes e nunca ameaça apagar-te a conta.

Como funciona

O objetivo é sempre o mesmo: pôr-te a entregar a palavra-passe do teu Facebook ou Instagram, para te roubarem a conta.

1. O contacto que parece oficial. Recebes uma mensagem de uma conta chamada “Meta AI” (ou “Suporte Meta”, “Equipa de Verificação”, nomes parecidos), com o símbolo da Meta na foto. O facto de aparecer como uma conversa protegida dá-lhe um falso ar de credibilidade.
2. O problema inventado. Dizem que detetaram contas iguais à tua e que uma foi comprometida, e que por isso tens de “confirmar a tua identidade”. É um problema que não existe, escrito de propósito para soar técnico.
3. A ameaça e a pressa. Avisam que, se não concluíres a verificação, a conta será considerada fraudulenta e desativada. O medo de perderes a conta serve para te fazer agir depressa.
4. O isco: o ficheiro ou o link. Pedem-te para abrires um PDF ou clicares num link para “verificares”. Esse ficheiro leva-te a uma página falsa, feita igual à do Facebook, que te pede o email e a palavra-passe. Assim que os escreves, entregas-lhes a conta. Nalguns casos, o ficheiro serve para instalar algo malicioso no teu aparelho.
5. O roubo. Com o teu acesso, entram na tua conta, mudam a palavra-passe, e usam-na para enganar os teus amigos ou pedir dinheiro em teu nome. A tua conta pirateada passa a ser a próxima “Meta AI” a atacar outra pessoa.

Mas um PDF não é só um documento? Como é que rouba a conta

Esta é a pergunta certa. E a resposta é o pormenor mais importante de todos: o ficheiro não te rouba a conta sozinho. Ele é só a porta de entrada. Quem entrega a conta és tu, sem saberes, quando escreves a palavra-passe na página falsa a que o ficheiro te leva.

Funciona assim:

1. Um PDF não é só texto. Pode ter links e botões clicáveis lá dentro, como uma página da internet. Os burlões metem um botão bem visível, do género “Verificar a minha conta agora”.
2. Carregas no botão e abre-se o navegador, já numa página falsa feita igualzinha à do Facebook, com o mesmo logótipo e o mesmo azul. Essa página pede-te o email e a palavra-passe.
3. Escreves os dados e eles recebem-nos. A página não te liga a lado nenhum. Só serve para copiar o que escreveste. A partir daí, entram na tua conta.

E porque é que usam um ficheiro, em vez de te mandarem o link diretamente? Por três razões, todas pensadas:

• Fogem aos avisos. O Messenger e o WhatsApp analisam os links e avisam-te quando são suspeitos. Um link escondido dentro de um anexo passa despercebido a essa proteção.
• Parece papelada oficial. Um ficheiro chamado “Verifique a sua conta” dá um ar de documento sério, muito mais credível do que um link à solta.
• Baixam-te a guarda. Abrir um anexo sente-se como um passo inofensivo. Quando dás por ti, já estás na página falsa a escrever a palavra-passe.

Nalguns casos o ficheiro vai mais longe e traz código malicioso, ou um QR code para leres com o telemóvel (o mesmo truque dos QR codes falsos). Mas a versão mais comum é mesmo esta: o ficheiro é o envelope, o botão lá dentro é o isco, e a página falsa é onde a palavra-passe é roubada. Por isso a regra é não abrir o ficheiro de todo.

Porque é que se percebe que é falso

Grava estes sinais, porque desmontam a burla inteira:

• A Meta não te pede para “verificares a identidade” abrindo um ficheiro numa mensagem. Nem PDF, nem link dentro de um chat. Não é assim que funciona.
• A verdadeira Meta AI é só um assistente. Não te envia avisos de segurança, não fala em contas “comprometidas” nem ameaça desativar nada.
• O português é estranho. Estas mensagens costumam vir em português do Brasil (“você”, “sua conta”, “confira o arquivo”), o que não bate certo com um aviso oficial para quem está em Portugal.
• Há ameaça e pressa. “Vai ser desativada”, “considerada fraudulenta”. A Meta não te trata assim. Ameaça e urgência são a marca da burla.
• Ao bloquear, aparece o nome real. Se por trás do “Meta AI” está o nome de uma pessoa qualquer, está tudo dito.

Sinais de alarme

Se reconheces isto, acende-se a luz vermelha:

• Uma conta com nome tipo “Meta AI”, “Suporte Meta” ou “Verificação”, com o símbolo da Meta, a mandar-te mensagem do nada.
• Dizem que a tua conta foi comprometida ou que há contas iguais à tua e que tens de te verificar.
• Pedem para abrir um ficheiro (PDF) ou clicar num link para confirmar quem és.
• Ameaçam desativar ou apagar a conta se não fizeres a “verificação”.
• A mensagem tem pressa, ameaça e português com sotaque do Brasil.

Guarda esta regra: a Meta nunca te manda abrir um ficheiro para provares que a conta é tua.

O que fazer se recebeste a mensagem agora

Se a mensagem está aí neste momento, é simples.

1. Não abras o ficheiro nem cliques em nenhum link.
2. Não respondas. Nem para dizer que sabes que é burla. Qualquer resposta confirma-lhes que a conta está ativa.
3. Bloqueia e denuncia a conta. No Messenger ou no Instagram, abre a conversa, toca no nome no topo e escolhe bloquear e denunciar. É o que aquela pessoa fez, e foi a decisão certa.

O que fazer se já abriste ou escreveste a palavra-passe

Se abriste o ficheiro, clicaste no link, ou pior, escreveste o teu email e palavra-passe numa página, não te martirizes. Estes esquemas enganam gente atenta. Age assim, e depressa.

1. Muda já a palavra-passe do Facebook e do Instagram, de preferência a partir de outro aparelho. Se usas essa mesma palavra-passe noutros sítios (email, por exemplo), muda também lá.
2. Ativa a verificação em dois passos (autenticação de dois fatores) na tua conta. Assim, mesmo que tenham a tua palavra-passe, não conseguem entrar sem o segundo código.
3. Vê as sessões e aparelhos ligados à tua conta, no Centro de Contas da Meta, e termina qualquer sessão que não reconheças.
4. Avisa os teus amigos de que a tua conta pode ter sido comprometida, para não caírem se lhes chegar uma mensagem estranha em teu nome.
5. Se perdeste mesmo o acesso à conta, usa a recuperação oficial da Meta em https://www.facebook.com/hacked. Se houve envolvimento de dinheiro, faz queixa à PSP ou à GNR pela Queixa Eletrónica em https://queixaselectronicas.mai.gov.pt.

Como te proteger

Para a próxima, e para proteger quem te é próximo:

• Desconfia de qualquer mensagem que diga ser “da Meta” e te peça para abrires ficheiros ou clicares em links. A empresa não trata da segurança das contas por mensagem privada.
• Nunca escrevas a tua palavra-passe numa página que abriste a partir de uma mensagem. Se tens dúvidas sobre a conta, vai tu diretamente à app ou ao site oficial e confirma lá.
• Ativa a verificação em dois passos em todas as tuas contas. É a melhor tranca contra quem te rouba a palavra-passe.
• Não te deixes levar pela ameaça nem pela pressa. A Meta não te apaga a conta por não abrires um PDF. O medo é a arma deles.
• Fala disto com a família e com os amigos. Como as contas roubadas são usadas para atacar outras pessoas, a mensagem pode até chegar de alguém que conheces. Quem conhece o esquema não cai nele.

---

Fontes: Polígrafo, fact-check “Esta mensagem que alerta para a suspensão de contas do Facebook que não forem verificadas foi enviada pela Meta?” (https://poligrafo.sapo.pt/fact-check/esta-mensagem-que-alerta-para-a-suspensao-de-contas-do-facebook-que-nao-forem-verificadas-foi-enviada-pela-meta/), que classifica como falsas as mensagens que ameaçam suspender contas e pedem verificação, e recorda que representantes da Meta nunca pedem palavras-passe nem dados sensíveis por chat, email ou telefone. Centro de Ajuda da Meta e do WhatsApp sobre mensagens suspeitas e burlas, com o aviso para desconfiar de mensagens que ameaçam apagar ou banir a conta. Cobertura de segurança sobre golpes de “verificação” e falsos selos/avisos da Meta a circular em 2026 (Meta Scam Prevention Hub; Malwarebytes; Forbes). Recuperação de conta comprometida da Meta (https://www.facebook.com/hacked) e Queixa Eletrónica do Ministério da Administração Interna (https://queixaselectronicas.mai.gov.pt).