Alguém entrou na minha conta de IA: como ver os dispositivos

Resposta rápida

Se você desconfia que alguém entrou na sua conta de IA (ChatGPT, Claude ou Gemini), o primeiro passo não é trocar a senha, é derrubar as sessões ativas: trocar a senha sozinha não expulsa quem já está logado, porque a sessão dele continua válida até você forçar o logout. No ChatGPT: Configurações > Segurança > “Log out all”. No Claude: Configurações > Conta > encerrar todas as sessões ativas. No Gemini (conta Google): myaccount.google.com > Segurança > Seus dispositivos > Gerenciar todos os dispositivos, e “Sair” no aparelho estranho. Depois de derrubar a sessão, troque a senha e ative a verificação em duas etapas, nessa ordem: sessão fora primeiro, senha nova depois, porque trocar a senha com a sessão do invasor ainda ativa não tira o acesso dele imediatamente em todas as plataformas.

Os sinais que denunciam a invasão antes de você mexer em qualquer coisa

Vale conferir estes quatro sinais antes de entrar em pânico ou de sair trocando tudo:

Histórico de conversa que você não reconhece: prompt sobre assunto que você nunca pesquisou, ou conversa em outro idioma.
E-mail de login de local ou aparelho estranho: a maioria das plataformas manda um aviso automático quando detecta acesso de um dispositivo novo, esse e-mail é a primeira pista.
Código de verificação chegando sem você ter pedido: se você recebe um SMS ou e-mail de “seu código é…” e não solicitou nada, alguém está tentando entrar com sua senha certa e só falta esse código.
Uso de créditos ou cota que não bate: em plano pago com limite de uso, um salto de consumo que você não fez é sinal de sessão estranha rodando em paralelo.

Se bateu qualquer um desses quatro, vale a pena seguir pro checklist. Se for só uma sensação vaga sem nenhum desses sinais, geralmente é sessão antiga esquecida num aparelho seu mesmo, dá pra conferir antes de se preocupar.

Passo a passo por plataforma: onde fica o botão que derruba a sessão

Plataforma	Caminho	O que você vê
ChatGPT	Ícone de perfil > Configurações > Segurança > Sessões ativas	Lista de dispositivos conectados; “Log out all” derruba todos de uma vez (pode levar até 30 minutos pra completar em todos os aparelhos)
Claude	Configurações > Conta (só funciona pela versão web)	Opção de encerrar todas as sessões ativas de uma vez
Gemini / conta Google	myaccount.google.com > Segurança > Seus dispositivos > Gerenciar todos os dispositivos	Lista com tipo de aparelho, navegador e localização aproximada de cada sessão; clique no aparelho estranho e escolha “Sair”

Dica prática: depois de derrubar as sessões, faça login de novo no seu próprio aparelho antes de trocar a senha, assim você confirma que ainda tem acesso normal antes de mudar a credencial.

Por que isso ficou tão comum: a senha reaproveitada é a porta de entrada

Não é falha específica de nenhuma das três plataformas, é um problema de senha. Segundo levantamento da Deepstrike, tentativas automatizadas com credenciais roubadas (a técnica chamada credential stuffing) já representam uma mediana de 19% de todas as tentativas de login em provedores de autenticação, ou seja, quase uma em cada cinco tentativas de entrar numa conta hoje é um robô testando senha vazada de outro site. Isso funciona justamente porque entre 80% e 85% das pessoas reutilizam a mesma senha em vários sites, segundo o mesmo levantamento. Se a sua senha do e-mail vazou num site qualquer há dois anos e é a mesma que você usa na conta de IA, é exatamente essa porta que abriu.

O Relatório de Investigações de Violação de Dados da Verizon (Verizon DBIR), uma das referências mais citadas em segurança da informação, aponta o abuso de credenciais como fator presente em cerca de 22% das violações de dados investigadas, reforçando que senha reaproveitada não é risco teórico, é o vetor de ataque mais comum na prática.

Depois de derrubar a sessão: os três passos que travam a porta de verdade

Derrubar a sessão resolve o agora, mas sem esses três passos o invasor volta a entrar com a mesma facilidade:

Troque a senha, e use uma diferente de tudo que você já usou. Se a senha antiga vazou num site qualquer, reaproveitar uma variação dela (trocar só um número no final, por exemplo) não resolve, porque listas de credenciais vazadas já testam variações óbvias.
Ative a verificação em duas etapas (2FA). É a barreira que faz uma senha vazada sozinha não bastar mais: mesmo com a senha certa, o invasor esbarra no código do seu celular ou do seu app autenticador.
Revise os apps e integrações conectadas à conta. Ferramentas de terceiros que você autorizou meses atrás (extensões de navegador, bots, integrações via API) continuam com acesso mesmo depois da troca de senha, e são um jeito comum de esquecer uma porta aberta.

Perguntas frequentes

Trocar a senha já é suficiente pra tirar quem entrou na minha conta?

Não sozinho. Em várias plataformas, a sessão que já está aberta continua válida por um tempo mesmo depois da troca de senha, porque o token de acesso da sessão não expira na hora. Por isso a ordem certa é derrubar as sessões ativas primeiro, e só depois trocar a senha.

Como sei se o acesso estranho é meu mesmo, de outro aparelho, ou é invasão de verdade?

A tela de dispositivos conectados mostra o tipo de aparelho, navegador e localização aproximada de cada sessão. Se aparecer um sistema operacional que você não usa, uma cidade onde você nunca esteve, ou um horário em que você certamente estava dormindo, é sinal forte de que não é você.

Preciso avisar a plataforma (OpenAI, Anthropic, Google) sobre a invasão?

Vale reportar, principalmente se envolveu dado sensível ou cobrança indevida. As três têm canal de suporte pra esse tipo de caso, e reportar ajuda a plataforma a bloquear o IP ou padrão usado no ataque antes que ele tente de novo.

A verificação em duas etapas realmente impede a maioria dos ataques?

Impede a grande maioria dos ataques automatizados por credential stuffing, porque esse tipo de ataque testa senha em massa sem ter acesso ao seu celular ou app autenticador. Não impede 100% dos casos (phishing avançado ainda pode contornar), mas é o passo de maior custo-benefício disponível hoje.

Minha conta de IA está vinculada ao e-mail, e se o e-mail também foi invadido?

Nesse caso o e-mail é a prioridade número um, porque quem controla o seu e-mail consegue redefinir a senha de praticamente qualquer conta vinculada a ele, incluindo a de IA. Proteja o e-mail primeiro (sessão derrubada, senha nova, 2FA ativado), depois volte pra conta de IA e repita o processo lá.

Uma conta invadida expõe mais do que o seu histórico pessoal

Se você usa IA no dia a dia de trabalho, uma conta invadida expõe também qualquer dado de cliente, contrato ou informação sensível que passou por ali em algum momento. Esse tipo de higiene de segurança, senha única por serviço, 2FA ativado, revisão periódica de sessões, é exatamente o tipo de prática que a gente reforça com quem usa IA profissionalmente na comunidade CPDF (Comunidade Profissionais do Futuro - por Danilo Gato), porque o custo de aprender isso depois de um incidente é sempre mais alto do que o de configurar antes.

Alguém entrou na minha conta de IA: como ver os dispositivos conectados e derrubar a sessão (2026)