Conta Steam hackeada: como recuperar e o que trancar logo depois

Você tenta entrar e a senha não passa. Talvez tenha chegado um e-mail sobre uma alteração de segurança que você não fez. Talvez nem isso, porque o e-mail da conta já é outro. A vontade é clicar em redefinir senha até alguma coisa funcionar, só que a ajuda do Steam pede outra ordem, e é essa ordem que sigo aqui.

O texto é para quem perdeu o acesso: qual rota de ajuda escolher, o que o Suporte Steam aceita como prova de que a conta é sua e o que fechar primeiro depois de recuperá-la, para que a mesma pessoa não entre de novo. Se você ainda consegue entrar e o problema é uma troca que foi parar em outra conta, leia Golpe da chave de API do Steam: a troca foi para outra conta. Ele trata de sessões, senha e chave de API com a conta ainda nas suas mãos, e não repito isso aqui.

A base são páginas do Suporte Steam e o Acordo de Assinatura do Steam, lidos em inglês entre 31 de outubro e 1º de novembro de 2026. Os nomes de opções e menus que cito em português eu vi na versão em português do Brasil dessas páginas; o que não vi em português fica em inglês. Não abri telas que só aparecem com login (o gerenciamento do Steam Guard, o formulário de ticket) e não passei por uma recuperação de conta. Os exemplos são inventados e aparecem marcados assim. As imagens são maquetes desenhadas para explicar, não telas reais do Steam.

Primeiro, descubra onde exatamente você está travado#

O assistente de ajuda para entrar abre com quatro opções. Na versão em português do Brasil elas são: "Esqueci o nome de usuário e/ou senha da minha conta", "A minha conta Steam foi roubada e preciso de ajuda para recuperá-la", "Não estou recebendo o código do Steam Guard" e "Excluí ou perdi o autenticador móvel do Steam Guard". Na maquete estão em inglês, com a segunda em destaque.

Se a senha ou o e-mail mudaram sem você mexer, comece pela segunda. A trava, porém, pode estar em outro ponto, e as duas notas de baixo da maquete tratam disso.

Códigos que não chegam. A ajuda sobre o código do Steam Guard explica que o e-mail com o código vai para o último endereço cadastrado na conta e sugere olhar o spam e esperar até 30 minutos. Se o invasor trocou esse endereço, o código pode estar caindo na caixa dele, e meia hora de espera não muda isso. Nesse caso eu iria direto para a opção de conta roubada. A página não faz essa distinção; é avaliação minha.

Um código de autenticador que você não reconhece. Se você nunca teve o autenticador no celular e o Steam pede um código dele, dá para suspeitar que alguém colocou um autenticador na sua conta. Suspeitar, não concluir. O que torna a hipótese plausível é a página de restrições de troca e do Mercado: trocas criadas nos 7 dias seguintes à adição de um autenticador ficam retidas por até 15 dias, e a Valve diz que isso dá ao dono tempo de recuperar a conta caso alguém mal-intencionado adicione um. Para esse caso, a quarta opção (autenticador perdido) ou o Suporte.

Nenhum documento compara qual rota resolve mais rápido. Mandar problema de código para a terceira opção e problema de autenticador para a quarta é escolha minha.

E se trocaram tudo, e-mail, senha e telefone? A página Recovering a Stolen or Hijacked Steam Account diz que você sempre pode pedir a recuperação ao Suporte Steam, mesmo assim.

Antes de redefinir a senha, limpe o computador e o e-mail#

A página de conta roubada põe dois passos antes do botão. O 1º é passar um antivírus no computador, porque vírus, keyloggers e spyware podem roubar as credenciais da conta Steam, e isso deve ser feito antes de redefinir a senha. O 2º é trocar a senha do e-mail: contas Steam costumam ser comprometidas depois que o e-mail associado é comprometido, e a troca impede que o ladrão roube a conta de novo ou atrapalhe o atendimento do Suporte. Só então vem o botão "Redefinir senha". A maquete o mostra como Step 3, ao lado da frase "Only when both are done", só quando os dois estiverem feitos.

Senha nova digitada num computador infectado vaza junto. E, com o e-mail ainda nas mãos do invasor, ele redefine a senha do Steam quantas vezes quiser.

As Recomendações de segurança da conta ampliam a verificação para aplicativos maliciosos e extensões de navegador. Eu removeria qualquer ajudante de troca ou extensão instalada há pouco tempo, seja qual for o resultado do antivírus.

Sem acesso ao próprio e-mail, o primeiro passo é a recuperação no provedor de e-mail. A documentação do Steam não cobre esse processo.

Na busca da conta, digite o seu e-mail, não o do invasor#

O link de redefinição leva a uma etapa chamada Find Account, que pede "Enter your email address or phone number", um e-mail ou um número de telefone. Abri essa página em inglês e sem login; as etapas seguintes exigem dados da conta e eu não as vi. Na maquete, o formulário tem um título de troca de senha e um botão Search, e o endereço digitado é inventado.

Talvez você pense que, se o invasor mudou o e-mail, seria preciso saber o endereço novo. A página sobre contas roubadas diz o contrário: na busca, o sistema de recuperação pede o seu endereço de e-mail, não o e-mail atual da conta. Com o seu, o Steam consegue identificar a conta ou oferece outras formas de localizá-la se o e-mail foi alterado. A mesma página dá uma dica para quem empaca: confira se está digitando a informação que o Steam pede em cada etapa.

Telefone cadastrado abre mais caminhos. A FAQ do autenticador móvel diz que um número na conta dá mais opções de recuperação, incluindo redefinir a senha por SMS.

Quando parar e abrir um ticket, os documentos não dizem. Meu critério: se a busca com o seu e-mail e o seu telefone não acha a conta, ou se os códigos só vão para endereços e números que você não alcança, repetir a tela não vai mudar o resultado. Nenhuma fonte diz que pedir a redefinição várias vezes acelera alguma coisa.

A redefinição tem custo, e a maquete o mostra embaixo do formulário. Pela página de restrições, uma redefinição feita pelo site de ajuda ou pelo Suporte bloqueia trocas e o Mercado da Comunidade por 5 dias, ou por 30 dias se a conta ficou mais de dois meses sem atividade. Trocar a senha pelas configurações do cliente é outra coisa e não entra nessa regra, mas quem está fora da conta só tem a redefinição.

Prova de propriedade: o que mandar depende de como você pagou#

Se a recuperação por conta própria não fecha, o Suporte Steam verifica que a conta é sua e a recupera. A página sobre contas roubadas pede o máximo possível de três coisas: prova de propriedade, qualquer nome de login que a conta possa ter tido e qualquer e-mail que possa ter sido usado nela. O texto em inglês diz "any possible", e eu leio isso como um pedido para listar todos os candidatos de que você lembra, não só aquele de que tem certeza. A maquete traz esse lembrete embaixo da tabela.

O que conta como prova está em Providing Proof of Ownership: informação de pagamento já usada na conta, ou códigos de produtos de varejo ativados no Steam. Cada forma de pagamento abre um item próprio. Abri cinco, na versão em inglês:

A lista da Valve ainda tem métodos de transferência bancária, Culture Voucher e Degica Mobile. Não abri esses itens. Se você pagou por um deles, leia direto na página.

Duas coisas na tabela mudam o que você faz. A CD key e o código da Carteira só viram prova com o número do ticket escrito à mão na foto, então o ticket vem primeiro e a prova depois; a própria página termina cada item pedindo que você crie ou atualize o ticket. E do cartão só se pedem os últimos 4 dígitos, o que a maquete marca em vermelho. Quem pede o número inteiro está fora do formato que o Suporte definiu. O número de ticket que aparece na maquete é fictício.

Um exemplo inventado. Anos atrás você comprou um jogo com cartão de crédito. Depois disso, só usou códigos da Carteira comprados em loja, e os recibos foram para o lixo. A prova que sobra é o cartão: ache no aplicativo do banco ou na fatura qual cartão tem a compra do Steam e anote bandeira, nome, endereço de cobrança e os 4 últimos dígitos. Sem o recibo, o código da Carteira não tem onde receber o número do ticket. Se algum jogo foi ativado por código digital, procure o e-mail da loja que mandou o código. Imagino que várias provas pesem mais que uma, mas a página não fala em quantidade.

Agora o que esta página não cobre. Ela só lista pagamentos e códigos de produto; histórico de jogo e outras evidências não aparecem. Se a conta nunca teve compra nem código ativado, não sei dizer o que funciona. E a página não dá prazo para a verificação do Suporte.

Se o que trava o login é um autenticador, a prova é a mesma. Segundo a FAQ do autenticador móvel, sem o celular e sem o código de recuperação, o autenticador só sai com ajuda do Suporte, e quem não tem acesso ao e-mail atual da conta deve incluir a prova de propriedade no ticket. Se a operadora conseguir um chip novo com o mesmo número, a recuperação por SMS volta a funcionar.

E atenção ao lugar onde esses dados entram. As Recomendações de segurança da conta dizem que o Suporte Steam não usa a lista de amigos e não pede CD key nem dados de compra com cartão, a não ser que você tenha aberto contato pelo sistema de Suporte. Bandeira, final do cartão e endereço vão só no ticket que você abriu em help.steampowered.com.

Outro exemplo inventado, agora do ticket inteiro: dois ou três nomes de login possíveis, todos os e-mails que você já usou na conta, o horário em que notou o problema, os e-mails de alerta de segurança que recebeu e pelo menos uma prova da tabela. Horário e e-mails de alerta são acréscimo meu, não exigência da página. Podem ajudar a contar o que aconteceu, mas não substituem a prova de propriedade.

Quem oferece recuperar sua conta pelo chat não é o Suporte#

A página que uso aqui, Scam: I Have Been Reported, trata do golpe da denúncia falsa. Aplicar as regras dela a quem aparece oferecendo recuperação é leitura minha. Segundo ela, funcionários da Valve nunca falam sobre a sua conta por chat, nem Steam Chat nem Discord, e só se fala com o Suporte pelo site de ajuda. Ela lista como sinais de golpe alguém dizer que representa o Suporte, pedir um código de autenticação que o Steam mandou por e-mail, SMS ou app, e exigir uma compra ou um código de gift card do Steam para "verificar" a propriedade. Dizer que a conta não pode mais ser recuperada porque já trocaram tudo também é parte do golpe, e é falso. Esses são os quatro sinais da maquete; os 50 dólares da conversa são inventados.

O golpe pode vir de dentro do próprio Steam: alguns malwares bloqueiam a biblioteca e mostram um alerta mandando falar com um agente por chat. Alerta legítimo leva a help.steampowered.com, qualquer outro é falso, e o malware precisa sair. Se isso aparecer no meio da recuperação, volte à verificação do computador.

Mensagem desse tipo vinda de um amigo? A conta dele provavelmente foi roubada, e a página pede que você a denuncie.

Recuperou a conta? Feche as portas nesta ordem#

Ter a senha de volta não quer dizer que o invasor saiu. Podem ter ficado dispositivos que ele autorizou, um autenticador ou um telefone dele, um e-mail de contato trocado. Esta é a ordem que proponho, a mesma da maquete.

1. Desautorize todos os dispositivos. A FAQ do Steam Guard diz que, se a conta foi comprometida, você deve desautorizar todos os computadores autorizados pelo Steam Guard, pela página de detalhes da conta, em "Gerenciar Steam Guard". Isso desautoriza todos os computadores e aparelhos com acesso à conta. Cada um passa a parecer um dispositivo novo no próximo login e vai pedir um código do Steam Guard, como diz a maquete. As Recomendações de segurança da conta descrevem a mesma situação com outros nomes: verificar os dispositivos autorizados e usar a opção "Finalizar todas as sessões". Siga o nome que aparecer na sua tela. Não vi a página Gerenciar Steam Guard com login; sem login, o endereço mostra só o formulário de entrada. 2. Veja com quem está o autenticador. A FAQ do autenticador móvel diz que uma conta só fica num autenticador por vez. Se o app no seu celular não mostra códigos para essa conta, desconfie que o autenticador foi movido para outro aparelho ou removido; isso é dedução minha, não está nos documentos. Um autenticador do invasor que bloqueia o login sai pela opção de autenticador perdido ou pelo Suporte, e a remoção traz 15 dias sem trocas e sem Mercado. Quando você adicionar o seu, as trocas criadas nos 7 dias seguintes ficam retidas por até 15 dias. A diferença entre mover e remover está em Celular novo e autenticador da Steam. 3. Confira se telefone e e-mail são seus. Pela FAQ do autenticador, o número fica em Contact Info, nos detalhes da conta, e só um número pode estar ligado a cada conta. O e-mail confirmado aparece como "Verificado" na página de configurações da conta, segundo a FAQ do Steam Guard. 4. Pegue de novo o código de recuperação. Ele fica no Steam Mobile App, na tela do Steam Guard, no ícone de engrenagem, em Recovery Code. Os códigos de backup saem em detalhes da conta, em "Gerenciar Steam Guard", depois de um código por SMS. A FAQ pede que você os imprima, sem salvar no computador nem tirar captura de tela. 5. Olhe a chave de API e as confirmações pendentes. Onde fica a chave e como decidir está na seção sobre sessões, senha e chave do texto do golpe da chave de API. Confirmação que você não criou: abra e cancele, como pede a página de confirmações de troca e do Mercado.

Os dispositivos vêm primeiro porque, enquanto a sessão do invasor continua aberta, ele pode desfazer qualquer coisa que você ajuste nos passos 2 a 5. Essa ordem é minha, a Valve não define uma. E ela tem custo: pela página de restrições, um dispositivo recém-autorizado fica 7 dias sem trocas e sem Mercado. Quem já tem um autenticador móvel na conta há pelo menos 7 dias não sofre essa restrição.

Depois, o login salvo. Pela FAQ do autenticador, quando você pede para lembrar o login, o Steam só pergunta a senha de vez em quando, e dá para desligar isso na aba de segurança das configurações do cliente. A FAQ do Steam Guard explica que um malware pode entrar na conta a partir de um dispositivo já autorizado. Num computador em que você não confia por completo, eu não salvaria o login. E se você esqueceu de sair num computador público ou numa LAN house, as Recomendações de segurança da conta mandam desautorizar esse computador na hora.

Recarga na Carteira fica para depois. As mesmas Recomendações dizem que alguns malwares aguardam até a conta valer o ataque, por exemplo quando há saldo na Carteira Steam. Minha conclusão: nada de recarga antes de terminar a verificação do computador, o e-mail e a desautorização dos dispositivos.

Uma diferença com outro texto do site. Por que o Steam retém trocas por até 15 dias põe a revogação da chave de API antes da verificação dos dispositivos na lista de emergência. Aquela lista é para quem ainda controla a conta e tem uma troca retida. Quem acabou de recuperar a conta parte de outro ponto, e aí eu começaria pelos dispositivos.

Se foi o Suporte que restaurou a conta, pode aparecer mais uma coisa. Segundo a FAQ do Steam Guard, logo depois da restauração o Steam pode dizer que o Steam Guard não está ativado e o botão para ativá-lo não aparecer; a saída é reiniciar o Steam. Não deixe assim. Conta sem o Steam Guard ativado há 15 dias, ou com ele desligado, não troca nem usa o Mercado.

Itens, Carteira e restrições: o que dá para esperar#

Itens que já saíram não voltam. A página sobre contas roubadas manda as dúvidas sobre itens para a política de restauração de itens, que não restaura itens que deixaram a conta por qualquer motivo. A razão dada: eles podem ter passado por várias mãos, e devolvê-los exigiria duplicar itens ou tirá-los de usuários inocentes. A exceção estreita da proteção de trocas do CS2 está em O que conferir antes de aprovar uma troca Steam.

Itens que ainda não saíram são outra história. A mesma política explica que, em contas sem autenticador, trocas e anúncios no Mercado ficam retidos por 15 dias para o dono descobrir e cancelar o que estiver pendente se a conta for invadida. Somam-se a isso as retenções de até 15 dias das trocas criadas nos 7 dias depois de adicionar um autenticador. Itens de Counter-Strike 2 ficam de fora: pela página de itens com proteção de troca, eles não passam por retenção de troca nem por custódia e são trocados na hora, seja qual for a proteção da conta. Para o CS2 não existe a janela de 15 dias, só a reversão de 7 dias da proteção de trocas do link acima. Para os outros itens, ao recuperar a conta, olhe as trocas retidas antes de tudo. Cancelar uma troca aceita que está retida deixa a conta 7 dias sem trocar, e esse é o preço de manter os itens.

A Carteira é o ponto mais incerto. O Acordo de Assinatura do Steam diz que o titular da conta responde pelas cobranças feitas por qualquer pessoa que use a conta; que a Valve não responde pelo uso fraudulento do login, salvo por negligência ou culpa dela; e que você deve avisar a Valve sem demora se achar que suas credenciais foram comprometidas. Em nenhuma página da Valve que li encontrei frase dizendo que o saldo gasto por um invasor é devolvido. Também não encontrei frase dizendo que não é. O que eu sugiro é relatar o gasto não autorizado no ticket, como diz a nota da maquete. Nenhum documento diz o que isso muda.

Antes de pedir estorno ao banco, saiba de uma regra. Pela página de restrições, para usar o Mercado a conta precisa de uma compra bem-sucedida com mais de 7 dias e menos de um ano. Uma compra estornada (chargeback) zera essa contagem, e só valem as compras feitas depois do estorno mais recente.

As restrições que podem aparecer depois da recuperação, todas da página de restrições de troca e do Mercado (o calendário de cada uma é explicado na seção sobre troca de dispositivo e redefinição de credenciais do texto sobre a retenção de 15 dias):

O Suporte Steam não altera restrições de troca nem do Mercado, sejam quais forem as circunstâncias, e a maquete repete isso embaixo da tabela. A página não diz se restrições sobrepostas se somam ou se vale só a mais longa. O motivo costuma aparecer quando você tenta iniciar uma troca ou uma ação no Mercado; guie-se por ele.

Falta o Steam Guard. Se você ativou há pouco o Steam Guard por e-mail, fica 15 dias sem Mercado, e remover ou desativar e reativar o Steam Guard dispara a mesma restrição. Se adicionou um autenticador numa conta que já tinha o Steam Guard por e-mail, não há restrição nova além das retenções dos 7 dias. Se a conta não tinha proteção nenhuma, são 15 dias sem trocas e sem Mercado. Se o invasor desligou o Steam Guard, só olhando a conta depois da recuperação você vai saber.

Antes de dar por encerrado#

Cinco perguntas, as mesmas da maquete. Você verificou o computador e trocou a senha do e-mail? Desautorizou todos os dispositivos? O autenticador e o telefone estão no seu celular e no seu número? O código de recuperação está anotado? As trocas retidas e as confirmações que você não reconhece foram conferidas?

Depois, fique de olho na caixa de entrada por alguns dias. As Recomendações de segurança da conta dizem que o Steam avisa por e-mail sobre mudanças de segurança. Um aviso de mudança que você não fez é sinal de que ainda há uma porta aberta.

O resto é hábito. A página de phishing de conta diz que os logins oficiais do Steam ficam em steampowered.com ou steamcommunity.com, e que o Steam Guard não deixa a conta totalmente a salvo de phishing. Se você perdeu a conta numa página de login falsa, trocar senha e autenticador não adianta se você digitar tudo na mesma página de novo. Minha recomendação: abra páginas de login digitando o endereço ou pelos favoritos, em vez de clicar em link recebido.

Ficam em aberto quatro perguntas que as páginas que li não respondem: quanto tempo leva a verificação do Suporte (uma das duas da maquete), o que serve de prova para uma conta sem compras nem códigos, o que acontece com o saldo da Carteira gasto pelo invasor (a outra da maquete) e quanto dura o total quando várias restrições se sobrepõem. Não preenchi essas lacunas com palpite.