O celular que o(a) senhor(a) vendeu ainda está conectado às suas contas

O celular de dois anos atrás já está nas mãos de outra pessoa há muito tempo. Foi vendido, doado ou trocado, e primeiro foi redefinido para as configurações de fábrica. A maioria das pessoas considera que isso encerra o assunto.

O Google não. Sua página de ajuda lista os motivos pelos quais você pode não reconhecer um dispositivo em sua conta, e um deles é este: “Você redefiniu recentemente seu dispositivo para as configurações de fábrica. O dispositivo ainda pode aparecer.” A redefinição limpa o celular. Ela não apaga o registro em sua conta. O acesso pode perdurar além da vida útil do hardware, e o mesmo ocorre com um número de celular antigo.

A maioria das pessoas tem mais itens nessas listas do que imagina. Celulares antigos, um laptop de um antigo empregador, uma TV na qual se fez login uma única vez durante uma noite. Cada registro é um dispositivo que ainda pode acessar a conta.

Uma nova senha não desconecta todos os dispositivos

A suposição comum é que alterar uma senha desconecta todos os demais usuários. Isso ocorre em alguns serviços e não em outros, e a maioria dos provedores não menciona nada a respeito. As sessões ativas são o ponto fraco aqui. Um cookie de sessão roubado permite que um invasor acesse a conta sem a senha e sem a autenticação de dois fatores.

O Google é o mais claro entre eles. Altere sua senha nesse serviço e você será desconectado em todos os lugares, com três exceções: dispositivos que você usa para confirmar sua identidade ao fazer login, alguns dispositivos com aplicativos de terceiros aos quais você concedeu acesso à conta e dispositivos domésticos úteis aos quais você concedeu acesso à conta. Um alto-falante inteligente faz parte desse último grupo.

A Amazon também explica esse efeito, mas apenas na versão em inglês de suas páginas de ajuda: “Alterar sua senha fará com que você seja desconectado dos aplicativos e sites da Amazon em qualquer dispositivo que não seja um Kindle.” Os Kindles permanecem conectados.

A Netflix apresenta isso como uma caixa de seleção. Sua central de ajuda informa: “Recomendamos que você mantenha marcada a caixa ‘Sair de todos os dispositivos’”. Desmarque essa caixa e você alterará a senha enquanto todas as sessões continuam ativas.

A Microsoft, a Apple e o Instagram não mencionam nada sobre isso em suas páginas oficiais de ajuda. A Apple mantém as duas coisas separadas. Em seu guia para uma conta que possa ter sido invadida, a senha é a primeira etapa, e a remoção de dispositivos desconhecidos ocorre quatro etapas depois, como uma tarefa separada. Encontramos a mesma limitação recentemente com as senhas de aplicativos, que não são afetadas de forma alguma pela alteração da senha.

Portanto, não é possível confiar apenas na alteração da senha. É necessário verificar a lista de dispositivos de qualquer maneira.

Onde se encontram as listas de dispositivos

Cada serviço as oculta em algum outro lugar, e vários mantêm mais de uma lista. A visão geral abaixo leva você diretamente até lá. Dois deles oferecem um botão que desregistra tudo. Nos outros cinco, você deve desregistrar dispositivo por dispositivo.

O que as listas não revelam

Uma lista vazia ou curta não prova nada. A Netflix afirma abertamente que podem faltar dispositivos. Qualquer dispositivo que não tenha estado ativo nos últimos 90 dias não aparece de forma alguma, assim como os dispositivos usados apenas para jogos da Netflix ou apenas para acessar o Tudum. Um dispositivo pode levar até 48 horas para aparecer pela primeira vez.

A Microsoft indica o mesmo atraso de até 24 horas para sua própria lista, e leva o mesmo tempo para que um logout seja efetivado. O Xbox está isento disso e permanece conectado.

A Apple tem uma particularidade própria. Se remover um dispositivo que ainda esteja conectado à sua conta, ele reaparecerá. A página de ajuda explica da seguinte forma: “Se você ainda estiver conectado à sua Conta Apple no dispositivo, ele poderá reaparecer na tela da sua Conta Apple na próxima vez que o dispositivo se conectar à internet.” Um celular que você vendeu só desaparece de vez depois que você se desconectar do iCloud, Mídia e Compras, iMessage, FaceTime e Game Center nele, ou apagá-lo.

Os registros de data e hora também não são tão confiáveis quanto parecem. O Google destaca que a hora exibida pode ser resultado de uma sincronização em segundo plano, e não de alguém realmente usando o dispositivo. Um registro desta manhã não significa que alguém tenha segurado aquele celular nesta manhã.

O WhatsApp realiza a limpeza automaticamente, por meio de dois temporizadores distintos

O WhatsApp lida com dispositivos vinculados melhor do que os demais, pois o serviço realiza a limpeza por você. No entanto, existem dois temporizadores distintos, e eles costumam causar confusão. Se o seu celular principal ficar sem uso por mais de 14 dias, todos os dispositivos vinculados serão desconectados. Se um único dispositivo vinculado permanecer inativo, ele será desconectado após 30 dias. De qualquer forma, o WhatsApp não permite mais do que quatro dispositivos vinculados ao mesmo tempo.

Isso faz do WhatsApp a exceção. Nada expira automaticamente em nenhum dos outros serviços, ou pelo menos nada que eles documentem.

10 minutos, uma verificação

Analise os sete endereços da visão geral, um por um. Saia de cada entrada que não conseguir identificar imediatamente. Sair de um dos seus próprios dispositivos por engano custa a você um novo login. Deixar passar um que não seja seu custa mais caro.

Tenha três coisas em mente enquanto faz isso. Várias linhas com o mesmo nome de dispositivo podem pertencer a um único dispositivo ou a vários, e o Google recomenda que você saia de todas elas em caso de dúvida. Com a Apple, você também precisa sair no próprio dispositivo; caso contrário, a entrada reaparece. E, no caso da Microsoft e da Netflix, o logout só entra em vigor após algumas horas; portanto, uma segunda verificação imediata ainda mostrará o estado anterior.

Se surgir um dispositivo que não lhe diga absolutamente nada, o logout é apenas o primeiro passo. Em seguida, altere a senha e verifique suas configurações de autenticação de dois fatores.