A resposta curta
Um código de verificação é uma chave, não um lembrete de senha. Ele existe para que a pessoa que está entrando na conta prove que é o dono. Quando alguém que você não contatou pede que você compartilhe esse código, o pedido tem como objetivo acessar sua conta, por mais amigável ou oficial que o interlocutor pareça.
Códigos de verificação de conta são destinados ao processo de autenticação do próprio dono da conta. Fonte
Esse único fato resolve a maior parte da decisão. Você nunca precisa entregar um código de login a um interlocutor, porque o código não é para ele. É para a tela de login à sua frente.
Três situações parecidas, mas diferentes
A confusão geralmente vem de misturar três momentos distintos: um login que você iniciou, um código que outra pessoa quer e uma checagem sobre quem realmente está ligando. Cada um pede uma ação diferente.
| Situação | O que está acontecendo | O que fazer |
|---|---|---|
| Você abriu um login ou aplicativo e um código chega para concluir | Você é quem está entrando, e o código completa sua própria ação | Digite o código na tela que você abriu. Não encaminhe para ninguém |
| Um desconhecido liga e pede para você ler ou enviar um código | Outra pessoa está tentando concluir um login como você | Não compartilhe. Encerre o contato |
| Você quer confirmar se o interlocutor é genuíno | Você precisa de um canal em que já confia, não do número do interlocutor | Desligue e contate a organização por um canal conhecido |
A linha do meio é a que mais importa. O código só é útil para quem está tentando entrar na conta, então um pedido dele é um pedido de acesso.
Golpistas podem se passar por uma organização confiável e pedir o código para obter acesso à conta. Fonte
Por que o número do próprio interlocutor não resolve
Quem liga pode alegar ser de um banco, da equipe de suporte de uma plataforma ou de qualquer organização com que você lide. Identificador de chamada, número de protocolo ou tom calmo não provam quem está na linha. O movimento seguro é parar de usar o canal controlado pelo interlocutor e passar para um que você escolheu.
A FTC recomenda encerrar o contato não solicitado e ligar para a organização de forma independente, usando um extrato confiável ou o contato do aplicativo, e não o número fornecido pelo interlocutor. Fonte
É essa parte que as pessoas pulam. Desligar não basta se você depois ligar de volta para o número que o interlocutor passou, porque isso retorna para a mesma pessoa. Use uma via de contato que você já tinha: um extrato, um aplicativo, um contato salvo ou uma página oficial que você mesmo acessa.
Uma lista de verificação para usar na hora
- Pause a conversa. Não confirme, negue nem leia nada enquanto o interlocutor ainda está falando.
- Pergunte-se quem iniciou o login. Se você não abriu uma sessão de login, nenhum código deveria estar indo para ninguém.
- Encerre o contato não solicitado. Você não deve explicações a um estranho.
- Não use o número do interlocutor. Procure a organização por um canal em que você já confia.
- Contate a organização você mesmo e pergunte se há algum problema real com sua conta.
- Se um código chegou sem você ter pedido, trate isso como sinal de que alguém tentou entrar, e relate pelo canal confiável.
Vale separar o passo 6 dos demais. Um código que você não solicitou não é prova de invasão, mas é motivo para verificar por uma via que você controla, não pelo interlocutor.
Caminhos de erro a evitar
- “Vou só confirmar os primeiros dígitos.” Um código parcial ainda é parte da chave. Não compartilhe nenhum pedaço.
- “Liguei para o número que eles deram e confirmaram que era real.” Esse número leva de volta ao mesmo interlocutor. Não prova nada.
- “O interlocutor já sabia meu nome, então deve ser genuíno.” Conhecer detalhes sobre você não é prova de identidade, e não é motivo para compartilhar um código.
- “Vou compartilhar agora e trocar a senha depois.” Assim que outra pessoa conclui um login, a situação já mudou. Pare antes de compartilhar, não depois.
Nenhum desses caminhos exige que você saiba como funcionam os menus de uma plataforma específica. A decisão é tomada antes de qualquer menu importar: o código é para o dono da conta, e um desconhecido não é o dono da conta.
O que este guia não cobre
Algumas organizações usam processos de confirmação próprios quando você as contata primeiro. Eles não são a mesma coisa que um código de login chegando para uma sessão que você não iniciou, e este guia não trata toda etapa de confirmação de suporte como código de login. A regra aqui é estreita de propósito: um código para entrar na conta fica com quem está entrando.
Esta página também não cobre limpeza de conta depois de um susto, alteração de configurações ou verificação se um perfil é real. Essas são tarefas separadas.
Um próximo passo útil
A ligação costuma vir com uma história: uma mensagem, um perfil em rede social ou uma conta de suporte que se diz oficial. Se você quer examinar essa alegação em vez da ligação, a próxima tarefa é verificar se a conta de suporte é genuína. Nosso guia sobre verificar contas falsas de suporte ao cliente em redes sociais percorre essa questão separada.
Uma busca por nome de usuário pode ser um ponto de partida quando você está olhando um perfil que entrou em contato, mas uma correspondência pública é uma pista, não prova de quem está por trás. Trate como algo a verificar, não como confirmação.