A Microsoft devolveu a conta do meu filho. Não deveria ter exigido 60.000 visualizações.

A conta voltou. O processo de recuperação ainda precisa funcionar quando ninguém importante está olhando.

Há algumas semanas, escrevi sobre o que aconteceu depois que a conta Microsoft do meu filho foi tomada. A versão curta era feia: um invasor assumiu o controle da conta, alterou as informações de recuperação, e o processo de recuperação de conta da Microsoft me deixou tentando provar que a conta do meu próprio filho realmente pertencia a ele. Forneci provas extensas, segui as instruções que a Microsoft me deu, e então o processo de suporte simplesmente desapareceu.

Escrevi sobre essa experiência em A recuperação de contas da Microsoft é teatro de segurança. Aquele post acabou recebendo mais de 60.000 visualizações.

Então aconteceu algo interessante. Alguém em uma posição bastante alta na Microsoft visualizou meu perfil no LinkedIn. Eu percebi e, em 1º de setembro, mandei uma mensagem e perguntei diretamente: Você está olhando meu perfil por causa do meu post no blog? Ele disse que sim. Aquela mensagem mudou tudo.

A linha do tempo conta a história

Entrei em contato com a Microsoft pela primeira vez sobre a invasão da conta em 13 de agosto de 2026.

Em 14 de agosto, a equipe de suporte original me enviou isto:

Se você responder a este e-mail nos próximos 7 dias com informações adicionais, terei o maior prazer em continuar minha investigação.

Então fiz exatamente isso. Em 15 de agosto, apenas um dia depois, respondi com uma montanha de informações e provas adicionais. Depois disso, não ouvi mais nada: nenhuma pergunta de acompanhamento, nenhuma explicação, nenhuma confirmação de que a investigação havia continuado. A equipe simplesmente parou de se comunicar comigo.

Esse silêncio durou até 4 de setembro, quando finalmente recebi esta resposta:

Esta solicitação de serviço já foi resolvida e encerrada. Teremos prazer em ajudá-lo com sua nova solicitação; no entanto, não consigo reabrir esta solicitação de serviço encerrada. Você precisa criar uma nova solicitação de serviço entrando em contato com o Suporte da Microsoft, e alguém terá prazer em ajudá-lo.

Foi espantoso. Haviam me dito explicitamente que, se eu respondesse em sete dias com mais informações, a investigação continuaria. Respondi em um dia. Em vez disso, o caso aparentemente foi encerrado sem meu conhecimento, e fui ignorado por quase três semanas antes de me dizerem para começar de novo.

Respondi apontando a contradição. A Microsoft havia me pedido mais provas, prometido continuar investigando se eu as fornecesse em sete dias, recebeu tudo em um dia e, mesmo assim, encerrou o chamado em silêncio. Perguntei por quê e nunca recebi resposta.

Essa parte da história continua completamente inaceitável. Pessoas lidando com invasões de conta já estão em uma situação estressante. Encerrar uma investigação em silêncio depois de dizer explicitamente a alguém que ela tem um prazo para enviar mais provas, e depois não explicar o que aconteceu, não é assim que um processo de segurança ou de atendimento ao cliente deveria funcionar.

Enquanto isso, o LinkedIn funcionou melhor que o suporte da Microsoft

Enquanto a equipe de suporte original ainda estava em silêncio, percebi em 1º de setembro que um funcionário da Microsoft em posição bastante alta na organização havia visualizado meu perfil no LinkedIn. Dado o momento e a atenção que o post original havia recebido, eu tinha um bom palpite do motivo. Mandei uma mensagem direta perguntando se ele estava olhando meu perfil por causa do post. Ele respondeu no mesmo dia: sim.

Começamos a nos comunicar pelo LinkedIn, e ele foi extraordinariamente prestativo. Ele me conectou a uma equipe de escalonamento dentro da Microsoft, e o processo de recuperação recomeçou. Estruturalmente, o processo de escalonamento não foi dramaticamente diferente do que eu já havia passado. Eles faziam perguntas, eu fornecia provas, e eles analisavam as informações da conta para determinar a propriedade legítima.

Mas havia uma diferença enorme: desta vez, parecia que alguém estava realmente avaliando as provas que eu fornecia. Eles foram responsivos, se comunicaram comigo, fizeram perguntas de acompanhamento e pareciam considerar o histórico da conta e as informações que forneci, em vez de tratar o caso como uma lista de verificação binária.

E em 7 de setembro de 2026 a conta foi restaurada. Seis dias depois de eu contatar o funcionário da Microsoft no LinkedIn. Vinte e cinco dias depois do meu primeiro contato com o suporte da Microsoft. Eba!

A equipe de escalonamento foi excelente

Quero ser claro sobre esta parte, porque seria injusto colocar todos na Microsoft no mesmo saco. As pessoas que finalmente me ajudaram foram ótimas. O funcionário da Microsoft com quem me conectei pelo LinkedIn foi gentil, responsivo e genuinamente interessado em descobrir o que havia acontecido. A equipe de escalonamento tratou a situação com seriedade e, no fim, chegou ao resultado correto.

Até passamos um tempo tentando entender como a conta foi comprometida em primeiro lugar. Essa continua sendo a maior pergunta sem resposta. Como sou principalmente usuário de Mac e não passo nem de longe tanto tempo administrando máquinas Windows, o contato da Microsoft me deu algumas sugestões para investigar o computador do meu filho. A partir daí, usei o ChatGPT para ir consideravelmente mais fundo: examinar a máquina Windows, revisar configurações de segurança, procurar mecanismos de persistência, verificar softwares suspeitos e buscar evidências de que o próprio computador havia sido comprometido.

Até agora, não encontrei nada: nenhum malware óbvio, nenhuma ferramenta clara de acesso remoto, nenhuma evidência de que alguém tivesse controle persistente da máquina e nada que explique claramente a invasão. Isso torna alguma forma de engenharia social cada vez mais provável, embora eu ainda não consiga provar exatamente o que aconteceu. Meu filho não se lembra de ter feito nada que explique isso de forma óbvia, e os dados disponíveis da conta não me deram informações suficientes para reconstruir o ataque de maneira conclusiva. Continuo investigando.

A conta voltou. E agora é muito mais difícil de roubar.

Assim que recuperamos o acesso, reforcei consideravelmente a conta. Mais importante ainda, meu filho e eu tivemos uma conversa longa e muito direta sobre golpes modernos. Acho que pais de crianças tecnicamente sofisticadas podem subestimar isto: saber usar computadores não é a mesma coisa que entender o comportamento adversário na internet.

As crianças passam um tempo enorme em ambientes onde estranhos rotineiramente pedem que elas:

• Façam login em sites.
• Entrem em servidores do Discord.
• Instalem mods ou utilitários.
• Escaneiem códigos QR.
• Autentiquem contas de jogos.
• Digitem códigos de verificação.
• Sigam links enviados por chat.
• Conectem identidades da Microsoft, Google, Steam, Xbox, Roblox ou outras a serviços de terceiros.

A maioria dessas interações é perfeitamente legítima. Um invasor só precisa de uma que não seja. Então estamos mudando como a autenticação funciona na nossa casa. Meu filho agora vai usar um gerenciador de senhas exclusivamente para suas credenciais. Se uma senha não está no gerenciador de senhas, ele não deveria estar digitando. Se o gerenciador de senhas não reconhece um site como pertencente à credencial que ele espera usar, isso deve ser imediatamente um alerta de que algo está errado.

Isso não elimina phishing nem engenharia social, mas reduz drasticamente a quantidade de manuseio manual de credenciais e diminui nossa superfície de ataque. Também apertamos os mecanismos de recuperação e a autenticação sempre que possível.

Mas há um problema maior aqui

Obviamente estou feliz com o resultado. Meu filho recuperou a conta, as pessoas da equipe de escalonamento da Microsoft foram genuinamente prestativas, e alguém dentro da Microsoft se importou o suficiente com a situação para se envolver pessoalmente. Mas continuo voltando a uma pergunta desconfortável: O que teria acontecido se meu post tivesse recebido 60 visualizações em vez de 60.000?

O processo de suporte normal:

• 13 de agosto: entro em contato com a Microsoft.
• 14 de agosto: a Microsoft me pede mais provas e diz explicitamente que continuará investigando se eu responder em sete dias.
• 15 de agosto: forneço provas adicionais extensas.
• 15 de agosto a 4 de setembro: silêncio.
• 4 de setembro: a Microsoft me diz que o caso já havia sido encerrado e que preciso começar de novo.

O processo de escalonamento:

• 1º de setembro: percebo que um funcionário da Microsoft visualizou meu perfil no LinkedIn e entro em contato com ele.
• 1º de setembro: ele responde e começa a me conectar às pessoas certas.
• 7 de setembro: a Microsoft restaura a conta.

O caminho de escalonamento resolveu em seis dias o que o processo de suporte comum não conseguiu resolver em mais de três semanas. Essa é a verdadeira história aqui. Por acaso eu tinha uma plataforma. A história se espalhou. Alguém dentro da Microsoft notou, olhou meu perfil no LinkedIn, e por acaso eu percebi isso. Entrei em contato, ele respondeu, ele sabia com quem falar internamente, e a conta acabou sendo restaurada.

É uma cadeia de eventos notavelmente específica, e nada disso deveria ter sido necessário. As provas que dei à equipe de escalonamento não ficaram magicamente diferentes porque um funcionário da Microsoft viu meu post. Eu continuava sendo o mesmo pai. Continuava sendo a mesma conta. O histórico da conta continuava o mesmo. As circunstâncias da invasão continuavam as mesmas. O que mudou foi que alguém dentro da Microsoft, com capacidade de navegar pela organização, se interessou pelo caso.

Isso me preocupa muito mais do que se a minha história em particular teve um final feliz. Um sistema de recuperação de segurança precisa funcionar para a pessoa que não tem um blog, não tem 60.000 pessoas lendo sua história, não consegue encontrar um funcionário da Microsoft no LinkedIn e não tem conhecimento técnico suficiente para reconstruir históricos de login e eventos de segurança. Ele precisa funcionar quando ninguém importante está olhando.

A recuperação de conta faz parte do modelo de segurança

Minha crítica original à recuperação de contas da Microsoft não mudou fundamentalmente. Recuperação de conta não é apenas atendimento ao cliente. É um sistema de segurança. As empresas gastam um esforço enorme de engenharia protegendo a porta da frente com passkeys, MFA, análise comportamental, detecção de logins suspeitos, impressões digitais de dispositivos, pontuação de risco e sistemas de autenticação cada vez mais sofisticados. Mas em algum momento alguém perde o acesso, e nesse instante o processo de recuperação de conta se torna, na prática, o sistema de autenticação.

Ele precisa responder a uma pergunta extraordinariamente difícil: Quem deveria controlar esta conta? Errar em qualquer direção é desastroso. Torne a recuperação fácil demais e invasores podem roubar contas pelo atendimento ao cliente. Torne-a rígida demais e donos legítimos podem perder para sempre contas que podem conter anos de compras, e-mails, arquivos, histórico de jogos, identidades, assinaturas e dados da família.

É um problema difícil de engenharia. Mas "problema difícil" não pode virar desculpa para um sistema em que o melhor caminho para uma recuperação bem-sucedida é gerar atenção pública suficiente para que alguém sênior dentro da empresa note você.

A Microsoft acabou fazendo a coisa certa

Quero terminar esta atualização de forma diferente da primeira. A Microsoft finalmente resolveu o problema. As pessoas que me ajudaram foram profissionais, empáticas e eficazes. Agradeço ao funcionário da Microsoft que viu meu post, respondeu a um estranho no LinkedIn e ajudou pessoalmente a encaminhar isso dentro da empresa. Agradeço à equipe de escalonamento que revisitou as provas e restaurou a conta do meu filho. Eles merecem crédito por isso.

Mas o fato de o escalonamento ter funcionado também demonstra algo importante: a conta era recuperável. A Microsoft tinha informações suficientes para determinar que meu filho era o dono legítimo. O problema era levar o caso até um processo capaz de tomar essa decisão.

Essa é a parte que a Microsoft ainda precisa corrigir, porque o próximo pai ou mãe pode não ter um post viral. E recuperar a conta do seu filho não deveria exigir um.