Meu Mac foi hackeado? Como verificar e o que fazer

Hackeado, infectado ou golpe?

O que parece invasão normalmente é uma de três coisas diferentes, e cada uma tem sua solução:

• Um golpe: um pop-up no navegador, ou um e-mail dizendo que seu Mac foi hackeado ou que você foi gravado pela câmera. Nada mudou no seu Mac. Veja o golpe do Alerta de Segurança da Apple; um e-mail pedindo pagamento em bitcoin é sextorsão, e o certo é apagá-lo.
• Malware ou adware: página inicial ou mecanismo de busca alterados, anúncios onde antes não havia, apps que você não instalou. Veja como remover malware do Mac.
• Uma conta invadida: alertas de login, e-mails de redefinição de senha que você não pediu, mensagens enviadas em seu nome. Alguém tem sua senha, mas não necessariamente seu Mac. Comece pelo passo 6 abaixo.

Alguém realmente controlando um Mac é o caso mais raro. Normalmente começa com um app de suporte remoto instalado durante uma ligação falsa de suporte técnico, ou com alguém que teve o Mac nas mãos.

Sinais de que alguém tem acesso ao seu Mac

• O ponteiro se mexe, janelas se abrem ou texto é digitado sem que você esteja fazendo nada.
• Um app de controle remoto, como AnyDesk, TeamViewer ou uma ferramenta de compartilhamento de tela, que você não instalou ou que alguém pediu para você instalar durante uma ligação.
• Uma conta de usuário em Usuários e Grupos que você não criou, ou sua senha de repente não funciona mais.
• A luz verde da câmera ou o ponto laranja do microfone aparecem quando nenhum app que você abriu deveria estar usando esses recursos.
• Ajustes que voltam ao que eram depois que você os corrigiu, como o firewall desativado ou um perfil que você não consegue remover.

1. Desconecte-se da internet

Desligue o Wi-Fi ou desconecte o cabo antes de começar. O controle remoto e o envio de dados param, e quem estiver conectado não consegue ver o que você verifica nem desfazer suas mudanças. Religue só quando precisar, por exemplo para alterar as senhas no final.

2. Desative o acesso remoto

Abra Ajustes do Sistema › Geral › Compartilhamento. Desative tudo o que você mesmo não usa, especialmente Compartilhar Tela, Gerenciamento Remoto, Acesso Remoto, Compartilhar Arquivos e Eventos Remotos Apple. O Acesso Remoto permite que qualquer pessoa com a senha de uma conta execute comandos no seu Mac pela rede.

Depois procure em Aplicativos apps de controle remoto, como AnyDesk, TeamViewer, Splashtop, ConnectWise ou RustDesk. Se você não instalou algum deles por um motivo que conhece, feche-o e remova-o junto com os helpers dele; veja como desinstalar apps por completo.

3. Verifique as contas de usuário

Abra Ajustes do Sistema › Usuários e Grupos. Toda conta listada pode iniciar sessão no Mac, e um Administrador pode alterar qualquer coisa nele. Apague as contas que você não criou e confirme que só você é administrador. Depois altere a senha do seu Mac com Alterar Senha, caso alguém conheça a antiga.

4. Verifique quais apps podem observar ou controlar o Mac

Abra Ajustes do Sistema › Privacidade e Segurança e passe por estas listas. Desative, ou remova com o botão −, qualquer app que você não reconheça ou não use mais:

• Acessibilidade: o app pode controlar o Mac, clicar e digitar por você.
• Gravação do Áudio do Sistema e da Tela: o app pode ver tudo o que está na tela.
• Monitoração de Entrada: o app pode ler o que você digita, inclusive senhas.
• Acesso Total ao Disco, Câmera e Microfone.

Quando um microfone está em uso, um ponto laranja aparece na barra de menus; a câmera tem a luz verde dela. Abra a Central de Controle para ver qual app está usando esses recursos, ou qual os usou por último.

5. Verifique o que inicia com o Mac

Tudo o que mantém o acesso precisa se iniciar sozinho de novo depois de uma reinicialização. Verifique Ajustes do Sistema › Geral › Itens de Início de Sessão e Extensões e as pastas de launch agents, como descrito em como remover malware do Mac, e remova os perfis que você não instalou em Geral › Gerenciamento de Dispositivos. Depois faça uma verificação de malware.

6. Verifique suas contas, de outro dispositivo

1. Conta Apple: em account.apple.com, ou em Ajustes do Sistema abaixo do seu nome, veja Dispositivos. Remova os que não são seus e depois altere a senha. Se outra pessoa tiver a senha, ela pode ver suas fotos, mensagens e backups do iCloud, e bloquear seus dispositivos com o Buscar.
2. E-mail: confira a atividade recente de login e as regras de encaminhamento. Uma regra que encaminha seus e-mails para outro lugar é o jeito de um invasor continuar recebendo seus códigos de redefinição depois que você altera a senha.
3. Altere as senhas do e-mail, da Conta Apple, do banco e de todas as contas salvas no navegador, começando pelo e-mail, e encerre todas as outras sessões onde o site permitir.
4. Ative a autenticação de dois fatores em todos os lugares, de preferência com um app autenticador ou uma chave-senha em vez de SMS.

Faça isso de um celular ou de outro computador de confiança: se o Mac ainda estiver comprometido, as novas senhas digitadas nele também podem ser roubadas.

Se você deixou um golpista entrar no seu Mac

Se alguém que você não conhece teve controle remoto, por exemplo por meio de uma ligação falsa de suporte ou de um reembolso falso, considere que essa pessoa viu o que estava na sua tela e pode ter instalado algo para voltar. Se ela viu ou mexeu no internet banking, ligue primeiro para o seu banco. Depois siga todos os passos acima e considere apagar o Mac: faça backup dos seus documentos, escolha Ajustes do Sistema › Geral › Transferir ou Redefinir › Apagar Todo o Conteúdo e Ajustes e reinstale os apps pelos sites dos desenvolvedores.

Verifique seu Mac com o Tidy My Mac

• O Security Settings dá uma nota às proteções do seu Mac, entre elas o FileVault, o firewall, o Gatekeeper e a SIP, e explica como corrigir cada uma que estiver desativada.
• O Privacy Access lista em um só lugar todos os apps autorizados a usar a câmera, o microfone, a tela e os arquivos, e o Sudo Activity mostra os comandos executados com privilégios de administrador nos últimos 30 dias.
• O Antivirus procura malware e trojans de acesso remoto, o Startup Items mostra tudo o que inicia com o Mac, e o Firewall mostra quais apps se conectam para fora, e os bloqueia.