Celular roubado: a ordem que salva o Telegram e o Pix

Um celular roubado com o Telegram aberto não pede código de login a ninguém. O ladrão não precisa de SMS, de senha nem de engenharia social: a sessão já está autenticada na tela, e o aplicativo do banco pode estar a um toque. Por isso o roubo do aparelho é um problema diferente da invasão remota da conta, e a ordem em que você corta cada acesso decide o tamanho do estrago.

Resposta primeiro: comece pelo que só você consegue fazer. De outro aparelho, ative a verificação em duas etapas e encerre a sessão do celular roubado no Telegram. Em seguida, dispare o alerta do Celular Seguro (se a linha estiver cadastrada), tire o aparelho do cadastro do seu banco, peça à operadora o bloqueio do chip e um chip novo com o mesmo número, e registre o boletim de ocorrência. Fontes lidas em 21/09/2026.

Celular roubado com Telegram aberto: por que é diferente da invasão

Resposta primeiro: na invasão remota, o golpista precisa arrancar o código de você e entra com uma sessão nova e fraca. No roubo, ele herda uma sessão antiga, com todos os poderes de dono.

A invasão pelo código, com a janela de 24 horas e o relógio de sete dias, está em conta do Telegram invadida. No roubo, a mesma regra das 24 horas joga contra você.

A página do método que encerra uma sessão, account.resetAuthorization, lista este erro: "You can't logout other sessions if less than 24 hours have passed since you logged on the current session." Em português: não é possível encerrar outras sessões se passaram menos de 24 horas desde o login na sessão atual. O celular roubado estava logado havia meses, então, na nossa leitura da documentação, ele passa nessa trava e pode encerrar as suas outras sessões. Já um celular novo, logado dez minutos depois do roubo, pode esbarrar nela ao tentar derrubar o aparelho roubado.

Vira uma corrida: ganha quem age primeiro a partir de uma sessão antiga. Um computador com o Telegram aberto há semanas é a sua ferramenta mais valiosa no dia do roubo.

O que fica aberto no aparelho, e qual corte fecha cada porta

Resposta primeiro: são seis portas, e cada uma tem um corte próprio. Nenhum corte fecha todas.

Porta aberta no aparelho	O que quem está com ele faz	Corte que fecha
Sessão do Telegram	Lê chats, posta no canal	Encerrar a sessão
Conta sem senha de duas etapas	Cria uma senha e te tranca	Ativar a senha antes
Conversa com o BotFather	Pega o token do bot	Novo token via /token
Chip no aparelho	Recebe SMS de login	Bloqueio da linha
App do banco	Pix até o limite vigente	Excluir o aparelho no banco
Aparelho (IMEI)	Usa rede móvel	Bloqueio total (IMEI)

A tabela é leitura nossa das fontes abaixo. Três linhas pedem explicação.

A senha de duas etapas que outra pessoa cria. O guia do protocolo de senha só manda informar a senha atual, ao definir uma nova, no caso descrito como "If a password is already set". Na nossa leitura, se a sua conta não tem senha, a sessão aberta no aparelho roubado pode criar uma sem conhecer nada. A partir daí, o seu próximo login pede uma senha que você não conhece, e a volta passa pela recuperação descrita no artigo sobre conta invadida. Com a senha já configurada, trocá-la exige a senha antiga.

O canal. Transferir a titularidade de um canal exige a senha de duas etapas. A página do método channels.editCreator lista os erros "You must enable 2FA before executing this operation." e "The password was modified less than 24 hours ago". Pela lista de erros: com a sua senha configurada, quem está com o aparelho não transfere o canal sem sabê-la; sem senha, precisaria criar uma e esperar 24 horas.

O bot. A documentação de bots diz que o token "can be used by anyone to control your bot", e que, se ele estiver comprometido, basta "use the /token command to generate a new one". Trocar o token leva dois minutos; depois, atualize a ferramenta que usa o bot.

Passo 1: o corte do Telegram, que só você faz

Resposta primeiro: senha de duas etapas primeiro, encerramento da sessão logo depois, sempre de outro aparelho já logado.

O FAQ oficial do Telegram, na resposta "Meu celular foi roubado. O que eu faço?", divide o caso em dois. Para quem tem o Telegram em outro dispositivo, a ordem é: ativar a Verificação em Duas Etapas em Configurações > Privacidade e Segurança ("Dessa forma, o número de telefone, por si só, não será suficiente para fazer login na sua conta"), e então ir em Configurações > Dispositivos (ou Privacidade e Segurança > Sessões Ativas) e encerrar a sessão do aparelho antigo. O FAQ explica por que a ordem é essa: "Quem tiver seu telefone não poderá fazer login novamente, pois não sabe sua senha."

A senha vem antes porque, com o chip ainda no aparelho, o código de login por SMS chega a quem está com ele, e a sessão derrubada voltaria.

Sem o Telegram em outro aparelho, o caminho é mais lento: o FAQ manda, antes de tudo, pedir à operadora o bloqueio do chip e um novo com o mesmo número, e só então entrar e encerrar a sessão antiga. Afinal, lembra a mesma resposta, "quem tiver o número tem a conta".

Caso de borda: com login recente no aparelho novo, a trava de 24 horas pode impedir o encerramento. A sessão roubada segue aberta até lá, e o estrago fica limitado ao que já estava configurado (senha de bloqueio e senha de duas etapas). Enquanto espera, troque o token do bot e avise a base por um canal reserva.

Passo 2: o alerta do Celular Seguro, que corta vários acessos de uma vez

Resposta primeiro: um alerta no Celular Seguro chega às operadoras e aos bancos parceiros ao mesmo tempo, desde que a linha esteja cadastrada no seu CPF.

Segundo o FAQ do programa, do Ministério da Justiça, o alerta pode ser emitido por você ou por uma pessoa de confiança. As operadoras bloqueiam a linha, o IMEI ou ambos, e os bancos parceiros bloqueiam o acesso aos aplicativos. Há duas opções:

• Modo recuperação: bloqueia a linha e as contas e mantém o IMEI ativo, para a polícia poder recuperar o aparelho se ele for ligado com outra linha.
• Bloqueio total: "bloqueia o aparelho (IMEI), a linha telefônica e as contas em instituições parceiras", o que dificulta a recuperação.

A escolha não tem volta pelo aplicativo: o FAQ diz que "não será possível fazer alterações ou desfazer a ação por meio do aplicativo Celular Seguro". Desbloquear exige ir à loja oficial da operadora e a cada banco.

Três limites mudam o plano de quem vende:

1. Só pessoa física. O FAQ diz que "o Celular Seguro é apenas para pessoas físicas". Na nossa leitura, conta bancária e linha em CNPJ ficam fora e seguem para os passos 3 e 4.
2. Titularidade igual. Se a linha não estiver cadastrada pelo CPF do titular na operadora, "NENHUM bloqueio será realizado pela operadora", nem da linha nem do IMEI.
3. Cadastro prévio. A Anatel registra que, no aplicativo, "é necessário que o usuário faça o cadastro prévio do aparelho e da linha telefônica". Sem cadastro, o alerta não é o atalho; vá direto ao banco e à operadora.

E as páginas do programa não incluem o Telegram entre os bloqueios: por isso o alerta vem depois do passo 1, não no lugar dele.

Passo 3: banco e Pix, excluir o aparelho roubado

Resposta primeiro: peça ao banco a exclusão do aparelho roubado do cadastro de dispositivos, mesmo que o alerta já tenha sido emitido. É o corte que vale para banco fora do programa e para conta PJ.

A Instrução Normativa BCB nº 491/2024 obriga a instituição a oferecer, no mínimo, inclusão e exclusão de dispositivo, e o art. 7º manda excluir, sem anuência do cliente, o dispositivo que "tenha sido roubado ou perdido;". Pelo parágrafo único, o aparelho excluído por esse motivo não inicia Pix nem dentro dos limites de dispositivo não cadastrado. A norma exige o gerenciamento, pelo menos, no aplicativo usado para Pix: com esse app em outro aparelho, você mesmo exclui; sem ele, use a central do banco.

Uma leitura que surpreende: o limite de R$ 200 por transação para aparelho novo, explicado em limite do Pix em celular novo, vale para "dispositivos de acesso que não estejam cadastrados". O seu celular é um aparelho cadastrado. Enquanto ele não sair do cadastro, essa trava não protege você.

O que protege, por enquanto, é o art. 2º da Resolução BCB nº 142/2021, que manda as instituições estabelecerem "limite máximo de R$ 1.000,00 (mil reais), por conta de depósitos ou de pagamento pré-paga, para o valor total das transações de pagamento realizadas no âmbito de um mesmo arranjo de pagamento no período das vinte horas às seis horas entre clientes pessoas naturais distintas, exceto empresários individuais;" e "prazo mínimo de vinte e quatro horas para a efetivação do aumento de limites para transações de pagamento a pedido do cliente, formalizado nos canais de atendimento eletrônicos disponibilizados pela instituição."

Os R$ 1.000 são o ponto de partida, não uma trava que ninguém mexe. O art. 3º da mesma resolução obriga o banco a facultar ao cliente limites específicos por período, "inclusive à solicitação do cliente de alteração do limite máximo" do período noturno (§ 3º), e o cadastro prévio de contas autorizadas a receber acima dos limites (inciso II). Se você já subiu o limite noturno ou cadastrou contas assim, o teto que vale na noite do roubo é o seu, não o da norma.

Um exemplo com horários, para uma conta de pessoa física roubada às 22h00:

Horário	O que acontece	Efeito no Pix da conta
22h00	Roubo, app do banco aberto	Limite noturno (padrão R$ 1.000, PF)
22h05	Pedido de aumento no app	Vale no mínimo às 22h05 do dia seguinte
22h30	Você exclui o aparelho	Aparelho não inicia mais Pix
06h00	Fim do período noturno	Volta o limite do dia

Sem o passo 3 até as 6h, a exposição passa a ser o limite diurno configurado. E o teto tem recorte: vale entre pessoas físicas distintas e exclui empresários individuais, então quem opera como MEI ou empresa não deve contar com ele. O banco pode ter limites próprios menores, mas a norma só garante o que está escrito.

Passo 4: operadora, bloqueio do chip e chip novo

Resposta primeiro: o bloqueio da linha impede que o chip receba SMS em outro aparelho, e o chip novo com o mesmo número devolve a você a chave da conta do Telegram.

A Anatel resume os dois bloqueios: o da linha "impede que ela seja usada em outro aparelho celular e gere custos indevidos", e o do aparelho, feito com o IMEI no Cadastro de Estações Móveis Impedidas (CEMI), "impossibilita que o dispositivo acesse as redes móveis brasileiras". Basta informar à operadora o número, a data e a hora do roubo e dados que confirmem a sua identidade.

Na nossa leitura, "redes móveis" importa: o texto não descreve bloqueio de Wi-Fi, mais um motivo para o passo 1 não depender do passo 4.

Aparelho com mais de um chip tem um IMEI por chip, e a Anatel manda bloquear todos. Linha em nome de empresa se resolve aqui. Para trocar de número em vez de recuperar o antigo, veja trocar o número do Telegram sem perder o canal.

Passo 5: o boletim de ocorrência

Resposta primeiro: registre o boletim na Polícia Civil, mesmo com o alerta já emitido.

O FAQ do Celular Seguro é direto: "A emissão do alerta por meio do aplicativo Celular Seguro não substitui o Boletim de Ocorrência." A Anatel também recomenda o registro. Guarde o protocolo do alerta, que as instituições parceiras podem pedir, e anote o que fez e a que horas (sessão encerrada, token trocado, aparelho excluído).

Celular roubado e Telegram: o que preparar antes do roubo

Resposta primeiro: seis ajustes de uma tarde mudam o pior caso, e quase todos só funcionam se feitos antes.

O FAQ do Telegram diz, sobre apagar o aparelho à distância, que "isso requer que você tenha se preparado com antecedência para esse caso". Vale para a lista toda:

1. Senha de bloqueio do Telegram. O FAQ a indica em Configurações > Privacidade e Segurança para que só você acesse a conta. Com a tela desbloqueada, é ela que separa o ladrão dos seus chats.
2. Verificação em duas etapas com e-mail de recuperação. Fecha a senha criada por outra pessoa e o SMS no chip. O e-mail de recuperação também precisa de senha forte e duas etapas, pede o FAQ.
3. Uma sessão antiga num computador. Pela trava de 24 horas, é o aparelho que derruba o celular roubado no mesmo dia.
4. Celular Seguro com pessoa de confiança. Cadastre a linha (no CPF do titular) e alguém que emita o alerta por você. A página do serviço no gov.br avisa que essa pessoa passa a ver o seu aparelho no perfil dela: "escolha com sabedoria". É gratuito.
5. Limites de Pix mais baixos. O art. 3º da Resolução BCB nº 142/2021 obriga o banco a permitir limites específicos por período. O aumento leva no mínimo 24 horas, prazo que também segura quem estiver com o aparelho.
6. Localização e apagamento remoto. A Anatel recomenda a ferramenta do fabricante para localizar, bloquear e apagar o aparelho. Anote também o IMEI (disque *#06#, ensina o FAQ do Celular Seguro), um por chip.

A conta do ajuste 5: reduzir o limite noturno de R$ 1.000 para R$ 200 corta 80% da perda máxima por Pix para pessoa física numa noite, até o aparelho ser excluído. O custo é pedir aumento com um dia de antecedência quando precisar.

Erros comuns

• Começar pela operadora tendo o Telegram em outro aparelho. Chip bloqueado não derruba sessão aberta.
• Achar que o Celular Seguro resolve tudo. Ele não cita o Telegram e depende de linha no seu CPF e de operadora da lista.
• Contar com o limite de R$ 200 do aparelho novo. O seu celular é cadastrado até sair do cadastro.
• Esquecer o token do bot. Ele controla o bot, e a conta roubada tem acesso ao BotFather.
• Avisar só no canal. Com a sessão roubada ativa, o aviso pode ser apagado. Use um canal reserva e a lista de assinantes fora do Telegram.

Conclusão

No celular roubado, o problema não é o código de login, é o que já estava aberto. A ordem: Telegram (senha de duas etapas e sessão encerrada, de um aparelho antigo), Celular Seguro, banco, operadora e boletim. E o que depende de preparo (senha de bloqueio, sessão no computador, cadastro no programa, limites menores) vale mais do que qualquer reação rápida.

Separe meia hora hoje para os seis ajustes e guarde este roteiro fora do celular. As outras camadas estão no guia de segurança para vender no Telegram, e se um roubo tirar o canal do ar por dias, o plano B está em conta banida no Telegram.

Na Afroditte, a venda cai por Pix direto na sua conta bancária, com taxa fixa de R$ 0,69 por transação e sem mensalidade; os cuidados da plataforma estão na página de segurança. Crie sua conta.