Roubo de milhas pelo Instagram: como proteger sua conta

Postar tudo nas redes sociais virou rotina — e com Stories do Instagram, Reels, TikTok e status do WhatsApp, a tentação de compartilhar aquela foto do boarding pass antes do embarque ficou ainda maior. O problema continua o mesmo desde 2016, e em 2026 ficou ainda mais perigoso: cada foto de cartão de embarque exposta pode custar todas as suas milhas acumuladas em programas como LATAM Pass, Smiles, Livelo e TAP Miles&Go.

Como o golpe do boarding pass funciona

O alerta histórico veio do pesquisador alemão Karsten Nohl, em apresentação no Chaos Computer Club. Ele simplesmente buscou no Instagram a hashtag #boardingpass — comum em fotos de viagem — e, lendo o código de barras (ou o QR Code) de uma passagem aleatória, conseguiu acessar a conta de um desconhecido no programa de fidelidade da companhia aérea. Dali, conseguiria emitir passagens novas, trocar assentos, remarcar voos e até cancelar a viagem antes mesmo do passageiro perceber.

O ponto técnico é simples: o código de barras do bilhete carrega o localizador da reserva (PNR) e o número do programa de fidelidade. Com PNR + sobrenome, muitas companhias permitem login direto na reserva — sem senha. É essa porta que o criminoso atravessa.

Não são só as milhas: cartão de crédito também entra no risco

Com um pouco de engenharia social — uma ligação para a central da companhia se passando pelo passageiro, citando PNR, nome completo e trecho — é possível extrair dados parciais do cartão de crédito usado na compra, fazer upgrades pagos, contratar bagagem extra ou comprar serviços a bordo no nome da vítima. Em casos mais graves, criminosos já usaram o acesso para transferir milhas para contas-laranja e revendê-las no mercado paralelo.

O que mudou de 2017 para 2026

• QR Code substituiu o código de barras 1D na maioria das companhias, mas continua legível por qualquer leitor de celular.
• Programas vivos hoje: LATAM Pass (rebrand do Multiplus + TAM Fidelidade em 2020), Smiles (Gol), Livelo, TAP Miles&Go. O Avianca Amigo brasileiro foi extinto após a recuperação judicial da Avianca Brasil — quem migrou milhas foi quase todo mundo para o LATAM Pass.
• Autenticação em dois fatores (2FA) virou padrão nos principais programas — e ainda assim a maioria dos usuários não ativa.
• Mercado secundário de milhas profissionalizou: vender suas milhas em uma plataforma confiável como a BankMilhas é mais seguro do que deixá-las paradas em uma conta vulnerável.

8 dicas para proteger suas milhas em 2026

• 1. Nunca poste foto do boarding pass — nem com tarja preta amadora sobre o código de barras. Apps de edição comuns deixam metadados e a tarja muitas vezes não cobre o QR inteiro. Se quiser registrar a viagem, fotografe só o destino, a janela, o café do aeroporto.
• 2. Ative 2FA em todos os programas — LATAM Pass, Smiles, Livelo e TAP Miles&Go já oferecem autenticação por SMS ou app autenticador. Faça isso hoje.
• 3. Senha forte e única por programa — use um gerenciador de senhas (1Password, Bitwarden). Reutilizar a senha do e-mail no programa de milhas é convite ao desastre.
• 4. Monitore extratos com frequência — entre no app do programa pelo menos 1x por semana. Movimentação estranha tem que ser contestada em até 30 dias na maioria dos programas.
• 5. Fique atento à validade dos pontos — milhas paradas perdem valor com o tempo e algumas têm validade curta. Se você não vai usar nos próximos 12 meses, considere vender milhas Smiles, vender milhas LATAM Pass ou vender milhas TAP antes que expirem.
• 6. Desconfie de e-mails e SMS "da companhia" — phishing dispara antes e depois de voos. Companhia aérea nunca pede senha por e-mail.
• 7. Cuidado com Wi-Fi público de aeroporto — para acessar conta de milhas, use 4G/5G ou VPN. Wi-Fi aberto é caça-níquel para sequestro de sessão.
• 8. Venda milhas só em plataformas verificadas — BankMilhas usa autenticação dupla, contrato formal e pagamento garantido. Anúncios em grupo de WhatsApp são vetor clássico de golpe.

E se eu já postei a foto?

Apague o post imediatamente, troque a senha do programa de fidelidade, ative 2FA, entre em contato com a central da companhia e peça bloqueio preventivo da conta. Confira o extrato de milhas dos últimos 60 dias — qualquer transferência ou resgate não reconhecido deve ser contestado por escrito.

A regra de ouro é simples: trate seu boarding pass como trataria seu cartão de crédito. Ninguém posta foto do cartão de crédito no Instagram — e suas milhas valem, muitas vezes, mais do que o limite dele.