Alguém Mexeu no Seu PC? Como Ver o Histórico de Logins, Ligações e Desbloqueios do Windows

🕵️ O Windows Anota Quem Entra no Seu PC

O Windows mantém um registro detalhado de eventos chamado Log de Eventos. Ele anota, com data e hora, coisas como: o computador foi ligado, alguém entrou na conta, uma senha foi digitada errada, o sistema foi desligado. É o que os técnicos consultam pra investigar problemas — e é exatamente o que você precisa pra responder a pergunta “alguém mexeu no meu PC?”.

Neste passo a passo, você vai consultar esse registro de dois jeitos: pelo Visualizador de Eventos (com cliques) e pelo PowerShell (com um comando que já monta a lista pronta). No fim, vai ativar um registro extra de bloqueio e desbloqueio da tela e ver como se proteger pra que isso não se repita.

🗺️ Os Eventos Que Contam a História

O evento 4624 é o mais importante, mas tem uma pegadinha: o Windows registra também logons de serviços internos, várias vezes por minuto. Pra achar só os logons de gente, olhe o Tipo de Logon:

⏻ Quando o PC Foi Ligado e Desligado

Esse é o primeiro indício: se o PC foi ligado num horário em que você não estava, alguém mexeu. Abra o Terminal (não precisa ser administrador) e rode:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006} -MaxEvents 20 | Select-Object TimeCreated, @{n='Evento';e={ if ($_.Id -eq 6005) {'Ligado'} else {'Desligado'} }} | Format-Table -AutoSize

Pra saber só quando foi a última inicialização:

🖱️ Consultando pelo Visualizador de Eventos

1. Aperte Win + R, digite eventvwr.msc e dê Enter (aceite o pedido de administrador).
2. No menu da esquerda, abra Logs do Windows → Segurança.
3. No painel da direita, clique em Filtrar Log Atual….
4. No campo de IDs de evento, digite 4624,4625 e clique em OK.
5. Clique num evento e veja, na aba Geral, o Tipo de Logon e o Nome da Conta.

O Visualizador é ótimo pra olhar um evento específico com calma, mas pra ter a visão geral de dias inteiros, o PowerShell do próximo passo é bem mais prático — ele já filtra os tipos de logon que interessam.

📋 PowerShell: Lista de Quem Entrou e Quando

Abra o Terminal como administrador (Win + X → Terminal (Administrador)) — o log de Segurança só pode ser lido com privilégio de administrador. Depois rode:

$xp = "*[System[EventID=4624] and EventData[Data[@Name='LogonType']='2' or Data[@Name='LogonType']='7' or Data[@Name='LogonType']='10' or Data[@Name='LogonType']='11']]"
Get-WinEvent -LogName Security -FilterXPath $xp -MaxEvents 30 | Select-Object TimeCreated, @{n='Usuario';e={$_.Properties[5].Value}}, @{n='Tipo';e={$_.Properties[8].Value}} | Format-Table -AutoSize

O resultado é uma tabela com data e hora, o usuário que entrou e o tipo (2 = local, 7 = desbloqueio, 10 = remoto, 11 = credencial guardada). Compare com os horários em que você estava no computador.

🚫 Tentativas de Senha Errada (Evento 4625)

Alguém tentou adivinhar sua senha? As tentativas que falharam ficam no evento 4625:

Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4625]]" -MaxEvents 20 | Select-Object TimeCreated, @{n='UsuarioTentado';e={$_.Properties[5].Value}}, @{n='Tipo';e={$_.Properties[10].Value}} | Format-Table -AutoSize

Uma ou outra falha é normal (todo mundo erra o PIN às vezes). O que chama atenção é uma sequência de falhas em horário estranho, ou tentativas com nomes de usuário que não existem no seu PC — sinal de alguém tentando “chutar” o acesso, às vezes pela rede.

🔎 Outras Pistas: Arquivos Recentes e Navegador

Os eventos dizem quando alguém entrou. Pra ter ideia do que foi feito, existem outras pistas:

📝 Ativando o Registro de Bloqueio e Desbloqueio da Tela

Por padrão, o Windows não registra os eventos 4800 (tela bloqueada) e 4801 (tela desbloqueada). Com um comando, você ativa esse registro — assim, daqui pra frente, fica anotado cada vez que alguém desbloquear seu PC:

auditpol /set /subcategory:{0CCE921C-69AE-11D9-BED3-505054503030} /success:enable

O código entre chaves identifica a categoria “Outros eventos de logon/logoff” — usamos o código porque o nome muda conforme o idioma do Windows. Pra conferir se ficou ativo:

auditpol /get /subcategory:{0CCE921C-69AE-11D9-BED3-505054503030}

Depois disso, consulte os bloqueios e desbloqueios assim:

Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4800 or EventID=4801]]" -MaxEvents 30 | Select-Object TimeCreated, @{n='Evento';e={ if ($_.Id -eq 4800) {'Bloqueou'} else {'Desbloqueou'} }} | Format-Table -AutoSize

Pra desativar no futuro, é o mesmo comando do começo trocando /success:enable por /success:disable.

🔒 Como Impedir Que Isso Aconteça de Novo

• Win + L sempre que levantar da mesa — o atalho mais importante do Windows, como eu mostro nos 11 atalhos do Windows 11.
• Bloqueio automático: Configurações → Contas → Opções de entrada → Bloqueio dinâmico (tranca o PC quando o celular pareado se afasta) e proteção de tela com tempo curto.
• PIN ou senha que ninguém conhece — nada de data de nascimento. Dicas em crie senhas fortes.
• Conta separada pra cada pessoa da casa, e sem permissão de administrador pra quem não precisa.
• Windows Hello (rosto ou digital), quando o PC tiver suporte.

Se a desconfiança for de que alguém acessou suas contas (e não só o PC), confira também como ver e expulsar aparelhos logados no Google, WhatsApp e Instagram.

🔁 Tabela de Alternativas

🚧 O Que o Registro NÃO Mostra

• O log de Segurança tem tamanho limitado: eventos antigos são apagados automaticamente quando ele enche. Em PCs muito usados, pode guardar só alguns dias.
• Alguém com acesso de administrador pode limpar o log — mas a própria limpeza gera o evento 1102, que denuncia a ação.
• Os eventos mostram que houve acesso, não quem fisicamente estava sentado na frente do PC.
• O que foi feito dentro de cada programa não aparece aqui — pra isso, veja as pistas do Passo 5.

Mesmo com esses limites, o log costuma ser suficiente pra confirmar (ou descartar) a suspeita e decidir o próximo passo: trocar a senha, criar contas separadas ou ativar o bloqueio automático.

FAQ