Sua conta de rede social foi invadida? O que fazer nas primeiras horas e quando a plataforma pode responder

Conta invadida pede duas providências: tentar retomar o acesso e guardar a prova do que o invasor fez. Comece pelos canais oficiais de recuperação da própria plataforma e avise os contatos por outro meio, porque a conta invadida pode ser usada para pedir dinheiro a quem confia em você. A responsabilidade da plataforma, se houver, depende de a invasão decorrer de falha do serviço, e não de culpa exclusiva do usuário ou de terceiro.

Situação conferida em 18 de outubro de 2026.

O que fazer nas primeiras horas

• Use as ferramentas de recuperação da própria plataforma. O Ministério da Justiça e Segurança Pública indica esse caminho e orienta a não pagar resgate a fraudadores. Desconfie de quem cobra para devolver a conta.
• Avise amigos, familiares e clientes por outro meio de que o perfil foi invadido e de que pedidos de dinheiro ou ofertas feitos por ele não são seus. Se o caso envolveu Pix, pagamento ou dado bancário, avise logo a instituição financeira.
• Guarde a prova, sem adiar a recuperação do acesso. Tela inteira, com endereço da página, data e hora; avisos da plataforma sobre troca de senha ou de e-mail; mensagens do invasor; comprovantes de quem pagou. O Código de Processo Civil (CPC) dá valor de prova às fotografias extraídas da internet. Se a outra parte as contestar, a lei exige autenticação eletrônica ou, não sendo possível, perícia (art. 422, § 1º). A ata notarial, em que o tabelião atesta o que viu, não é obrigatória (art. 384). Pode ser eletrônica, pelo e-Notariado, sistema dos cartórios (Provimento 149/2023 do Conselho Nacional de Justiça, arts. 284 e 303).
• Registre boletim de ocorrência na Polícia Civil. Em Goiás, confira se o caso cabe na Delegacia Virtual. A página de perguntas frequentes da Polícia Civil, atualizada em 25 de junho de 2026, diz que ela não registra golpes e fraudes pela internet, mas outra página, de 2023, cita o estelionato (golpe). O boletim é prova e abre caminho para a guarda dos registros pela autoridade.

Os registros de acesso e quem pede

O Marco Civil da Internet (Lei 12.965/2014) manda o provedor de aplicações de internet (a empresa que oferece a rede social, de forma organizada, profissional e com fins econômicos) manter os registros de acesso por 6 meses (art. 15). A plataforma não entrega esses registros à vítima por pedido direto: só é obrigada a fornecê-los por ordem judicial (art. 10, § 1º).

• A autoridade. A autoridade policial ou administrativa e o Ministério Público podem pedir à plataforma que guarde os registros, inclusive por prazo maior (art. 15, § 2º). O pedido é deles, e não da vítima, e deixa de valer se, em 60 dias, a autoridade não pedir autorização judicial (art. 13, §§ 3º e 4º, a que remete o art. 15, § 2º). A entrega depende de autorização judicial (art. 15, § 3º), mas o pedido de guarda, segundo o Superior Tribunal de Justiça (STJ), não exige autorização prévia (Jurisprudência em Teses, edição 223, coletânea que orienta e não vincula, tese 4).
• O juiz. A parte interessada pode pedir ao juiz, num processo cível ou penal já aberto ou em ação própria, que ordene a entrega dos registros (art. 22). O pedido deve trazer fundados indícios do ilícito, justificativa da utilidade dos registros e o período a que se referem, ou não será admitido (art. 22, parágrafo único; tese 5 da mesma edição).

Pede-se o número de IP (o endereço que identifica uma conexão à internet). Segundo a tese 2 da edição 223, a plataforma não é obrigada a guardar e fornecer dados pessoais do usuário, porque o IP basta. O titular da conexão se descobre depois, na operadora de internet, que guarda os registros de conexão por 1 ano (art. 13). Identificar o invasor tem duas etapas e pode não chegar a ninguém.

Quando a plataforma pode responder

A falha de segurança como defeito do serviço. O Código de Defesa do Consumidor (CDC) faz o fornecedor de serviços responder, mesmo sem culpa, pelos danos causados por defeitos na prestação (art. 14). O serviço é defeituoso quando não oferece a segurança que o consumidor dele pode esperar (art. 14, § 1º). A rede social é serviço mesmo sem cobrança: no Recurso Especial (REsp) 1.316.921/RJ, o STJ entendeu que a ausência de preço não afasta a relação de consumo, porque "mediante remuneração" inclui o ganho indireto do fornecedor. O caso era de site de busca, e o recurso da empresa foi provido (aceito): só essa premissa serve aqui. Se o perfil é usado em atividade econômica, a plataforma pode contestar a relação de consumo, pois o CDC fala em "destinatário final" (art. 2º).

O que a plataforma alega. Ela se livra provando que o defeito não existe ou que a culpa foi exclusiva do consumidor ou de terceiro (CDC, art. 14, § 3º), e a prova cabe a ela. Na decisão da 3ª Turma Recursal adiante, a empresa alegou eficácia do sistema, negligência do usuário e culpa exclusiva de terceiros. A discussão central é se o sistema ofereceu a segurança esperada ou se o acesso foi aberto pelo próprio usuário, como ao entregar um código de verificação a um golpista. A Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) segue a mesma lógica: é irregular o tratamento de dados sem a segurança que o titular (a pessoa a quem os dados se referem) pode esperar (art. 44), quem trata os dados deve adotar medidas contra acessos não autorizados (art. 46) e a culpa exclusiva do titular ou de terceiro afasta a responsabilidade (art. 43, III). Dever de segurança não é responsabilidade automática, e o escritório não localizou precedente do STJ sobre a alegação de culpa do usuário.

O que o Tribunal de Justiça de Goiás (TJGO) decidiu. As duas decisões das turmas recursais (as que julgam os recursos dos Juizados Especiais) que o escritório conferiu reconhecem a relação de consumo e divergem sobre o dano moral.

• A 3ª Turma Recursal (Recurso Inominado 5247497-97.2023.8.09.0101, Relatora: Juíza Ana Paula de Lima Castro, documento publicado em 5 de fevereiro de 2024) tratou a invasão como falha do serviço por vulnerabilidade do sistema, registrou que cabe à empresa provar o que a livraria da responsabilidade e considerou configurado o dano moral, diante do conjunto do caso: perda de acesso a outros serviços, anúncios fraudulentos e transferência feita por seguidor.
• A 4ª Turma Recursal (Recurso Inominado 5240514-61.2023.8.09.0108, Relator: Juiz Pedro Silva Corrêa, documento publicado em 16 de outubro de 2023) tratou de perfil profissional e afastou o dano moral: a conta fora restabelecida, e a perda temporária do controle do perfil, por si só, não o gera, cabendo ao usuário provar o prejuízo adicional.

O escritório não localizou, até outubro de 2026, acórdão (decisão de tribunal) do STJ sobre invasão de conta de rede social. As decisões acima não obrigam outros juízes (não são súmula nem precedente vinculante), e a busca pública não esgotou 2025 e 2026. Nada autoriza dizer que a plataforma sempre indeniza, nem o contrário: pesa a prova do que a invasão causou, como clientes ou vendas perdidos e golpe aplicado a terceiros. Para o perfil que vende, o prejuízo pode ser de lucros cessantes (o que se deixou de ganhar; Código Civil, arts. 402 e 403), provado com o histórico de vendas.

O aviso de incidente. A LGPD manda o controlador (quem decide sobre o tratamento dos dados) avisar a Autoridade Nacional de Proteção de Dados (ANPD) e o titular de incidente de segurança que possa causar risco ou dano relevante (art. 48), em 3 dias úteis de saber que ele afetou dados pessoais (Resolução CD/ANPD 15/2024, arts. 6º e 9º). É dever da plataforma, que nasce com incidente confirmado e relevante, e não prazo para devolver a conta nem aviso que toda vítima possa exigir.

As publicações que o invasor deixou no ar. O Supremo Tribunal Federal (STF) fixou, no Tema 987 de repercussão geral (tese reajustada em 17 de junho de 2026, com trânsito em julgado: definitiva), que o provedor responde de forma solidária (junto com quem publicou), nos termos do art. 21 do Marco Civil, por conteúdo de terceiros em casos de crime ou ato ilícito, sem prejuízo do dever de remover, salvo dúvida razoável quanto à ilicitude (item 3). Nos ilícitos contra a honra vale o art. 19, que exige ordem judicial, sem prejuízo da remoção por notificação extrajudicial (item 3.2). Em anúncios e impulsionamentos pagos, presume-se a culpa do provedor, afastável por prova de diligência (item 4). A tese afasta a responsabilidade objetiva, a que dispensa culpa (item 11). Vale a partir de 5 de agosto de 2025, mas alcança também os atos continuados ou permanentes (item 13). Não menciona a invasão de conta nem a falha que a permitiu.

E a vítima, responde pelos golpes feitos em seu nome?

Em regra, o Código Civil só obriga a reparar quem, por ação ou omissão voluntária, negligência ou imprudência, viola direito e causa dano (arts. 186 e 927, caput). Quem teve a conta invadida não é, só por isso, autor do golpe, mas quem pagou ao invasor pode discutir se o titular foi negligente, e cada situação depende da prova de que ele avisou os contatos, registrou o fato e agiu para retomar o acesso. O escritório não localizou precedente do STJ ou do TJGO sobre a responsabilidade do titular por golpes aplicados em seu nome e não afirma regra geral.

A esfera criminal, em resumo

Invadir dispositivo informático (computador, celular ou similar) de uso alheio, sem autorização, para obter, adulterar ou destruir dados, é crime (Código Penal, art. 154-A, na redação da Lei 14.155/2021). O escritório não localizou decisão do STJ que aplique ou afaste esse crime para conta de rede social. A invasão pode configurá-lo, conforme o caso, mas isso não é regra.

A ação penal depende, em regra, de representação, a manifestação da vítima de que quer a apuração (art. 154-B). O prazo é de 6 meses, contado de quando se sabe quem é o autor (Código de Processo Penal, art. 38; Código Penal, art. 103). Se o crime ocorre no âmbito de violência doméstica e familiar contra a mulher, o prazo é de 12 meses (art. 103, parágrafo único, incluído pela Lei 15.438/2026).

Os golpes contra os contatos podem configurar estelionato, inclusive a fraude eletrônica (art. 171, § 2º-A, na redação da Lei 15.397/2026). Essa lei, em vigor desde a publicação, em 4 de maio de 2026, revogou o § 5º do art. 171, que tratava da representação no estelionato. Qual regra vale para fatos anteriores, o escritório avalia em cada situação. O mais seguro é não deixar o registro do fato para depois.

O que levar ao primeiro contato

Reúna a data e a hora em que a invasão foi percebida, os protocolos do suporte, os prints do invasor, o número do boletim e, no perfil comercial, o histórico de vendas. No primeiro contato, não envie imagem íntima, prints com dados de terceiros nem conteúdo de criança ou adolescente. O escritório indica o canal adequado depois.

Conteúdo de caráter meramente informativo, em conformidade com o Código de Ética e Disciplina e o Provimento nº 205/2021 da OAB. Este site não constitui oferta de serviços nem captação de clientela, tampouco promete resultados.