Instagram invadido e pedidos de dinheiro aos seguidores: quem responde pelos prejuízos?

Uma conta pessoal ou profissional muda de senha, publica ofertas falsas e pede transferências em nome do titular. A invasão cria duas espécies de vítima: o dono do perfil, cuja identidade foi apropriada, e as pessoas que enviaram dinheiro. A recuperação do acesso, a interrupção dos golpes e a reparação de cada prejuízo exigem provas e fundamentos próprios.

Como retomar o controle e interromper novas fraudes?

O primeiro passo é usar os canais oficiais de recuperação, alterar senhas de e-mail e serviços associados, encerrar sessões desconhecidas, habilitar autenticação adicional e registrar os protocolos de atendimento. Se a conta usa o mesmo e-mail ou senha de outras aplicações, esses acessos também precisam ser protegidos. Uma comunicação breve aos contatos por canal independente pode evitar novas transferências, sem atribuir à plataforma culpa antes da apuração.

Guarde nome de usuário, URL, capturas das publicações fraudulentas, data da perda de acesso, avisos de alteração de credencial, mensagens de seguidores, respostas da plataforma e documentos que provem a titularidade histórica. Contas antigas têm fotos, conversas e histórico profissional; o vínculo com o titular pode ser demonstrado por contratos de publicidade, e-mails de criação, arquivos originais das publicações e meios de autenticação. Se o invasor mudou o nome do perfil, guarde os endereços antigo e atual.

A tutela de urgência do CPC, art. 300, pode buscar recuperação do perfil, suspensão do controle do invasor, indisponibilização de publicações específicas e preservação de registros. O comando precisa respeitar a capacidade técnica da plataforma e comprovar a titularidade com segurança, para não entregar uma conta a quem apenas a reivindica. A plataforma pode exigir verificação adicional de identidade; eventual demora injustificada diante de indícios robustos deve ser documentada.

A plataforma deve indenizar automaticamente?

Não se conclui a responsabilidade apenas porque houve invasão. É preciso examinar falha concreta do serviço, medidas de segurança, resposta após denúncia, previsibilidade do ataque, dano e nexo. Em relação de consumo, o CDC disciplina defeito de serviço e causas de exclusão previstas em lei. O Marco Civil protege dados e sigilo e regulamenta conteúdo de terceiros. Se o invasor usou conta inautêntica ou publicou anúncios fraudulentos, a tese do STF no Tema 987 pode ser relevante, conforme o papel do serviço, a data dos fatos e sua diligência diante da denúncia. O STF expressamente afastou responsabilidade objetiva na tese sobre plataformas.

O titular pode reclamar perda de acesso profissional, custo de recuperação, dano à imagem ou prejuízo negocial, mas lucros cessantes dependem de prova consistente: faturamento anterior, campanha interrompida, cliente perdido e duração da indisponibilidade. A mera afirmação de que “poderia ter vendido mais” é frágil. Seguidores que transferiram valores têm pretensões próprias contra o golpista e eventualmente contra banco ou intermediário, com análise individual da operação e da falha alegada.

A invasão de dispositivo informático tem descrição específica no art. 154-A do Código Penal. Nem toda tomada de conta prova, sem investigação, a técnica utilizada pelo agente ou todos os elementos desse crime. Outros delitos, como estelionato, podem integrar a apuração conforme as solicitações de dinheiro e transferências. Preservar a sequência de acesso e as mensagens evita confundir o titular com o autor das ofertas falsas.

Como identificar o invasor sem devassar contas de terceiros?

O pedido de registros do art. 22 do Marco Civil exige indícios do ilícito, utilidade dos dados e período determinado. Podem ser úteis horários das mudanças de senha, IPs e registros de acesso relacionados ao perfil, além de dados de conta bancária destinatária. O IP pode ser compartilhado e demandar porta lógica, conforme a configuração técnica. A revelação de logs não abre automaticamente o conteúdo de todas as conversas privadas do titular ou do invasor.

Há prazos de guarda ordinária distintos para provedores de conexão e de aplicação (arts. 13 e 15); por isso, notícia do fato e pedido de preservação não devem esperar o fim da disputa administrativa. A documentação das denúncias à plataforma mostra exatamente quando ela foi avisada e o que podia localizar. Se os golpes foram publicados em vários perfis, cada conta e postagem deve ser descrita.

Quando o acesso é restaurado, ainda é necessário revisar permissões de aplicativos conectados, dados de recuperação, mensagens enviadas durante a invasão e eventuais anúncios pagos. A simples devolução da senha não resolve pedidos de dinheiro que continuam circulando em capturas e contas imitadoras. A estratégia reúne contenção técnica, prova e ação jurídica dirigida aos agentes que tiveram conduta identificável.

A perda de acesso pode ter várias causas

Antes de afirmar invasão, compare avisos de segurança, mudanças de e-mail, dispositivos autorizados, suspensão por violação de termos e esquecimento de senha. Se o perfil foi bloqueado pela plataforma, o artigo sobre moderação oferece enquadramento distinto. Se o usuário compartilhou credenciais com agência ou funcionário, examine permissões concedidas, desligamento de colaborador e registros de administração. A causa técnica importa para atribuir a conduta e pedir providência eficaz.

Em conta comercial, registre quem podia publicar, aprovar anúncios e alterar dados de pagamento. Se o invasor ativou publicidade paga com cartão salvo, a disputa inclui operações específicas, comprovantes da plataforma e contestação do meio de pagamento. Se a conta foi usada apenas para pedir Pix aos seguidores, a indenização do titular depende de demonstrar o dano que sofreu; o dinheiro transferido por terceiros integra, em regra, pretensão desses terceiros. A confusão entre danos de pessoas diferentes produz pedidos imprecisos.

Na comunicação pública, formule alerta factual: “Este perfil foi comprometido; não façam transferências; confirmem pelo canal oficial”. Evite publicar número de documento, chave de pagamento de pessoa não identificada ou acusação nominal contra suspeito sem prova. A mensagem protege clientes e pode ser anexada para demonstrar contenção. Guarde data de sua publicação e respostas recebidas.

Depois da recuperação, a plataforma e o titular devem avaliar se mensagens privadas foram acessadas. Se houver risco relevante a dados pessoais de clientes ou seguidores em poder de uma empresa, pode surgir obrigação de análise e comunicação de incidente sob a LGPD. O simples fato de uma conta pessoal ter sido invadida não produz automaticamente as mesmas obrigações de um controlador empresarial. A distinção depende da atividade, dos dados e do risco.

Se seguidores enviaram dinheiro, peça que cada um preserve sua conversa e comprovante original, em vez de reunir imagens encaminhadas sem identificação em um único arquivo. O titular pode fazer uma lista de vítimas que o procuraram, com autorização para contato, mas dados financeiros delas devem circular em ambiente restrito. Esses elementos ajudam a demonstrar o alcance da fraude e a individualizar danos. Também podem permitir aos bancos rastrear contas recebedoras. Após a invasão, acompanhe novas tentativas de acesso por alguns dias; contas comprometidas podem ter alterado e-mail de recuperação, telefone ou permissões de terceiros. A reativação sem esse saneamento favorece reincidência. Se houver contratos profissionais ligados ao perfil, informe parceiros sobre o incidente por canal independente e guarde a comunicação.

Notas e referências

1. BRASIL. Marco Civil da Internet, arts. 7º, 10, 13, 15 e 22. 2. BRASIL. Código de Defesa do Consumidor, arts. 14 e 25. 3. BRASIL. Código Penal, arts. 154-A e 171. 4. BRASIL. Código de Processo Civil, arts. 300, 381 e 497. 5. STF. Tema 987, RE 1.037.396/SP, tese ajustada em 2026.