Instagram ou Facebook invadido: o que fazer para recuperar a conta

Imagine que você tenta entrar no seu Instagram e a senha não funciona. Tenta de novo, nada. Então chega a mensagem de um amigo: "por que você está pedindo dinheiro?". Alguém tomou a sua conta, trocou o e-mail e o telefone cadastrados, e agora está usando o seu nome, as suas fotos e a sua reputação para aplicar golpes nas pessoas que confiam em você. Se a conta for do seu negócio, o estrago é ainda maior — anos de trabalho e clientes do outro lado de uma senha.

É diferente do WhatsApp clonado (que tratei neste outro artigo): ali o caminho de recuperação é o código por SMS. Aqui, a invasão costuma vir de link falso, senha reaproveitada ou vazamento de dados, e a recuperação passa pelos canais da própria plataforma. Os direitos são parecidos; o caminho prático é outro. Vamos a ele.

O que fazer agora

O tempo importa: quanto mais rápido, maior a chance de reverter antes de o invasor apagar seus vínculos de recuperação.

1. Use o fluxo oficial de recuperação. No Instagram, peça o código de acesso ou toque em "Precisa de mais ajuda?" — a plataforma pode solicitar um vídeo-selfie para confirmar que você é o dono. No Facebook, use o endereço facebook.com/hacked. Faça isso pelo aplicativo ou pelo site oficial, nunca por links recebidos.
2. Verifique o e-mail cadastrado. Procure na sua caixa de entrada a mensagem "seu e-mail foi alterado" — ela costuma trazer um link do tipo "se não foi você, reverter". Esse link é o caminho mais rápido de todos, e ele expira.
3. Avise seus contatos por outro canal — WhatsApp, ligação, outra rede. Diga que a conta foi invadida e que ninguém deve transferir dinheiro. Conter o golpe contra terceiros é tão urgente quanto recuperar o acesso.
4. Troque as senhas dos e-mails vinculados e de qualquer serviço que usasse a mesma senha. Se o invasor entrou pelo e-mail, recuperar só a rede social não resolve.
5. Se alguém pagou acreditando ser você, oriente a pessoa a contestar o PIX no aplicativo do banco imediatamente (isso aciona o MED, do Banco Central, que tem prazo curto) e a registrar Boletim de Ocorrência.
6. Registre o B.O. e guarde provas: prints das mensagens enviadas em seu nome, e-mails de alteração de cadastro, protocolos abertos com a plataforma.

Depois de recuperar, ative a verificação em duas etapas — é o que impede a reinvasão.

Seus direitos

Aqui é importante separar as camadas, porque elas têm responsáveis diferentes.

Quanto ao dinheiro perdido por terceiros. Quem transferiu acreditando estar ajudando você tem, quanto ao banco, a mesma proteção do golpe do PIX: o Código de Defesa do Consumidor (artigo 14) responsabiliza o prestador de serviço por falhas independentemente de culpa, e a Súmula 479 do STJ reconhece que instituições financeiras respondem por fraudes de terceiros ocorridas em operações bancárias — o "fortuito interno", risco inerente ao negócio. Transferências fora do padrão, às pressas, para destinatário desconhecido, são o tipo de sinal que o monitoramento do banco deveria detectar.

Quanto ao uso do seu nome e da sua imagem. Um terceiro se passou por você para enganar pessoas. Isso toca direito de imagem e honra, e pode gerar pretensão própria de reparação, especialmente quando há prejuízo concreto — perda de clientes, dano à reputação profissional, uso comercial do seu perfil.

Quanto à origem da invasão. Se a porta de entrada foi um vazamento de dados de alguma empresa com quem você se relacionava, entra a Lei Geral de Proteção de Dados (LGPD): quem trata dados pessoais responde pelos danos causados por incidentes de segurança. Vale investigar de onde vieram as credenciais.

E quanto à plataforma? É preciso ser honesto: responsabilizar rede social por invasão de conta é discussão mais difícil, porque em regra ela não causou a fraude. O terreno se torna mais favorável quando há falha no atendimento — a plataforma foi avisada, tinha meios de agir e não agiu, prolongando o dano. Cada caso depende dos detalhes e das provas.

Como sempre: ninguém pode prometer a devolução do valor nem a recuperação da conta. O prazo, porém, é confortável — a pretensão por falha na prestação do serviço prescreve em 5 anos (CDC, artigo 27).

Quando procurar um advogado

Recuperar o perfil costuma ser tarefa dos canais da plataforma, e muita gente consegue sozinha. A conversa jurídica é sobre o que sobra depois: o prejuízo financeiro de quem pagou, o dano ao seu nome, e a possível origem do vazamento.

Vale buscar orientação quando alguém perdeu dinheiro em seu nome, quando a conta era profissional e a invasão gerou prejuízo real, quando você suspeita de vazamento de dados de alguma empresa, quando a plataforma foi avisada e ignorou, ou quando você não sabe o próximo passo depois do B.O. Uma conversa inicial já organiza o cenário.

Se você passou por isso e quer entender o que se aplica ao seu caso, me chame. Ouço a sua situação e te oriento sobre os caminhos possíveis.