Conta invadida no Instagram ou WhatsApp: o que fazer nas primeiras horas
Atualizado em Agosto de 2026
A conta invadida é um caso raro em que a demora custa caro em dobro. Além de perder o acesso, você perde o controle sobre o que é dito em seu nome — e quem sofre o prejuízo financeiro costuma ser um amigo, um cliente ou um parente que confiou na mensagem.
As primeiras horas decidem duas coisas diferentes: a chance de recuperar o acesso e a qualidade da prova que você vai ter depois. Por isso vale separar o que é urgente do que é importante, e fazer as duas coisas na ordem certa.
A ordem das primeiras providências
Antes de tentar recuperar o acesso, avise. Um recado no grupo da família, no grupo de trabalho e nos stories de outra rede sua interrompe o golpe na hora — o criminoso depende de as pessoas acreditarem que é você. Cinco minutos aqui evitam a maior parte do prejuízo.
Depois, tente a recuperação pelo canal oficial da plataforma. No Instagram, o caminho é "Esqueci a senha" seguido de "Precisa de mais ajuda?", que abre o formulário de conta comprometida; há também a verificação por selfie em vídeo, usada quando o e-mail e o telefone já foram trocados pelo invasor. No WhatsApp, o registro do número em um aparelho novo derruba a sessão do invasor, e o suporte pode ser acionado por e-mail informando o número em formato internacional.
Só então cuide do resto: troque a senha dos e-mails vinculados, ative a verificação em duas etapas em tudo e revise os aplicativos com permissão de acesso. A conta invadida raramente é um evento isolado — quase sempre a senha vazou em outro lugar antes.
Se houver cobrança de dinheiro para devolver o acesso, não pague. Além de não haver garantia, o pagamento vira mais um prejuízo a recuperar depois, e sinaliza ao criminoso que existe disposição para pagar.
O que preservar antes que desapareça
A prova no ambiente digital tem prazo de validade curto: o conteúdo é apagado, o perfil é desativado e as mensagens somem. O que você registrar nas primeiras horas é o que vai sustentar qualquer pedido depois.
Registre com captura de tela inteira, mostrando data, hora e o endereço completo do perfil ou da conversa. Peça às pessoas que receberam as mensagens que também guardem as delas — a prova mais forte costuma ser a da vítima do golpe, não a sua.
Guarde os comprovantes de tudo o que foi transferido por quem acreditou na mensagem, com data, valor e conta de destino. Esses dados são o que permite acionar o Mecanismo Especial de Devolução do Pix e identificar a conta usada.
Para conteúdo que precisa resistir a questionamento, existe a ata notarial: um tabelião acessa a página e registra em documento público o que viu, com fé pública. Custa algumas centenas de reais e é especialmente útil quando o conteúdo tende a ser apagado assim que o autor perceber que está sendo processado.
Como pedir a remoção do conteúdo
O Marco Civil da Internet estabelece uma regra que muita gente desconhece: em geral, a plataforma só responde civilmente pelo conteúdo de terceiro se, depois de ordem judicial específica, não retirar o material. Ou seja, o pedido administrativo é o primeiro caminho, mas não é o único.
A exceção mais relevante é a divulgação de cena de nudez ou de ato sexual sem autorização: nesse caso a lei dispensa a ordem judicial, e basta a notificação do participante ou de seu representante para que a plataforma tenha o dever de remover.
Quando a via administrativa não resolve, o pedido judicial precisa indicar com clareza a URL do conteúdo. Pedidos genéricos, do tipo "remover tudo o que falar de mim", são recusados justamente por essa exigência de identificação específica.
Vale saber que o Supremo Tribunal Federal revisitou o alcance dessa regra em 2025, ampliando as hipóteses em que a plataforma responde sem ordem judicial prévia, especialmente em casos graves e evidentes. É um tema em movimento, e a estratégia certa depende do tipo de conteúdo.
Descobrir quem está por trás de um perfil anônimo
O perfil falso não é anônimo de verdade: ele deixa registro. As plataformas são obrigadas a guardar os registros de acesso a aplicações por seis meses, e os provedores de conexão, os registros de conexão por um ano.
O caminho é a ação para obtenção dos dados, em que se pede à plataforma o endereço de IP usado nos acessos, com data e hora. Com o IP em mãos, um segundo pedido vai ao provedor de internet para identificar o assinante daquela conexão.
É um procedimento em duas etapas e leva tempo, mas funciona. O ponto crítico é o prazo: passados os seis meses, os registros podem já não existir, e a identificação se torna impossível. É a razão prática para não deixar o caso "esfriar".
Uma ressalva honesta: o IP identifica a conexão, não a pessoa. Em uma casa com várias pessoas, ou em uma rede compartilhada, o assinante identificado pode não ser o autor. Esse é o ponto em que a prova precisa ser complementada por outros elementos.
Quando a plataforma ou o banco pode responder
A invasão em si é obra do criminoso, e a plataforma não responde só por ela ter acontecido. A discussão muda quando há falha no serviço: demora injustificada em restabelecer o acesso depois de acionada pelos canais oficiais, ausência de canal de atendimento funcional, ou manutenção do conteúdo depois de notificação nas hipóteses em que a lei dispensa ordem judicial.
A relação é de consumo, o que permite discutir a responsabilidade pelo defeito na prestação do serviço e a inversão do ônus da prova quando o consumidor não tem como demonstrar o que só a empresa registra.
Do lado do dinheiro, quem transferiu acreditando estar falando com você tem caminho próprio: o Mecanismo Especial de Devolução junto ao banco, o registro policial, e a discussão sobre a responsabilidade da instituição que abriu a conta de destino — especialmente quando aberta com documento falso ou sem verificação adequada.
Cada um desses pedidos tem base e réu diferentes. Reuni-los sem critério enfraquece o conjunto; separá-los conforme a falha de cada um é o que dá consistência ao caso.
Indenização: o que se pode esperar
Há duas situações distintas. A primeira é a sua, de quem teve a conta invadida: aqui o dano depende de haver falha de alguém além do criminoso, e o valor considera o tempo sem acesso, o uso comercial da conta e o conteúdo publicado em seu nome.
A segunda é a de quem perdeu dinheiro acreditando na mensagem. Essa pessoa tem pedido próprio, normalmente mais direto, contra quem recebeu o valor e, quando cabível, contra a instituição financeira.
Nos casos em que a conta era usada profissionalmente, o dano material passa a ter peso real: contratos perdidos, vendas interrompidas, base de seguidores construída ao longo de anos. Isso exige demonstração com números, não apenas alegação.
A tutela de urgência costuma ser o pedido mais valioso, porque o que a pessoa quer de imediato não é dinheiro: é o acesso de volta e o conteúdo fora do ar. Uma decisão em poucos dias resolve mais do que uma indenização em anos.
O que evita a próxima invasão
A verificação em duas etapas é o que separa uma senha vazada de uma conta perdida. Prefira aplicativo autenticador ao código por SMS, porque o SMS é vulnerável à troca fraudulenta de chip.
Verifique se o seu e-mail aparece em vazamentos conhecidos e troque as senhas repetidas. A maioria das invasões não começa com um ataque à conta: começa com uma senha reaproveitada que vazou em outro serviço anos antes.
No WhatsApp, ative a confirmação em duas etapas e nunca compartilhe o código de seis dígitos — nenhum atendimento legítimo pede esse código. No Instagram, revise os e-mails de segurança cadastrados e remova aplicativos de terceiros que você não usa mais.
Para contas usadas no trabalho, vale documentar quem tem acesso e por qual meio. Boa parte dos casos empresariais não é invasão externa: é acesso antigo de alguém que saiu da equipe e nunca foi revogado.
Perguntas frequentes
Na maioria dos casos, sim. Os formulários oficiais de conta comprometida e a verificação por vídeo resolvem boa parte das invasões em alguns dias. A via judicial entra quando esses canais falham ou quando a demora está causando prejuízo concreto.
Não por ter sido invadido. Quem responde é o autor do golpe. Sua situação é de vítima, e o aviso rápido aos contatos é o que demonstra diligência e reduz o alcance do dano.
Para a recuperação, quanto antes melhor. Para identificar o autor, o prazo é curto: os registros de acesso ficam guardados por seis meses. Para pedir indenização, a prescrição é de três anos, mas esperar tanto normalmente inviabiliza a prova.
Ela é obrigada a fornecer os registros de acesso mediante ordem judicial, não diretamente ao usuário. Com esses registros se chega ao provedor de internet e, dele, ao assinante da conexão.
Vale. Invasão de dispositivo e uso de identidade alheia são crimes, e o registro documenta a data em que você tomou conhecimento — dado usado depois na discussão sobre prazos e diligência.
Não. Ela é indicada quando o conteúdo tende a desaparecer ou quando a autenticidade da captura pode ser questionada. Para muitos casos, capturas completas com data, hora e URL são suficientes.
Se a conta corporativa foi invadida por falha de controle interno, pode haver responsabilidade perante terceiros prejudicados. É um dos motivos para manter registro formal de quem tem acesso a cada conta.
Vale, se houve prejuízo financeiro, publicação de conteúdo em seu nome, uso comercial interrompido ou se a plataforma demorou de forma injustificada. A recuperação resolve o acesso, não o dano já causado.
Dra. Silvania Santos
Responsável por Direito Digital — segunda a sexta, das 8h às 17h.
Continue lendo
- 01 Benefício do INSS negado: o que fazer depois do indeferimentoDireito Previdenciário Motivos comuns de indeferimento, prazo para recurso, diferença entre a via administrativa e a judicial e os documentos que sustentam o pedido.
- 02 CNIS com erro: por que conferir antes de pedir a aposentadoriaDireito Previdenciário O extrato que define tempo de contribuição e valor do benefício. Erros frequentes, como consultar no Meu INSS e o que corrigir antes do requerimento.
- 03 Divórcio consensual e litigioso: qual caminho serve para o seu casoDireito Cível Diferença entre as duas formas, quando cabe cartório, o que precisa ser decidido sobre filhos e bens e os documentos que agilizam o processo.
- 04 Usucapião: como regularizar o imóvel que não está no seu nomeDireito Cível Requisitos da posse, prazos por modalidade, provas que sustentam o pedido e a diferença entre a via judicial e a extrajudicial em cartório.
- 05 Golpe do Pix: o que fazer nas primeiras horas para tentar recuperar o valorDireito Bancário O Mecanismo Especial de Devolução, os prazos que correm contra você, as provas que sustentam a reclamação e quando cabe responsabilizar o banco.
- 06 Desconto de empréstimo que você não fez no benefício do INSSDireito Bancário Como identificar o desconto no extrato, bloquear novos empréstimos no Meu INSS, contestar formalmente e discutir a devolução dos valores.
- 07 Verbas rescisórias não pagas: prazos, multa e o que reunirDireito Trabalhista O prazo legal de pagamento, a multa por atraso, tudo o que compõe a rescisão e a documentação necessária para cobrar.
- 08 Horas extras não pagas: como comprovar e o que é devidoDireito Trabalhista Limite de jornada, percentual do adicional, reflexos nas outras verbas e as provas aceitas quando não existe registro de ponto.
- 09 Nome negativado por dívida que não é sua: como resolverDireito do Consumidor Consulta gratuita nos birôs, como contestar, prazo para baixa do registro e quando a negativação indevida gera direito a indenização.
- 10 Plano de saúde negou o procedimento: o que fazerDireito do Consumidor Como exigir a negativa por escrito, prazos máximos de atendimento, recusas consideradas abusivas e o caminho da liminar em casos urgentes.
- 11 Vazamento de dados pessoais: seus direitos e o que exigir da empresaDireito Digital O que a LGPD obriga a empresa a fazer, os pedidos que você pode formular, o papel da ANPD e quando o vazamento gera indenização.
- 12 Execução fiscal: o que fazer ao ser citadoDireito Tributário Prazo de 5 dias, formas de defesa, risco de penhora e bloqueio, e as alternativas de negociação e parcelamento do débito.
- 13 Tributo pago a mais: como recuperar valores da sua empresaDireito Tributário Prazo de cinco anos, teses já consolidadas nos tribunais, diferença entre restituição e compensação e os documentos que a revisão exige.
- 14 Acordo de sócios: o documento que evita a briga futuraDireito Empresarial O que prever sobre saída de sócio, morte, empate na divisão 50/50, entrada de novos sócios e apuração de haveres.
- 15 Cliente não pagou: como cobrar e quais caminhos existemDireito Empresarial Diferença entre execução e ação monitória, prazos de prescrição por tipo de dívida, protesto e os limites legais da cobrança.
Ficou com dúvida sobre o seu caso?
Fale direto com Dra. Silvania Santos, responsável por direito digital.