Conta invadida, golpe ou exposição on-line? Veja o que fazer.

Siga três passos, nesta ordem. Primeiro, tente recuperar o acesso pelos canais oficiais da plataforma e troque as senhas do e-mail e das outras contas ligadas ao perfil. Segundo, guarde as provas: capturas de tela com data e hora, o endereço do perfil, mensagens do invasor e protocolos de atendimento. Terceiro, avise os seus contatos e registre a ocorrência na polícia.

Se a plataforma não devolver o acesso, é possível notificá-la e, se preciso, pedir ao juiz que determine a devolução. A indenização depende de ficar demonstrada uma falha do serviço, e os tribunais têm decidido caso a caso. A súmula que responsabiliza os bancos por fraudes de terceiros (Súmula 479 do STJ) trata de operações bancárias, e não de redes sociais.

Depende do tipo de conteúdo. Em 2025, o Supremo Tribunal Federal (STF) decidiu que a regra do Marco Civil da Internet que exigia ordem judicial em todos os casos (art. 19) é parcialmente inconstitucional (Temas 987 e 533). Desde então, para a maior parte dos crimes e atos ilícitos, a plataforma notificada que não remove o conteúdo pode responder pelo dano junto com o autor, salvo dúvida razoável sobre a ilicitude. O mesmo vale para contas denunciadas como falsas.

Há exceções. Nas ofensas à honra (calúnia, difamação e injúria), a plataforma continua respondendo só se descumprir ordem judicial, embora possa remover o conteúdo por notificação. A ordem judicial também segue necessária para e-mail e para conversas privadas em aplicativos de mensagem. Para imagens íntimas, a remoção por notificação já estava na lei (art. 21).

A decisão vale a partir de 5 de agosto de 2025, e o STF ressalvou que ela vigora enquanto o Congresso não aprovar nova lei. Por isso, conferimos a regra aplicável na data dos fatos do seu caso.

Só com ordem judicial. A plataforma e o provedor de conexão não entregam a você os registros que identificam o usuário: o Marco Civil da Internet exige decisão do juiz (arts. 10 e 22). No pedido, é preciso mostrar indícios do ilícito, explicar por que os registros são úteis e indicar o período.

O ponto de atenção é o tempo. As plataformas devem guardar os registros de acesso por 6 meses, e os provedores de conexão, por 1 ano (arts. 15 e 13). Passado esse prazo, os dados podem não existir mais. Quando identificar o autor importa, convém não esperar.

Os registros levam ao titular da conexão usada, que nem sempre é a pessoa que praticou o ato. Avaliamos isso com você antes de propor a medida.

Depende do dano que o vazamento causou. A LGPD obriga a reparar o dano quem o causa ao tratar dados pessoais em desacordo com a lei (art. 42), e a empresa deve comunicar a você e à ANPD, a autoridade nacional de proteção de dados, o incidente que possa trazer risco ou dano relevante (art. 48). Mas o STJ decidiu que, para dados comuns de cadastro, o vazamento sozinho não gera dano moral presumido: é preciso demonstrar o prejuízo (AREsp 2.130.619).

Na prática, o pedido se sustenta melhor quando o vazamento teve consequência concreta, como um golpe aplicado com os dados ou uma contratação feita em seu nome. Para dados sensíveis, ligados à intimidade, o próprio STJ indicou que a avaliação pode ser outra.

Mesmo sem indenização, você pode exigir da empresa a confirmação de quais dados ela tem e a eliminação dos que são tratados fora da lei (art. 18), e peticionar à ANPD se a reclamação não for resolvida.

Depende do papel da plataforma na venda. O STJ tem decisões nos dois sentidos: quando o site intermedeia o negócio, tende a responder junto com o vendedor, como parte da cadeia de fornecimento (art. 7º, parágrafo único, do CDC); quando funciona só como página de classificados, a tendência é afastar a responsabilidade.

Diante do vendedor, você pode exigir a entrega, aceitar produto equivalente ou desfazer o negócio, com devolução do valor corrigido (art. 35 do CDC). Há ainda o direito de arrependimento em 7 dias, contados do recebimento, nas compras feitas fora da loja física, como as on-line (art. 49).

Se a loja era falsa, o caminho é outro: contestar o pagamento, registrar a ocorrência e guardar o anúncio, os comprovantes e as conversas.

Vale, mas pode ser contestado. A lei admite todos os meios de prova legítimos (art. 369 do Código de Processo Civil), e a captura de tela é um deles. O risco é a outra parte alegar que a imagem foi editada ou que o conteúdo nunca existiu.

Por isso, quanto mais completo o registro, melhor: tela inteira, com data, hora e o endereço (link) da página, além do arquivo original da conversa ou do e-mail, sem recortes. Não apague nada do aparelho.

Quando o conteúdo é decisivo ou pode ser apagado, recomendamos a ata notarial: o tabelião acessa a página e registra em documento o que viu (art. 384 do CPC). Ela tem custo de cartório, e avaliamos com você se é necessária.

Você pode exigir a retirada do material e a responsabilização de quem divulgou. Para esse tipo de conteúdo, não é preciso ordem judicial: basta notificar a plataforma, indicando com precisão onde o material está. Se ela não o retirar com diligência, passa a responder pelo dano (art. 21 do Marco Civil da Internet).

Antes de pedir a remoção, guarde a prova: links, capturas de tela com data e hora e, se possível, a identificação de quem publicou. Sem isso, fica difícil responsabilizar o autor depois que o conteúdo sai do ar.

Divulgar cena de nudez ou de sexo sem consentimento é crime (art. 218-C do Código Penal). Nossa atuação é cível: remoção, identificação do autor e indenização. Sobre a parte criminal, orientamos quanto ao registro da ocorrência. Na primeira conversa, você não precisa nos mostrar o material.