Conta do Instagram ou WhatsApp hackeada: o que fazer e seus direitos

Conta do Instagram ou WhatsApp hackeada? Veja os primeiros passos, como guardar provas e quando a Justiça tem condenado a plataforma a indenizar o usuário.

Por Redação Conte seu caso · 28 de outubro de 2026 · 7 min de leitura

Quem tem a conta do Instagram ou do WhatsApp hackeada deve agir rápido: tentar recuperar o acesso pelos canais oficiais, avisar os contatos, guardar provas e registrar boletim de ocorrência. A plataforma pode ser obrigada a devolver a conta e, em vários casos, tem sido condenada a pagar indenização, principalmente quando demora a agir depois de avisada ou quando a falha de segurança fica demonstrada. A base é o Código de Defesa do Consumidor, que responsabiliza o fornecedor por defeito no serviço.

O que fazer nas primeiras horas?

Tente recuperar o acesso. No WhatsApp, reinstale o aplicativo e confirme seu número com o código de 6 dígitos enviado por SMS ou ligação. Como o número só fica ativo em um aparelho por vez, isso costuma desconectar o invasor. Se você tinha verificação em duas etapas, será pedido o PIN, que pode ser redefinido pelo e-mail cadastrado. No Instagram, use a opção de conta invadida da própria plataforma (instagram.com/hacked), que pode pedir um e-mail de acesso e, em alguns casos, um vídeo selfie para confirmar a identidade.
Avise seus contatos por outro canal (outra rede, SMS, ligação) de que a conta foi invadida e de que ninguém deve fazer Pix ou passar códigos.
Denuncie a invasão à plataforma e anote cada protocolo, data e resposta recebida.
Troque senhas do e-mail ligado à conta e ative a verificação em duas etapas em tudo.
Peça à operadora que confira se houve troca de chip ou portabilidade do seu número.

Quais provas guardar?

Prints das mensagens enviadas pelo golpista em seu nome, com data e hora.
E-mails da plataforma avisando troca de senha, de e-mail ou login em outro aparelho.
Todos os protocolos de atendimento e respostas automáticas.
Comprovantes de Pix feitos por amigos ou clientes enganados.
Em perfil profissional: prova de vendas perdidas, pedidos cancelados e queda de seguidores.

Registros técnicos, como o IP de quem acessou a conta, ficam com a empresa. O Marco Civil da Internet (Lei 12.965/2014, artigo 15) obriga os provedores de aplicação a guardar esses registros de acesso por 6 meses, e o artigo 22 permite pedir ao juiz que mande a empresa fornecê-los para formar prova. Por isso não convém deixar o tempo passar.

Invadir conta é crime?

Sim. O artigo 154-A do Código Penal pune quem invade dispositivo informático alheio para obter, adulterar ou destruir dados sem autorização, com reclusão de 1 a 4 anos e multa, pena aumentada se houver prejuízo econômico. Esse crime depende de representação, ou seja, de a vítima manifestar à polícia que quer o processo (artigo 154-B).

Se o invasor usa a conta para pedir dinheiro aos seus contatos, pode haver fraude eletrônica (artigo 171, § 2º-A), com pena de 4 a 8 anos de reclusão e multa. Em muitos estados o boletim de ocorrência pode ser feito pela internet, na delegacia virtual.

Quando a plataforma responde pela conta hackeada?

A relação entre usuário e rede social é, em geral, de consumo. O artigo 14 do Código de Defesa do Consumidor diz que o fornecedor responde, independentemente de culpa, pelos danos causados por defeito na prestação do serviço, e o serviço é defeituoso quando não oferece a segurança que o consumidor pode esperar. As empresas costumam se defender dizendo que a culpa é do usuário, que caiu num golpe ou passou o código. Por isso o resultado varia conforme as provas.

Não há, até outubro de 2026, uma tese do Superior Tribunal de Justiça específica sobre contas de redes sociais invadidas. As decisões vêm dos tribunais estaduais e dos juizados, e mostram um padrão: pesa muito a demora da plataforma depois de avisada.

Decisões que condenaram a plataforma

WhatsApp bloqueado só no dia seguinte (TJDFT, 2021): a 2ª Turma Recursal dos Juizados Especiais do Distrito Federal condenou o Facebook a pagar R$ 1.500 de dano moral a uma usuária que pediu o bloqueio da conta clonada de manhã e só foi atendida cerca de 24 horas depois. Para a Turma, a demora permitiu que o golpe continuasse. A operadora TIM foi absolvida, porque o golpe não teve relação com o chip (processo 0715712-59.2020.8.07.0020).
Perfil comercial de empresária (TJDFT, 2021): o 6º Juizado Especial Cível de Brasília mandou restabelecer a conta do Instagram invadida e fixou R$ 3 mil de dano moral, apontando falha na segurança e inércia da empresa depois de acionada (processo 0731175-53.2020.8.07.0016).
Instagram usado para anúncios falsos (Goiás, 2023): a 1ª Turma Recursal dos Juizados de Goiás manteve condenação de R$ 5 mil ao Facebook. Os invasores publicaram falsos anúncios de investimento e mudaram o nome do perfil, que só foi devolvido por ordem judicial (processo 5094651-37.2023.8.09.0088).
Escola com conta suspensa por três meses (TJDFT, 2024): a 2ª Turma Cível do TJDFT fixou R$ 10 mil de dano moral. A conta do Instagram, invadida por terceiro, ficou suspensa de fevereiro a maio de 2023, e a plataforma não explicou a demora (processo 0701158-41.2023.8.07.0012).

Quando a indenização foi negada

Nem toda invasão gera dinheiro. Em 2024, o 13º Juizado Especial Cível de São Luís (MA) mandou o Facebook restabelecer uma conta do Instagram hackeada, mas negou o dano moral por entender que não havia provas suficientes e que o caso foi um aborrecimento. Isso mostra que, em geral, a devolução da conta é mais fácil de obter do que a indenização, que depende do tamanho do prejuízo e da conduta da empresa.

Meus amigos caíram no golpe. Quem paga?

Quem perdeu dinheiro foi o amigo que fez o Pix, e é ele quem tem, em regra, o direito de cobrar. Ele pode pedir ao banco a devolução pelo Mecanismo Especial de Devolução do Pix e, conforme o caso, processar a plataforma ou o banco. Em um caso de 2020, o 4º Juizado Especial Cível de Brasília condenou o Facebook a indenizar três vítimas de uma conta de WhatsApp clonada, incluindo os depósitos feitos por amigos do dono da conta, porque a empresa só desativou a conta três dias depois.

O que fazer se isso aconteceu com você

Siga os passos de recuperação pelos canais oficiais e avise os contatos.
Guarde todas as provas e os protocolos, com datas.
Registre boletim de ocorrência e diga que deseja representar contra o autor.
Reclame formalmente no consumidor.gov.br ou no Procon, se a plataforma não devolver a conta.
Procure o Juizado Especial Cível para pedir a devolução urgente da conta (liminar) e, se houver prejuízo, indenização. Em causas de até 20 salários mínimos não é obrigatório advogado. A Defensoria Pública atende quem não pode pagar.
Não espere: os registros de acesso só precisam ser guardados por 6 meses, e o prazo para representar no crime também é curto.

Se a conta era sua fonte de renda ou o prejuízo foi grande, vale ouvir um advogado. No Conte seu caso você descreve a situação de graça e profissionais da área entram em contato: conte o seu caso.

Perguntas frequentes

A plataforma é obrigada a devolver minha conta hackeada?

Em geral, os tribunais têm mandado restabelecer a conta quando o usuário prova que é o dono e que houve invasão. O pedido pode ser feito com urgência no Juizado Especial Cível. Cada caso depende das provas.

Tenho direito a indenização se meu Instagram foi hackeado?

Pode ter, mas não é automático. Há decisões com valores de R$ 1.500 a R$ 10 mil, em especial quando a plataforma demorou a agir ou o perfil era usado para trabalho. Também há decisões que só mandaram devolver a conta, sem indenização.

Como provar que minha conta foi invadida?

Guarde os e-mails de troca de senha ou de login em outro aparelho, prints das mensagens do golpista, protocolos de atendimento e o boletim de ocorrência. O IP de quem acessou pode ser pedido à Justiça, porque a empresa precisa guardar esses registros por 6 meses.

Clonaram meu WhatsApp e pediram dinheiro aos meus contatos. É crime?

Sim. Pode configurar invasão de dispositivo informático (artigo 154-A do Código Penal) e fraude eletrônica (artigo 171, § 2º-A), com pena de 4 a 8 anos de reclusão. Registre boletim de ocorrência e oriente quem pagou a acionar o banco.

Fontes

Este texto é informativo e não substitui a orientação de um advogado sobre o seu caso concreto. Viu um erro ou uma informação desatualizada? Veja como corrigimos na política editorial.