Instagram da empresa hackeado ou clonado: medidas legais e provas

Quando o Instagram da empresa é hackeado ou clonado, a ordem das providências pesa tanto quanto as próprias providências. Primeiro vêm a preservação da prova e o aviso aos clientes; depois, o pedido de remoção à plataforma e, se necessário, a ação judicial para retirar o conteúdo e obter os dados que identificam o autor. Desde 2025, a plataforma notificada pode responder pelos danos se não agir com diligência, e os registros que levam ao autor só precisam ser guardados por seis meses.

O problema é frequente. Na sondagem Sebrae/FGV de junho de 2026, 44% dos pequenos negócios relataram ter sido alvo de alguma tentativa de golpe digital ou por telefone em 12 meses; entre os que sofreram golpes, 31% tiveram prejuízo financeiro, e só 17% dos pequenos negócios disseram ter medidas estruturadas de proteção.

Invasão e clonagem não são a mesma coisa

Na invasão, terceiros tomam a conta verdadeira, com seguidores e histórico, trocam e-mail e senha e passam a falar em nome da empresa. Conforme o modo como o acesso foi obtido, a conduta pode configurar invasão de dispositivo informático, punida com reclusão de 1 a 4 anos, aumentada de um terço a dois terços se houver prejuízo econômico (Código Penal, art. 154-A).

Na clonagem, cria-se um perfil falso com nome, logotipo e fotos da empresa, usado para anunciar produtos, pedir pagamento por Pix ou coletar dados. Quem paga ao golpista é vítima de fraude eletrônica, modalidade de estelionato com pena mais grave quando a fraude usa informações obtidas por meio de redes sociais (art. 171, § 2º-A). Se o perfil reproduz marca registrada, há também crime contra registro de marca (Lei 9.279/1996, art. 189), e o registro assegura ao titular o uso exclusivo em todo o território nacional (art. 129), o que facilita a demonstração de legitimidade perante a plataforma. A diferença entre registrar a marca e ter apenas o nome na Junta é tratada no artigo sobre nome empresarial, domínio e marca.

Primeiro passo: preservar a prova

Denunciar o perfil antes de documentá-lo é um erro frequente, porque a remoção apaga também o que demonstraria o golpe. A sequência recomendável é esta:

1. Fazer capturas de tela que mostrem o endereço (URL) e o nome de usuário do perfil, as publicações, os anúncios e os stories, com data e hora visíveis, e gravar um vídeo da tela navegando pelo perfil.
2. Reunir as conversas dos clientes que foram abordados, os comprovantes de pagamento e os dados da conta bancária ou da chave Pix indicada pelo golpista.
3. Considerar a ata notarial: o tabelião atesta a existência e o modo de existir do fato, e dados de imagem e som em arquivos eletrônicos podem constar da ata (CPC, art. 384). É prova com fé pública, útil quando o conteúdo some.
4. Registrar boletim de ocorrência, com a descrição dos fatos e a cópia do material reunido.
5. No caso de invasão, tentar recuperar a conta pelos canais da plataforma, trocar senhas do e-mail vinculado e ativar a verificação em duas etapas.

Em paralelo, os clientes devem ser avisados pelos canais oficiais que continuam sob controle da empresa, como site, telefone e aplicativo de mensagens, com a indicação do perfil verdadeiro e das formas de pagamento que a empresa de fato usa. Guardar cópia desses avisos ajuda a demonstrar, depois, que a empresa agiu assim que soube do golpe.

Remoção: o que mudou com o STF

O art. 19 do Marco Civil da Internet (Lei 12.965/2014) condicionava a responsabilidade civil das plataformas por conteúdo de terceiros a uma ordem judicial específica de remoção. Em junho de 2025, no Tema 987 da repercussão geral, o Supremo Tribunal Federal declarou esse artigo parcialmente inconstitucional. Pela tese fixada, o provedor responde, nos termos do art. 21, pelos danos decorrentes de conteúdos de terceiros em casos de crime ou atos ilícitos, e a mesma regra se aplica às contas denunciadas como inautênticas. Em anúncios e impulsionamentos pagos, a responsabilidade é presumida e independe de notificação, salvo se a plataforma provar que agiu com diligência e em tempo razoável. A decisão vale para fatos posteriores ao julgamento e não criou responsabilidade objetiva.

Na prática, a notificação à plataforma ganhou peso. O art. 21 exige que ela contenha elementos que permitam identificar especificamente o material e verificar a legitimidade de quem pede, o que significa indicar os endereços de cada perfil e publicação e comprovar a titularidade, com contrato social, cartão do CNPJ e, se houver, certificado de registro da marca. Pela mesma tese, as plataformas devem manter canais de atendimento acessíveis a usuários e não usuários. Se a remoção não vier, o caminho é o pedido judicial, normalmente com tutela de urgência.

Identificar o autor: registros guardados por seis meses

As plataformas organizadas como empresa devem guardar os registros de acesso às aplicações por seis meses (Marco Civil, art. 15), e só os entregam mediante ordem judicial (art. 15, § 3º, e art. 10, § 1º). Para obtê-los, a parte interessada pede ao juiz que ordene o fornecimento, demonstrando fundados indícios do ilícito, a utilidade dos registros e o período a que se referem (art. 22). A autoridade policial ou o Ministério Público podem pedir, cautelarmente, que a guarda se estenda além desse prazo (art. 15, § 2º). Deixar passar meses antes de agir pode significar perder o rastro.

Na esfera penal, a ação pelo crime de invasão de dispositivo informático depende de representação da vítima (Código Penal, art. 154-B), em regra no prazo de seis meses contados do dia em que ela souber quem é o autor (Código de Processo Penal, art. 38). A empresa é representada por quem o contrato social designar ou, no silêncio, por seus diretores ou sócios-gerentes (art. 37).

Quando a conta invadida tinha dados de clientes

Mensagens diretas costumam guardar nomes, telefones, endereços e comprovantes de pagamento. Se o invasor teve acesso a esses dados, pode haver incidente de segurança nos termos da LGPD. Quando o incidente puder afetar significativamente os titulares e envolver, por exemplo, dados financeiros, dados de autenticação ou dados em larga escala, a comunicação à Agência Nacional de Proteção de Dados (ANPD) e aos titulares deve ser feita em três dias úteis a partir do conhecimento (LGPD, art. 48; Resolução CD/ANPD 15/2024, arts. 5º, 6º e 9º). Micro e pequenas empresas têm prazo em dobro (Resolução CD/ANPD 2/2022, art. 14, II). As demais obrigações estão no artigo sobre LGPD para pequenas empresas.

Prevenção que reduz o estrago

• Ativar a verificação em duas etapas e usar e-mail exclusivo e protegido para a conta da empresa.
• Manter ao menos dois administradores de confiança e dar acesso a funcionários e agências por perfis próprios, sem compartilhar a senha.
• Prever no contrato com a agência de marketing a devolução de acessos e o dever de sigilo, ponto tratado no artigo sobre contrato de prestação de serviços.
• Publicar no site a lista dos perfis e das formas de pagamento oficiais.
• Registrar a marca no INPI, o que fortalece pedidos de remoção de perfis falsos.
• Orientar a equipe sobre golpes de troca de dados bancários, tema do artigo sobre golpe do boleto.

Essas rotinas são simples e cabem no jurídico preventivo da empresa.