Perdi acesso à conta após recuperação de senha falsa

Existe um cenário que confunde muita gente: você não recebeu nenhum aviso de invasão, não clicou em links suspeitos e, de repente, não consegue mais entrar na própria conta. Ao tentar recuperar o acesso, descobre que a senha foi alterada e que o e-mail ou o telefone de recuperação não são mais os seus. Isso costuma indicar que um terceiro explorou o próprio sistema de recuperação de senha da plataforma.

Esse caso é diferente da invasão tradicional. Aqui, o golpista não quebra a sua senha: ele convence o mecanismo da empresa de que é o verdadeiro titular da conta. Compreender essa diferença é fundamental, porque desloca o centro do problema para a segurança do serviço prestado e abre caminho para discutir a responsabilidade da plataforma.

Como o golpe da recuperação de senha acontece

Os caminhos são variados. O criminoso pode usar dados pessoais vazados em outros incidentes — nome completo, data de nascimento, CPF, respostas a perguntas de segurança — para responder às etapas de verificação. Também pode aproveitar um número de telefone reciclado pela operadora, engenharia social com o atendimento da empresa ou brechas no envio de códigos por e-mail e por SMS.

Em muitos relatos, a vítima percebe o problema pelo sumiço de mensagens, pela troca da foto de perfil ou por notificações de "novo dispositivo" que chegam depois do ocorrido. Em outros casos, não há aviso algum, e a própria ausência de alerta se torna um elemento relevante: um sistema de segurança razoável deveria comunicar mudanças sensíveis de senha e de dados de contato.

Base legal: segurança do serviço e proteção de dados

O Marco Civil da Internet (Lei nº 12.965/2014) assegura aos usuários uma série de direitos, entre eles a inviolabilidade e o sigilo das comunicações e a proteção dos seus dados pessoais (art. 7º). A norma também trata da guarda de registros de acesso, o que pode ser decisivo para reconstruir o que aconteceu com a conta.

A LGPD (Lei nº 13.709/2018) impõe aos agentes de tratamento o dever de adotar medidas de segurança capazes de proteger os dados pessoais (art. 46) e prevê responsabilidade e indenização quando há violação da legislação (art. 42). Se a falha de segurança expõe seus dados, a empresa pode ser chamada a responder.

No plano civil, o Código Civil estabelece, nos arts. 186 e 927, o dever de reparar o dano causado por ato ilícito, e a Constituição, no art. 5º, incisos V e X, garante a indenização por dano material e moral. Nas relações de consumo, o Código de Defesa do Consumidor reforça o dever de segurança na prestação do serviço, e o seu art. 101, I, costuma permitir que a ação seja proposta no foro do domicílio da vítima.

Há ainda a via penal. O acesso indevido a dispositivo informático, incluída a conta, é tipificado no art. 154-A do Código Penal (Lei nº 12.737/2012), que ganhou relevância justamente em casos de invasão de perfis e de e-mails.

O que fazer passo a passo

A instrução da prova é o coração desse tipo de caso. Guarde tudo o que demonstrar que o acesso foi perdido sem a sua participação:

• Anote a data e o horário em que você percebeu a mudança de senha ou de e-mail que não fez.
• Salve o histórico de notificações de segurança recebidas — e registre também a ausência delas, que também é relevante.
• Capture alertas de "login não reconhecido" ou de "novo dispositivo" que a plataforma enviou, se houver.
• Preserve a tela de erro ao tentar entrar, com data visível, e todos os protocolos de atendimento.

Em paralelo, procure a plataforma:

• Use os formulários oficiais de recuperação e de "conta invadida", enviando documento de identidade e selfie quando solicitado.
• Peça a amigos que ainda visualizam a conta que a denunciem como invadida; isso costuma acelerar a análise.
• Formalize uma reclamação por escrito e guarde o número de protocolo e as respostas recebidas.

Complete o registro formal:

• Registre Boletim de Ocorrência, presencialmente ou pela delegacia eletrônica, descrevendo a perda de acesso e eventuais prejuízos.
• Reúna provas de que você adotava boas práticas de segurança, como senha forte, verificação em duas etapas ativada e e-mail reserva atualizado.
• Registre reclamação em canais como o consumidor.gov.br e o Procon, e, havendo exposição de dados, comunique também a ANPD.

Prazos reais que você deve observar

Não há um prazo legal rígido para que a plataforma devolva o acesso a uma conta. O que existe é o dever de prestar o serviço com segurança e eficiência, de modo que uma demora prolongada, sem resposta concreta, pode caracterizar falha grave — sobretudo quando a conta tem finalidade profissional ou comercial.

Em relação aos dados, a LGPD exige que o controlador comunique incidentes de segurança relevantes à ANPD e aos titulares afetados, na forma e no prazo definidos em regulamentação própria. E, para a reparação civil, o Código Civil fixa em 3 anos, em regra, o prazo para buscar a indenização (art. 206, § 3º, V).

Erros comuns que enfraquecem o caso

• Não registrar as tentativas de contato com o suporte, perdendo a prova do tempo de resposta da empresa.
• Recuperar o acesso e apagar imediatamente os indícios, sem antes documentar o ocorrido.
• Informar códigos de verificação recebidos por SMS a quem se apresenta como "suporte", o que pode ser tratado como culpa do usuário.
• Reaproveitar a mesma senha em vários serviços, o que enfraquece o argumento de falha do sistema.
• Deixar de registrar o Boletim de Ocorrência por acreditar que o caso "não dá em nada".

Quando procurar um advogado

A linha de defesa das plataformas costuma ser a de que seguiram todos os protocolos e que a falha partiu do usuário. Por isso, a forma de reunir a prova é decisiva: quanto mais você demonstrar que adotava boas práticas e, ainda assim, perdeu a conta, mais consistente fica o argumento de falha do próprio sistema. Vale avaliar, com orientação jurídica, um pedido de devolução do acesso por obrigação de fazer, muitas vezes com tutela de urgência, além de indenização por danos morais e materiais pelo período sem a conta.

A Ghisio Advocacia atende casos como este presencialmente em Santa Maria, no Rio Grande do Sul, e também de forma online para todo o Brasil. Fale conosco pelo WhatsApp ou acesse a página de Direito Digital.

Conclusão

Perder o acesso à própria conta por causa de uma recuperação de senha indevida é frustrante e, muitas vezes, custoso. A boa notícia é que existem caminhos concretos: documentar cada etapa, exigir da plataforma uma resposta formal e, quando necessário, buscar na Justiça a devolução do acesso e a reparação pelos prejuízos. Agir com método é o que dá força a esse tipo de pedido.