Invadiram o Instagram de uma advogada, e a Meta respondeu pela demora em devolver a conta

Quando a conta do Instagram é invadida, a plataforma não se livra da responsabilidade culpando o hacker. Foi o que decidiu a 7ª Vara Cível do Foro de Santo André, do Tribunal de Justiça de São Paulo, em sentença de 30 de julho de 2026, que tratou a invasão como risco da Meta e fixou R$ 12.000,00 de dano moral.

O caso é de uma advogada que atendia pelo perfil profissional. Em 16 de outubro de 2024 a conta foi invadida, a senha e o e-mail cadastrados foram trocados, e o invasor passou a usar o perfil dela para anunciar falsos investimentos por Pix aos próprios seguidores, com prints de transferências simuladas. Ela tentou recuperar pelos canais de suporte da rede social, mas com o e-mail de acesso trocado a própria recuperação deixou de chegar até ela, e nada se resolveu.

A plataforma responde quando a conta do Instagram é invadida?

Para essa sentença, responde. A juíza escreveu que "a invasão da conta por criminosos virtuais e a facilidade com que dados de acesso foram alterados evidenciam falha na segurança do serviço oferecido, constituindo fortuito interno inerente aos riscos da atividade lucrativa explorada pelo réu".

Fortuito interno é o risco que faz parte do próprio negócio. A analogia mais simples é a de um estacionamento pago: se o carro é furtado lá dentro, o dono do estacionamento não se defende dizendo que quem furtou foi o ladrão, porque proteger o carro era justamente o que ele vendia.

E se a Meta disser que a culpa foi do invasor?

Foi exatamente o que ela disse. Na contestação, a empresa sustentou que oferece "elevados padrões de segurança", que a invasão decorreu de ato de terceiro ou de descuido do usuário, e invocou a excludente de culpa exclusiva de terceiro do artigo 14, § 3º, inciso II, do Código de Defesa do Consumidor.

A resposta da sentença é o trecho que mais interessa a quem atende pelo perfil: essa tese "não afasta a responsabilidade objetiva do fornecedor, ao qual incumbe adotar mecanismos de proteção eficazes e canais ágeis para a rápida recuperação de contas por seus legítimos titulares". Ou seja, a plataforma não precisa ter causado a invasão para responder por ela, basta não ter oferecido proteção eficaz nem um caminho rápido para o dono legítimo voltar a entrar.

A Meta também usou o Marco Civil da Internet, dizendo que os artigos 15 e 22 só a obrigam a guardar registros de acesso, como IP, data e hora, e não a restaurar conteúdo. A sentença não acolheu a defesa e confirmou a ordem de devolver a conta com o nome de usuário e as publicações originais.

Quanto tempo a Justiça levou para mandar devolver a conta?

A ação foi distribuída em 21 de outubro de 2024, cinco dias depois da invasão. Em 5 de novembro, quinze dias após o protocolo, saiu a tutela de urgência, com três ordens: restabelecer o acesso em cinco dias, preservar o nome de usuário e as publicações antigas, e excluir o que o invasor tinha postado, sob pena de multa diária de R$ 500,00 limitada a R$ 30.000,00.

A Meta opôs embargos de declaração contra a liminar, que foram rejeitados, e a advogada só recuperou o acesso em 10 de outubro de 2025, depois que a plataforma disponibilizou um link de recuperação, quase um ano depois da ordem. É esse intervalo que dá sentido à expressão "canais ágeis" na sentença, e é por isso que eu digo que a demora em devolver também é parte do problema, e não só a invasão.

Por que houve indenização nesse caso?

A juíza entendeu que "a privação injustificada do perfil profissional", somada ao uso indevido do nome e da imagem da autora para aplicar golpes nos contatos dela, "ultrapassou os limites do mero aborrecimento cotidiano", violando honra, imagem e reputação. A decisão cita o artigo 5º, incisos V e X, da Constituição Federal e os artigos 186 e 927 do Código Civil.

O valor de R$ 12.000,00 foi fixado considerando a extensão do dano, o tempo sem o perfil e o porte econômico da ré, corrigido pelo IPCA e com juros pela Selic a partir da sentença, e a Meta ficou com as custas e honorários de 10% sobre o valor atualizado da causa. Foi o valor desse caso, com uma profissional exposta por quase um ano diante dos próprios clientes, e ele não se transfere para outro processo. A sentença é de primeiro grau e está sujeita a recurso ao Tribunal de Justiça.

O que fazer agora

A troca de senha e de e-mail foi o que deixou a dona da conta de fora da própria recuperação, e por isso a primeira medida vem antes de qualquer invasão.

1. Ative a verificação em duas etapas hoje, de preferência por aplicativo autenticador, e confira se o e-mail e o telefone cadastrados ainda são seus.
2. Se a conta já foi invadida, use o fluxo oficial da página do Instagram para contas invadidas e guarde print de cada tentativa, com data e hora.
3. Avise os seguidores por outro canal que a conta foi tomada, e guarde print do que o invasor publicar, porque é isso que mostra o uso indevido do seu nome.
4. Registre um boletim de ocorrência, que marca a data da invasão num documento oficial.
5. Reúna a prova do uso profissional do perfil, seguindo a lista de o que reunir quando a conta é banida.

Nunca pague a quem promete devolver a conta por fora, que é a mesma armadilha do golpe da denúncia falsa de direitos autorais. E, como a demora da plataforma pesou tanto aqui, vale lembrar que o recurso interno costuma ser julgado por sistema automático, como mostrei em por que o recurso do Instagram é negado em minutos. O desfecho depende das provas de cada caso, que merecem ser analisadas uma a uma.

Perguntas frequentes

A Meta pode alegar que a culpa pela invasão é só do hacker?

Pode alegar, e alegou nesse processo, mas a 7ª Vara Cível do Foro de Santo André rejeitou a tese. Para a sentença de 30 de julho de 2026, a culpa de terceiro não afasta a responsabilidade objetiva da plataforma, que deve ter proteção eficaz e canais ágeis de recuperação.

O que é fortuito interno?

É o risco que faz parte da própria atividade de quem presta o serviço. A sentença classificou a invasão e a facilidade na troca dos dados de acesso como fortuito interno, ou seja, como risco que a plataforma assume ao explorar o negócio.

A Justiça pode mandar preservar o nome de usuário e apagar o que o invasor postou?

Nesse caso, sim. A tutela de urgência de 5 de novembro de 2024 mandou restabelecer o acesso em cinco dias, preservar o nome de usuário e as publicações antigas e excluir o conteúdo inserido pelo invasor, com multa diária de R$ 500,00 limitada a R$ 30.000,00.

Quanto tempo a conta ficou fora do alcance da dona?

A invasão foi em 16 de outubro de 2024 e o acesso só voltou em 10 de outubro de 2025, depois que a plataforma disponibilizou um link de recuperação. A liminar tinha saído em novembro de 2024, o que mostra a diferença entre a ordem e o cumprimento.

Verificação em duas etapas evita a invasão?

Ela dificulta muito a troca de senha e de e-mail sem o seu aparelho, que foi o que tirou a advogada da própria conta nesse caso. Não é garantia absoluta, mas é a medida que protege o canal de recuperação.

Fontes

• Consulta de Julgados de 1º Grau do Tribunal de Justiça de São Paulo: sentença da 7ª Vara Cível do Foro de Santo André, de 30 de julho de 2026, lida na íntegra, e datas da distribuição e da tutela conferidas na movimentação do processo (os dados das partes não são publicados aqui)
• Código de Defesa do Consumidor, Lei 8.078/1990, artigo 14, § 3º, II
• Marco Civil da Internet, Lei 12.965/2014, artigos 15 e 22
• Constituição Federal, artigo 5º, V e X
• Instagram, "Meu Instagram foi invadido", fluxo oficial de recuperação