26 de outubro de 2026 7 min de leitura

O suporte do Instagram entregou até 20.225 contas, e foi a própria Meta que contou

Entre abril e maio de 2026, a ferramenta de recuperação do Instagram mandou o link de nova senha ao invasor em até 20.225 contas. Veja o que a Meta admitiu.

Mão segurando um celular com uma conversa de suporte em degradê rosa, roxo e laranja, um cadeado aberto flutuando acima da tela e, ao fundo desfocado, um ícone de câmera e a grade de fotos de produtos de um perfil comercial

Uma falha na ferramenta de recuperação de conta do Instagram assistida por inteligência artificial, a High Touch Support, mandava o link de nova senha para o e-mail que o invasor informasse, e deixou até 20.225 contas expostas entre 17 de abril e 31 de maio de 2026. Quem contou foi a própria Meta, numa carta de 5 de junho de 2026 ao procurador-geral do Maine, nos Estados Unidos, noticiada em 8 de junho pelo TecMundo e pelo Help Net Security.

Quem perde o acesso ao perfil quase sempre ouve que a senha era fraca, e procura o suporte porque ele parece o caminho seguro de volta. Já escrevi sobre a conta do Instagram invadida de uma advogada e a sentença que tratou a invasão como risco da Meta, e este caso vai além, porque a porta de entrada foi o próprio atendimento. Li o aviso que a Meta mandou aos usuários e a cobertura de junho para separar o que a empresa admitiu do que ainda não se sabe.

Como a falha no suporte do Instagram funcionava?

O sistema deveria conferir se o e-mail informado no pedido de recuperação era o mesmo cadastrado na conta, só que não conferia, e mandava o link de redefinição para o endereço que a pessoa digitasse, o que permitia ao invasor trocar a senha de uma conta que nunca foi dele. É como a portaria de um prédio que entrega a cópia da chave a quem disser o número do apartamento, sem conferir se a pessoa mora ali.

Detalhe importante: a Meta atribui o problema a uma checagem interna, num caminho de código separado, e não ao agente de IA que conversa com o usuário, e por isso não escrevo que a IA entregou as contas.

Por que o número é "até 20.225" contas?

O número de 20.225 é o que a Meta informou nos campos da notificação ao Maine, e a própria carta explica que esse tipo de contagem é um teto, porque parte dos acessos registrados no período pode ter sido feita pelo próprio dono, o que significa que o total de contas de fato tomadas pode ser menor.

O tempo também pesa, porque a exploração começou em 17 de abril e a Meta só identificou o problema em 31 de maio, 44 dias depois, segundo o TecMundo. No mesmo dia desligou a ferramenta e anulou os links gerados no período, e depois exigiu nova autenticação das contas afetadas.

A verificação em duas etapas barrava o ataque?

Barrava a entrada, e vale ser preciso, porque a troca de senha funcionava em qualquer conta, mas a invasão só se completava onde a verificação em duas etapas estava desligada, e é por isso que o aviso da Meta de 12 de junho recomenda ativá-la. Ela não protege contra todo tipo de golpe, mas nessa falha foi ela que separou quem perdeu a conta de quem ficou de fora.

O que o invasor podia ver dentro da conta?

Segundo o aviso ao usuário, quem entrou pode ter acessado e-mail e telefone, data de nascimento, publicações, stories, mensagens diretas, informações do perfil e atividade da conta, e, se o Instagram estava conectado ao Facebook ou ao Threads, também essas contas. Para quem vende pelo perfil, as mensagens diretas guardam as conversas com clientes e os pedidos, e por isso o prejuízo vai além de ficar sem postar.

O que muda na discussão sobre responsabilidade?

A cobertura tratou o caso como falha técnica, mas a invasão entrou pela porta criada para quem perdeu o acesso, e foi a própria empresa que descreveu o defeito. O Código de Defesa do Consumidor, Lei 8.078/1990, considera defeituoso, no artigo 14, o serviço que não oferece a segurança que se pode esperar dele, e a Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, exige no artigo 46 medidas de segurança contra acessos não autorizados. A 7ª Vara Cível do Foro de Santo André, do Tribunal de Justiça de São Paulo, escreveu em sentença de 30 de julho de 2026 que cabe à plataforma oferecer "canais ágeis para a rápida recuperação de contas por seus legítimos titulares", e na nossa leitura um canal que manda a senha para quem não é o dono é o oposto do que essa frase descreve.

Isso não decide nenhum caso sozinho, mas quem recebeu o aviso de 12 de junho tem um registro da própria empresa ligando a conta ao incidente.

O que ainda não está resolvido?

Até 12 de setembro de 2026, quando conferi, não localizei ação judicial, multa ou medida da Autoridade Nacional de Proteção de Dados sobre o caso, nem confirmação de que a ferramenta tenha voltado. A ficha da carta no site do Maine saiu do ar, mas a notificação continua no registro oficial da Califórnia.

O que fazer agora

Comece pelo primeiro item, porque a verificação foi o que impediu a entrada nessa falha.

Ligue a verificação em duas etapas no Instagram e nas contas conectadas, que é o que a própria Meta recomendou aos atingidos.
Confira o e-mail e o celular da conta, que são os dados que a recuperação usa para devolver o acesso, e revise a atividade de login.
Guarde o aviso da Meta, se você recebeu o e-mail sobre o incidente, com print da data.
Guarde prova de que o perfil é seu, com print do perfil, dos dados de cadastro e das vendas, seguindo o que reunir quando a conta é banida.
Desconfie de mensagem com link que diz vir do Instagram, como o próprio aviso orienta, o mesmo cuidado que vale no golpe da denúncia falsa de direitos autorais.

O que acontece com cada conta depende das provas daquele caso, que precisam ser analisadas individualmente.

Perguntas frequentes

O que foi a falha no suporte do Instagram?

Foi um erro na High Touch Support, ferramenta de recuperação de conta do Instagram assistida por inteligência artificial, que mandava o link de nova senha para o e-mail que o invasor informasse. A Meta relatou o caso em carta de 5 de junho de 2026 ao procurador-geral do Maine e atribuiu o problema a uma checagem interna, não ao agente de IA.

Quantas contas do Instagram foram atingidas?

Até 20.225 contas, segundo a notificação da Meta, entre 17 de abril e 31 de maio de 2026. A carta explica que o número é um teto, porque parte dos acessos contados pode ter sido do próprio dono.

Quem tinha verificação em duas etapas foi invadido?

A senha podia ser trocada em qualquer conta, mas a entrada só se completava onde a verificação em duas etapas estava desligada. Por isso a Meta recomendou ativá-la no aviso enviado aos usuários em 12 de junho de 2026.

O que a Meta fez depois de descobrir a falha?

Em 31 de maio de 2026 a Meta desligou a ferramenta e anulou os links gerados no período. Depois exigiu nova autenticação das contas afetadas e, em 12 de junho, avisou os usuários que corrigiu o erro.

A Meta responde por uma conta invadida pelo próprio suporte?

Até 12 de setembro de 2026 não localizei ação judicial sobre esse caso. Em sentença de 30 de julho de 2026, a 7ª Vara Cível do Foro de Santo André, do Tribunal de Justiça de São Paulo, tratou a invasão de um perfil como risco da plataforma, mas cada caso depende das suas provas.

Fontes

Conteúdo informativo. Não constitui consulta nem parecer jurídico, e não substitui a análise individual do seu caso. O processo é atividade de meio: nenhuma medida garante resultado específico.