Instagram hackeado e não consegue recuperar: o que fazer

Se o seu Instagram foi hackeado, o invasor trocou e-mail, telefone ou ativou a autenticação de dois fatores e o caminho oficial de recuperação não funcionou, você pode pedir na Justiça a devolução da conta. A base é o Código de Defesa do Consumidor: pelo art. 14, a plataforma responde por falha na segurança do serviço. Quando o perfil está sendo usado para golpes contra seus seguidores, existe pedido de urgência para isso (art. 300 do CPC).

Esta página é para quem já tentou recuperar pelo Instagram e não conseguiu. Abaixo estão o que fazer hoje, o que a lei diz e quais provas separar.

Isso aconteceu com você?

• Você recebeu um e-mail avisando que o e-mail da conta foi alterado e, quando foi ver, já não conseguia entrar.
• O invasor trocou e-mail e telefone, e os códigos de recuperação vão para os contatos dele.
• Ele ativou a autenticação de dois fatores no aparelho dele, e você ficou trancado para fora.
• Você enviou a selfie em vídeo ou o formulário várias vezes e só recebeu respostas automáticas, ou nenhuma resposta.
• Seu perfil está pedindo Pix, vendendo produtos falsos ou divulgando "investimentos" para seus seguidores.
• O perfil é do seu negócio ou do seu trabalho (loja, consultório, salão, perfil de criador de conteúdo), e você está sem vender ou atender.
• Você caiu num golpe ("confirme sua conta", "você ganhou o selo", "vote no meu concurso") e passou um código ou senha sem perceber.

Se a sua conta não foi invadida, mas desativada pelo próprio Instagram por suposta violação de regras, a situação é outra. Veja Instagram desativado: o que fazer.

Se o seu perfil está aplicando golpes, faça isto hoje

Quando o invasor usa a sua conta para enganar quem confia em você, cada hora conta.

1. Avise seus seguidores por outros canais: WhatsApp, status, outra rede social, stories de amigos e familiares. Diga com todas as letras: "não faça Pix, não sou eu".
2. Peça a amigos que denunciem o perfil pela opção de conta invadida ou de falsidade dentro do Instagram.
3. Registre boletim de ocorrência. Pode ser na delegacia especializada em crimes cibernéticos do seu estado ou na delegacia online, quando o estado aceita esse tipo de registro. Invadir conta alheia é crime (Lei 12.737/2012, que incluiu o art. 154-A no Código Penal), e usar o perfil para enganar pessoas pode configurar também fraude eletrônica.
4. Guarde tudo: prints das mensagens enviadas pelo invasor e dos relatos de quem foi enganado, com data e nome.

O boletim e as mensagens dos seguidores lesados mostram a urgência. São das provas que mais pesam num pedido de devolução imediata da conta.

O que diz a lei sobre Instagram hackeado

Quem usa o Instagram é consumidor de um serviço, mesmo sem pagar mensalidade: a plataforma ganha com publicidade e com os dados dos usuários. Por isso, quatro conjuntos de regras se aplicam:

• CDC, art. 14: o fornecedor responde, independentemente de culpa, pelos danos causados por defeito na prestação do serviço, e o serviço é defeituoso quando não oferece a segurança que o consumidor pode esperar. A empresa só se livra se provar que não houve defeito ou que a culpa foi exclusivamente da vítima ou de terceiro (§3º).
• LGPD, art. 46: quem trata dados pessoais deve adotar medidas de segurança para protegê-los de acessos não autorizados (Lei 13.709/2018).
• Marco Civil da Internet, art. 7º: garante ao usuário, entre outros direitos, a inviolabilidade da intimidade e da vida privada e a aplicação das normas de defesa do consumidor nas relações de consumo pela internet (inciso XIII). Os arts. 15 e 22 obrigam a plataforma a guardar os registros de acesso por 6 meses e permitem pedir ao juiz que ela os forneça, o que ajuda a identificar o invasor (Lei 12.965/2014).
• CPC, art. 300: permite pedir tutela de urgência, uma decisão logo no início do processo, quando há probabilidade do direito e perigo na demora. Um perfil aplicando golpes costuma ser apontado como exemplo de perigo na demora.

Na conta hackeada, a discussão jurídica é diferente da conta desativada. Na desativação, a plataforma alega que aplicou as próprias regras de uso. Na invasão, o titular não violou nada: um terceiro tomou a conta, e a discussão passa a ser a segurança do serviço e a resposta da plataforma.

Como os tribunais vêm decidindo. Há decisões que mandaram devolver ao titular perfis invadidos e usados para golpes, como uma liminar da Justiça do Distrito Federal (TJDFT, 2024) que levou em conta o risco de novas fraudes contra terceiros. Em 2023, uma Turma Recursal de Goiás (TJGO) reconheceu falha na segurança e falta de suporte efetivo para recuperar a conta de um perfil profissional, e afastou a alegação de culpa exclusiva da usuária. A jurisprudência não é uniforme, e cada caso é avaliado pelas provas que tem.

O que fazer agora: o caminho oficial e o que fazer quando ele falha

Primeiro, o caminho do próprio Instagram. Ele é obrigatório na prática, porque as tentativas também viram prova. As telas e opções mudam com frequência, então siga o que aparecer para você.

1. Procure o e-mail de alteração. Quando o e-mail da conta é trocado, o Instagram costuma enviar um aviso para o endereço antigo, que pode trazer uma opção para reverter a mudança. Olhe também o spam e a lixeira.
2. Acesse instagram.com/hacked e escolha a opção de conta invadida. Costuma ajudar fazer isso pelo celular e pela internet que você normalmente usa para entrar no perfil.
3. Faça a verificação de identidade. Dependendo da conta, o Instagram pode pedir uma selfie em vídeo para confirmar que você é o titular, principalmente quando o perfil tem fotos suas. Em outros casos, pode pedir outras informações.
4. Anote cada tentativa: data, hora, opção escolhida e resposta recebida. Tire print de tudo.

Se isso falhou, ou se o invasor trocou tudo e ativou dois fatores:

5. Reúna as provas da lista abaixo antes que se percam (e-mails são apagados, mensagens somem).
6. Registre o boletim de ocorrência, se ainda não registrou.
7. Proteja o resto da sua vida digital: troque a senha do e-mail, ative a verificação em duas etapas nele e verifique se outras contas ligadas ao mesmo e-mail ou à Central de Contas da Meta, como o Facebook, também foram afetadas.
8. Avalie a via judicial com uma advogada. Os pedidos mais comuns são: devolução da conta ao titular, com prazo fixado pelo juiz; fornecimento dos registros de acesso do invasor (Marco Civil, art. 22); e, conforme o caso, reparação de danos.

O consumidor pode entrar com a ação no foro do próprio domicílio (CDC, art. 101, I). Por isso, o caso pode ser conduzido online de qualquer lugar do Brasil.

Cuidado com quem promete recuperar sua conta

Logo depois de perder o perfil, muita gente recebe mensagens ou acha anúncios de "recuperadores", "hackers éticos" ou "suporte da Meta" oferecendo ajuda. Esse é um dos golpes mais comuns contra quem teve a conta invadida.

• O caminho oficial de recuperação (instagram.com/hacked) não é cobrado. Desconfie de quem se apresenta como "suporte da Meta" ou "técnico parceiro" por direct ou WhatsApp.
• Nunca envie senha, código de seis dígitos ou acesso ao seu e-mail para ninguém. Quem tem esses dados pode tomar também o seu e-mail, e aí fica ainda mais difícil provar que a conta é sua.
• Desconfie de quem pede pagamento antecipado, em Pix ou cripto, e "garante" a volta da conta em poucas horas.

Advogado não precisa da sua senha para nada. O que serve para o caso são as provas, e é delas que falamos a seguir.

Documentos e provas que ajudam

• E-mails do Instagram avisando da troca de e-mail, telefone ou senha (com data e hora; se possível, guarde o e-mail original, não só o print)
• Prints das tentativas de recuperação: formulários, selfie enviada, respostas automáticas, mensagens de erro, cada uma com data
• Boletim de ocorrência
• Mensagens de seguidores que receberam pedidos de Pix ou ofertas falsas, e comprovantes de quem perdeu dinheiro, se tiverem
• Prova de que a conta é sua: @ do perfil, e-mail e telefone antigos, fotos originais publicadas no perfil, prints antigos do painel da conta
• Se o perfil é profissional: notas, relatórios de vendas, agenda ou outros registros que mostrem quanto você deixou de faturar sem a conta
• Documento de identidade e comprovante de residência

Quando vale ir à Justiça (e quando não vale)

Costuma fazer mais sentido quando:

• o caminho oficial foi tentado e está documentado, sem solução;
• o perfil está sendo usado para golpes contra seguidores, o que dá urgência ao pedido;
• a conta é ligada a trabalho ou renda (loja, prestação de serviço, criador de conteúdo) e há prejuízo que dá para mostrar;
• a invasão aconteceu sem que você entregasse senha ou código a ninguém.

Exige mais cautela quando:

• você mesmo passou o código ou a senha num golpe. A plataforma costuma alegar culpa exclusiva da vítima (CDC, art. 14, §3º). Isso não fecha a porta, porque também se discute se a plataforma reagiu de forma adequada depois do aviso, mas torna a discussão mais difícil;
• a conta é pessoal, sem uso comercial e sem golpe em andamento. A devolução da conta pode ser pedida, mas a indenização é incerta e depende muito do caso;
• já se passou muito tempo e não há registros guardados das tentativas.

Ser honesta sobre isso faz parte da análise: nem toda invasão gera indenização, e a decisão de entrar na Justiça é sempre sua.

Como funciona o atendimento

O atendimento é online, para todo o Brasil, feito pessoalmente pela Dra. Fabiana Santos (OAB/RJ nº 225.507).

1. Você envia o caso pelo WhatsApp: o @ do perfil, quando e como percebeu a invasão, o que já tentou e se o perfil está aplicando golpes.
2. Análise: a advogada avalia as provas, aponta o que falta e explica com clareza se há caminho judicial e quais os riscos.
3. Documentos: você envia o material pelo próprio WhatsApp ou por e-mail. Nada de senha: só documentos e prints.
4. Ação, se fizer sentido: pedido de urgência para devolução da conta e, conforme o caso, de fornecimento dos dados de acesso e de reparação. Você acompanha cada etapa.