Invadiram meu WhatsApp e estão pedindo dinheiro aos meus contatos
De repente o aplicativo encerra a sessão e não aceita mais o seu número. Minutos depois, amigos começam a ligar perguntando sobre um pedido de dinheiro que você nunca fez. Sua conta de mensagens foi tomada — em geral porque o golpista obteve o código de verificação por engenharia social — e agora trabalha contra você, explorando a confiança de quem te conhece. Aqui você não é quem pagou: é o titular da identidade sequestrada. Isso muda as prioridades. O objetivo imediato é retomar a conta e cortar o golpe; o objetivo seguinte é documentar tudo, porque seus contatos lesados vão precisar de provas e você vai querer deixar claro que também foi vítima.
Retomar o número: o registro do chip vence a sessão do invasor
A conta de WhatsApp pertence a quem controla o número de telefone. Reinstale o aplicativo no seu aparelho e refaça o cadastro do seu número: o código de verificação chegará ao seu chip, e a sessão do invasor cai no momento em que você conclui o registro. Se o golpista ativou a confirmação em duas etapas com um PIN que você desconhece, o próprio aplicativo indica o procedimento de espera e redefinição — siga o fluxo oficial e desconfie de "serviços de recuperação" que cobram para ajudar: costumam ser um segundo golpe.
Recuperado o acesso, ative você mesmo a confirmação em duas etapas e revise os aparelhos conectados. Fotografe antes, se conseguir, as conversas que o criminoso manteve — elas mostram quem foi abordado e o que foi pedido.
Avisar os contatos não é só gentileza: é dever de mitigar
Enquanto a conta não volta, use outros canais — ligação, redes sociais ou contatos em comum — para avisar que o número está nas mãos de golpistas. Cada alerta pode interromper negociações em andamento e reduzir o número de vítimas.
Esse cuidado também documenta a reação do titular. Na regra geral do art. 186 do Código Civil, a responsabilidade por ato próprio exige conduta ou omissão, dano, nexo e o elemento subjetivo cabível; regimes objetivos previstos em outras normas não são afastados por essa frase. A mera titularidade da conta invadida não transfere o prejuízo dos contatos, mas uma inércia comprovada depois da ciência pode integrar a análise concreta de culpa e causalidade.
Invasão de dispositivo e estelionato: os arts. 154-A e 171, §2º-A
A tomada da conta configura, conforme o modo de execução, invasão de dispositivo informático — art. 154-A do Código Penal, com pena agravada pela Lei 14.155/2021 — e o uso dela para arrancar dinheiro dos seus contatos é estelionato mediante fraude eletrônica, art. 171, §2º-A. São crimes distintos, com vítimas distintas: você, pela invasão; seus contatos, pelos pagamentos.
Registre boletim de ocorrência descrevendo a linha do tempo — quando perdeu o acesso, quando recuperou, quem foi abordado. Oriente cada contato que pagou a registrar a própria ocorrência e a acionar o banco dele para tentar a devolução do Pix pelas regras do Banco Central; o pedido é individual, de cada pagador.
Identificar o invasor: registros de acesso e a ordem judicial do Marco Civil
A plataforma de mensagens guarda registros de acesso à aplicação, como endereço IP, data e hora, e o Marco Civil prevê seu fornecimento por ordem judicial nos arts. 15 e 22. Esses dados podem indicar uma conexão ou assinante, mas não provam sozinhos autoria nem endereço físico do agente: CGNAT, VPN, rede compartilhada e credenciais usadas por terceiro exigem correlação com outros elementos.
A investigação pode combinar registros de aplicação, dados do provedor de conexão, aparelhos e informações bancárias. A vítima também pode pedir preservação e exibição em medida própria. A providência deve ser rápida porque a lei prevê períodos limitados de guarda obrigatória.
Fechando o caso: reparação possível e a lição de segurança
Conta autêntica invadida não se confunde com conta inautêntica. A tese final do Tema 987, considerada a conclusão dos embargos em 2026, não transforma todo sequestro de conta em responsabilidade automática da plataforma. Para cadastro inautêntico denunciado, o provedor, ciente da falsidade, pode responder quando permanece omisso e não retira a conta. Já a falha de suporte para recuperar um acesso legítimo deve ser demonstrada pelo histórico de pedidos, protocolos e tempo de resposta.
Também é necessário separar o acesso à conta do conteúdo das conversas. Para comunicações interpessoais privadas e mensagens privadas, o art. 19 do Marco Civil continua a exigir ordem judicial específica; uma simples notificação extrajudicial não substitui esse requisito para responsabilização pelo conteúdo trocado entre pessoas. Identificado o invasor, permanece cabível cobrar dele os danos causados ao titular e aos contatos lesados.
A tese final produz efeitos desde 5 de agosto de 2025. Quanto aos atos continuados ou permanentes, aplica-se a formulação final. As decisões transitadas em julgado permanecem preservadas.
Perguntas frequentes
Sou obrigado a devolver o dinheiro que meus amigos pagaram ao golpista?
Em regra, não. Quem deve é o criminoso que recebeu. Sem culpa demonstrada do titular invadido, não há fundamento para transferir a ele o prejuízo dos contatos.
Trocar de número resolve mais rápido do que recuperar a conta?
Não resolve o problema principal: a conta antiga continuaria ativa nas mãos do golpista, enganando seus contatos. Recuperar o número é o que derruba a sessão do invasor.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.