Recuperar a conta exige segurança, suporte eficaz e prova de titularidade
Quando um terceiro troca senha, e-mail ou autenticação, a prioridade é conter o dano e preservar registros. O art. 14 do CDC prevê responsabilidade por defeito do serviço, mas a invasão não prova sozinha falha da plataforma: phishing, senha reutilizada, dispositivo comprometido e segurança inadequada são hipóteses diferentes. A empresa deve oferecer processo de recuperação compatível com o risco e não abandonar o consumidor num ciclo automático impossível. A LGPD exige medidas de segurança e comunicação de incidente relevante nas condições do art. 48, não anúncio de todo acesso indevido individual.
Proteja primeiro e documente depois
Use dispositivo confiável, troque senha do e-mail, encerre sessões, ative autenticação e avise banco se houver pagamento. Salve alertas de login, e-mails de troca, horários, IP exibido, protocolos e cobranças. Não envie documento por canal não verificado. Registre o que foi alterado e quais dados ou ativos podem ter sido acessados.
Prove titularidade sem expor mais dados
Forneça recibos, datas, identificadores antigos, método de pagamento mascarado e histórico que só o titular conhece. A plataforma pode exigir verificação forte para não entregar conta ao invasor, mas deve explicar alternativas quando o invasor alterou justamente o e-mail ou telefone. Coleta documental precisa ser necessária, segura e proporcional.
Separe invasão individual de incidente de dados
Uma conta tomada por senha vazada em outro site não significa incidente nos sistemas da plataforma. Se houver indícios de falha coletiva ou violação de sua base, peça informação sobre natureza, dados afetados, riscos e medidas. O art. 48 da LGPD exige comunicação à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante.
Cobranças e conteúdo exigem pedidos próprios
Conteste compras não reconhecidas rapidamente, identifique valores e evite cancelar transações legítimas. Peça bloqueio preventivo, restauração do acesso, reversão de mudanças e preservação de logs. Arquivos, seguidores ou itens apagados podem não ser tecnicamente recuperáveis; a empresa deve explicar, e eventual reparação depende de falha, nexo e dano demonstrado.
Escalone com um histórico único
Depois do suporte, use encarregado de dados quando houver questão de tratamento, consumidor.gov.br e canais regulatórios pertinentes. Boletim ajuda a documentar fraude, mas não substitui pedido técnico. Organize uma linha do tempo e evite abrir dezenas de chamados contraditórios. Urgência judicial depende de risco atual e prova da titularidade.
Cuide também das contas conectadas
Revogue aplicativos, tokens, chaves de API e logins sociais vinculados. Verifique regras de encaminhamento no e-mail e telefones adicionados, pois trocar apenas a senha pode não expulsar o invasor. Avise contatos se a conta enviou fraude e preserve exemplos. Na plataforma, peça confirmação de encerramento das sessões, restauração dos fatores de autenticação e bloqueio de mudanças financeiras. Se houve tratamento indevido de dados, exerça direitos pelos canais do controlador e pergunte se ocorreu incidente relevante; não exija declaração prematura sem investigação. Registre prejuízos separando compras do invasor, perda de receita, custo de recuperação e mera estimativa. Essa divisão ajuda a demonstrar nexo e impede que um pedido de acesso seja confundido com indenização automática. Se a plataforma exigir selfie ou documento, confirme domínio e política de retenção antes do envio; peça alternativa quando o dado solicitado for excessivo. A resposta deve equilibrar privacidade e prevenção de tomada indevida. Em perfil comercial, avise clientes por canal alternativo e registre anúncios fraudulentos publicados pelo invasor. Peça preservação urgente de registros pelo período legal, sem presumir acesso direto pelo consumidor. Caso a empresa atribua culpa à senha, solicite dados objetivos sobre autenticação, alertas e sessões. Culpa exclusiva não pode ser deduzida apenas porque credenciais corretas foram usadas.
Perguntas frequentes
A LGPD obriga devolver minha conta?
Não diretamente em toda situação. Ela impõe segurança e direitos sobre dados; a recuperação também decorre do serviço contratado e do CDC quando aplicável.
Posso exigir o IP do invasor?
O acesso a registros envolve privacidade e regras do Marco Civil; a plataforma pode preservá-los, mas a entrega costuma exigir base jurídica e procedimento adequado.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.