E-mail invadido: retomando o controle antes que o dano se espalhe

Contenção imediata: e-mail como porta de entrada

Em dispositivo confiável, altere a senha e use a página oficial de segurança para revogar sessões; o comportamento após a troca varia entre provedores. Revise endereços de recuperação, regras de encaminhamento, filtros, acessos delegados e autenticação adicional.

Depois, verifique as contas que usam esse e-mail para recuperação, priorizando serviços financeiros e de identidade. Registre alterações não reconhecidas e evite fazer a remediação no dispositivo suspeito.

O crime de acessar e-mail alheio sem autorização

Para aplicar o art. 154-A, é necessário demonstrar invasão de aparelho utilizado por outra pessoa com propósito de acessar, modificar ou eliminar dados sem permissão. A pena qualificada de dois a cinco anos não decorre da mera possibilidade de leitura: a invasão precisa produzir resultado previsto no § 3º, como captar comunicações eletrônicas privadas ou permitir controle remoto indevido do aparelho. Conta e dispositivo não são sinônimos.

Se o agente usa o acesso para induzir alguém a transferir dinheiro ou fornecer informação por meio eletrônico fraudulento, o art. 171, § 2º-A, pode entrar na apuração. A incidência e eventual concurso dependem dos atos efetivamente provados.

Quando o invadido é um e-mail profissional

Se o incidente envolver dados pessoais tratados por uma empresa, o controlador deve avaliar alcance, riscos e medidas de contenção. A comunicação à ANPD e aos titulares é exigida nas hipóteses do art. 48 da LGPD e da regulamentação aplicável, quando o incidente puder acarretar risco ou dano relevante; não é automática para todo acesso suspeito.

Preserve registros técnicos, documente a contenção e avalie obrigações contratuais ou setoriais. A forma de atendimento jurídico e de participação em atos depende do órgão e do procedimento.

Uma linha do tempo separa acesso, alteração e dano

Uma linha do tempo separa indício técnico, ação do invasor e consequência concreta. Anote o último acesso legítimo, o primeiro alerta, mudanças de senha ou endereço de recuperação, regras de encaminhamento desconhecidas, mensagens enviadas sem autorização e redefinições pedidas em outros serviços. Quando for seguro, registre essas informações antes de alterá-las, mas não adie a contenção para produzir uma documentação perfeita.

Organize o material em três grupos. O primeiro reúne sinais de acesso, como sessão, horário e aviso de segurança. O segundo descreve o que efetivamente mudou: filtro criado, mensagem enviada, arquivo consultado ou conta vinculada redefinida. O terceiro mostra repercussões comprováveis, como pagamento indevido, comunicação recebida por cliente ou indisponibilidade de serviço. Essa divisão evita atribuir ao invasor um dano que ainda não foi relacionado ao acesso.

No e-mail corporativo, registre também quais categorias de dados pessoais podem ter sido alcançadas, quantos titulares podem estar envolvidos, quais medidas de contenção foram tomadas e quem decidiu os próximos passos. Essa avaliação documentada ajuda o controlador a aplicar o art. 48 da LGPD sem tratar toda suspeita como incidente comunicável nem ocultar um evento capaz de gerar risco ou dano relevante. Preserve apenas o necessário e restrinja o acesso interno ao material.

Provas para o boletim de ocorrência

Se isso não atrasar a contenção, registre o histórico de acessos exibido pelo provedor. Dados disponíveis e prazo de retenção variam; localização aproximada ou endereço IP não provam autoria sozinhos. Preserve também alertas de segurança e relatos de contatos que receberam mensagens estranhas.

Esses elementos ajudam a reconstruir a janela do incidente e a orientar a verificação de outras contas, mas não demonstram isoladamente a invasão nem são necessariamente decisivos para o boletim de ocorrência.