Invasão em cascata: quando uma conta é usada para tomar as demais

Por que o e-mail principal é a porta mais visada

A maioria dos serviços online usa o e-mail cadastrado como canal de recuperação, o que faz dele o alvo mais valioso de qualquer ataque: quem controla essa caixa de entrada controla, na prática, o processo de redefinição de senha de bancos, redes sociais e aplicativos de compra vinculados a ela. É por isso que a prioridade número um, antes de qualquer outra recuperação, é retomar o controle do e-mail — sem isso, cada conta recuperada pode ser tomada de novo minutos depois.

Dois crimes em sequência: invadir e depois enganar com o que foi obtido

Invadir dispositivo informático alheio para obter ou adulterar dados sem autorização — a invasão do e-mail, portanto — já é crime por si só, tipificado no art. 154-A do Código Penal. Quando o invasor usa essas informações para aplicar golpe contra a própria vítima ou contra terceiros — pedindo dinheiro a contatos, por exemplo, a partir de dados obtidos nessa cadeia —, a pena do estelionato sobe para reclusão de quatro a oito anos, conforme o art. 171, § 2º-A, do mesmo Código, que trata justamente da fraude cometida com informação obtida por aplicação de internet ou duplicação de dispositivo. São dois crimes distintos, e o boletim de ocorrência deve registrar a sequência completa, não só a conta que a vítima percebeu primeiro.

Quando cada provedor dá uma resposta diferente para o mesmo problema

O art. 7º da Lei nº 12.965/2014 assegura a quem usa contas interligadas na internet a proteção de dados e comunicações prevista no Marco Civil, o que serve de base para exigir de cada provedor envolvido — não só o do e-mail principal — uma resposta sobre como os dados vazaram e quais acessos foram feitos a partir dali. Na prática, isso significa abrir um chamado em cada plataforma afetada, porque nenhuma central de ajuda resolve automaticamente o problema criado em outra.

Por que não dá para recuperar tudo de uma vez

É tentador tentar reverter todas as contas ao mesmo tempo, mas isso costuma piorar a situação: se o e-mail principal ainda estiver comprometido quando uma conta secundária for recuperada, o invasor simplesmente pede uma nova redefinição de senha e toma aquela conta de novo. A ordem importa mais do que a velocidade — e um caso que parece grave por envolver muitas contas, na origem, quase sempre é um problema só, concentrado no ponto de entrada.

Outro erro comum é confiar demais na verificação por SMS depois que o e-mail já foi tomado: se o invasor também conseguiu portar o número de telefone ou acessar mensagens de texto por outro meio, a dupla camada de segurança deixa de proteger, porque as duas camadas passam pelas mãos da mesma pessoa. Nesse cenário, vale trocar a verificação para um aplicativo autenticador instalado em um aparelho que o invasor nunca teve acesso, assim que o e-mail principal for recuperado.

Ordem de recuperação recomendada e o prazo para buscar reparação

A sequência mais segura é: primeiro o e-mail principal, com troca de senha, ativação de verificação em duas etapas e revisão dos dispositivos conectados; depois, uma a uma, as contas que dependem dele, começando pelas financeiras. Só depois de fechada essa porta faz sentido notificar formalmente cada serviço sobre o ocorrido. Contados de quando a vítima teve ciência da cadeia de invasões, três anos é o prazo que o art. 206, § 3º, inciso V, do Código Civil reserva à pretensão de reparação civil pelos danos — e, como o prejuízo cresce a cada conta tomada, muita gente prefere não esperar: um advogado pode orientar essa ordem de recuperação e preparar a notificação às plataformas com toda a documentação enviada por aplicativo, de qualquer lugar do país.