Conta de investimentos invadida: operações que você não reconhece

Providências nas primeiras horas

1. Solicite o bloqueio imediato da conta e das operações, por telefone e também por escrito, guardando o protocolo com data e hora. 2. Troque a senha do e-mail antes de qualquer outra, porque ele é a chave de recuperação das demais contas. 3. Revogue sessões e dispositivos autorizados na plataforma e reative a autenticação em duas etapas. 4. Peça o extrato completo de ordens e de acessos do período. 5. Registre boletim de ocorrência descrevendo operações, valores e horários.

A comunicação escrita à instituição, no mesmo dia, é o documento que fixa o momento em que ela soube da fraude — dado central para discutir eventual demora no bloqueio.

Os registros que provam o acesso indevido

Peça formalmente à corretora os logs de acesso, com data, hora, endereço de origem e identificação do dispositivo, além do relatório de ordens com o canal de emissão de cada uma.

O Marco Civil da Internet estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil e impõe ao provedor de aplicações constituído como pessoa jurídica a guarda dos registros de acesso a aplicações pelo prazo de seis meses. O art. 22 permite que a parte interessada requeira ao juiz que ordene ao responsável pela guarda o fornecimento desses registros, para formar conjunto probatório.

Esse prazo de seis meses explica a urgência: pedidos feitos tarde encontram registros já descartados.

Responsabilidade da instituição

A discussão gira em torno da segurança que o serviço deveria oferecer. O art. 14 do Código de Defesa do Consumidor responsabiliza o fornecedor de serviços, independentemente de culpa, pelos danos causados por defeito na prestação, e define como defeituoso o serviço que não fornece a segurança que o consumidor dele pode esperar.

Pesam a favor do investidor: ausência de autenticação em duas etapas efetiva, permissão de operações de valor elevado sem confirmação adicional, inexistência de alerta para acesso de dispositivo novo e demora no atendimento ao pedido de bloqueio.

Pesam contra: senha compartilhada, uso de computador público, instalação de programa suspeito e demora prolongada em comunicar a instituição — embora nenhum desses fatos, isoladamente, transfira ao cliente todo o prejuízo.

Recomposição e prevenção

O pedido usual é o retorno da conta ao estado anterior: desfazimento das operações não reconhecidas ou reparação do valor correspondente, devolução de taxas e de tributos incidentes sobre as operações fraudulentas e, conforme o caso, indenização por dano moral.

Depois do episódio, vale revisar o cadastro por inteiro: e-mail e telefone associados, autorizações de assessores, procurações vigentes e permissões de operação. Fraudes de acesso costumam começar por alteração silenciosa de contato.

Exemplo: uma conta que operava apenas fundos de renda fixa registra, em uma madrugada, dezenas de operações em ativos voláteis a partir de um dispositivo desconhecido. O relatório de acessos, pedido no dia seguinte, é o que amarra a fraude.

Como o prazo de guarda dos registros é curto e a instituição costuma negar responsabilidade na primeira resposta, a formalização do pedido e a estratégia seguinte podem ser tratadas com advogado particular já na primeira semana, com envio digital de extratos e protocolos.

Como o acesso indevido costuma começar

Reconstituir a porta de entrada ajuda a definir contra quem reclamar. Os caminhos mais frequentes são o vazamento de credenciais reutilizadas em outros serviços, o phishing por mensagem que imita a instituição, a instalação de programa malicioso no computador ou no celular e a tomada do número de telefone usado como segundo fator.

Cada um deles produz um rastro diferente: acesso de endereço desconhecido, sessão iniciada com credencial correta, comando executado a partir do próprio aparelho do cliente, ou alteração de contato antes das operações. Comparar esse rastro com a linha do tempo das ordens é o que separa falha de segurança da instituição de comprometimento do dispositivo do usuário.