Tempo de leitura: 11 min · Atualizado em 03/09/2026
Em regra, sim. Quando criminosos invadem o perfil comercial de uma empresa real e o usam para aplicar golpes em clientes e seguidores — promoção falsa, sorteio inventado, cobrança via link fraudulento —, a empresa dona da conta pode responder pelos prejuízos das vítimas, porque o golpe só funcionou por ter sido veiculado dentro de um canal que ela mantinha, divulgava e usava para vender.
Isso é diferente de um perfil falso criado do zero em nome de alguém, imitando uma marca que nunca existiu naquele espaço. Aqui a conta é autêntica: tem o histórico de posts da empresa, o selo de verificação, os seguidores que a acompanham há anos, às vezes até conversas antigas de atendimento. O golpista não precisou convencer ninguém de que aquele perfil era legítimo — ele já era. Só precisou entrar.
Por que a invasão de uma conta legítima é mais perigosa que um perfil falso
Um perfil falso criado para se passar por uma marca costuma ter sinais de alerta: poucos seguidores, poucas publicações, erros de português, um nome de usuário quase igual mas não idêntico. Consumidores mais atentos desconfiam. Já uma conta comercial invadida carrega toda a credibilidade acumulada da empresa verdadeira. Quando o golpista publica uma promoção de 70% de desconto ou avisa que “por erro do sistema” o cliente vai receber reembolso mediante pagamento de uma taxa, a mensagem sai do mesmo perfil que, na semana anterior, postou fotos de produtos reais e respondeu clientes satisfeitos.
A confiança explorada pelo golpista não foi construída por ele, foi construída pela própria empresa ao longo do tempo, e o golpe surfa nessa reputação sem que a vítima tenha motivo razoável para desconfiar. Uma pessoa que segue a marca há meses e reconhece o layout do perfil dificilmente vai suspeitar que aquela mensagem, vinda daquele mesmo lugar, é criminosa.
A empresa pode ser responsabilizada mesmo sendo vítima da invasão?
Sim, e isso costuma surpreender quem só enxerga a empresa como vítima do ataque — o que ela de fato é, em um primeiro momento. Mas a análise jurídica não para na constatação de que houve invasão. Ela avança para perguntas mais específicas: a empresa adotava medidas de segurança compatíveis com o porte do negócio? Demorou para perceber a invasão e agir? Continuou se beneficiando da visibilidade do canal mesmo depois de saber do problema?
A lógica por trás dessa responsabilização não é punir a empresa por ter sido atacada — ataques acontecem mesmo com boas práticas. É reconhecer que, ao operar um canal comercial de contato direto com o público, a empresa assume o risco inerente a essa atividade, incluindo falhas de segurança que abrem espaço para fraudes. Esse risco não pode ser transferido integralmente para quem só estava do outro lado da tela, confiando em um canal que a própria empresa criou para gerar negócios.
O que muda entre negligência e diligência da empresa invadida
Nem toda invasão gera o mesmo grau de responsabilidade. Há diferença entre a empresa que usava senha simples, sem verificação em duas etapas e sem controle de quem tinha acesso ao perfil, e a empresa que adotava práticas razoáveis de segurança e ainda assim foi vítima de um ataque sofisticado. A primeira situação aproxima o caso de uma falha evitável; a segunda se aproxima mais de um evento imprevisível.
Outro fator que pesa é a velocidade de reação. Uma empresa que percebe a invasão e, em poucas horas, publica alertas, denuncia a conta à plataforma e comunica os clientes tende a ter responsabilidade mais limitada do que aquela que demora dias para agir enquanto o golpe continua, ou que só se manifesta depois que várias pessoas já perderam dinheiro e reclamam publicamente. O tempo de reação vira, na prática, uma medida do quanto a empresa levou a sério o canal e as pessoas que confiavam nele.
A vítima do golpe pode cobrar diretamente da empresa dona do perfil?
Pode, sim, especialmente quando a empresa tinha meios de evitar o problema ou de reagir mais rápido. Isso não significa que toda cobrança feita através de um perfil invadido vira automaticamente dívida da empresa — depende de provar que a comunicação partiu daquele canal, que havia falha de segurança ou de resposta, e que existe prejuízo concreto e comprovável.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Na prática, a vítima costuma reunir capturas de tela da publicação ou mensagem recebida pelo perfil oficial, o comprovante de pagamento feito para o link ou chave indicada, e qualquer resposta (ou ausência dela) da empresa quando procurada. Esse conjunto de provas sustenta um pedido de reparação, seja por negociação direta, reclamação em órgão de proteção ao consumidor ou ação judicial, caso a empresa se recuse a resolver.
O papel da plataforma na apuração do caso
Embora o foco recaia sobre a empresa dona do perfil, a rede social também entra na análise, principalmente quando demora para remover conteúdo golpista já denunciado ou não oferece mecanismos mínimos de recuperação de conta. Esse tema tem contornos próprios, tratados com mais profundidade no artigo sobre Instagram invadido e usado para golpes, que discute quando a própria plataforma pode ser chamada a responder.
A diferença de enfoque importa: aquele conteúdo trata da conta invadida do ponto de vista de quem sofreu a invasão (o dono do perfil reclamando da plataforma), enquanto este artigo olha o mesmo tipo de invasão do ponto de vista de quem foi lesado pelos golpes aplicados através dela — os clientes e seguidores da empresa invadida, que agora buscam reparação.
Por que este caso não se confunde com um perfil falso criado do zero
Vale reforçar essa distinção porque ela muda completamente a estratégia de defesa e de cobrança. Quando alguém cria um perfil falso imitando uma marca — sem nunca ter tido acesso à conta real —, a empresa original é, em regra, apenas outra vítima do golpista, junto com os consumidores enganados; sua responsabilidade tende a ser mínima ou inexistente, já que ela não tinha qualquer controle sobre aquele espaço fraudulento. Essa situação está detalhada no artigo sobre perfil falso criado em nome de alguém nas redes sociais.
Já no cenário deste artigo, a conta pertence de fato à empresa, estava sob sua guarda e, em algum momento, sob seu controle direto. A falha de segurança que permitiu a invasão — mesmo que mínima, mesmo que sofisticado o ataque — aconteceu dentro do espaço que a própria empresa administrava. Essa diferença de origem é o que justifica um grau de responsabilidade maior no caso da invasão do que no caso do perfil falso independente.
Empresa também responde por outros canais próprios comprometidos
A mesma lógica se estende a outros canais oficiais comprometidos por criminosos, como um número de WhatsApp comercial clonado ou um site institucional invadido para redirecionar pagamentos. Quanto mais o canal usado no golpe pertencia e era administrado pela empresa, mais peso ganha a discussão sobre segurança adequada e tempo de resposta diante do incidente.
Para entender melhor o raciocínio geral por trás dessa responsabilização de empresas por fraudes praticadas através de seus próprios canais, mesmo quando o golpe é executado por terceiros, vale a leitura do artigo sobre quando uma loja responde por fraude no pagamento, que explica em que situações o fornecedor divide a conta com o criminoso que se aproveitou de uma falha do canal comercial.
O que fazer se você caiu em um golpe aplicado por um perfil comercial invadido
O primeiro passo é reunir provas antes que a publicação seja apagada: prints da postagem ou da conversa, com data e horário visíveis, além do comprovante de pagamento feito. Em seguida, entre em contato com a empresa por um canal alternativo — telefone, e-mail ou outro perfil verificado — relatando o ocorrido e pedindo posicionamento formal.
Também vale registrar boletim de ocorrência, denunciar a publicação e a conta à própria plataforma, e comunicar o banco ou instituição de pagamento caso o valor tenha sido transferido, já que em alguns casos ainda é possível reverter parte da transação se a comunicação for rápida. Guardar a documentação organizada facilita tanto uma negociação direta quanto uma eventual ação judicial, caso a resposta não seja satisfatória.
Perguntas frequentes
A empresa sempre responde quando seu perfil é invadido e usado em golpes?
Não automaticamente. A responsabilidade depende de fatores como o nível de segurança adotado antes do ataque, o tempo de reação depois de descoberta a invasão e se a empresa continuou se beneficiando do canal mesmo sabendo do problema.
Qual a diferença entre perfil falso e perfil invadido para fins de responsabilidade?
No perfil falso, a empresa não tinha controle sobre a conta fraudulenta e costuma ser apenas outra vítima do golpista. No perfil invadido, a conta pertencia de fato à empresa, então uma eventual falha de segurança ou demora na resposta pode gerar responsabilidade direta perante os clientes lesados.
Como provo que o golpe partiu do perfil oficial da empresa?
Capturas de tela com data e horário da publicação ou conversa, o link ou a chave de pagamento usados e qualquer comprovante de transferência formam o conjunto básico de provas. Quanto mais rápido essas provas forem coletadas, menor o risco de a publicação ser apagada antes.
A plataforma de rede social também pode ser responsabilizada?
Em alguns casos, sim, principalmente quando demora para remover conteúdo golpista já denunciado ou falha em oferecer mecanismos adequados de recuperação de conta. Essa responsabilidade da plataforma é analisada separadamente da responsabilidade da empresa dona do perfil.
Vale a pena tentar resolver diretamente com a empresa antes de acionar a Justiça?
Sim, na maioria dos casos. Muitas empresas sérias, ao perceberem que o próprio canal foi usado para lesar clientes, preferem negociar uma solução para preservar a própria reputação. Guardar o histórico dessa negociação também fortalece uma eventual ação judicial, caso não haja acordo.
Existe prazo para cobrar a empresa por um golpe aplicado através do perfil invadido?
Sim, existe um prazo para buscar reparação, que varia conforme a natureza do pedido e as circunstâncias do caso. Por isso, é recomendável buscar orientação jurídica assim que o problema for identificado, em vez de esperar.
Fontes: Código de Defesa do Consumidor (responsabilidade do fornecedor por defeito na prestação do serviço e pela cadeia de fornecimento); Marco Civil da Internet (obrigações de provedores de aplicações quanto à remoção de conteúdo); doutrina e jurisprudência sobre fortuito interno em falhas de segurança digital que geram prejuízo a terceiros.
Artigos relacionados
- Golpista usou nome e logotipo da minha empresa para aplicar fraude em clientes: quem responde?
- Perfil com selo de verificado foi usado para aplicar golpe: isso muda a responsabilidade da plataforma?
- Um agente de inteligência artificial autônomo fez uma compra ou pagamento em nome da minha empresa sem aprovação humana: quem responde pelo prejuízo?
- Empresa de tecnologia entregou aplicativo mobile com falhas graves de segurança em dados de usuários LGPD: quem responde?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
