Clonagem de Perfil Profissional no LinkedIn para Aplicar Golpes Contra Empresas: Responsabilidade e Como Agir

Quando um perfil profissional é clonado no LinkedIn para aplicar um golpe contra uma empresa, a responsabilidade recai primeiro sobre quem criou e usou o perfil falso, que pode responder civil e criminalmente pela fraude. A responsabilidade do LinkedIn não pode mais ser descrita pela antiga fórmula de que somente surgiria após ordem judicial específica. Após o julgamento dos Temas 533 e 987 pelo STF, o regime de responsabilização dos provedores foi reformulado e a tese alcança também contas denunciadas como inautênticas. A existência de um perfil falso não gera indenização automática, mas a análise deve considerar a ciência da plataforma, o regime fixado pelo STF, a natureza do conteúdo e a conduta adotada após a denúncia ou determinação judicial. Já a própria empresa vítima pode assumir parte da responsabilidade perante fornecedores ou clientes se a fraude só deu certo por falha grave em seus controles internos de pagamento. Diante do golpe, a prioridade é agir rápido: notificar o banco para tentar reverter a transferência, reunir provas técnicas do perfil falso e das mensagens trocadas, denunciar o perfil à própria plataforma e buscar orientação jurídica para as medidas extrajudiciais e judiciais cabíveis.

Como a clonagem de perfis profissionais é usada contra empresas

A fraude normalmente segue um roteiro reconhecível, ainda que os detalhes variem:

• Coleta de dados públicos: o golpista extrai foto, cargo, formação e conexões de um executivo real diretamente do perfil público no LinkedIn.
• Criação do perfil falso: um perfil quase idêntico é registrado, muitas vezes com pequena variação no nome ou usando uma conta recém-criada com poucas conexões, e passa a seguir ou conectar-se com funcionários da mesma empresa ou de empresas parceiras.
• Abordagem por mensagem privada ou e-mail combinado: a partir do perfil clonado, o criminoso contata colaboradores do setor financeiro, de compras ou de relacionamento com fornecedores, solicitando pagamentos, alteração de dados bancários de um fornecedor legítimo ou envio de informações sigilosas.
• Uso do fator autoridade e urgência: por se passar por um superior hierárquico ou por um parceiro comercial de confiança, o golpe explora a hesitação do funcionário em questionar uma ordem aparentemente vinda de cima, combinada com prazos apertados que dificultam a checagem.
• Falso parceiro comercial: outra variação recorrente é a clonagem do perfil de um representante de fornecedor ou cliente já conhecido, usada para trocar dados de pagamento em uma negociação em andamento (o chamado golpe do “boleto trocado” em versão corporativa).

Essa dinâmica de personificação de autoridade se assemelha a outras fraudes de engenharia social já conhecidas fora do ambiente profissional, como o golpe do falso funcionário do banco, em que o criminoso finge representar uma instituição financeira para obter dados ou autorizar transferências, e o golpe da falsa central de atendimento, que usa números e discursos que imitam um canal oficial. Nos três casos o elemento central é a manipulação da confiança da vítima em uma fonte aparentemente legítima, e não uma falha técnica sofisticada — o que explica por que treinamento e protocolos internos costumam ser mais eficazes do que qualquer solução puramente tecnológica.

O dano típico não é apenas financeiro: envolve também o abalo à imagem do executivo copiado, a exposição de dados internos da empresa vítima e, eventualmente, o comprometimento de relações comerciais com terceiros que também foram contatados pelo perfil falso.

Perfil clonado ou conta real invadida: qual a diferença prática

É importante não confundir duas situações distintas, porque a resposta adequada muda conforme o caso. Na clonagem, o golpista cria um perfil novo, copiando foto, nome e informações públicas do executivo — a conta original permanece intacta e sob controle do verdadeiro titular. Já na invasão de conta, o criminoso obtém a senha ou o acesso ao próprio perfil real (por exemplo, por meio de phishing ou de reutilização de uma senha vazada em outro serviço) e passa a usá-lo diretamente. No primeiro caso, a vítima e a empresa devem denunciar um perfil falso e agir para removê-lo da plataforma; no segundo, a prioridade imediata é recuperar o acesso à conta original junto ao suporte do LinkedIn e trocar todas as credenciais associadas, além de verificar se outros sistemas usam a mesma senha comprometida. A base penal também pode variar entre os dois cenários, já que a invasão de conta se aproxima mais da legislação sobre invasão de dispositivos informáticos do que da falsa identidade propriamente dita.

Sinais de alerta que ajudam a identificar um perfil clonado

Alguns indícios se repetem na maioria dos casos e merecem virar rotina de checagem dentro da empresa:

• Perfil criado recentemente, com poucas conexões em comum e pouco ou nenhum histórico de publicações antigas;
• Pequenas variações no nome, no cargo ou na grafia (um ponto a mais, uma abreviação diferente, um sobrenome trocado);
• Mensagens com urgência incomum, pedidos de sigilo (“não comente com ninguém”) e insistência para migrar a conversa para WhatsApp ou e-mail pessoal;
• Divergência entre o texto da mensagem e o estilo de comunicação habitual da pessoa supostamente responsável pelo perfil;
• Pedido de alteração de dados bancários de um fornecedor já conhecido, especialmente perto do vencimento de uma fatura.

Nenhum desses sinais isolados é prova definitiva de fraude, mas a combinação de dois ou mais deve ser suficiente para acionar o protocolo de checagem por outro canal antes de qualquer pagamento ou alteração cadastral.

Enquadramento penal: estelionato e falsa identidade

A conduta de criar um perfil falso para induzir empregados ou parceiros a erro e obter vantagem patrimonial indevida — como uma transferência bancária — se amolda, em regra, a duas figuras da lei penal brasileira:

• Estelionato: é o crime de obter vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro por meio de artifício, ardil ou qualquer outro meio fraudulento. É exatamente o que ocorre quando o funcionário é convencido, por meio do perfil clonado, a autorizar um pagamento que não faria se soubesse da fraude.
• Falsa identidade: é o crime de atribuir a si mesmo ou a terceiro uma identidade falsa para obter vantagem, em proveito próprio ou alheio, ou para causar dano a outrem — conduta que costuma ceder lugar ao estelionato, mais grave, quando este se consuma, mas que pode ser relevante de forma autônoma em fases anteriores da fraude ou quando não há vantagem patrimonial efetivamente obtida.

Dependendo do caso concreto, a fraude também pode configurar falsidade ideológica ou até formação de quadrilha ou organização criminosa, quando há divisão de tarefas entre vários agentes (criação do perfil, abordagem, recebimento e “lavagem” dos valores desviados). A tipificação exata depende de perícia sobre as mensagens trocadas, os documentos usados e o caminho do dinheiro, o que reforça a importância de reunir provas técnicas desde o primeiro sinal de fraude. Para quem ainda não está familiarizado com os termos técnicos usados nesse tipo de apuração, o glossário jurídico de fraudes bancárias explica de forma simples expressões recorrentes em boletins de ocorrência e laudos periciais.

Responsabilidade civil: quem responde pelo golpe

Sob a ótica civil, a análise de responsabilidade normalmente passa por três frentes:

• O autor da fraude, quando identificado, responde diretamente pelos danos materiais e morais causados, tanto à empresa lesada financeiramente quanto ao profissional cuja identidade foi usurpada.
• A plataforma de rede social (LinkedIn) tem responsabilidade limitada. A lei brasileira que regula o funcionamento da internet estabelece que o STF reformulou em 2025/2026 o regime de responsabilização civil dos provedores por conteúdo de terceiros. A análise não se resume mais à existência de ordem judicial específica: devem ser observadas as teses dos Temas 533 e 987, inclusive quanto a contas denunciadas como inautênticas, além das circunstâncias concretas da ciência e da resposta da plataforma. Ou seja, a mera existência de um perfil falso na plataforma não gera, por si só, dever de indenizar — é necessário notificação formal ou ordem judicial e inércia da rede social depois de ser cientificada. A lógica é parecida com a discutida em outras disputas sobre falhas de plataformas digitais que prejudicam empresas, como quando uma empresa tem suas publicações silenciadas por um shadowban no Instagram sem aviso prévio: em ambos os cenários, o desafio central é reunir provas técnicas suficientes para atribuir falha à plataforma, e não apenas à conduta do usuário malicioso.
• A própria empresa vítima pode ter responsabilidade perante terceiros (fornecedores, clientes) se a fraude foi facilitada por falha grave em seus próprios controles internos de aprovação de pagamentos — um argumento que costuma surgir em disputas sobre quem arca com o prejuízo quando o dinheiro já foi transferido a terceiro de boa-fé.

Há ainda a dimensão da proteção de dados pessoais: a coleta e o uso de dados pessoais (nome, foto, cargo, rede de contatos) para montar o perfil clonado configuram tratamento de dados sem base legal e sem consentimento do titular. Isso autoriza o executivo copiado a exigir a remoção do conteúdo e, dependendo do grau de participação e negligência de quem tratou os dados de forma ilícita — inclusive, a depender do caso, a própria plataforma —, buscar reparação por danos morais e materiais perante a Justiça ou por meio de reclamação à autoridade de proteção de dados.

Medidas preventivas para empresas

Como a fraude explora principalmente falhas de processo, e não vulnerabilidades técnicas sofisticadas, boa parte da prevenção está ao alcance de qualquer empresa:

• Dupla checagem obrigatória (callback) para qualquer pedido de pagamento ou alteração de dados bancários, feita por canal diferente daquele em que a solicitação chegou — por exemplo, ligar para um número já conhecido do executivo ou fornecedor, nunca para um número informado na própria mensagem suspeita.
• Política formal de aprovação de pagamentos com alçadas definidas, exigindo mais de uma assinatura para transferências acima de determinado valor e vedando exceções por “urgência” sem validação presencial ou por ramal interno confirmado.
• Treinamento periódico das equipes financeira, de compras e de atendimento sobre engenharia social, com exemplos reais de golpes de falso executivo e falso fornecedor.
• Monitoramento de perfis e marcas em redes sociais, com denúncia imediata de perfis suspeitos que usem o nome de executivos ou da empresa.
• Restrição de informações sensíveis divulgadas publicamente sobre hierarquia, viagens e ausências de diretores, que são frequentemente usadas para calibrar o timing do golpe (por exemplo, agir exatamente quando o diretor real está viajando e indisponível para confirmar).

Como agir se a empresa for vítima

Descoberta a fraude, a velocidade de reação é decisiva:

• Notificar imediatamente o banco envolvido na transferência, solicitando bloqueio ou reversão dos valores enquanto ainda circulam entre contas (o chamado “rastro” do dinheiro se perde rapidamente).
• Reunir e preservar provas: prints das mensagens, cabeçalhos de e-mail, comprovantes de pagamento e o próprio link do perfil clonado, preferencialmente com ata notarial para dar fé pública ao conteúdo antes que seja removido pelo criminoso. O guia de provas para fraudes bancárias detalha, passo a passo, quais documentos e registros costumam ser exigidos tanto para a apuração penal quanto para um eventual pedido de reparação civil.
• Denunciar o perfil à plataforma e, paralelamente, registrar boletim de ocorrência (delegacia de crimes cibernéticos, quando houver) para formalizar a apuração penal.
• Notificar formalmente o LinkedIn e, se necessário, buscar tutela judicial de urgência para remoção do conteúdo e para obter da plataforma os dados de registro (IP, telefone, e-mail de cadastro) usados na criação do perfil falso, essenciais para identificar o responsável.
• Avaliar o impacto contratual com fornecedores e clientes que também possam ter sido contatados pelo perfil falso, adotando comunicação preventiva para evitar que o golpe se propague pela cadeia de relacionamento comercial.

Quando acionar um advogado e o que esperar dessa atuação

A clonagem de perfis profissionais para aplicar golpes contra empresas combina fraude patrimonial, uso indevido de identidade e, frequentemente, falhas de processo interno — um cenário que costuma exigir atuação simultânea nas esferas cível, penal e de proteção de dados. Quanto mais cedo um advogado for acionado, maior a chance de formalizar notificações extrajudiciais dentro do prazo útil, orientar a empresa sobre o que registrar e preservar antes que as provas se percam e, quando ainda há tempo, tentar reverter valores que estejam em trânsito entre contas.

Na prática, a atuação jurídica nesse tipo de caso costuma incluir a notificação extrajudicial à plataforma para remoção do perfil falso e fornecimento dos dados de registro, o acompanhamento junto à instituição financeira na tentativa de bloqueio dos valores, a orientação sobre o boletim de ocorrência e, quando necessário, medidas judiciais de urgência para obrigar a plataforma a agir ou para identificar o responsável pela fraude. Também costuma fazer parte do trabalho avaliar, junto com a empresa, se há responsabilidade de terceiros na cadeia — banco, fornecedor, a própria plataforma — que possa ser discutida em juízo.

Cada caso concreto demanda análise específica das provas disponíveis, do valor efetivamente desviado e da conduta da plataforma e das instituições financeiras envolvidas. Não existe fórmula automática que garanta a recuperação do valor ou a responsabilização de terceiros: a avaliação jurídica prévia é o que permite dimensionar, com realismo, as chances de êxito antes de qualquer medida extrajudicial ou judicial.

Perguntas frequentes

Quem responde pelo golpe quando um perfil do LinkedIn é clonado para enganar uma empresa?

Em primeiro lugar, o autor da fraude, quando identificado. A responsabilização da plataforma não é automática, mas deve ser analisada segundo o regime atualmente fixado pelo STF nos Temas 533 e 987, inclusive para contas denunciadas como inautênticas, considerando como e quando a plataforma tomou ciência e como reagiu. A própria empresa vítima também pode ter parcela de responsabilidade perante terceiros se a fraude só teve êxito por falha grave em seus controles internos de pagamento.

O LinkedIn é obrigado a remover um perfil falso assim que é denunciado?

A denúncia interna pela ferramenta da própria plataforma tende a acelerar a análise, mas o risco de responsabilização civil deve ser analisado segundo o regime atualmente fixado pelo STF, que não pode ser reduzido à antiga exigência geral de ordem judicial específica. Em contas denunciadas como inautênticas, a ciência da plataforma e sua resposta são elementos especialmente relevantes.

É possível recuperar o dinheiro transferido para o golpista?

É possível em alguns casos, principalmente quando o banco é notificado rapidamente e ainda consegue bloquear os valores antes que sejam repassados a outras contas ou sacados. Não há garantia de recuperação, e a chance diminui bastante quanto mais tempo passa entre a transferência e a notificação.

A empresa pode processar o LinkedIn por não ter impedido a criação do perfil falso?

A simples existência do perfil falso não gera dever automático de indenizar. A viabilidade de ação contra a plataforma depende do regime fixado pelo STF nos Temas 533 e 987, da forma de ciência sobre a conta inautêntica, das providências adotadas e do nexo entre eventual omissão da plataforma e o dano demonstrado.

O executivo que teve o perfil clonado também pode pedir indenização?

Sim. O uso não autorizado de nome, foto e dados profissionais para montar o perfil falso pode configurar violação a direitos da personalidade e tratamento indevido de dados pessoais, dando ao executivo copiado base para buscar reparação por danos morais, de forma independente do prejuízo financeiro sofrido pela empresa.

Como provar que um perfil era falso depois que o golpista já o removeu?

O ideal é preservar prints, links e, sempre que possível, uma ata notarial capturada assim que a suspeita surgir, já que perfis fraudulentos costumam ser apagados pelo próprio criminoso logo após o golpe. Mensagens trocadas, cabeçalhos de e-mail e comprovantes de pagamento também ajudam a reconstituir a fraude mesmo sem o perfil original disponível.

O funcionário que autorizou o pagamento por engano pode ser responsabilizado pela empresa?

Depende da conduta concreta. Se o funcionário seguiu os protocolos internos existentes e ainda assim foi enganado por um golpe sofisticado, a responsabilização individual tende a ser difícil de sustentar. Já o descumprimento claro de uma política formal de checagem (por exemplo, ignorar a exigência de callback) pode ser levado em conta em uma eventual apuração interna, sempre à luz das regras trabalhistas e do caso concreto.

Sobre o autor

Siga @phelipecardosoadv no Instagram →

Phelipe Pereira Cardoso é advogado desde 2009 e fundador do PHC Phelipe Cardoso Advogados. Atua principalmente em Direito Civil, Empresarial e do Consumidor, com experiência em responsabilidade civil, indenizações, contratos, conflitos patrimoniais e demandas envolvendo empresas e instituições financeiras.

Ao longo de sua trajetória, concedeu entrevistas e contribuiu com análises jurídicas para veículos como TV Globo, TV Record e Rádio Itatiaia, abordando temas de interesse público e questões relevantes das relações civis e de consumo. À frente do PHC, coordena a estratégia jurídica do escritório e combina experiência prática, linguagem clara e tecnologia aplicada ao Direito para conduzir casos de forma técnica, personalizada e orientada à solução.

Precisa de orientação sobre o seu caso?

Fale com o escritório  ·  Conheça o PHC Advogados  ·  Ver outros artigos

Este conteúdo tem caráter informativo e não substitui a análise individual do seu caso por um advogado.