Perfil hackeado e fake news na campanha: o que fazer quando você é vítima de ataques digitais

Em agosto de 2026, a Polícia Federal deflagrou buscas contra suspeitos de invadir o perfil da primeira-dama Rosângela da Silva em rede social. No mesmo período, a Advocacia-Geral da União notificou Meta e TikTok para remover, em 24 horas, publicações falsas que vinculavam Janja a supostos desvios do INSS. Com o segundo turno das eleições marcado para 25 de outubro de 2026, os ataques digitais contra figuras públicas estão no pico — e o que acontece com a primeira-dama acontece, em menor escala, com milhares de brasileiros comuns todos os dias.

Ataques digitais na campanha: da primeira-dama ao cidadão comum

O ciclo é sempre parecido: o perfil é invadido ou o nome da pessoa é usado em conteúdo falso; o material se multiplica em grupos de WhatsApp e Telegram em questão de minutos; e a vítima acorda para encontrar danos que podem durar anos. No caso de Janja, as publicações falsas sobre uma suposta viagem à Rússia com "200 malas de dinheiro" chegaram a dezenas de milhões de visualizações antes de qualquer remoção, segundo comunicado da AGU de 5 de agosto de 2026.

Para quem não tem o braço institucional do governo federal, o cenário pode parecer sem saída. De acordo com o relatório da SaferNet Brasil de 2025, os registros de crimes digitais contra pessoas físicas cresceram 31% em relação ao ano anterior, concentrados em três categorias: invasão de conta, difamação online e estelionato via perfil falso. Em setembro de 2026, com o ambiente político eletrizado pelo período eleitoral, advogados especializados em direito digital reportaram aumento de 40% no volume de consultas relacionadas a esses crimes.

O ambiente eleitoral acelera o problema porque amplia o alcance dos conteúdos falsos: um print editado ou uma notícia inventada sobre uma pessoa comum pode viralizar por associação com figuras políticas nacionais. Saber quais mecanismos jurídicos existem — e em que prazo acioná-los — é a diferença entre reparar o dano e perder a oportunidade de fazê-lo.

A proteção legal brasileira é mais forte do que parece

O Brasil construiu nos últimos anos um arcabouço jurídico robusto para crimes digitais. O pilar central é a Lei nº 14.155/2021, que endureceu as penas para invasão de dispositivo informático: hoje, o crime prevê de 1 a 4 anos de reclusão mais multa, podendo chegar a 5 anos quando há divulgação de conteúdo obtido ilegalmente. Antes dessa lei, a pena mínima era de 3 meses — o que tornava o crime praticamente insignificante na prática penal.

Completam o arsenal:

• Marco Civil da Internet (Lei 12.965/2014): obriga plataformas a preservar registros de acesso por até 6 meses e a remover conteúdo difamatório em 48 horas após notificação fundamentada pelo ofendido.
• Código Penal, arts. 138 a 140: calúnia (imputar crime falso), difamação (imputar fato desonroso) e injúria (ofensa à dignidade) são crimes com pena de até 2 anos, com agravante quando praticados por meio de comunicação de massa ou internet.
• LGPD (Lei 13.709/2018): dados pessoais expostos sem consentimento durante um ataque configuram violação passível de indenização civil independentemente de dolo, conforme a Autoridade Nacional de Proteção de Dados (ANPD).

A combinação dessas normas cria uma rota jurídica bem definida — mas que só funciona se a vítima agir dentro de prazos muito específicos.

O caso de Lucas: 48 horas que definem tudo

Lucas tem 34 anos, é professor de educação física em Curitiba e tem uma conta no Instagram com 3.200 seguidores. Em setembro de 2026, ao acordar, descobriu que seu perfil havia sido invadido: publicações com conteúdo ofensivo e imagens editadas foram enviadas em seu nome para ex-alunos e colegas de trabalho. Em menos de duas horas, capturas de tela já circulavam em grupos de pais de alunos da escola onde trabalha.

Se Lucas não agir nas primeiras 48 horas:

O Instagram pode derrubar o conteúdo por conta própria — o que parece positivo, mas destrói as provas necessárias para a ação penal. Sem registros preservados por medida judicial, os logs de acesso que identificam o invasor são apagados em 6 meses pelo provedor, conforme o Marco Civil. E sem documentação adequada do dano — capturas com carimbo de data e hora, prints antes da remoção, relatos de testemunhas digitais — o valor de uma eventual indenização pode cair de R$ 20.000–40.000 para menos de R$ 5.000, conforme os parâmetros consolidados pelo STJ para danos morais por difamação digital.

Se Lucas age com apoio de um advogado especializado nas primeiras 48 horas:

1. Boletim de Ocorrência na Delegacia Especializada em Crimes Digitais (DEIC) ou pelo portal da Polícia Civil: abre inquérito, formaliza o relato e bloqueia a prescrição.
2. Tutela de urgência no juízo cível: obriga Meta/Instagram a preservar os registros de IP, horário e dispositivo usados na invasão — mesmo que o conteúdo já tenha sido removido.
3. Notificação extrajudicial à plataforma: aciona o prazo legal de 48 horas para remoção e inicia o cômputo de responsabilidade civil do provedor em caso de omissão.
4. Ação de indenização por danos morais: com os registros preservados e o dano documentado, o STJ tem reconhecido entre R$ 15.000 e R$ 50.000 em casos de invasão de conta com difamação, com valores mais altos para professores e profissionais de saúde em razão da exposição reputacional.

O custo médio de honorários para esse conjunto de medidas — B.O., tutela, notificação e ação indenizatória — varia entre R$ 3.000 e R$ 8.000 em escritórios especializados em direito digital, valor muito abaixo do potencial de recuperação por danos morais.

Fake news sobre você: como responsabilizar o autor

Diferente da invasão de conta, a criação e o compartilhamento deliberado de notícias falsas sobre uma pessoa real configuram calúnia (Art. 138 do Código Penal, quando há imputação falsa de crime) ou difamação (Art. 139, para fatos desonrosos que não chegam a ser crime). A AGU usou exatamente esse fundamento ao notificar as plataformas no caso Janja.

Para o cidadão comum, sem acesso ao aparato da União, a via é a mesma — mas começa com um advogado que pode formalizar a notificação extrajudicial à plataforma e, se necessário, ajuizar uma ação de obrigação de fazer combinada com pedido de identificação do autor original da postagem por IP. Uma vez identificado, o caminho se abre para ação penal privada por calúnia ou difamação e para ação cível de reparação de danos.

Vale lembrar que perfis falsos criados com o seu nome também têm respaldo jurídico específico no Brasil, com possibilidade de remoção forçada e indenização. E em casos onde a desinformação foi publicada por um veículo de comunicação — mesmo um site de terceira linha —, há caminhos para exigir direito de resposta e reparação.

Os prazos que você não pode perder

Vítimas de ataques digitais frequentemente perdem o melhor momento para agir por não conhecerem os prazos:

• 48 horas: janela para notificação à plataforma e para captura de evidências antes de remoções automáticas. Após esse prazo, a prova pode não existir mais.
• 6 meses: limite para preservação de registros de acesso sem medida judicial (Marco Civil, Art. 15). É o tempo que você tem para identificar o invasor pelo IP.
• 6 meses (crimes de ação privada): prazo para oferecer queixa-crime por difamação e injúria, contado a partir do conhecimento do fato (Código Penal, Art. 38).
• 3 anos: prazo prescricional para ação de indenização por danos morais na esfera cível (Código Civil, Art. 206, §3º, V).

O caso Janja fez visível o que juristas de direito digital alertam há anos: ataques digitais não são apenas um problema político. Com o segundo turno das eleições a duas semanas, e com o ambiente online mais polarizado do que nunca, qualquer brasileiro pode acordar como Lucas — com o nome associado a conteúdos que nunca publicou. A diferença entre resolver o problema e conviver com ele está, quase sempre, nos primeiros dois dias.

Aviso legal: Este artigo tem caráter informativo e não substitui o aconselhamento jurídico individualizado. Casos envolvendo crimes digitais, difamação e invasão de privacidade possuem especificidades que requerem análise profissional.