O domingo em que a conta sumiu

Nenhum golpe de conta começa com um hacker. Começa com uma oportunidade boa demais chegando numa sexta à noite, quando ninguém tem paciência para desconfiar.

A proposta que chegou numa sexta

Chamemos ela de Bruna. Perfil de culinária afetiva, cento e oitenta mil seguidores, uma média de receita mensal que já pagava as contas de casa há dois anos. Naquela sexta ela recebeu uma DM de uma conta que se apresentou como agência, com logo, site no link da bio e um portfólio com marcas que ela reconhecia.

A proposta era boa e era específica, que é o que faz o golpe funcionar. Falava do reels de bolo de fubá que ela tinha postado na terça. Citava o público dela por faixa etária. Oferecia uma campanha de eletroportáteis com três entregas e um valor acima do que ela costumava cobrar.

Para seguir, pediram só uma coisa: preencher o formulário de mídia kit da agência. O link abria uma página bonita, com a marca da tal agência, e no meio do formulário havia um botão que dizia conectar Instagram para importar métricas automaticamente. Ela clicou. A tela que abriu era idêntica à tela de login do Instagram. Ela digitou o usuário e a senha. Pediu o código de verificação, ela digitou também.

O sábado inteiro em silêncio

Nada aconteceu de imediato, e é exatamente esse o desenho do golpe. Quem entra numa conta não sai postando. Primeiro consolida o acesso.

Durante o sábado, o e-mail de recuperação foi trocado por um endereço parecido com o dela, com uma letra diferente. O número de telefone vinculado foi removido. A verificação em duas etapas foi reconfigurada para um aplicativo autenticador que não era o dela. Quando ela percebeu, à noite, já não conseguia mais pedir a recuperação de senha, porque todos os caminhos de volta apontavam para o invasor.

No domingo de manhã os stories começaram. Rifa de um celular topo de linha, chave Pix de uma pessoa física desconhecida, mensagem de urgência de vinte minutos, tudo com a voz e o tom que os seguidores dela confiavam. Em algumas horas, dezenas de pessoas tinham transferido valores entre trinta e duzentos reais. Ao meio-dia o perfil já tinha perdido milhares de seguidores. À tarde, o gerente de marketing de uma marca com contrato ativo mandou mensagem no número pessoal dela perguntando o que estava acontecendo.

Onde o problema realmente nasceu

É tentador dizer que o erro foi clicar no link. Foi, mas esse é o erro mais fácil de enxergar e o menos importante. O que transformou um clique ruim numa crise de vários dias foi um conjunto de decisões silenciosas tomadas ao longo de dois anos.

• A segunda etapa era por SMS. O código chega, a pessoa digita, e o golpe funciona igual. Aplicativo autenticador não teria salvado ela do phishing, mas teria dado atrito, e atrito é o que quebra o ritmo de um golpe.
• O e-mail vinculado era o pessoal, de 2011. Sem verificação em duas etapas, com uma senha reaproveitada em outros lugares. Quem controla o e-mail controla a conta.
• Não existia separação entre conta pessoal e operação profissional. Ela era a única com acesso, o que parecia seguro e na verdade era o oposto: não havia ninguém para acionar, nem um segundo canal de administração.
• E o principal: não havia nenhum documento ligando aquele perfil a ela. Nenhum contrato citava o arroba. Não havia CNPJ com o perfil como ativo. Não havia registro do nome do canal. Nenhuma nota fiscal mencionava o perfil. Nenhuma ata notarial. Nada.

Esse último ponto é o que ninguém pensa antes e todo mundo precisa depois. Quando o perfil é o negócio inteiro, ele é um ativo, e ativo sem documentação é um ativo difícil de defender. Tanto na plataforma quanto no juiz.

O que a lei diz

Aqui é onde a história para de ser drama e vira processo. O caso da Bruna não é um problema, são três, e cada um segue por um caminho diferente.

As três frentes precisam correr juntas

O erro mais comum de quem passa por isso é tratar como uma coisa só e resolver na ordem errada. São três frentes, e elas têm prazos diferentes.

1. Recuperar o acesso. É a frente mais rápida e a mais burocrática. Depende de provar identidade e vínculo com a conta perante a plataforma. É aqui que documento faz diferença. Contratos que citam o perfil, notas fiscais, e-mails de campanhas, tudo isso vira prova de titularidade.
2. Conter o dano em andamento. Enquanto o perfil está no ar aplicando golpe, cada hora custa. Isso significa avisar publicamente por outro canal, avisar as marcas parceiras por escrito antes que elas descubram sozinhas, e notificar formalmente a plataforma sobre o conteúdo fraudulento. O aviso às marcas não é gentileza, é o que preserva o contrato.
3. Responsabilizar. É a frente mais lenta e a que tem o relógio mais curto por trás, porque os registros de acesso têm prazo de guarda. Envolve boletim de ocorrência, preservação de prova e o pedido judicial dos registros.

E existe uma quarta frente, invisível, que quase sempre é a mais cara: os seguidores que perderam dinheiro. Eles foram lesados por um terceiro, não por ela, mas a experiência deles foi de terem sido enganados pelo perfil dela. A forma como isso é comunicado nos primeiros dois dias decide se a audiência volta ou não.

O que dava para ter feito antes

Nenhum item dessa lista custa dinheiro. Todos custam uma tarde.

1. Trocar a verificação em duas etapas de SMS para aplicativo autenticador, e guardar os códigos de backup fora do celular.
2. Criar um e-mail exclusivo para as contas profissionais, também com verificação em duas etapas, usado só para isso.
3. Usar um gerenciador de senhas, com senha diferente em cada serviço. A senha repetida é o que transforma um vazamento antigo em invasão nova.
4. Colocar o perfil por escrito em algum lugar: contrato de prestação de serviço que cite o arroba, contrato social ou requerimento com a atividade, nota fiscal que descreva a entrega no perfil. Qualquer documento com data.
5. Avaliar o registro da marca do canal junto ao INPI. Nome de canal registrado é o argumento mais forte que existe numa disputa de titularidade.
6. Definir por escrito quem mais tem acesso, com que nível, e o que acontece quando essa pessoa sai. Editor de vídeo e social media costumam ficar com acesso por anos depois do fim do trabalho.
7. Salvar hoje, com data, um registro do estado atual do perfil: número de seguidores, principais publicações, faturamento do último ano. Se um dia precisar provar o tamanho do prejuízo, esse é o ponto de partida.