Direito Digital • 11 min de leitura

WhatsApp clonado ou perfil falso com o seu nome: o que fazer e quando a plataforma responde

A mesma frase, "clonaram meu WhatsApp", costuma esconder três problemas jurídicos bem diferentes. Quem teve o nome usado por um golpista, quem perdeu o acesso à própria conta e quem foi enganado e transferiu dinheiro ocupam posições distintas, e os tribunais vêm dando respostas distintas a cada um deles.

A confusão começa no vocabulário. No uso corrente, "conta clonada" descreve desde o número tomado por terceiro até a criação de um perfil novo, com outro número, usando o nome, a foto e a logomarca de alguém para abordar clientes e conhecidos. Do ponto de vista jurídico, são situações diferentes, com responsáveis diferentes.

Essa distinção deixou de ser acadêmica em 2025 e 2026. O Supremo Tribunal Federal redesenhou o regime de responsabilidade das plataformas digitais, ajustou a própria tese em junho de 2026, e um decreto federal editado no mesmo ano passou a impor deveres concretos de atendimento e resposta. O resultado prático é que a régua mudou, e mudou justamente no ponto que interessa a quem tem um perfil falso circulando com o seu nome.

As três situações que a expressão esconde

Antes de qualquer providência, vale identificar em qual cenário o caso se encaixa. É essa escolha que define contra quem se reclama e o que se pode pedir.

1. Perfil falso com o seu nome

Alguém cria uma conta nova, com outro número, e se apresenta como você para abordar seus clientes, colegas ou familiares.

Quem sofre o dano é o titular do nome e da imagem.
A reclamação se dirige à plataforma que mantém a conta no ar depois de avisada.
É o cenário em que as decisões analisadas foram mais favoráveis.

2. Perda de acesso à própria conta

O número é tomado por terceiro, ou a conta é bloqueada e desativada pela própria plataforma, sem explicação clara.

O pedido central é o restabelecimento do acesso.
A indenização depende do impacto demonstrado, sobretudo em conta de uso profissional.
Nem toda decisão reconhece dano moral aqui.

3. Vítima que transferiu dinheiro

Alguém conversou com o golpista acreditando falar com um familiar ou fornecedor e fez o pagamento.

O prejuízo é patrimonial e imediato.
Contra a plataforma, o caminho é bem mais difícil.
As providências úteis são outras, e urgentes.

O que fazer nas primeiras horas

Independentemente do cenário, o tempo trabalha contra a vítima: o golpista abre novas contas, apaga rastros e alcança mais pessoas a cada hora. Algumas providências têm valor jurídico, não apenas prático.

Documente antes de bloquear Registre em imagem as conversas, o número usado, a foto de perfil e as abordagens recebidas por terceiros. Denunciar e bloquear antes de documentar costuma apagar justamente aquilo que faria falta depois.
Escolha a forma certa de preservar a prova A imagem de tela feita pelo próprio interessado é o registro mais frágil: o Código de Processo Civil considera autêntico o documento particular quando não há impugnação da parte contra quem ele foi produzido (art. 411, inciso III), de modo que basta a plataforma impugná-lo para que o seu peso passe a ser discutido. Há dois caminhos mais sólidos, e eles não se excluem. O primeiro é a ata notarial, prevista no art. 384 do Código de Processo Civil, em que o tabelião atesta a existência e o modo de existir do fato, podendo constar dela dados representados por imagem ou som gravados em arquivos eletrônicos. O segundo são as plataformas especializadas em preservação e certificação de prova digital, que capturam o conteúdo registrando data, hora e elementos técnicos que permitem depois demonstrar que o material não foi alterado. O Código de Processo Civil dá abrigo a esse caminho: o art. 369 assegura o emprego de meios de prova legítimos ainda que não especificados na lei, o art. 411, inciso II, admite a identificação de autoria por meio legal de certificação, inclusive eletrônico, e o art. 441 prevê a admissão de documentos eletrônicos produzidos e conservados na forma da legislação específica. A escolha costuma depender do volume e da urgência: conversas extensas, abordagens simultâneas a várias pessoas e perfis que somem em poucas horas favorecem a captura certificada, enquanto a ata notarial se destaca quando é importante o registro feito por agente dotado de fé pública.
Avise quem pode ser alcançado Uma comunicação aos clientes, ao grupo de trabalho ou às redes do escritório reduz o número de vítimas e, além disso, ajuda a demonstrar a extensão do dano depois. Vale evitar prometer providências que ainda não foram tomadas.
Use o canal de denúncia da plataforma, por escrito É a denúncia formal que fixa a data a partir da qual a omissão da plataforma passa a ser juridicamente relevante. Guarde o número de protocolo e as respostas recebidas, inclusive as genéricas: nos processos que chegaram ao Tribunal de Justiça de São Paulo, foi justamente a sequência de tentativas seguidas de respostas evasivas que pesou contra a empresa.
Se perdeu o acesso, refaça o registro do número A Central de Ajuda oficial orienta que a retomada da conta se faz registrando novamente o número, com o código de seis dígitos enviado por mensagem. O mesmo material reforça a orientação de nunca compartilhar esse código, com ninguém, e de manter cadastrado o e-mail da confirmação em duas etapas, que é o que permite recuperar o acesso e redefinir o código pessoal.
Registre boletim de ocorrência Além do cabimento próprio na esfera criminal, o registro documenta a data em que os fatos se tornaram conhecidos e costuma instruir o pedido judicial de remoção e de identificação do autor.

O ponto que decide a maior parte das decisões analisadas não é o golpe. As decisões que condenam a plataforma não a punem por o golpista existir. Elas se apoiam no que aconteceu depois do aviso: a demora em desativar, a resposta padronizada que não enfrenta o caso, a conta que reaparece com outro número. É por isso que a denúncia formal, com data e protocolo, costuma ser o documento mais valioso do processo.

A virada do STF, e por que a versão de 2025 já não é a atual

Até 2025, o Marco Civil da Internet submetia a responsabilidade das plataformas a uma regra única e exigente para o usuário.

Art. 19 da Lei 12.965/2014 (Marco Civil da Internet) "Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário."

Em 26 de junho de 2025, o Supremo declarou esse artigo parcialmente inconstitucional ao julgar os Recursos Extraordinários 1.037.396 (Tema 987) e 1.057.258 (Tema 533). Vale registrar um detalhe pouco lembrado: o caso concreto que deu origem ao Tema 987 do STF era exatamente um perfil falso, criado em nome de uma pessoa que sequer tinha conta na rede social, denunciado pela própria ferramenta da plataforma e não removido.

A história não parou ali. Os embargos de declaração foram julgados em junho de 2026 e a tese foi ajustada em pontos relevantes, com trânsito em julgado registrado no Supremo em 17 de junho de 2026. Boa parte do material que circula na internet ainda descreve a redação de 2025. As mudanças que mais importam para este tema:

A responsabilidade da plataforma passou a ser expressamente solidária com a do autor do conteúdo, ressalvada a hipótese de dúvida razoável quanto à ilicitude, após análise diligente e qualificada.
Onde antes se lia "presunção de responsabilidade" para anúncios e impulsionamentos pagos, passou-se a ler presunção relativa de culpa.
A hipótese das contas passou a ser descrita como contas denunciadas como não autênticas.
A aplicação residual do art. 19 alcança também crime ou ato ilícito civil contra a honra.
Foi fixado prazo de 60 dias para que os provedores implementem as obrigações estruturais previstas na tese.

Há ainda um ponto de transição que costuma passar despercebido e decide casos concretos: a decisão produz efeitos a partir da publicação da ata do julgamento de mérito, em 5 de agosto de 2025, ressalvados os atos continuados ou permanentes. Em julgamento de 17 de abril de 2026, a 19ª Câmara de Direito Privado aplicou essa transição em caso de uso não autorizado da imagem de uma pessoa em contas mantidas na plataforma: registrou que, para fatos posteriores ao Marco Civil e anteriores à publicação da ata, incide o regime de imunidade originalmente definido pela lei, e afastou a responsabilidade da empresa porque não havia prova de descumprimento da decisão judicial anterior (Apelação Cível 1000417-44.2025.8.26.0588). A data dos fatos, portanto, pesa tanto quanto o mérito.

Por que o WhatsApp fica nos dois regimes ao mesmo tempo

Aqui está a peculiaridade que separa o aplicativo de mensagens de uma rede social comum, e ela está na letra da tese, não em interpretação.

De um lado, a tese manteve o art. 19, que exige ordem judicial, para os serviços de mensagens instantâneas, mas com uma delimitação precisa: isso vale exclusivamente quanto às comunicações interpessoais, protegidas pelo sigilo das comunicações do art. 5º, inciso XII, da Constituição. De outro lado, a mesma tese determinou que as contas denunciadas como não autênticas seguem o regime do art. 21, em que a notificação extrajudicial basta.

Traduzindo para o problema concreto: o conteúdo das conversas trocadas dentro do aplicativo continua no regime mais protegido, que exige decisão judicial. Já a conta falsa em si, denunciada como não autêntica, não depende de ordem judicial para gerar o dever de agir. A palavra "exclusivamente" é o que sustenta essa separação.

É uma diferença de grande efeito prático. Quem descobre um perfil falso com o seu nome não precisa, em tese, obter uma decisão judicial antes de a plataforma ter o dever de remover: a denúncia formal, bem instruída, já é suficiente para fazer nascer esse dever.

O que os tribunais vêm decidindo

O levantamento das decisões do Tribunal de Justiça de São Paulo publicadas em 2026 mostra dois grupos bem definidos.

Perfil falso com o nome de um profissional ou de uma empresa. Nesses casos, a orientação predominante tem sido de reconhecimento da responsabilidade. A empresa brasileira do grupo é aceita como parte legítima, por integrar o mesmo conglomerado econômico e ter representação no país. Aplica-se o Código de Defesa do Consumidor, e a defesa de culpa exclusiva de terceiro vem sendo afastada com base no art. 14, § 3º, II, do CDC, sob o fundamento de que a criação e a manutenção de contas fraudulentas integram o risco da própria atividade.

Em julgamento de 24 de junho de 2026, a 25ª Câmara de Direito Privado manteve condenação em caso de conta fraudulenta criada com nome, imagem e logomarca de um advogado para abordar clientes, apontando a ausência de mecanismos eficazes de verificação de identidade no momento da criação da conta e a omissão em remover o perfil após notificação formal, com indenização de R$ 5.000,00 (Apelação Cível 1013987-12.2025.8.26.0196).
Em 17 de junho de 2026, a 35ª Câmara de Direito Privado acrescentou indenização de R$ 8.000,00 a uma sentença que havia se limitado a determinar a desativação, registrando a demora excessiva e a ausência de mecanismos extrajudiciais efetivos para fazer cessar o ilícito (Apelação Cível 1007165-77.2025.8.26.0302).
Em 13 de junho de 2026, em caso de perfil falso criado em outra rede social com a imagem e a marca de uma empresa, a 34ª Câmara de Direito Privado afastou a invocação do art. 19 do Marco Civil porque já existia liminar, proferida em outro processo e com indicação do endereço do perfil, cumprida mais de três meses depois do prazo de dez dias fixado. Manteve os danos materiais, correspondentes ao valor que a autora teve de pagar em condenação decorrente dos golpes, e reduziu o dano moral de R$ 15.000,00 para R$ 5.000,00, dando parcial provimento ao recurso da plataforma (Apelação Cível 1177563-18.2024.8.26.0100).
Em 27 de fevereiro de 2026, a 25ª Câmara rejeitou a alegação de perda do objeto porque não havia prova da exclusão definitiva da conta e dos novos perfis fraudulentos que surgiram depois, e determinou o fornecimento dos dados cadastrais do responsável (Apelação Cível 1012176-25.2024.8.26.0625).

Conta bloqueada ou desativada pela própria plataforma. Esse grupo aparece com frequência em contas de uso profissional. As decisões costumam determinar o restabelecimento quando a empresa não demonstra qual regra teria sido violada, tratando como abusivo o bloqueio unilateral apoiado em alegações genéricas. É a mesma linha do artigo já publicado sobre suspensão indevida de conta em plataformas digitais e do que tratamos a respeito da conta do Instagram hackeada, desativada ou suspensa.

Duas ressalvas honestas sobre esse segundo grupo. O restabelecimento não vem sempre acompanhado de indenização: em julgamento de 11 de junho de 2026, um dos núcleos de justiça em segundo grau confirmou a reativação da conta e rejeitou o pedido de dano moral (Apelação Cível 1039872-25.2025.8.26.0100). E há limite para o que se pode exigir: em decisão de 9 de junho de 2026, a 33ª Câmara esclareceu que a obrigação se restringe ao restabelecimento da conta, não sendo possível impor à empresa a concessão de selo de verificação (Embargos de Declaração Cível 1017909-16.2025.8.26.0405).

O caso em que a resposta costuma ser não

O terceiro personagem merece um alerta claro, porque a expectativa costuma ser oposta ao que os tribunais decidem.

Em julgamento de 10 de fevereiro de 2026, um núcleo de justiça em segundo grau do Tribunal de Justiça de São Paulo manteve a improcedência de ação movida por quem conversou pelo aplicativo com um golpista, acreditando tratar-se de familiar, e realizou duas transferências por Pix. A ação havia sido dirigida contra a instituição de pagamento, a operadora de telefonia e a empresa responsável pelo aplicativo, esta última por permitir a criação do perfil falso. O acórdão reconheceu que as transferências foram feitas voluntariamente, sem indício de contribuição dos fornecedores para a consumação do golpe, e aplicou a excludente de culpa exclusiva da vítima do art. 14, § 3º, do CDC (Apelação Cível 1005520-65.2024.8.26.0168).

Quem está nessa situação tende a ter melhor aproveitamento concentrando esforços nas providências específicas de recuperação de valores, que correm contra o relógio e seguem lógica própria, tratada no artigo sobre golpe pelo Pix.

Duas pessoas, o mesmo golpe, resultados opostos. O profissional que teve o nome usado costuma obter remoção e indenização. O conhecido que acreditou na mensagem e pagou costuma encontrar porta fechada contra a plataforma, como mostra o julgamento citado acima. Reconhecer em qual posição se está evita tanto a expectativa frustrada quanto o processo mal direcionado.

O que o decreto de 2026 passou a exigir das plataformas

Em 20 de maio de 2026 foi editado o Decreto nº 12.975, publicado no dia seguinte e em vigor desde 20 de julho de 2026, que alterou o Decreto 8.771/2016 e transpôs para a regulamentação boa parte do que o Supremo havia decidido. Para quem está com um perfil falso circulando, três deveres se destacam.

Canal de denúncia. A plataforma deve disponibilizar canal permanente e de fácil acesso para receber e tratar notificações, que inclua expressamente a possibilidade de notificar conteúdos criminosos ou ilícitos, além de manter representante legal no país com contato acessível.
Conteúdo mínimo da notificação. O decreto define, sob pena de nulidade, o que a denúncia precisa conter: elementos que permitam identificar a conduta, informações que permitam identificar especificamente o conteúdo a ser retirado e a identificação de quem notifica, com o fundamento de sua legitimidade quando for o caso.
Dever de responder de forma fundamentada. Recebida a notificação, a plataforma deve confirmar o recebimento e, ao decidir, comunicar o fundamento específico da remoção ou da manutenção, indicando os meios de contestação.

Esse último item conversa diretamente com o que os tribunais já vinham reprovando. A resposta padronizada que não enfrenta o caso concreto, antes tratada como falha na prestação do serviço, passou a contrariar também um dever previsto em regulamento. A fiscalização foi atribuída à Autoridade Nacional de Proteção de Dados.

Duas observações de precisão, para não ampliar o que a norma diz. O decreto disciplina a notificação de conteúdo e não trata, com essas palavras, de contas falsas ou não autênticas: esse regime vem da tese do Supremo. E o próprio decreto prevê que o prazo de remoção e de resposta ao notificante ainda poderá ser regulamentado pela autoridade competente, de modo que não há hoje um prazo fixado em número de dias.

O que dizem os termos de uso, e o que deles não vale por aqui

Vale ler o contrato que todo usuário aceitou, porque ele ajuda mais a vítima do que se imagina.

Na seção de uso aceitável, os Termos de Serviço do aplicativo proíbem expressamente usar o serviço com "declarações falsas, incorretas ou enganosas" e "para se passar por outra pessoa". Ou seja: a conduta do golpista já viola as regras que a própria empresa redigiu, e a remoção não é concessão de boa vontade. O mesmo documento afirma que a empresa pode agir removendo pessoas ou atividades e acionando as autoridades, o que enfraquece a alegação de impossibilidade técnica.

Do outro lado, há cláusulas que costumam desanimar quem as lê. A seção de rescisão prevê que a empresa pode "modificar, suspender ou encerrar seu acesso ou uso dos nossos Serviços a qualquer momento e por qualquer motivo". Em uma relação de consumo, cláusula assim encontra limite no art. 51 do Código de Defesa do Consumidor, que considera nulas de pleno direito, entre outras, as que autorizam o fornecedor a cancelar o contrato unilateralmente sem que igual direito seja conferido ao consumidor, as que permitem modificar unilateralmente o conteúdo do contrato depois de celebrado e as que colocam o consumidor em desvantagem exagerada. Não por acaso, é essa a substância do que as decisões sobre contas bloqueadas vêm dizendo, ao exigir que a empresa demonstre concretamente a violação que motivou o bloqueio.

Há também a cláusula de foro, que elege tribunais da Califórnia e a lei daquele estado. Ela não impede que o consumidor domiciliado no Brasil demande aqui.

Art. 22, inciso II, do Código de Processo Civil "Compete, ainda, à autoridade judiciária brasileira processar e julgar as ações: (...) II - decorrentes de relações de consumo, quando o consumidor tiver domicílio ou residência no Brasil."

Some-se a isso o art. 51, inciso XVII, do Código de Defesa do Consumidor, incluído pela Lei 14.181/2021, que considera nula a cláusula que condicione ou limite de qualquer forma o acesso aos órgãos do Poder Judiciário. E os próprios termos de uso reconhecem o ponto ao registrar que, em certas jurisdições, o usuário pode ter direitos legais como consumidor e que o contrato não se destina a limitar direitos que não podem ser renunciados. Registre-se, para evitar mal-entendido comum, que a cláusula de arbitragem obrigatória constante desses termos é dirigida a usuários nos Estados Unidos e no Canadá.

Vale lembrar ainda que o art. 19, § 3º, do Marco Civil permite que as causas sobre indisponibilização desses conteúdos e sobre reparação de danos relacionados à honra, à reputação e aos direitos de personalidade sejam apresentadas nos juizados especiais.

Como identificar quem está por trás

Remover o perfil resolve o presente, mas nem sempre encerra o problema, sobretudo quando novas contas surgem em seguida. O Marco Civil oferece o caminho para chegar ao responsável.

O art. 15 obriga o provedor de aplicações constituído como pessoa jurídica, que exerça a atividade profissionalmente e com fins econômicos, a guardar os registros de acesso pelo prazo de seis meses, sob sigilo. E o art. 22 permite à parte interessada requerer ao juiz que ordene o fornecimento desses registros, desde que o pedido indique, sob pena de inadmissibilidade, indícios fundados do ilícito, a justificativa da utilidade dos registros e o período a que se referem.

Na prática, isso tem sido deferido. Em decisão de 5 de novembro de 2025, a 38ª Câmara de Direito Privado manteve tutela de urgência que determinou à plataforma, em cinco dias, o bloqueio da conta e o fornecimento do IMEI e dos dados de acesso vinculados ao número, para permitir a identificação do usuário, registrando que a proteção do sigilo assegurada pelo Marco Civil não se compatibiliza com condutas criminosas (Agravo de Instrumento 2346559-34.2025.8.26.0000).

Atenção ao prazo de seis meses do art. 15: essa é a duração da guarda obrigatória, e a demora em provocar o Judiciário pode significar que os registros já não existam quando a ordem chegar. A lei admite que esses registros sejam guardados por prazo superior, mediante requerimento cautelar da autoridade policial, da autoridade administrativa ou do Ministério Público (art. 15, § 2º).

Dúvidas frequentes

1. Descobri um perfil falso usando meu nome no WhatsApp. O que faço primeiro?

Documente antes de bloquear: registre o número usado, a foto de perfil e as abordagens feitas a terceiros. Como a imagem de tela feita pelo próprio interessado é fácil de contestar, vale preservar a prova de forma mais sólida, seja pela ata notarial do art. 384 do Código de Processo Civil, seja por plataformas especializadas em certificação de prova digital, que registram data, hora e integridade do material. Em seguida, faça a denúncia pelo canal da plataforma e guarde o protocolo e as respostas. Avise as pessoas que podem ser abordadas e registre boletim de ocorrência. Nas decisões analisadas, a denúncia formal com data é o documento que costuma sustentar o pedido posterior.

2. A plataforma precisa de ordem judicial para tirar do ar um perfil falso?

Pela tese do Supremo Tribunal Federal, ajustada em junho de 2026, as contas denunciadas como não autênticas seguem o regime do art. 21 do Marco Civil, em que a notificação extrajudicial é suficiente para fazer nascer o dever de agir, e a tese passou a prever responsabilidade solidária da plataforma. A exigência de ordem judicial do art. 19 permanece para outras hipóteses, entre elas os casos de crime ou ato ilícito civil contra a honra e o conteúdo das comunicações interpessoais trocadas dentro do aplicativo.

3. Caí no golpe e transferi dinheiro. Consigo ser indenizado pela plataforma?

Esse é o cenário mais difícil. Em julgamento de fevereiro de 2026, o Tribunal de Justiça de São Paulo manteve a improcedência de ação em que a vítima havia transferido valores por Pix após conversar com o golpista, aplicando a excludente de culpa exclusiva da vítima do art. 14, § 3º, do Código de Defesa do Consumidor. Cada caso depende das circunstâncias, mas quem está nessa posição costuma ter melhor aproveitamento concentrando esforços nas providências de recuperação dos valores transferidos, que têm lógica e urgência próprias.

4. Minha conta comercial foi bloqueada sem explicação. Tenho direito a alguma coisa?

As decisões analisadas costumam determinar o restabelecimento quando a empresa não demonstra qual regra o usuário teria violado, tratando como abusivo o bloqueio unilateral apoiado em alegações genéricas. A indenização, porém, não é automática: há decisão de junho de 2026 que confirmou a reativação e rejeitou o pedido de dano moral. O uso profissional da conta e o prejuízo concreto demonstrado costumam pesar nessa avaliação.

5. Os termos de uso falam em tribunal da Califórnia. Preciso processar nos Estados Unidos?

Não. O art. 22, inciso II, do Código de Processo Civil atribui à autoridade judiciária brasileira competência para as ações decorrentes de relações de consumo quando o consumidor tem domicílio ou residência no Brasil, e o art. 51, inciso XVII, do Código de Defesa do Consumidor considera nula a cláusula que limite de qualquer forma o acesso ao Poder Judiciário. Os próprios termos de uso registram que não se destinam a limitar direitos do consumidor que não podem ser renunciados por contrato. A cláusula de arbitragem obrigatória desses termos é dirigida a usuários nos Estados Unidos e no Canadá.

Este artigo possui caráter informativo. Se você teve um perfil falso criado com o seu nome, perdeu o acesso à sua conta ou foi vítima de um golpe aplicado por aplicativo de mensagens, a avaliação depende da documentação disponível e das circunstâncias concretas do caso. Consulte um advogado de sua confiança para avaliar a estratégia jurídica mais adequada ao caso.