Um aviso curto chegou numa terça-feira comum, espremido entre a fatura do cartão e uma newsletter que Rafael nunca abre. A empresa de um aplicativo de entrega de comida informava, em tom técnico, que dados de clientes haviam sido expostos. Analista de suporte de 34 anos, ele leu rápido, respirou aliviado e fez o que parecia óbvio: entrou no app e cadastrou uma senha nova.
Para Rafael, o assunto estava encerrado ali. Conta protegida, senha trocada, vida que segue. O detalhe que passou despercebido é que aquela mesma combinação — o nome do cachorro seguido do ano de nascimento — também abria o e-mail principal, duas redes sociais, a loja on-line favorita e o acesso ao banco digital. Eram sete portas com a mesma chave.
Quem tenta invadir contas raramente adivinha senhas uma a uma. É mais comum pegar uma combinação vazada em um serviço e testá-la, de forma automatizada, em dezenas de outros sites. Se a pessoa reaproveita a mesma frase, basta um vazamento para abrir tudo. Rafael não sabia desse detalhe, e foi justamente por ali que o problema cresceu.
Duas semanas depois vieram os sinais. Uma tentativa de acesso de uma cidade distante, um código de verificação que ele não havia pedido, uma mensagem de boas-vindas de um serviço que jamais assinou. Desconfiado, ele adiou a decisão. Refazer várias senhas dava trabalho, e nada de grave havia acontecido — pelo menos era o que parecia.
A virada chegou com a fatura seguinte: uma assinatura mensal desconhecida e a caixa de entrada estranhamente vazia, porque as mensagens estavam sendo desviadas em silêncio para outro endereço. Só então ficou claro que trocar 1 senha enquanto 7 contas repetiam a mesma chave foi como trancar uma porta e deixar as demais escancaradas.
O tropeço é comum e tem conserto. Mais do que isso: a lei brasileira oferece ao cidadão instrumentos que vão muito além de digitar uma combinação nova.
O que a LGPD garante a quem teve dados expostos
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trata a pessoa como titular das próprias informações e reúne, no artigo 18, os direitos que podem ser exigidos de qualquer empresa que trate esses dados. Entre eles estão confirmar a existência do tratamento, acessar as informações, pedir correção do que estiver errado e saber com quem os dados foram compartilhados. Diante de um incidente de segurança relevante, a empresa ainda tem o dever de comunicar o ocorrido.
Já o artigo 19 fixa que o pedido de confirmação ou de acesso deve ser atendido de imediato, em formato simplificado, ou na forma completa em até 15 dias. Esse prazo dá ao titular uma base concreta para cobrar respostas, em vez de aguardar sem previsão.
Não existe promessa de indenização automática na lei, mas há um roteiro claro do que se pode exigir e de como registrar cada passo.
Passos práticos logo após o aviso
- Refaça a senha de todas as contas que repetiam a combinação, priorizando e-mail e banco;
- Ative a verificação em duas etapas onde o serviço permitir;
- Revise faturas, extratos e assinaturas em busca de cobranças estranhas;
- Guarde capturas de tela, protocolos e e-mails que comprovem o ocorrido;
- Solicite à empresa, por escrito, informações sobre o incidente e sobre seus dados.
Um detalhe muda tudo: o e-mail costuma ser a conta-mãe, porque por ele se recupera o acesso a quase todo o resto. Blindá-lo primeiro, com senha exclusiva e segundo fator, reduz o estrago mesmo que outra conta ainda esteja vulnerável. Gerenciadores de senha ajudam a manter combinações diferentes sem depender da memória.
Quando acionar a ANPD
Se a empresa ignorar o pedido ou responder com descaso, o titular pode registrar reclamação na Autoridade Nacional de Proteção de Dados (ANPD), órgão que fiscaliza a aplicação da lei. A página oficial de direitos do titular detalha cada garantia e o caminho para exercê-la. Vale lembrar que a própria forma de autenticação vem mudando, com bancos adotando sistemas que prometem substituir a senha dos cartões, o que reforça por que ninguém deveria depender de uma única combinação.
Cada caso é diferente e o desfecho depende de provas, prazos e da postura de cada empresa. Se as informações foram usadas para fraudes, buscar orientação jurídica e registrar boletim de ocorrência ajuda a preservar o histórico. Fica a lição que atravessa a história de Rafael: senha reaproveitada transforma um vazamento pontual em um problema em cadeia, e agir cedo custa menos do que remediar depois.
LeiaTambém
Fontes: Lei nº 13.709/2018 (LGPD); ANPD — Direitos do titular.