Ataque hacker a empresa: quais são os direitos do consumidor?

Você abre o aplicativo do banco, faz login com reconhecimento facial e descobre que sua senha foi alterada sem a sua autorização. Ou recebe a cobrança de um produto que jamais comprou. Ou, pior ainda, percebe que um empréstimo de milhares de reais foi contratado em seu nome de um dia para o outro. Situações como essas, que pareciam improváveis há alguns anos, se tornaram cada vez mais frequentes depois de grandes ataques hackers a empresas brasileiras. E a pergunta inevitável que surge é: e agora, o que o consumidor pode fazer para se proteger e buscar reparação?

A boa notícia é que o Brasil possui uma das legislações mais completas do mundo quando o assunto é proteção do consumidor e dos dados pessoais. O Código de Defesa do Consumidor (CDC), a Lei Geral de Proteção de Dados Pessoais (LGPD) e o Marco Civil da Internet formam um tripé jurídico robusto, capaz de dar ao cidadão instrumentos concretos para reagir a vazamentos, fraudes e indisponibilidades de serviços. Saber usar esses instrumentos é o que separa quem fica no prejuízo de quem consegue reverter a situação com apoio da Justiça.

Este conteúdo foi preparado para esclarecer, em linguagem acessível e com rigor técnico, quais são os seus direitos quando uma empresa sofre ataque hacker e os seus dados são expostos, vazados ou utilizados indevidamente. Vamos passar pela responsabilidade legal das empresas, pelos caminhos que a lei abre para você e pelo passo a passo prático de como agir em cada cenário.

O que é um ataque hacker e por que ele afeta diretamente o consumidor

Um ataque hacker, em termos técnicos, é qualquer tentativa de invasão de sistemas computacionais com o objetivo de roubar, alterar, destruir ou sequestrar dados e informações. Os tipos mais comuns são o ransomware (quando os dados são criptografados e um resgate é pedido em dinheiro), o phishing (mensagens fraudulentas que enganam o usuário para entregar credenciais), a engenharia social (manipulação psicológica de funcionários), a exploração de vulnerabilidades em softwares desatualizados e o sequestro de contas conhecido como account takeover.

Quando uma empresa é atacada, o consumidor raramente percebe a invasão de imediato. O problema começa a aparecer quando surgem débitos, compras ou contratos que ele não reconhece, quando a conta de acesso ao serviço é bloqueada ou alterada sem aviso, quando dados pessoais (nome, CPF, endereço, dados bancários, fotos, prontuários médicos) aparecem em listas vendidas na internet, quando o serviço contratado fica indisponível por dias ou semanas (como aconteceu com sistemas de saúde, órgãos públicos e grandes varejistas) ou quando o consumidor recebe ligações, e-mails e mensagens de golpistas que citam dados reais, sinal claro de que a empresa vazou as informações.

Em todos esses cenários, mesmo que o ataque seja tecnicamente sofisticado e tenha origem em criminosos fora do controle direto da empresa, existe um ponto que precisa ficar absolutamente claro: a responsabilidade legal pelo cuidado com os dados do consumidor não desaparece depois do ataque. Pelo contrário, ela se intensifica. Foi justamente para esse tipo de situação que o legislador brasileiro construiu mecanismos de proteção ao longo das últimas décadas.

A responsabilidade da empresa diante do ataque hacker

Quando falamos em direito do consumidor no Brasil, partimos de um princípio simples previsto no artigo 6º, inciso VI, do Código de Defesa do Consumidor: é direito básico do consumidor a efetiva prevenção e reparação de danos patrimoniais e morais, individuais, coletivos e difusos. Esse dever de prevenir e reparar recai, em primeiro lugar, sobre o fornecedor do serviço ou produto.

A responsabilidade objetiva do artigo 14 do CDC

O artigo 14 do CDC dispõe que o fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos. A expressão-chave aqui é independentemente da existência de culpa, o que na doutrina jurídica se chama responsabilidade objetiva.

Na prática, isso significa que a empresa não precisa ter agido com dolo (intenção) ou culpa (negligência, imprudência ou imperícia) para ser responsabilizada. Basta que o consumidor tenha sofrido um dano em razão de um defeito no serviço para que a empresa tenha o dever de indenizar. Um ataque hacker de terceiros não afasta, por si só, essa responsabilidade. Pelo contrário, os tribunais brasileiros têm reiteradamente decidido que é dever da empresa manter sistemas de segurança adequados, investir em atualização tecnológica, treinar equipes e adotar políticas robustas de controle de acesso. A depender do caso, a falha em implementar essas medidas pode até mesmo configurar culpa grave, embora isso não seja necessário para a responsabilização objetiva.

Os deveres de segurança previstos na LGPD

A Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais) trouxe ao ordenamento jurídico brasileiro capítulo inteiro dedicado à segurança da informação e à resposta a incidentes. O artigo 46 deixa claro que controladores e operadores têm o dever de adotar medidas de segurança, técnicas e administrativas, capazes de proteger os dados pessoais de acessos não autorizados, de situações acidentais ou ilícitas, de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado.

Já o artigo 48 da LGPD obriga o controlador a comunicar, de forma imediata, à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A falha em comunicar, ou a comunicação tardia e vagarosa, é por si só uma infração à lei, capaz de gerar multas e sanções administrativas. A omissão também reforça a responsabilização civil da empresa, pois evidencia descumprimento de dever legal.

O Marco Civil da Internet e a proteção dos registros

O Marco Civil da Internet (Lei 12.965/2014) também se aplica diretamente ao cenário de ataques hackers. O artigo 10 estabelece que os provedores de conexão e de aplicações devem manter sob sigilo o registro de conexão e os dados pessoais de seus usuários, e que a disponibilização desses dados só pode ocorrer mediante ordem judicial na forma do artigo 22, entre outras hipóteses legais. Isso reforça a proteção dos registros de acesso, do histórico de navegação e dos metadados das comunicações, e dá ao consumidor mais um instrumento para exigir judicialmente a apuração de eventual vazamento.

Quais são os direitos do consumidor em caso de ataque hacker

Depois de uma invasão ou vazamento, o consumidor brasileiro tem, no mínimo, os seguintes direitos assegurados pelo ordenamento jurídico vigente.

Direito à informação clara, adequada e em tempo hábil

Previsto no artigo 6º, inciso III, do CDC e reforçado pelo artigo 48 da LGPD, o consumidor tem direito a ser informado de forma clara sobre o que aconteceu, quais dados foram comprometidos, qual o risco envolvido e quais medidas a empresa está tomando. Empresas que tentam esconder o vazamento ou que comunicam de modo vago, genérico ou tardio podem ser responsabilizadas por omissão, com agravamento do dano moral.

Direito à reparação integral dos danos

Inclui tanto o dano patrimonial (prejuízo financeiro direto, como cobranças indevidas, saques não autorizados e contratos fraudulentos) quanto o dano moral (sofrimento, estresse, exposição indevida, medo de fraudes futuras, perda de paz de espírito). O artigo 6º, incisos VI e VII, do CDC ampara esse direito de forma objetiva, e a jurisprudência recente dos Tribunais de Justiça e do Superior Tribunal de Justiça tem concedido indenizações em casos de exposição indevida de dados.

Direito de cancelar serviços e rescindir contratos sem multa

Se o serviço que você contratou ficou indisponível em razão do ataque, ou se a segurança foi tão comprometida que expôs seus dados, é possível argumentar que houve quebra da obrigação principal do contrato. A base está no artigo 389 do Código Civil (que trata da responsabilidade de quem causa dano pelo descumprimento da obrigação) e no artigo 7º, parágrafo único, do CDC. Em muitos casos, a rescisão sem multa é cabível e até devida.

Direito à inversão da prova em favor do consumidor

Quando o consumidor alega que um ataque hacker causou determinado prejuízo, na maior parte das vezes ele não tem como provar tecnicamente como o ataque aconteceu. É aí que entra a inversão do ônus da prova prevista no artigo 6º, inciso VIII, do CDC. Se o juiz entender que a alegação do consumidor é verossímil, ou que o consumidor é hipossuficiente técnico (não tem como conhecer os sistemas de segurança da empresa), o ônus pode ser invertido, cabendo à empresa demonstrar que o evento foi inevitável e que todas as medidas cabíveis foram adotadas. A jurisprudência tem aplicado essa inversão com frequência em casos de falhas de segurança.

Direito a não ser cobrado indevidamente

O artigo 42 do CDC é claro: o consumidor cobrado em quantia indevida tem direito à repetição do indébito, em valor igual ao cobrado em dobro, monetariamente corrigido, acrescido de juros e honorários advocatícios, salvo hipótese de engano justificável. Se apareceram compras, contratos ou empréstimos no seu nome em razão do vazamento, você tem direito à devolução em dobro e a indenização por danos morais.

Direito à proteção contra práticas abusivas

O artigo 39 do CDC lista uma série de práticas abusivas vedadas ao fornecedor, incluindo enviar ou entregar ao consumidor, sem solicitação prévia, qualquer produto, ou fornecer serviço que não tenha sido expressamente contratado. Aproveitar um vazamento para empurrar produtos ou serviços novos, ou para reativar o consumidor por canais inseguros, pode configurar prática abusiva e gerar indenização.

Direito à proteção dos dados pessoais

O artigo 18 da LGPD garante ao titular dos dados uma série de direitos, entre eles o de obter confirmação da existência de tratamento, o de acesso aos dados, o de correção de dados incompletos ou incorretos, o de anonimização, bloqueio ou eliminação de dados desnecessários e o de revogação do consentimento. Após um ataque, é direito do consumidor exigir da empresa a confirmação de quais dados foram expostos e a eliminação daqueles que não são mais necessários.

Como o consumidor deve agir na prática: passo a passo

Agora que você conhece os direitos, vamos ao que fazer concretamente quando desconfiar ou confirmar que seus dados foram expostos.

Passo 1: Documente tudo

Tire prints e capturas de tela de cobranças estranhas, mensagens de golpistas, e-mails fraudulentos, extratos bancários alterados, alterações de senha não autorizadas e qualquer comunicação que a empresa tenha feito sobre o incidente. Guarde também protocolos de atendimento, números de protocolo de chat e gravações de ligação (quando houver consentimento). Quanto mais documentação você tiver, mais sólida será a sua posição em eventual ação judicial ou administrativa.

Passo 2: Registre um Boletim de Ocorrência

Mesmo que a empresa tenha registrado o caso internamente, registre também um Boletim de Ocorrência na delegacia de polícia ou pela internet, no site da Polícia Civil do seu estado. O B.O. é fundamental para uso futuro em processos judiciais, perícias bancárias, solicitação de cancelamento de contratos fraudulentos e inclusão do seu nome em cadastros de proteção ao crédito, quando cabível.

Passo 3: Entre em contato com a empresa e formalize o pedido

Abra uma reclamação formal por escrito (e-mail, chat com protocolo, ouvidoria), sempre em canais que gerem registro escrito com data e hora. Solicite esclarecimento sobre quais dados foram comprometidos, cancelamento ou bloqueio de contratos suspeitos, estorno de valores indevidos e confirmação de que o seu nome foi descadastrado de listas internas potencialmente afetadas. Guarde o protocolo.

Passo 4: Registre reclamação em órgãos de defesa do consumidor

Se a empresa não resolver em até 10 dias úteis, registre reclamação no Procon da sua cidade, no site consumidor.gov.br (plataforma mantida pela Senacon) e, eventualmente, em plataformas privadas como Reclame Aqui, que embora não tenham valor judicial direto, funcionam como forte evidência de tentativa de acordo frustrada.

Passo 5: Procure o Juizado Especial Cível

Para causas de até 20 salários mínimos, o consumidor pode acionar o Juizado Especial Cível (Lei 9.099/95) sem precisar de advogado. Acima desse valor, a presença de advogado é obrigatória, mas as custas iniciais são menores ou isentas para quem se declara hipossuficiente. A ação pode pedir indenização por dano material, dano moral, declaração de inexigibilidade de débitos e repetição de indébito.

Passo 6: Acompanhe a ANPD e ações civis públicas

Em ataques de grande porte, a ANPD pode instaurar procedimento administrativo e aplicar sanções à empresa. Também é comum que o Ministério Público, a Defensoria Pública ou entidades de defesa do consumidor entrem com ação civil pública em favor dos consumidores coletivamente atingidos. Acompanhar esses movimentos pode render indenização individual ou facilitar provas para sua ação pessoal.

Tabela: como agir em cada situação concreta

Casos emblemáticos de ataques hackers no Brasil

Nos últimos anos, alguns episódios ficaram marcados na imprensa e ajudaram a consolidar a jurisprudência sobre o tema. Entre os incidentes amplamente noticiados estão o ataque à JBS em 2021, que teve parte de suas operações paralisadas e resultou no pagamento de resgate milionário, os ataques a órgãos públicos e plataformas de ensino durante a pandemia, o vazamento massivo de dados de cidadãos brasileiros em 2021 (com mais de 220 milhões de CPFs expostos em um único pacote) e incidentes em grandes varejistas e instituições financeiras. Esses casos geraram ações civis públicas, investigações da ANPD e Termos de Ajustamento de Conduta.

A tendência jurisprudencial é a de reconhecer a responsabilidade objetiva das empresas, exigir comunicação imediata e célere aos consumidores, e fixar indenizações por dano moral coletivo e individual em valores compatíveis com a gravidade do vazamento. Diversas turmas de direito do consumidor têm aplicado indenização por vazamento de dados entre R$ 2.000 e R$ 15.000 por consumidor, a depender do caso concreto, podendo ser maior em situações de exposição de dados sensíveis (de saúde, financeiros, de crianças e adolescentes) ou quando houve fraude efetiva com prejuízo financeiro.

Atenção: golpes que usam ataques hackers como isca

Um efeito colateral perigoso e cada vez mais comum dos ataques hackers é o surgimento de golpes que se passam por comunicações oficiais. Criminosos enviam e-mails, SMS e mensagens de WhatsApp supostamente em nome da empresa atacada, oferecendo monitoramento gratuito de CPF, seguro contra fraudes ou links para regularizar dados. Na prática, esses links roubam ainda mais informações e ampliam o estrago.

A regra de ouro é nunca clicar em links recebidos por SMS, WhatsApp ou e-mail, mesmo que pareçam vir de bancos, órgãos públicos ou grandes empresas. Em caso de dúvida, vá diretamente ao site oficial da empresa digitando o endereço no navegador, ou ligue para o número que consta no verso do seu cartão ou na nota fiscal. Lembre-se: bancos, órgãos públicos e empresas sérias nunca pedem senha, token ou dados completos por mensagem. Desconfie sempre de urgência excessiva, prêmios inesperados ou ameaças de bloqueio.

Perguntas Frequentes (FAQ)

O que devo fazer se meus dados vazaram em um ataque hacker?

O primeiro passo é documentar tudo com prints, e-mails e extratos. Em seguida, abra reclamação formal com a empresa, registre Boletim de Ocorrência, protocole reclamação no Procon e/ou no consumidor.gov.br e, se houver prejuízo financeiro, procure o Juizado Especial Cível. Acompanhe também se a ANPD abriu processo administrativo contra a empresa, pois isso pode facilitar provas e até mesmo gerar indenização coletiva no futuro.

A empresa é obrigada a me avisar sobre o vazamento?

Sim. O artigo 48 da LGPD obriga o controlador de dados a comunicar imediatamente à ANPD e ao titular dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A omissão é considerada infração grave e pode gerar sanções administrativas (multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração) e responsabilidade civil, com possibilidade de indenização por danos morais.

Posso cancelar um serviço ou contrato se a empresa foi hackeada?

Depende do caso. Se o ataque comprometeu a segurança dos seus dados ou causou indisponibilidade prolongada do serviço, é possível pedir rescisão sem multa com base na quebra da obrigação principal do contrato, nos termos do artigo 389 do Código Civil c/c artigo 7º, parágrafo único, do CDC. O ideal é formalizar o pedido por escrito e, se houver resistência da empresa, buscar o Procon ou a via judicial.

Quanto tempo tenho para entrar com ação judicial?

Aplica-se a regra geral da prescrição: 5 anos para ações pessoais, conforme artigo 205 do Código Civil. Em se tratando de relação de consumo, há também o prazo decadencial previsto no artigo 27 do CDC, mas o prazo principal a observar é o prescricional. Importante: a contagem começa a partir do momento em que você tomou conhecimento do dano, razão pela qual não se deve esperar para buscar orientação jurídica.

Posso pedir indenização por dano moral em caso de ataque hacker?

Sim. Os tribunais brasileiros têm concedido indenização por dano moral em casos de vazamento de dados, especialmente quando há exposição de dados sensíveis, risco efetivo de fraude ou falha de comunicação da empresa. O valor varia conforme o caso, mas costuma ficar entre R$ 2.000 e R$ 15.000 por consumidor, podendo ser maior em casos graves. Cada caso precisa ser analisado individualmente por advogada ou advogado especializado.

Conclusão

Um ataque hacker é, sem dúvida, um evento grave, mas não é sinônimo de impunidade. A legislação brasileira oferece ao consumidor um conjunto robusto de direitos que vão desde a informação clara e célere até a indenização por danos patrimoniais e morais. Conhecer esses direitos, documentar tudo e agir de forma organizada são passos determinantes para que o prejuízo não seja eterno e para que a empresa seja, de fato, responsabilizada.

A combinação entre Código de Defesa do Consumidor, LGPD e Marco Civil da Internet coloca o consumidor brasileiro em posição privilegiada na comparação internacional. Isso não significa, contudo, que o caminho é simples: muitas vezes será preciso passar pelo Procon, pela ANPD ou pelo Poder Judiciário para ter os direitos plenamente reconhecidos. Contar com orientação jurídica especializada faz diferença entre esperar uma resposta vaga da empresa e construir, tecnicamente, a defesa dos seus interesses.

Se você está passando por uma situação parecida, ou se quer entender melhor como se prevenir e o que fazer em caso de vazamento de dados, vale buscar orientação jurídica especializada. A Dra Kauane Silva atende pessoas em Porto Belo e região, com orientação personalizada para cada caso. Entre em contato para uma consulta confidencial e dê o primeiro passo para resguardar seus direitos.

Este conteúdo tem caráter informativo e não substitui consulta com advogada habilitada. Procure profissional inscrito na OAB.

Referências consultadas

BRASIL. Constituição da República Federativa do Brasil de 1988. Art. 5º, incisos X e XII. Brasília, 1988. Disponível em: https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm, BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Código de Defesa do Consumidor. Brasília, 1990. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm, BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Código Civil. Arts. 186, 389, 927 e 205. Brasília, 2002. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/2002/l10406compilada.htm, BRASIL. Lei nº 12.965, de 23 de abril de 2014. Marco Civil da Internet. Brasília, 2014. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/lei/l12965.htm, BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/lei/l13709.htm, BRASIL. Lei nº 9.099, de 26 de setembro de 1995. Juizados Especiais Cíveis e Criminais. Brasília, 1995. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l9099.htm, AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Guia orientativo para incidentes de segurança. Brasília, 2023. Disponível em: https://www.gov.br/anpd, SENACON / MINISTÉRIO DA JUSTIÇA. Plataforma consumidor.gov.br. Disponível em: https://www.consumidor.gov.br, SUPERIOR TRIBUNAL DE JUSTIÇA (STJ). Temas de direito do consumidor relacionados a vazamento de dados pessoais. Jurisprudência disponível no portal do STJ em: https://www.stj.jus.br, BRASIL. Lei nº 7.347, de 24 de julho de 1985. Disciplina a ação civil pública. Brasília, 1985. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l7347compilada.htm