Fotos e vídeos íntimos guardados em contas de e-mail, backups na nuvem ou arquivos privados em redes sociais tornaram-se o novo alvo de um tipo de ataque que vem ganhando escala perigosa. O FBI divulgou um alerta público em agosto de 2026 informando que criminosos estão invadindo contas online de adultos e adolescentes para roubar imagens explícitas, que são posteriormente usadas para extorsão ou divulgação não consentida. O aviso foi publicado pelo TechCrunch em 11 de agosto de 2026 e reforça uma tendência que já preocupa especialistas de segurança digital em todo o mundo.
O problema não é novo, mas sua escala cresceu de forma alarmante. Com o aumento do armazenamento automático em nuvem por aplicativos como Google Fotos, iCloud e até o backup padrão do WhatsApp, fotos privadas que antes ficavam apenas no dispositivo físico agora são sincronizadas automaticamente para contas online, muitas vezes sem que o usuário perceba ou configure proteções adequadas.
Como funcionam os ataques
O FBI identificou quatro métodos principais usados pelos criminosos para acessar as contas das vítimas. O primeiro é o ataque de força bruta com senhas vazadas: criminosos usam combinações de senhas que já apareceram em vazamentos anteriores de dados, apostando que a vítima reutiliza a mesma senha em múltiplos serviços. Essa prática é extremamente comum – pesquisas indicam que mais de 60% dos usuários reutilizam senhas em diferentes plataformas.
O segundo método é a representação de atendimento ao cliente. Criminosos se passam por funcionários de plataformas como Instagram, Google ou Meta e entram em contato com a vítima alegando que há um problema na conta. A vítima, acreditando estar falando com um representante legítimo, fornece suas credenciais de acesso ou clica em links falsos de verificação.
O terceiro método são os e-mails de phishing: mensagens que imitam comunicações oficiais de redes sociais ou serviços de e-mail, pedindo que o usuário “confirme” seu acesso por meio de um link que leva a uma página falsa capaz de capturar nome de usuário e senha. O quarto método é a engenharia social mais elaborada, com abordagens via mensagem direta ou até mesmo chamadas de voz, nas quais o criminoso constrói uma relação de confiança antes de pedir acesso às contas.
Quem são os principais alvos
Segundo o FBI, estudantes-atletas são especialmente visados devido a seus perfis públicos nas redes sociais. A visibilidade que acompanha a carreira esportiva universitária nos Estados Unidos torna esses jovens alvos atraentes: seus nomes, faculdades, times e dados de localização estão frequentemente disponíveis online, facilitando ataques direcionados.
A especialista em segurança Rachel Tobac destacou que meninos e jovens do sexo masculino são especialmente vulneráveis a esses ataques, contrariando a percepção comum de que esse tipo de crime afeta predominantemente mulheres. Grupos criminosos identificaram nos rapazes jovens um perfil de vítima mais propenso a pagar rapidamente para evitar a exposição, o que aumenta a “rentabilidade” do ataque para os criminosos.
No Brasil, o cenário é igualmente preocupante. O país tem uma das populações mais ativas em redes sociais do mundo, com alta penetração de smartphones e uso intenso de aplicativos que sincronizam conteúdo automaticamente para a nuvem. Jovens brasileiros enfrentam os mesmos riscos descritos pelo FBI, com o agravante de que a infraestrutura de apoio a vítimas de crimes digitais ainda é menos robusta do que nos Estados Unidos.
O que acontece depois da invasão
Após roubar as imagens, os criminosos seguem roteiros bem estabelecidos. A primeira etapa costuma ser a extorsão: a vítima recebe uma mensagem exigindo pagamento em dinheiro ou criptomoedas em troca de não divulgar o conteúdo. Se a vítima não paga, o material pode ser publicado em sites de pornografia de vingança, compartilhado com amigos e familiares da vítima encontrados nas próprias redes sociais, ou até mesmo anunciado nas redes da própria vítima – uma forma particularmente cruel de humilhação pública.
O FBI alerta que as vítimas frequentemente sofrem o que chama de “revitimização”: mesmo após o primeiro episódio de exposição, continuam sendo alvo de assédio, perseguição (stalking) e ataques direcionados. O trauma psicológico é profundo e duradouro, e muitas vítimas enfrentam dificuldades em denunciar o crime por vergonha ou por não saber a quem recorrer.
Como se proteger
O FBI recomenda quatro medidas básicas que qualquer usuário pode adotar agora mesmo. A primeira é usar senhas únicas para cada serviço online, armazenadas em um gerenciador de senhas – aplicativos como Bitwarden, 1Password ou o gerenciador nativo do Google e da Apple fazem isso de forma segura e gratuita ou por um custo baixo.
A segunda medida é ativar a autenticação de dois fatores em todas as contas importantes, especialmente redes sociais, e-mail e serviços de armazenamento em nuvem. Mesmo que um criminoso obtenha sua senha, precisaria de um segundo código – enviado ao seu celular ou gerado por um aplicativo – para acessar a conta.
A terceira recomendação é manter ceticismo em relação a qualquer contato não solicitado de pessoas que afirmam trabalhar para empresas de tecnologia. Plataformas como Instagram, Google e Meta raramente entram em contato direto com usuários pedindo credenciais. Se isso acontecer, acesse o site oficial da empresa diretamente pelo navegador e verifique se há alguma notificação na sua conta.
A quarta medida é revisar o que está guardado em contas online. Muitas pessoas têm anos de conteúdo sincronizado automaticamente sem saber exatamente o que está lá. Vale a pena revisar as configurações de backup automático e excluir arquivos que não precisam estar na nuvem, especialmente imagens privadas.
Por que esse problema cresce no Brasil
No contexto brasileiro, o problema da exposição não consentida de imagens íntimas é tratado pela Lei n° 13.718/2018, conhecida como Lei da Vingança Pornô, que criminaliza a divulgação não autorizada de imagens, vídeos ou sons de cenas de nudez ou atos sexuais. A pena prevista é de um a cinco anos de reclusão, com agravamento se a vítima for menor de idade ou se o crime for cometido por parceiro íntimo.
No entanto, a lei trata da divulgação – e não necessariamente da invasão de conta que a precede. Para o crime de invasão de dispositivos, aplica-se a Lei Carolina Dieckmann (Lei 12.737/2012), que prevê penas de três meses a dois anos de detenção. A combinação das duas legislações cobre o ciclo completo do ataque, mas a aplicação prática ainda enfrenta desafios significativos, especialmente quando os criminosos operam de outros países.
A denúncia de crimes digitais no Brasil pode ser feita pelo portal SaferNet Brasil, pela delegacia especializada em crimes cibernéticos do seu estado ou pelo sistema de denúncias da própria plataforma onde o ataque ocorreu. Quanto mais rápida a denúncia, maior a chance de minimizar os danos.
Fonte: TechCrunch.
