Venho apresentar reclamação relativa à desativação permanente de contas Facebook e Instagram pela empresa Meta Platforms Ireland Limited, na sequência de um episódio de comprometimento ilícito das mesmas.
No dia 08/02/2025 ocorreu acesso não autorizado às contas, na sequência de infeção por malware do tipo infostealer no meu equipamento pessoal. Esse software permitiu a terceiros obter tokens de sessão válidos, possibilitando o acesso às contas sem necessidade de introdução de palavra-passe ou autenticação adicional.
Nos registos de segurança da própria plataforma constava um início de sessão não reconhecido, com localização nos Estados Unidos e associado a um dispositivo Apple MacBook que nunca utilizei nem possuo. Os acessos legítimos às contas sempre ocorreram a partir de dispositivos e localizações habituais em território nacional. O login proveniente dos EUA constitui desvio claro do padrão normal de utilização, facto verificável nos próprios logs internos da plataforma.
Na sequência do acesso ilícito foram realizadas ações automatizadas, nomeadamente envio massivo de mensagens, adição de contactos e remoção de conteúdos, sem conhecimento ou consentimento do titular.
Assim que o incidente foi detetado, foram adotadas medidas imediatas e proporcionais de mitigação, incluindo alteração integral de credenciais, reforço da autenticação de dois fatores, realização da verificação de identidade solicitada pela plataforma, reinstalação completa do sistema operativo e auditoria de segurança das contas.
Apesar da evidência objetiva de comprometimento e da atuação diligente do utilizador, a plataforma procedeu à desativação permanente das contas no dia seguinte, após alegada revisão, sem possibilidade efetiva de novo recurso ou reapreciação individualizada.
Importa ainda referir que existia relação comercial prévia com a plataforma, incluindo promoções pagas de publicações, configurando prestação de serviço digital remunerado.
Considera-se que a medida aplicada é desproporcionada, por penalizar o consumidor vítima de intrusão ilícita, podendo ainda suscitar questões quanto ao cumprimento das obrigações previstas no Regulamento (UE) 2022/2065 (Digital Services Act), nomeadamente no que respeita à fundamentação das decisões de moderação, transparência e existência de mecanismo interno de reclamação efetivo.
Solicita-se a intervenção da DECO no sentido de apreciar a conformidade da atuação da plataforma com o regime aplicável aos serviços digitais e promover a reapreciação adequada da decisão ou, pelo menos, a garantia plena de acesso e portabilidade dos dados associados às contas.
