Golpes e phishing

Explicando de forma simples

Existe uma ideia perigosa sobre golpes: a de que só cai quem é desatento. Não é isso.

O golpe digital moderno não ataca a sua inteligência. Ele ataca três coisas que qualquer pessoa tem: pressa, medo e confiança em quem parece conhecido.

A receita é quase sempre a mesma. Alguém aparece como uma figura em que você confia — o banco, a operadora, a loja, um parente, o chefe. Traz um assunto urgente: uma compra que você não fez, uma conta que vai ser bloqueada, uma encomenda parada, um aperto financeiro. E pede uma ação imediata: clicar num link, informar um código, fazer um Pix.

O nome técnico da isca enviada em massa é phishing — “pescaria”, em inglês. Milhares de anzóis na água, à espera de que alguém morda no momento errado do dia.

Por isso o melhor antídoto não é ser esperto. É ter uma regra fixa que funcione mesmo quando você está cansado: contato que traz urgência e pede dado ou dinheiro, você encerra e refaz por um canal que já era seu.

Exemplo do dia a dia

Seu telefone toca. Do outro lado, uma pessoa educada, que sabe seu nome completo e os quatro últimos dígitos do seu cartão, avisa que houve uma compra suspeita de R$ 2.300 numa loja de outro estado.

Ela é prestativa: já vai cancelar. Só precisa confirmar sua identidade com o código que o banco acabou de mandar por SMS. E o código chega, de verdade, do número do banco.

Tudo parece encaixar — e é exatamente por isso que funciona. Os seus dados vieram de um vazamento. O código é real, mas foi disparado porque o golpista está tentando entrar na sua conta naquele instante. Ao ditá-lo, você abre a porta.

A regra que quebra o golpe é simples e não exige sabedoria nenhuma: desligue e ligue você para o número do verso do seu cartão. Se a compra existir, o banco vai saber. Se não existir, você acabou de escapar.

E vale guardar a frase que resume tudo: nenhum banco, loja ou suporte legítimo pede senha ou código de verificação por mensagem, e-mail ou telefone. Quem pede é golpista.

Como reconhecer a isca

Urgência fabricada. “Agora”, “em 30 minutos”, “sua conta será bloqueada hoje”. A pressa existe para impedir que você confira. Instituição de verdade não te dá prazo de minutos.

Canal trocado. A mensagem chega por WhatsApp ou SMS dizendo ser do banco, com um link. Empresa séria resolve pelo aplicativo dela ou pelo telefone oficial — não por link em mensagem.

Pedido que não deveria existir. Senha, código de verificação, foto do cartão, foto do documento segurando o documento. Nada disso é pedido por atendimento legítimo.

Pagamento por fora. Pix para pessoa física quando você comprou de uma empresa, boleto com beneficiário estranho, “pague aqui que eu libero”. Antes de pagar, confira o nome de quem vai receber — o aplicativo do banco mostra.

O parente que trocou de número. “Oi mãe, meu celular quebrou, esse é meu número novo, preciso de um Pix urgente.” Combine com a família uma palavra que só vocês saibam e peça por ela sempre. E ligue para o número antigo.

Cuidado com o cadeado. Aquele cadeado na barra do navegador não quer dizer que o site é confiável — só que a conexão é criptografada. Golpista também consegue cadeado. O que importa é o endereço estar certo, letra por letra.

Emprestar a sua conta virou crime

Esta parte é nova e pouca gente sabe.

Em 2026 o Código Penal ganhou um tipo chamado “cessão de conta laranja”. Responde pelas mesmas penas do estelionato quem cede, de graça ou por dinheiro, uma conta bancária para que nela transitem recursos destinados a financiar atividade criminosa, ou que sejam fruto dela.

Traduzindo: a proposta de “só receber um valor na sua conta e repassar, você fica com uma parte” deixou de ser um favor arriscado e passou a ser crime — mesmo que você não receba nada por isso.

Vale ser preciso sobre a outra mudança, porque é fácil exagerar. A fraude eletrônica já era punida com 4 a 8 anos de reclusão, mais multa, desde a Lei nº 14.155/2021 — bem acima da pena do estelionato comum. O que a lei de 2026 fez foi ampliar a conduta, acrescentando ao texto a duplicação de dispositivo eletrônico ou de aplicação de internet. A pena, essa já era essa. A pena aumenta ainda mais se o golpe usar servidor fora do país, e aumenta de um terço até o dobro se a vítima for idosa ou vulnerável.

Saber disso serve para duas coisas: recusar o “empréstimo” da conta com firmeza, e entender que o que aconteceu com você tem nome, tem artigo e é investigável.

O que você pode fazer?

Se ainda não aconteceu nada, três hábitos resolvem a maior parte:

• Adote a regra do canal próprio. Recebeu cobrança, aviso ou oferta? Não use o link nem o telefone que vieram na mensagem. Abra o aplicativo que você já tinha instalado, ou ligue para o número do verso do cartão.
• Combine uma palavra de segurança com a família. É o que desmonta o golpe do parente com número novo.
• Ligue a verificação em duas etapas em tudo, começando pelo e-mail e pelo aplicativo de mensagens — é o assunto de Senhas e autenticação.

Se já aconteceu, a ordem das primeiras horas importa:

• Corte o contato. Não negocie, não mande mais nada, bloqueie o perfil ou o número.
• Foi Pix? Conteste e acione o MED. O Mecanismo Especial de Devolução é o recurso do Pix para tentar reaver valores em casos de golpe, fraude e falha operacional — inclusive compra em site falso, QR Code alterado e transferência que você foi enganado a fazer. Peça pelo aplicativo ou pelos canais oficiais do banco, e faça isso o mais rápido possível: quanto antes contestar, maior a chance de recuperar.
• Foi cartão? Conteste e bloqueie. Conteste a compra pelos canais oficiais do banco emissor, procure outros lançamentos que você não reconhece — inclusive em faturas anteriores — e peça bloqueio ou cancelamento do cartão.
• Troque as senhas expostas, em todos os lugares onde eram usadas, e encerre as sessões abertas em outros aparelhos.
• Guarde as evidências. Links, mensagens, nomes de perfis, telefones, capturas de tela, comprovantes. E anote protocolos, datas e nomes de atendentes — é o que sustenta estorno, reclamação e processo.
• Registre boletim de ocorrência. Na maioria dos casos dá para fazer pela internet. Ele costuma ser necessário para contestar fraudes e acionar seguros.
• Denuncie na plataforma e avise seus contatos. Denunciar perfil, anúncio ou mensagem ajuda a tirar o esquema do ar; avisar seus contatos evita que o golpista use o seu nome com eles.
• Instalou um aplicativo que “o banco” mandou instalar? Pode ser um programa malicioso com acesso remoto ao aparelho. O caminho indicado é restaurar o celular para a configuração de fábrica e recuperar os dados de um backup confiável.
• Se a relação for de consumo, o Procon também atende — e a LGPD prevê que os direitos do titular possam ser exercidos perante os órgãos de defesa do consumidor.

Resumo

Golpe digital explora pressa, medo e confiança, não burrice. A defesa que funciona mesmo cansado é uma regra fixa: encerre o contato e refaça pelo canal que já era seu. Nenhum banco ou loja pede senha ou código de verificação — e o cadeado do navegador só diz que a conexão é criptografada, não que o site é honesto. Caiu? Corte o contato, conteste o Pix pelo MED o quanto antes, conteste e bloqueie o cartão, troque as senhas, guarde as evidências e registre um BO. E recuse qualquer proposta de emprestar sua conta bancária: desde 2026 isso é crime com a mesma pena do estelionato, ainda que você não ganhe nada com aquilo.