Segurança digital: por que gente inteligente cai em golpe

A mensagem chega no WhatsApp de um número desconhecido, com a foto de perfil de um estranho. “Pai, aqui é a Julia.” Você para, porque Julia é o nome da sua filha. Logo em seguida chega um áudio, e a voz no áudio é dela.

Ela conta que foi roubada. Está na loja da operadora, precisa de um celular novo para recuperar o acesso às contas e bloquear tudo antes que o ladrão use. O WhatsApp é de uma pessoa da loja que emprestou o aparelho para ela falar com você. Está tudo bem, ela diz, só precisa do Pix agora. E manda o áudio justamente para você ter certeza de que é ela.

Você faz o Pix. Descobre depois que a voz foi clonada a partir dos vídeos que a sua filha publica nas redes sociais.

O áudio foi o que tirou a sua dúvida, e é aí que está a lição desta abertura: o mesmo golpe funcionava antes de a clonagem de voz existir, com outro disfarce. Nenhuma configuração de segurança digital teria impedido essa transferência, porque o ataque não passou por sistema nenhum. Passou pela sua vontade de socorrer a sua filha.

O que você vai encontrar aqui

Por que a segurança digital que funciona começa por reconhecer o mecanismo, e protege inclusive contra o golpe que ainda não foi inventado
Os cinco gatilhos de engenharia social que aparecem em praticamente todo ataque bem-sucedido
Como pagar com o cartão sem entregar o número dele
O que a inteligência artificial mudou de fato no golpe, e o que ela não mudou
Como descobrir, de graça, se os seus dados já apareceram em algum vazamento
Se o Wi-Fi público ainda é perigoso, e por que a resposta de hoje é diferente da que você aprendeu
O que a lei brasileira diz sobre quem paga a conta depois de você cair em golpes na internet

Este artigo complementa o e-book gratuito A.C.T., Pensamento Crítico na Prática. Ele ensina o intervalo de lucidez, a pausa deliberada entre o estímulo e a resposta, que é exatamente o que os golpes descritos aqui tentam eliminar.

No intervalo dos treinamentos, a pergunta que mais me fazem é alguma variação de “meu pai quase caiu num golpe semana passada, o que eu falo pra ele?”. Firewall ninguém pergunta. A resposta que eu costumava dar era uma relação de cuidados. Hoje eu dou outra, porque cuidado avulso envelhece na velocidade em que os criminosos inventam a próxima fantasia, e o mecanismo por trás deles não muda há décadas.

Metade do Brasil já caiu

O Relatório de Identidade e Fraude 2025 da Serasa Experian mediu que 51% dos brasileiros foram vítimas de fraude no período de um ano, e que 54,2% dessas pessoas tiveram perda financeira concreta. Numa reunião de equipe com dez pessoas, cinco já passaram por isso e três perderam dinheiro de verdade.

O grupo com maior incidência é o de pessoas acima de 50 anos, com 57,8% de vítimas. A explicação que sempre aparece é falta de familiaridade com tecnologia, e ela me parece incompleta. Minha leitura, pelo que vejo nos treinamentos, é que o que falta não é intimidade com o aparelho, é exposição ao ataque: quem passa o dia em redes sociais e aplicativos recebe dezenas de tentativas por semana e vai construindo repertório sem perceber. Quem usa o celular para falar com a família e pagar contas encontra cada golpe pela primeira vez.

Engenharia social é a manipulação psicológica de uma pessoa para que ela entregue uma informação ou execute uma ação contra o próprio interesse. O criminoso não precisa de vulnerabilidade nem de quebra de criptografia: ele conversa, e a vítima faz sozinha o trabalho pesado.

Kevin Mitnick virou o nome mais conhecido dessa prática sem nunca ter precisado ser o melhor programador da sala. O método dele era se apresentar como alguém que tinha o direito de estar ali, e o disfarce preferido era técnico da companhia telefônica, porque nos anos 1980 e 1990 esse era o sujeito que ninguém parava para questionar. Com esse crachá improvisado ele entrava no prédio, pedia acesso ao armário de telefonia, puxava conversa na recepção e ligava para funcionários se apresentando como suporte interno. Nenhum desses passos exigiu quebrar uma senha. Ele pedia, e alguém dava.

O que aconteceu com a reputação dele depois é ainda mais instrutivo. A lenda cresceu muito além do que os fatos sustentam, a ponto de a Britannica registrar até hoje que a suposta invasão dele ao sistema de defesa aérea americano, aos 17 anos, é alegada e não comprovada.

Preferimos acreditar que o atacante é um gênio porque essa versão é mais confortável: contra gênio não havia defesa mesmo. Se o atacante for um rapaz educado de macacão perguntando onde fica o armário, a sua vez ainda vai chegar. É essa segunda versão que continua funcionando trinta anos depois, com o macacão trocado por uma foto de perfil e um áudio.

Por que gente competente cai

O motivo está em como decidimos coisas, e ele não tem relação com inteligência. Ninguém avalia cada mensagem que recebe com atenção plena; seria impossível viver assim. Operamos por atalho, e o atalho pergunta “isso parece normal?” em vez de “isso é verdade?”.

Repare no que isso significa para quem é bom no que faz. Um gerente financeiro processa dezenas de aprovações por semana, e é justamente essa fluência que faz o pedido falso parecer rotina. Um advogado acostumado a prazo apertado tem a urgência como estado natural do dia, e por isso não estranha mais um pedido urgente. A competência constrói padrões, e o golpe é montado para caber dentro do padrão que você já tem.

Uma vez que você enxerga isso, o catálogo de golpes vira um mecanismo com variações, e reconhecê-lo protege inclusive contra a variação que ainda vai ser inventada.

Os cinco gatilhos que abrem qualquer porta

Nos treinamentos, eu apresento cinco gatilhos emocionais. Eles aparecem sozinhos ou combinados, e a combinação é o que separa o golpe amador do golpe que funciona.

Você vai reconhecer esses cinco gatilhos na aprovação de pagamento que chega fora do fluxo normal, na negociação em que o fornecedor aperta o prazo para você fechar sem consultar ninguém, e na mensagem de madrugada em nome de alguém da sua família. Muda o cenário, não muda o motor.

Autoridade

“Aqui é do departamento jurídico.” “Sou o diretor, estou em reunião e preciso que você resolva isso.” A autoridade suspende o julgamento porque questionar quem manda tem custo social, e o criminoso sabe disso. Repare que ele nunca precisa provar o cargo. Basta enunciá-lo com naturalidade.

Urgência

“Sua conta será bloqueada em duas horas.” A urgência é o gatilho mais presente de todos, porque ela elimina o tempo em que você pensaria. Todo golpe precisa desativar esse tempo antes de qualquer outra coisa.

Confiança

Aqui o criminoso investe. Ele troca mensagens por dias ou semanas, comenta suas fotos, fala do time que você torce, pergunta como foi a viagem. Quando finalmente pede alguma coisa, já não é um estranho, é alguém com quem você vem conversando há um mês. Golpe romântico e falso investimento vivem desse gatilho, e cobram caro de cada vítima justamente porque o criminoso só faz o pedido quando já tem intimidade para pedir muito. Este é o gatilho mais lento de todos e o mais difícil de perceber por dentro, porque cada passo isolado parece inofensivo.

Isolamento

“Não comente com ninguém da agência, estamos apurando um envolvimento interno.” O isolamento transforma a sua rota natural de conferência em parte da ameaça: a pessoa que você ligaria para confirmar passa a ser suspeita, e você fica sozinho com quem está aplicando o golpe. No trabalho ele chega vestido de confidencialidade, com a instrução de tratar direto com quem pediu e não envolver o time. Quando alguém combina segredo antes de combinar dinheiro, o segredo é o alerta.

Oferta irresistível

Prêmio de sorteio que você não fez, promoção de eletrônico a um terço do preço, rendimento acima do mercado com risco zero. Este gatilho recruta a vítima em vez de persegui-la, o que sai bem mais barato para o criminoso. Ele não precisa escolher alvo nem perseguir ninguém: dispara a oferta para uma lista inteira e lucra com quem responder.

O mesmo golpe com roupas diferentes

Com os cinco gatilhos na mão, o catálogo de ameaças fica mais fácil de ler. Cada item abaixo descreve um formato, os seis primeiros com o nome técnico que circula na área e os dois últimos com o nome pelo qual ficaram conhecidos aqui. Todos rodam o mesmo motor.

Phishing: e-mail que imita uma empresa legítima para você clicar num link e digitar seus dados numa página falsa. Gatilhos típicos: autoridade mais urgência.
Spear phishing: a versão sob medida. O criminoso pesquisa você antes, cita o nome do seu chefe, o projeto em que você está, a viagem que você postou.
Vishing: o golpe por voz, no telefone. Falso gerente, falso suporte técnico, falso parente em emergência. A voz cria uma intimidade que texto nenhum cria, e é por isso que a clonagem de voz por inteligência artificial deu tanta força a esse formato.
Smishing: a mesma coisa por SMS ou WhatsApp, geralmente com um link encurtado ou um número para você ligar de volta.
Baiting: a isca física ou digital. O pendrive esquecido no estacionamento com uma etiqueta interessante, o arquivo de “bônus” que alguém compartilha no grupo.
Pretexting: a construção de um cenário falso inteiro para sustentar o pedido. É o que o falso suporte de TI faz quando liga dizendo que precisa da sua senha para resolver uma instabilidade que você nem sabia que existia.
Golpe do QR Code: o código adulterado, colado por cima do original no balcão, no cardápio ou no boleto, que envia o pagamento para a conta do criminoso. É o único da lista que não apressa ninguém, e aposta em você não ler o nome do recebedor na tela de confirmação.
Golpe do Pix devolvido: alguém transfere um valor para você “por engano” e pede a devolução para outra chave. A transferência de origem costuma vir de conta invadida e ser estornada depois, e a devolução que você fez sai do seu bolso.

Os nomes importam menos que o padrão. Quase todos esses formatos precisam que você aja rápido, sozinho e sem conferir por outro caminho. Essas três condições são a assinatura do golpe, muito mais confiável que qualquer sinal técnico.

Quanto de você já está público

Spear phishing e pretexting dependem de matéria-prima, e quem fornece essa matéria-prima somos nós, de graça e em público.

Pense no que um perfil de rede social entrega sobre uma pessoa em quinze minutos de leitura: onde ela trabalha e com quem, o nome dos filhos e a escola em que estudam, a academia que frequenta e em que horário, o carro, a viagem que está acontecendo agora, o nome do cachorro (que provavelmente também é a resposta de alguma pergunta de segurança). Nada disso é secreto. Junto, é um roteiro.

A foto de rotina de trabalho é um caso à parte. Crachá visível, tela do computador ao fundo, quadro branco com o nome do projeto, a placa da recepção com o nome do fornecedor. Cada elemento parece inofensivo e cada um deles é uma frase que o criminoso vai usar para soar interno.

Ninguém vai parar de publicar, e sugerir isso seria conselho inútil. O filtro que funciona cabe numa pergunta, feita antes de cada post: isso ajudaria alguém a se passar por mim ou a chegar em quem eu amo? Localização em tempo real e rotina fixa são as duas categorias que quase sempre respondem sim, e são também as que menos fazem falta se você publicar depois, em vez de durante.

Quando o WhatsApp da família também é o do trabalho

O aplicativo de mensagens do seu celular tem a família de um lado e o trabalho do outro, e essa mistura cria dois problemas ao mesmo tempo.

O primeiro é de custódia. Quando um contrato, uma planilha de clientes, um número de faturamento ou a discussão de um projeto passam por ali, aquele dado sai do controle da empresa e vai morar num aparelho que ela não administra, dentro de uma conta que ela não pode auditar nem revogar. Se o celular for perdido, se a conta for clonada, ou se a pessoa sair da empresa amanhã, não existe botão nenhum para chamar aquilo de volta. O vazamento não precisa de invasor: basta o aparelho trocar de dono.

O segundo é de guarda baixa. É na mesma lista de conversas que chega o pedido urgente do “diretor” e a mensagem da sua filha. O golpe do falso executivo funciona porque encontra a pessoa no ambiente doméstico, e não no e-mail corporativo, onde ela desconfia por hábito.

Os dois problemas têm a mesma raiz, que é uma decisão nunca tomada sobre onde o assunto de trabalho pode circular. Ela cabe a quem define a ferramenta, não a quem digita. Se a empresa já paga por um canal corporativo, seja o e-mail, o Teams, o Slack ou uma conta administrada por ela, deixar a conversa de trabalho correr por fora desse canal é abrir mão de qualquer auditoria depois.

A regra só funciona combinada com a alternativa pronta e com o time sabendo onde ela fica, senão todo mundo volta ao que era em duas semanas. Quando a decisão não é sua, o que cabe a você é uma conversa de cinco minutos com quem decide, levando o exemplo do contrato que passou pelo seu celular na semana passada.

A IA baixou o preço do golpe convincente

No mesmo levantamento da Serasa Experian, o uso indevido de cartão de crédito lidera o ranking de fraudes relatadas, com 47,9%, seguido por golpes financeiros com boleto falso ou Pix (32,8%) e por phishing (21,6%). O uso de deepfake, que é o vídeo ou áudio falso gerado por computador imitando uma pessoa real, aparece em 3,8%.

Os percentuais somam mais de cem porque a mesma pessoa pode ter caído em mais de um golpe, então o que eles entregam é a ordem do risco. E nessa ordem o tema que ocupa manchete, painel de evento e conversa de corredor está no fim da fila.

A inteligência artificial age em outro ponto do processo, e é por isso que ela quase não aparece na estatística por tipo de golpe. O que ela mudou foi o custo de produção.

O erro de português parou de servir de alerta

Durante vinte anos ensinamos as pessoas a desconfiar de mensagem mal escrita. Esse conselho morreu. Hoje qualquer criminoso produz um e-mail impecável em português, com o tom certo para o contexto certo, sem custo.

O golpe sob medida ficou barato

Montar um golpe sob medida dava trabalho, porque alguém precisava ler a vida da vítima antes, e por isso só compensava contra alvo rico. Esse alguém agora é um programa, que faz a leitura de milhares de perfis públicos ao mesmo tempo.

A voz virou material de fácil acesso

A clonagem de voz ainda aparece pouco na estatística, e é a que eu observo com mais atenção. Poucos segundos de áudio, que qualquer pessoa que grava story ou participa de reunião online fornece sem pensar, bastam para reproduzir um timbre convincente ao telefone. Quando esse recurso se junta ao gatilho de urgência, como no áudio que abre este texto, a defesa técnica sai de cena: o que convence você é o seu próprio ouvido.

Há ainda um risco que nasce do uso, e não do ataque. Colar dado de cliente, contrato ou número interno numa ferramenta de IA pública é entregar aquilo a um terceiro sem contrato nenhum, num servidor que você não sabe onde fica.

Já escrevi sobre como eu organizo o meu próprio uso dessas ferramentas e sobre a conta que a adoção apressada de IA cobra do caixa das empresas.

O que você usava como sinal de alerta, o erro de português e o áudio ruim, parou de servir. O que continua servindo é conferir o pedido por outro caminho, e é justamente aí que nenhuma dessas ferramentas ajuda o criminoso.

Segurança digital na prática: a defesa na ordem certa

São dezoito proteções, e nenhuma delas depende das outras para funcionar. A ordem é a que eu uso nos treinamentos de segurança digital: começa pela base que sustenta todo o resto e termina no hábito que continua valendo contra o golpe que ainda vai ser inventado. Ligue uma por semana e em pouco mais de quatro meses você terá todas.

A senha forte: comprimento vence complicação

O que faz uma senha resistir é o tamanho dela, e não a quantidade de símbolos esquisitos. O padrão americano de referência, o NIST SP 800-63B-4, pede no mínimo 15 caracteres quando a senha é a única proteção da conta, e proíbe expressamente duas práticas que a maioria das empresas brasileiras ainda adota: obrigar mistura de maiúsculas, números e símbolos, e forçar troca a cada noventa dias sem nenhum indício de problema.

Na prática isso liberta você. Uma frase de quatro ou cinco palavras aleatórias, do tipo “girafa sanfona vinagre telhado”, é mais difícil de quebrar que “P@ssw0rd!2026” e infinitamente mais fácil de lembrar. Trocar de senha só quando houver motivo, e não por calendário, também reduz o hábito de criar variações preguiçosas do que já existia.

O gerenciador de senha: uma para decorar, todas as outras diferentes

O problema que ele resolve é aritmético. Você tem dezenas de contas, cada uma pede uma senha, e ninguém decora dezenas de frases longas e diferentes. A saída que quase todo mundo encontra é repetir a mesma em tudo, ou trocar um número no fim, e é por isso que o vazamento de uma loja qualquer abre junto o seu e-mail e o seu banco.

O gerenciador é um cofre que guarda as suas senhas e preenche sozinho na hora de entrar em cada serviço. Você decora uma só, a senha mestra que abre o cofre, e aplica nela a regra do bloco anterior. Ele cria e memoriza todas as outras, uma diferente para cada site, longas e aleatórias, do tipo que ninguém guardaria na cabeça nem tentando.

O ganho aparece no dia do vazamento. Se aquela senha só existia naquele site, o estrago para ali e você troca uma senha só. Sem o gerenciador, a mesma notícia obriga você a lembrar de todos os lugares onde usou aquela senha e trocar um por um, torcendo para não esquecer nenhum.

Para escolher, dois critérios que você checa em minutos: código aberto ou auditoria de segurança publicada por terceiro, e histórico de incidentes conhecido. Bitwarden, 1Password e Proton Pass atendem os dois hoje, e todos têm versão gratuita. Guarde ali senha, e não documento sensível nem chave de carteira digital.

A passkey: entrar sem ter senha para digitar

A passkey troca a senha por uma chave criptográfica que fica presa ao seu aparelho e só é liberada pela sua biometria. Você entra no serviço com a digital ou o rosto, e nada é digitado.

Isso elimina o phishing de senha por construção: não existe senha para você entregar na página falsa, porque não existe senha. É a proteção mais forte da lista e a mais simples de usar no dia a dia. Bancos e grandes plataformas vêm oferecendo primeiro, então, quando ela aparecer nas configurações de segurança do serviço, é ela que você escolhe.

O aplicativo autenticador: o segundo fator que não depende da operadora

Enquanto a passkey não chega a todos os serviços, o aplicativo autenticador é a melhor opção de segundo fator. Ele gera dentro do seu aparelho o código de seis dígitos que o serviço pede além da senha, sem passar por rede de telefonia nenhuma. Google Authenticator e Microsoft Authenticator são os dois mais conhecidos, e ambos são gratuitos.

Antes de sair cadastrando serviço, confira uma coisa no aplicativo escolhido: se ele guarda os seus códigos na sua conta. Sem esse backup, perder o celular vira perder o acesso a tudo de uma vez, e a recuperação passa a depender do suporte de cada serviço, um por um. O Google Authenticator, por exemplo, sincroniza os códigos pela sua Conta do Google assim que você faz login nele.

O SMS: o último recurso, quando não há outro

Receber o código por mensagem de texto protege mais que não ter segundo fator nenhum, e protege menos que as duas opções anteriores. O motivo é que ele depende do seu número de telefone, que pode ser transferido para um chip na mão de outra pessoa e é o dado que mais circula em vazamento.

Em 2024, um único episódio expôs 33 milhões de números de usuários de um aplicativo de autenticação. Nenhuma conta foi aberta, e mesmo assim a lista tem valor: quem a compra sabe exatamente quais números atacar por mensagem. Use o SMS onde o serviço não oferecer alternativa, e troque assim que ele oferecer.

A verificação em duas etapas do WhatsApp: o PIN que trava a clonagem

A clonagem de conta funciona com um pedido só. O criminoso arruma um pretexto para você repassar o código de seis dígitos que o WhatsApp acabou de mandar por SMS, e com esse código instala a sua conta no aparelho dele. A partir daí ele conversa com a sua lista inteira usando a sua foto e o seu nome.

A verificação em duas etapas fecha essa porta. Você cria um PIN de seis dígitos, que fica só com você, e o WhatsApp passa a exigir esse PIN além do código do SMS para registrar a conta em qualquer aparelho novo. Quem interceptar o código não completa a instalação.

Ativar leva menos de um minuto, em Configurações, Conta, Verificação em duas etapas. Cadastre também um e-mail na mesma tela: a documentação do WhatsApp explica que é por ele que você redefine o PIN caso esqueça, e quem não cadastra e-mail espera sete dias para recuperar.

O bloqueio do aparelho: a chave que guarda todas as outras

Repare no que já está no seu celular a esta altura: a passkey, o aplicativo autenticador, o cofre de senhas, o aplicativo do banco. Um aparelho desbloqueado na mão errada entrega tudo isso de uma vez, e nenhuma das proteções acima resiste a isso.

Três ajustes fecham essa porta. Use biometria com um código de seis dígitos ou mais por trás dela, nunca quatro dígitos nem data de nascimento. Reduza o tempo de bloqueio automático da tela para trinta segundos ou um minuto. E deixe ligado o recurso de localizar e apagar o aparelho à distância, que existe nos dois sistemas e é o que transforma um roubo em prejuízo apenas material.

A proteção contra roubo que já vem no aparelho

Os dois sistemas ganharam nos últimos anos uma camada feita para o cenário em que o ladrão está com o celular desbloqueado na mão, e ela vem desligada de fábrica.

No iPhone, a Proteção de Dispositivo Roubado passa a exigir Face ID ou Touch ID, sem alternativa de código, para ações sensíveis quando o aparelho está longe dos seus locais conhecidos, e impõe uma hora de espera antes de mudanças críticas na conta. Ativa em Ajustes, Face ID e Código, Proteção de Dispositivo Roubado.

No Android, o caminho é Configurações, Google, Todos os serviços, Proteção contra roubo. Ali fica o Bloqueio por Detecção de Roubo, que tranca a tela sozinho quando os sensores percebem o movimento típico de um arranca-celular, ao lado do bloqueio off-line e do bloqueio remoto. A disponibilidade varia com a versão do sistema, então abra esse menu e ligue o que aparecer.

O Celular Seguro: o canal oficial para quando o aparelho já se foi

O Programa Nacional Celular Seguro, do Ministério da Justiça e Segurança Pública, é gratuito e quase ninguém conhece. Você entra com a sua conta gov.br, cadastra os aparelhos e, em caso de roubo ou furto, registra a ocorrência e pede o bloqueio do aparelho junto às operadoras.

A parte que você cadastra hoje, e não depois, é o contato de confiança: uma pessoa autorizada a registrar o roubo no seu lugar quando você estiver sem acesso a nada. É exatamente a situação de quem acabou de perder o celular na rua e não tem como entrar em conta nenhuma.

A carteira digital: pagar sem entregar o número do cartão

Cartão é quase metade dos relatos de fraude no Brasil, e esta é a mudança de hábito que mais reduz esse risco sem custar nada.

Quando você aproxima o celular da maquininha, quem chega ao terminal não é o número do seu cartão. É um número substituto, criado só para aquele aparelho, e cada compra vai assinada por um código que serve uma única vez.

Se aquele comerciante for invadido semanas depois, o dado que vazou não compra nada no seu nome. O plástico passado na maquininha, ou pior, o número ditado ao telefone, não tem essa proteção. Para ativar, basta cadastrar o cartão no aplicativo de carteira que já vem no celular.

O cartão virtual: uma numeração descartável para a internet

A carteira digital resolve a compra presencial. Para a compra online existe o cartão virtual, que é uma numeração diferente da do seu cartão físico, gerada em segundos no aplicativo do seu banco.

Se a loja vazar a base de dados, o que vaza é essa numeração, que você apaga e recria sem trocar o cartão físico e sem refazer as assinaturas que dependem dele. Vários bancos permitem gerar um cartão virtual por loja, ou um descartável para uma compra única, o que isola o estrago em vez de espalhá-lo.

O limite do Pix: o teto do prejuízo

As proteções anteriores tentam impedir o golpe. Esta parte do princípio de que ele pode acontecer mesmo assim, e define o tamanho do estrago. Se o Pix da história que abre este artigo tivesse esbarrado num teto diário de mil reais, o prejuízo daquele dia teria parado em mil reais.

O Banco Central determina que todo banco ofereça no aplicativo a alteração dos limites do Pix, e a regra tem uma assimetria que trabalha a seu favor. Reduzir o limite, inclusive para zero, o banco precisa fazer na hora. Aumentar leva de 24 a 48 horas, e o banco ainda pode recusar. Quem invadir a sua conta não consegue subir o teto antes de você perceber.

Na mesma tela ficam também o limite do período noturno e o cadastro de contas específicas com limite próprio. Isso resolve o caso de quem transfere valor alto para o mesmo destino de sempre sem precisar deixar o teto geral no alto o ano inteiro.

Defina hoje um valor que cubra a sua rotina, e não o seu patrimônio. Quando precisar de mais, você pede com dois dias de antecedência, que é justamente o intervalo de reflexão que nenhum golpe suporta.

A notificação em toda transação: o alarme que não custa nada

Ative no aplicativo do banco o aviso para qualquer valor, inclusive os de poucos reais. Fraude de cartão raramente começa grande: costuma abrir com uma compra pequena, só para conferir se o cartão está ativo, e o gasto sério vem depois. Quem recebe o aviso da compra de teste bloqueia o cartão antes da segunda.

O aplicativo que você instala e a permissão que ele pede

Instale só pela loja oficial do sistema, a App Store ou a Play Store. A loja faz uma checagem antes de publicar qualquer aplicativo, e o arquivo que chega por link de mensagem pula essa checagem inteira, inclusive quando o link veio de alguém conhecido cuja conta já tinha sido clonada.

Depois de instalar, olhe o que o aplicativo pediu. Lanterna que quer a sua agenda de contatos, jogo que quer as suas mensagens e editor de foto que quer a sua localização o tempo todo estão pedindo o que não usam. Nos dois sistemas dá para revogar permissão depois, nas configurações de privacidade, sem desinstalar nada.

O antivírus entra aqui, porque a pergunta sempre vem junto. Mantenha ligado o que já vem no sistema, porque ele continua servindo contra programa malicioso. O que ele não faz é impedir você de autorizar um pagamento, e é assim que termina a maior parte dos golpes descritos neste artigo.

A atualização semanal: a defesa mais ignorada

Boa parte dos ataques técnicos explora falhas que o fabricante já corrigiu e o usuário não instalou. Contra esse tipo de ataque, atualizar sistema e aplicativos é o que mais rende por minuto investido, e é o que menos gente faz, porque o benefício é invisível.

Transforme isso em rotina semanal, e nos dois aparelhos. Uma vez por semana, no celular e no computador, abra a loja de aplicativos e as configurações de sistema e instale o que estiver pendente. Deixe a atualização automática ligada onde der, e ainda assim confira, porque a atualização que depende de reiniciar o aparelho costuma ficar esperando por tempo indeterminado.

A verificação de vazamento: descubra o que já saiu de você

O Have I Been Pwned é um serviço gratuito, mantido há mais de uma década, que reúne as bases de vazamentos conhecidos. Você digita o seu endereço de e-mail e ele mostra em quais episódios aquele endereço apareceu, com data e descrição de cada um. As buscas não ficam registradas e a verificação de senha é anonimizada, então a sua senha legível nunca chega ao servidor.

Quase todo brasileiro com dez anos de internet aparece em algum vazamento, e aparecer numa lista dessas não quer dizer que a sua conta esteja aberta agora. O que a lista entrega é ordem de prioridade: onde trocar senha primeiro, e quais serviços merecem ganhar segundo fator hoje. Gerenciadores de senha e navegadores atuais fazem esse alerta de forma contínua, avisando quando uma senha sua aparece em vazamento ou está repetida.

A checagem do seu CPF: o que abriram no seu nome

Depois de saber o que saiu de você, falta a pergunta seguinte, que é o que fizeram com aquilo.

O Registrato é o sistema gratuito do Banco Central que mostra a sua vida financeira do ponto de vista do sistema: em quais instituições você tem conta, quais empréstimos e financiamentos constam no seu nome e quais chaves Pix existem com o seu CPF. Conta que você não abriu, empréstimo que você não pediu e chave Pix que você não cadastrou aparecem nessa lista, em geral bem antes da primeira cobrança.

O acesso é pela conta gov.br nível prata ou ouro, com verificação em duas etapas ligada, porque o relatório traz dado sigiloso. As empresas de monitoramento de CPF vendem assinatura para entregar parte dessa informação; o Registrato é do Banco Central e não cobra nada.

Consulte uma vez por semestre, e sempre que o seu e-mail aparecer num vazamento novo.

A confirmação por outro canal: o hábito que sobrevive ao golpe novo

Recebeu um pedido de dinheiro, de dado ou de acesso? Confirme por um caminho diferente daquele por onde ele chegou. O número, o link e o telefone que vieram na mensagem estão sob controle de quem escreveu, então nenhum deles serve para conferir coisa nenhuma.

Se o pedido veio em nome de uma pessoa, procure essa pessoa por um canal onde você já falava com ela antes, mesmo que isso signifique ligar para outro parente para chegar até ela.

Se veio em nome de uma empresa, o caminho é o que você mesmo encontra: o número impresso no verso do seu cartão, o telefone que está no site oficial, ou o chat de dentro do aplicativo do banco. Vale a mesma regra para loja, operadora e fornecedor.

Esse hábito sozinho derruba o golpe do falso parente, o do falso chefe, o do falso banco e o do falso fornecedor, e continua valendo mesmo quando a voz do outro lado é idêntica à da pessoa.

E se eu perder o celular com tudo isso ligado?

Essa dúvida impede mais gente de ligar tudo o que está acima do que qualquer dificuldade técnica. Se a passkey, o aplicativo autenticador e o cofre de senhas estão todos no celular, perder o celular parece perder a vida digital inteira de uma vez.

Essas proteções não moram só no aparelho. A Apple documenta que as passkeys sincronizam pelo Chaveiro do iCloud com criptografia ponta a ponta, e que a sincronização existe justamente para dar redundância na perda de um dispositivo; no Android, elas ficam na sua conta Google. O gerenciador de senha é um serviço que você abre de qualquer navegador com a senha mestra. O aplicativo autenticador guarda os códigos na sua conta quando o backup está ativo, que é a checagem do bloco lá atrás.

O que separa o susto do desastre é ter preparado a saída antes. São duas coisas, e nenhuma delas dá para resolver depois: saber a senha mestra do cofre de cabeça, em vez de deixá-la anotada só no próprio celular, e cadastrar no e-mail principal um segundo caminho de recuperação, seja outro aparelho, seja um código impresso e guardado em casa.

No aparelho perdido, o passo é cortar o acesso dele. O Google orienta a excluir a chave daquele dispositivo e encerrar todas as sessões abertas em nome dele, e no iPhone o apagamento remoto faz o mesmo trabalho. É o recurso de localizar e apagar à distância que você deixou ligado no bloco do bloqueio do aparelho, servindo no dia em que precisa. O bloqueio junto às operadoras é o passo paralelo, e ele está no Celular Seguro.

O Wi-Fi do aeroporto ainda é perigoso?

A resposta mudou nos últimos anos, e quem aprendeu a antiga continua repetindo ela por aí.

A recomendação antiga nasceu num tempo em que boa parte do tráfego andava aberta pela rede, e quem estivesse no mesmo Wi-Fi conseguia ler o que passava. Hoje quase todo site e aplicativo cifra a conexão entre o seu aparelho e o servidor, e por isso a FTC, a agência de defesa do consumidor dos Estados Unidos, registra que conectar numa rede pública costuma ser seguro. Essa camada de criptografia tem prazo de validade em discussão por causa da computação quântica, e essa conta chega em anos, não no seu embarque de amanhã.

O risco que sobrou é a rede falsa com nome parecido com o do lugar. Você conecta, aparece uma tela pedindo login, e-mail ou cartão para liberar o acesso, e acabou de digitar seus dados num formulário do criminoso. A própria FTC avisa que criminosos criam sites falsos e os cifram para parecerem seguros, o que significa que o cadeado do navegador atesta a conexão, e não a honestidade de quem está do outro lado.

Quanto à VPN, ela cifra de novo o trecho que a criptografia do site já cifra. O que ela acrescenta é esconder da rede quais sites você visitou, e esse não é o problema de quem está no aeroporto. A rede falsa com formulário continua funcionando com a VPN ligada.

Na prática, três coisas: confirme o nome exato da rede com alguém do estabelecimento, desligue no celular a entrada automática em redes abertas, e desconfie de portal que peça mais do que um aceite. Quando for mexer no banco, os dados do seu próprio chip são uma rede que ninguém montou para enganar você.

Caiu. E agora?

As primeiras horas definem quanto se recupera.

Acione o banco imediatamente. No caso de Pix, existe desde outubro de 2025 o botão de contestação dentro do aplicativo do seu banco, que aciona o Mecanismo Especial de Devolução. A informação vai na hora para o banco do golpista, que precisa bloquear o que ainda estiver na conta.

O prazo para registrar vai até 80 dias, e ele engana. Registrar em minutos, e não em dias, é o que decide se ainda vai existir saldo para bloquear.

Troque as senhas começando pelo e-mail principal. O e-mail é a chave-mestra: é por ele que se recupera o acesso a tudo o mais. Trocar a senha do banco antes da senha do e-mail é começar pelo lugar errado.

Encerre as sessões ativas. Quase todo serviço tem a opção de desconectar todos os dispositivos. Trocar a senha sem fazer isso pode deixar a sessão do criminoso aberta.

Registre boletim de ocorrência. Na maioria dos estados dá para fazer online, pela delegacia eletrônica, sem sair de casa. Guarde o número do protocolo junto com os comprovantes.

Escale para a ouvidoria, e depois para o Banco Central. A ouvidoria do banco é o canal de mediação obrigatório e resolve mais rápido que qualquer outro caminho. Se ela não resolver, a reclamação no BC é gratuita, feita pelo Meu BC com a conta gov.br. O próprio BC avisa que não atua em casos individuais, então o que você ganha ali é registro e supervisão, e não o seu dinheiro de volta.

Avise quem pode ser o próximo. Se a sua conta de mensagens foi comprometida, os próximos alvos são as pessoas da sua lista, e elas vão receber um pedido vindo de alguém em quem confiam. O aviso rápido no grupo da família vale mais que qualquer medida técnica nesse momento.

Quem paga a conta

A dúvida que vem logo depois do susto é se o banco devolve. A resposta curta é que depende, e o que decide não é o tamanho do seu prejuízo.

O ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, aprovada em 2012: “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. Fortuito interno, em português comum, é o risco que faz parte do negócio de operar um banco. Fraude entra nessa categoria.

O alcance dessa responsabilidade vem sendo delimitado. Em julho de 2026, ao julgar um caso de golpe da falsa central de atendimento, o STJ decidiu que ela não é automática: depende de demonstrar falha na prestação do serviço, como a instituição não ter identificado operações incompatíveis com o perfil do cliente ou ter mecanismos de segurança insuficientes. No caso julgado, sem essa falha, o banco não respondeu.

A leitura prática para você é uma só. O que define a devolução é se a instituição falhou em algum ponto da operação, e não o fato de você ter sido enganado. Isso muda o que fazer nas primeiras horas: registrar rápido pelo botão de contestação, guardar o protocolo, tirar print das mensagens e abrir boletim de ocorrência deixam de ser burocracia e viram a prova de como a transação aconteceu e de como o banco reagiu. Sem esse material, a discussão vira a sua palavra contra o sistema.

Não sou advogado, e cada caso tem particularidades que só um profissional avalia olhando os documentos. Com esse mapa do terreno você chega na conversa com o banco, ou com o advogado, sabendo o que está em jogo.

O que falar com quem você quer proteger

Quem me procura preocupado com o pai, a mãe, um tio ou um filho adolescente costuma sair do treinamento com uma relação de cuidados que ninguém decora. O que funciona é bem mais curto, e cabe numa conversa de almoço de domingo.

Combinem uma palavra de segurança. Uma pergunta cuja resposta não está em rede social nenhuma, do tipo que só quem conviveu sabe responder. Se aparecer um pedido urgente de dinheiro por voz, por áudio ou por mensagem, a pergunta vem antes de qualquer transferência.

Combinem o hábito de desligar e procurar a pessoa por outro caminho. Vale para todo mundo da casa, inclusive para quem acha que nunca cairia.

Deixem claro que ninguém vai ser julgado. Essa é a parte que muda o resultado. A maior parte das vítimas demora horas ou dias para contar, e essas horas são exatamente as que decidem se o dinheiro ainda está lá para ser bloqueado. Dizer “se acontecer, me liga na hora, sem vergonha nenhuma” vale mais do que qualquer configuração de celular.

Ofereça-se para fazer o ajuste técnico junto. Ativar dois fatores no e-mail e no banco, ligar as notificações do cartão e conferir se o aparelho está atualizado leva vinte minutos. Fazer junto, no sofá, funciona; mandar tutorial por mensagem, não.

Repare que nenhum desses quatro pontos é sobre tecnologia. São combinados entre pessoas, e é por isso que envelhecem bem.

Por onde começar esta semana

Coloque o cartão na carteira digital do celular e gere um cartão virtual para as compras online. Leva cinco minutos no aplicativo do banco e endereça a categoria de fraude mais relatada do país.

Ative passkey ou aplicativo autenticador nas três contas que mais doeriam perder, que para a maioria das pessoas são e-mail principal, banco e a rede social onde estão os contatos.

Marque a conversa da palavra de segurança no próximo encontro da família, e consulte o e-mail de todo mundo no verificador de vazamentos ali mesmo, na mesa.

O disfarce muda toda temporada. O pedido por trás dele continua o mesmo: agir rápido, sozinho e sem conferir por outro caminho. Quem escuta os três juntos reconhece o golpe seguinte antes de ele ganhar nome.

Perguntas frequentes

Cair em golpe é falta de atenção?

Não, e tratar como falta de atenção é o que mantém o problema vivo. Metade dos brasileiros já foi vítima de fraude, segundo a Serasa Experian, o que torna a queda um evento estatisticamente comum. O mecanismo explora a forma como qualquer pessoa decide sob rotina e pressão: o cérebro pergunta “isso parece normal?” antes de perguntar “isso é verdade?”, e o golpe é construído exatamente para caber no que já parece normal para você. Profissional experiente costuma ter rotina mais fluida, e por isso o pedido falso encontra menos atrito.

O que é engenharia social em segurança digital?

É conseguir de uma pessoa aquilo que seria difícil conseguir de um sistema. O criminoso não invade nada: ele conversa, constrói um pretexto e faz a própria vítima entregar a informação ou executar a transferência. Funciona por cinco gatilhos, que são autoridade, urgência, confiança, isolamento e oferta irresistível. É por engenharia social que começa a maior parte dos golpes bem-sucedidos, e não por falha técnica.

Qual é o golpe digital mais comum no Brasil?

O uso indevido de cartão de crédito lidera o ranking do Relatório de Identidade e Fraude 2025 da Serasa Experian, com 47,9% dos relatos, seguido por golpes financeiros com boleto falso ou Pix (32,8%) e por phishing (21,6%). Deepfake aparece em 3,8%. Os percentuais somam mais de cem porque a mesma pessoa pode ter caído em mais de um golpe, então eles servem para ordenar o risco, não para fatiar um total.

Pagar com a carteira digital do celular é mais seguro que passar o cartão?

Sim. A maquininha recebe um número substituto ligado àquele celular, e não o número impresso no seu cartão. Por isso um vazamento na loja não devolve nada de útil ao criminoso: aquele número só funciona acompanhado de uma assinatura do seu aparelho, que muda a cada compra. É a diferença entre entregar a chave da casa e entregar um cartão de hotel que só abre uma porta, uma vez.

Para que serve o cartão virtual do banco?

Ele existe para você comprar na internet sem expor o cartão que está na sua carteira. É uma numeração paralela, criada no aplicativo do banco, que você apaga e recria quando quiser. Se uma loja vazar os dados, você descarta aquela numeração em segundos, sem trocar o cartão físico e sem refazer todas as assinaturas que dependem dele. Vários bancos permitem criar um cartão virtual por loja ou descartável após o uso.

Como saber se os meus dados já vazaram?

Digitando o seu e-mail no Have I Been Pwned, um serviço gratuito que reúne as bases de vazamentos conhecidos e mostra em quais deles aquele endereço apareceu. O site informa que não registra as buscas e que a checagem de senha é anonimizada, sem enviar a senha legível. Aparecer na lista é o normal para quem tem uma década de internet, e o resultado serve como fila de prioridade: onde trocar senha primeiro e onde ativar dois fatores hoje.

Como criar uma senha forte?

Priorizando comprimento em vez de símbolos. O padrão de referência do NIST, na revisão publicada em agosto de 2025, pede no mínimo 15 caracteres quando a senha é a única proteção da conta, e proíbe expressamente exigir mistura de maiúsculas, números e símbolos, além de proibir a troca periódica obrigatória sem indício de problema. Na prática, uma frase de quatro ou cinco palavras aleatórias resiste mais que uma sequência curta cheia de caracteres especiais, e você consegue lembrar dela. Troque a senha quando houver motivo, e não por calendário.

Autenticação por SMS protege minha conta?

Protege mais que nada e menos que as alternativas. O SMS depende do número de telefone, que é interceptável por clonagem de chip e é o dado que mais aparece em vazamento. Prefira passkey quando o serviço oferecer, aplicativo autenticador em seguida, e deixe o SMS para os casos em que não há outra opção.

O que fazer nas primeiras horas depois de cair em um golpe?

Acione o banco na hora. Se o pagamento foi por Pix, use o botão de contestação do aplicativo, que aciona o Mecanismo Especial de Devolução de forma digital e faz o banco do golpista bloquear na hora o que ainda houver na conta. O prazo para registrar vai até 80 dias, e os bancos têm sete dias para analisar, mas quem registra em minutos encontra saldo, e quem registra em dias não encontra. Depois disso: trocar a senha do e-mail antes de todas as outras, encerrar as sessões ativas, registrar boletim de ocorrência e avisar quem pode ser abordado em seguida com o seu nome.

O banco é obrigado a devolver o dinheiro perdido em um golpe?

Não automaticamente. A Súmula 479 do STJ, de 2012, estabelece que instituições financeiras respondem objetivamente por fraudes de terceiros dentro de operações bancárias. Em julho de 2026, o STJ delimitou esse alcance ao decidir que a responsabilidade depende de demonstrar falha do serviço, como o banco não identificar operações incompatíveis com o perfil do cliente. Traduzindo: o que decide é se a instituição falhou, e por isso o registro rápido, o protocolo e o boletim de ocorrência são o que sustenta a sua versão depois.

Preciso de VPN para usar o Wi-Fi público do aeroporto?

Na maioria dos casos, não. Quase todo site e aplicativo hoje cifra a conexão entre o seu aparelho e o servidor, e a FTC, agência de defesa do consumidor dos Estados Unidos, registra que conectar numa rede Wi-Fi pública costuma ser seguro por causa disso. O risco que permanece é a rede falsa com nome parecido com o do lugar, que abre uma tela pedindo login, e-mail ou cartão para liberar o acesso, e a VPN não impede esse formulário. Confirme o nome exato da rede, desligue no celular a entrada automática em redes abertas, e use os dados do seu próprio chip quando for mexer no banco.

Como saber se abriram conta ou empréstimo no meu nome?

Pelo Registrato, o sistema gratuito do Banco Central. Ele mostra em quais instituições você tem conta, quais empréstimos e financiamentos constam no seu nome e quais chaves Pix existem com o seu CPF. Conta que você não abriu e empréstimo que você não pediu aparecem ali, em geral antes da primeira cobrança. O acesso é pela conta gov.br nível prata ou ouro, com verificação em duas etapas ligada.

Se eu perder o celular, perco o acesso às contas com passkey e dois fatores?

Não, desde que o backup esteja ligado antes. As passkeys sincronizam pela conta do sistema com criptografia ponta a ponta, e a Apple documenta que essa sincronização existe justamente para dar redundância na perda de um dispositivo. O gerenciador de senha abre em qualquer navegador com a senha mestra. O aplicativo autenticador guarda os códigos na sua conta quando o backup está ativo, que é a checagem que a maioria das pessoas pula. No aparelho perdido, exclua o acesso dele e encerre todas as sessões abertas em nome dele.

O que é o aplicativo Celular Seguro do governo?

É o Programa Nacional Celular Seguro, do Ministério da Justiça e Segurança Pública, gratuito e acessado com a conta gov.br. Nele você cadastra os seus aparelhos e, em caso de roubo ou furto, registra a ocorrência e pede o bloqueio do celular junto às operadoras. O recurso mais útil é o contato de confiança: uma pessoa autorizada a fazer esse registro no seu lugar quando você estiver sem acesso a nada, que é a situação real de quem acabou de perder o aparelho.

Antivírus resolve o problema de segurança digital?

Não, porque a maior parte dos golpes atuais não instala nada no seu aparelho. O criminoso convence você a fazer a transferência, a digitar a senha no site falso ou a ler o código em voz alta no telefone. Antivírus continua útil contra programa malicioso, então mantenha ligado o que já vem no sistema. O que nenhum antivírus faz é impedir alguém de autorizar voluntariamente um pagamento.

Edney “InterNey” Souza atua com tecnologia desde 1990 como professor, palestrante e conselheiro consultivo de empresas em tecnologia e inovação. Fundou sete startups ao longo da carreira. Leciona na ESPM, Insper, USP, PUCRS e IBGC. É autor de vários e-books gratuitos sobre tecnologia, marketing, liderança e inovação, reunidos numa página só.