Golpes digitais e phishing: como reconhecer, se proteger e o que fazer se cair

Golpes digitais são fraudes aplicadas por mensagem, ligação, site ou aplicativo para fazer a vítima entregar dinheiro, senhas ou dados. O phishing é a forma mais comum: o criminoso se passa por um banco, uma loja ou um parente e usa uma isca convincente para levar a pessoa a clicar, digitar ou transferir. Quase todo golpe depende de uma ação da própria vítima, e por isso reconhecer os sinais é a melhor defesa. Se o pior acontecer, o Pix tem um caminho oficial de devolução, o MED, que ficou mais forte em 2026.

O que são golpes digitais e phishing

Quase nenhum golpe digital começa com uma invasão sofisticada. Ele começa com uma conversa. O nome técnico é engenharia social: manipular a pessoa para que ela mesma faça o que o criminoso precisa, como informar uma senha, instalar um aplicativo ou fazer um Pix. A tecnologia entra como cenário, com sites clonados, números de telefone mascarados e perfis falsos.

Phishing vem de fishing, pescaria em inglês. A mensagem é a isca, e o criminoso joga muitas ao mesmo tempo, esperando que alguém morda. Quando o canal muda, o nome muda junto: smishing é o phishing por SMS, e vishing é o feito por voz, numa ligação.

A escala do problema é grande. O Fórum Brasileiro de Segurança Pública contou mais de 2,2 milhões de registros de estelionato no país em 2025, e o crescimento desde 2018 passa de 400%. Na lei, a maior parte desses golpes se enquadra justamente como estelionato, inclusive na forma de fraude eletrônica.

Os golpes digitais mais comuns em 2026

Os roteiros se renovam o tempo todo, mas a maioria cabe em poucas famílias. Conhecer cada uma ajuda a reconhecer as variações.

Falsa central de atendimento

A vítima recebe uma ligação ou mensagem que parece vir do banco. Muitas vezes o número exibido é o verdadeiro, porque o criminoso usa uma técnica de mascaramento chamada spoofing. A Febraban descreve várias versões do mesmo crime: o falso gerente que fala de compra suspeita ou de cartão clonado, o aviso de que um celular novo acessou a conta, e até a história de que a agência está sob investigação e o dinheiro precisa ir para uma "conta segura". No fim, o pedido é sempre o mesmo: senha, token, código, instalação de aplicativo ou transferência.

Golpe do falso parente

Chega uma mensagem de um número desconhecido, com a foto de um filho, sobrinho ou amigo: "troquei de número, salva aí". Pouco depois vem o pedido de um Pix urgente para pagar uma conta. A foto foi copiada de uma rede social, e a pressa é parte do roteiro. Com ferramentas de inteligência artificial, há versões com áudio que imita a voz da pessoa.

Golpes com Pix, QR code e boleto

No QR code falso, o criminoso cola um código por cima do verdadeiro, num cartaz ou numa maquininha, ou envia um QR por mensagem. O boleto falso tem layout idêntico ao original, mas o beneficiário é outro. Há também o falso comprovante, montado como imagem para enganar o vendedor, e as lojas e ofertas falsas que existem só para receber o Pix. Para entender por que o Pix é tão visado e quais travas ele já tem, veja o guia completo do Pix.

Como identificar um golpe: os sinais de alerta

O CERT.br, centro de resposta a incidentes de segurança ligado ao Comitê Gestor da Internet, organiza a prevenção em perguntas simples. A mensagem diz vir de alguém conhecido? Envolve dinheiro ou dados pessoais? Pressiona para agir rápido? Se a resposta for sim para mais de uma, pare. Na prática, os sinais mais frequentes são estes:

• Urgência artificial: "sua conta será bloqueada hoje", "a oferta acaba em 10 minutos", "preciso pagar agora".
• Pedido que nenhuma empresa séria faz: senha, código recebido por SMS, token, foto do cartão, instalação de aplicativo de acesso remoto.
• Canal fora do padrão: o "banco" fala por WhatsApp pessoal, o "parente" usa número novo, o "fornecedor" mudou a conta de repente.
• Endereço quase certo: uma letra trocada no domínio, um link encurtado, um site sem relação com a marca.
• Destino do dinheiro estranho: o Pix vai para uma pessoa física que você não conhece, quando deveria ir para uma empresa.

Como se proteger no dia a dia

A melhor proteção combina hábitos e configurações. Os hábitos impedem que você entregue o acesso. As configurações limitam o estrago se alguém conseguir.

1. Ative a autenticação de dois fatores. No e-mail, nas redes sociais e no WhatsApp, a verificação em duas etapas impede que alguém assuma a conta só com a senha. O passo a passo está no artigo sobre autenticação de dois fatores.
2. Use senhas diferentes em cada serviço. Um vazamento não deve abrir todas as portas. Um gerenciador de senhas ajuda, e o guia de como criar senhas seguras explica o resto.
3. Ajuste os limites do Pix. O app do banco permite reduzir os limites de transferência, inclusive os do período noturno. Limite baixo é dinheiro que o golpista não consegue levar.
4. Confira sempre o nome do recebedor. Antes de confirmar um Pix, por chave, QR code ou boleto, leia o nome e o documento que aparecem na tela.
5. Combine uma senha de família. Uma palavra que só a família conhece desmonta o golpe do falso parente em segundos.
6. Mantenha celular e apps atualizados. E instale aplicativos só da loja oficial, nunca por link recebido em mensagem.

Como proteger a sua empresa

Empresas são alvo de versões próprias dos mesmos golpes. O mais caro costuma ser o do fornecedor falso: alguém invade ou imita o e-mail de um parceiro e avisa que "a conta para pagamento mudou". Outro clássico é a mensagem do "diretor" pedindo um pagamento urgente e sigiloso. Algumas regras reduzem muito esse risco:

• Dupla aprovação para pagamentos acima de um valor definido, com duas pessoas diferentes.
• Troca de dados bancários só com confirmação por telefone já cadastrado, nunca pelo contato que veio na própria mensagem.
• 2FA obrigatória em e-mail corporativo, internet banking, painéis de pagamento e acesso remoto.
• Treinamento curto e frequente, com exemplos reais de mensagens recebidas pela própria equipe.
• Proteção do domínio de e-mail, com os registros SPF, DKIM e DMARC configurados para dificultar que alguém envie mensagens em nome da empresa.

Quem vende online também precisa se proteger da fraude do lado do pagamento, como compras com cartão roubado que viram chargeback. Uma visão mais ampla de controles, backup e resposta a incidentes está no guia de segurança cibernética para empresas.

Caí num golpe: o que fazer

Tempo é o fator decisivo. O dinheiro de golpe costuma ser espalhado por várias contas em minutos, e cada hora conta para encontrar saldo para bloquear.

1. Fale com o seu banco imediatamente. Pelo app ou pelos canais oficiais. Peça o bloqueio do acesso, a troca de senhas e o registro da fraude.
2. Conteste o Pix no app. As regras do Banco Central obrigam os aplicativos a oferecer, na área do Pix, uma função para contestar transações feitas em casos de golpe, fraude ou crime, sem precisar ligar ou ir à agência. É ela que aciona o MED.
3. Registre boletim de ocorrência. Muitos estados permitem fazer pela delegacia online. Anexe o BO à contestação, se o banco pedir: documentação complementar ajuda a comprovar a fraude.
4. Guarde as provas. Capturas de tela das conversas, números de telefone, comprovantes, links e e-mails.
5. Proteja o restante. Troque as senhas que possam ter sido expostas, encerre sessões abertas, ative a 2FA e avise seus contatos se uma conta sua foi usada para pedir dinheiro.
6. Se foi compra com cartão, conteste a transação com o emissor do cartão, que tem regras próprias de contestação.

Como funciona a devolução do Pix pelo MED 2.0

O Mecanismo Especial de Devolução, o MED, é o conjunto de regras do Pix para devolver valores em casos de fraude e de falha operacional. Ele existe desde 2021, mas tinha um limite sério: o bloqueio só alcançava a primeira conta que recebeu o dinheiro. Como o criminoso repassa o valor em minutos, sobrava pouco. Em apresentação de outubro de 2025, o Banco Central informou que o MED recuperava, em média, 9,3% do valor contestado naquele ano.

A Resolução BCB 493, de 28 de agosto de 2025, criou a funcionalidade de recuperação de valores, conhecida como MED 2.0. Ela pôde ser adotada a partir de 23 de novembro de 2025 e passou a ser obrigatória para as instituições a partir de 2 de fevereiro de 2026. A diferença é o rastreamento: o sistema segue o caminho do dinheiro pelas contas seguintes, as chamadas contas laranja, e bloqueia saldo em cada uma delas.

Depois que os bancos recebedores analisam os avisos, o banco da vítima tem até 72 horas para iniciar a devolução, que é processada em sequência pelo sistema do Pix. A devolução pode ser parcial: ela depende do saldo que foi possível bloquear. O manual de experiência do usuário do Pix traz como exemplo de mensagem ao cliente que, se o pedido for procedente e houver recursos, o dinheiro volta em até 11 dias.

O MED tem limites claros. Ele não vale para desacordo comercial que não seja fraude, como produto entregue com atraso, nem para Pix enviado à pessoa errada, arrependimento ou transações de Pix Saque e Pix Troco. E a contestação precisa ser feita em até 80 dias da data do Pix.

Do lado das empresas, o elo que sustenta todo golpe com Pix é a conta laranja, aberta com documento roubado ou emprestado para receber e espalhar o dinheiro. Para plataformas que abrem contas, o TKI Verify faz a verificação de identidade no cadastro, com prova de vida em vídeo, leitura de documentos, comparação facial e uma nota com recomendação para cada pedido, o que dificulta a entrada de contas criadas para fraude.

Perguntas frequentes

O que é phishing?

É o golpe em que o criminoso se passa por uma empresa ou pessoa conhecida para fazer a vítima entregar senha, código, dados de cartão ou dinheiro. O nome vem de fishing, pescaria em inglês: a mensagem é a isca.

Como saber se uma mensagem do banco é falsa?

Desconfie de urgência, link para clicar, pedido de senha, código ou transferência. O banco não liga pedindo senha nem pede para transferir dinheiro para uma conta segura. Na dúvida, desligue e entre em contato pelo app ou pelo número no verso do cartão.

Caí num golpe do Pix. O que faço primeiro?

Avise o seu banco imediatamente e conteste a transação pela função de contestação do Pix no app, que aciona o Mecanismo Especial de Devolução (MED). Depois registre boletim de ocorrência e troque as senhas que possam ter sido expostas.

Qual o prazo para contestar um Pix pelo MED?

Pelas regras do Banco Central, a contestação por golpe, fraude ou crime pode ser feita em até 80 dias da data do Pix. Quanto antes, maior a chance de ainda haver saldo para bloquear.

O MED devolve Pix enviado por engano?

Não. O MED vale para golpe, fraude ou crime e para falhas operacionais. Pix para a pessoa errada, arrependimento e desacordo comercial que não seja fraude ficam de fora. Nesses casos, o caminho é pedir a devolução ao recebedor.

O que mudou com o MED 2.0?

O mecanismo passou a rastrear o dinheiro além da primeira conta que recebeu o Pix, bloqueando valores nas contas para onde ele foi repassado. A mudança veio com a Resolução BCB 493, de 2025, e é obrigatória para os participantes do Pix desde fevereiro de 2026.