Uma ligação avisa que houve uma compra de alto valor. Em seguida, o suposto atendente informa que a conta pode ter sido invadida e pede uma confirmação pelo aplicativo do banco. Em outros casos, chega um SMS com link para “atualizar a segurança” ou uma mensagem pelo WhatsApp solicitando a instalação de um programa. O roteiro muda, mas o objetivo é o mesmo: ganhar acesso ao dinheiro da vítima.
Os golpes bancários pelo celular se tornaram mais sofisticados justamente porque os criminosos passaram a reproduzir a aparência de uma operação legítima. Há casos em que o número exibido na tela parece ser o da própria instituição financeira, técnica conhecida como spoofing. Outros usam música de espera semelhante à do banco e transferem a ligação entre falsos setores de segurança e ouvidoria.
O problema não é pequeno. Em levantamento da Federação Brasileira de Bancos (Febraban), entre pessoas que disseram ter sofrido golpe ou tentativa de fraude em junho de 2025, 45% mencionaram clonagem ou troca de cartão, 34% golpe do WhatsApp, 31% falsa central telefônica e 24% golpe envolvendo Pix falso.
O ponto central, segundo especialistas em segurança bancária, é que muitas fraudes não começam com a invasão direta do sistema do banco. Começam com o convencimento da própria vítima.
“As estratégias são as mais variadas possíveis, mas as táticas, velhas”, afirma Raphael Mielle, diretor de Serviços e Segurança da Febraban. Segundo ele, os criminosos recorrem à engenharia social para induzir o cliente a entregar informações ou realizar transações.
O golpe começa com uma urgência
Uma das abordagens mais comuns é informar que uma compra suspeita acabou de ser aprovada.
O criminoso pode citar um valor elevado, dizer que um telefone desconhecido acessou a conta ou afirmar que o cartão foi clonado. A solução apresentada costuma exigir ação imediata.
O falso funcionário pede senha, token, código enviado por SMS ou uma transferência para uma suposta “conta segura”.
Esse é justamente um dos sinais de fraude.
A Febraban informa que bancos não pedem que o cliente transfira dinheiro para corrigir problemas na própria conta e também não solicitam testes com Pix, pagamentos ou estornos durante uma ligação.
“A Febraban reforça que dados pessoais JAMAIS são solicitados ativamente pelas instituições financeiras”, afirma Mielle.
Outro detalhe que pode confundir a vítima é o conhecimento prévio de informações verdadeiras. O golpista pode saber nome, CPF parcial, agência, banco utilizado ou até dados relacionados a outras atividades da pessoa.
Isso não significa que a ligação seja legítima.
Informações pessoais podem ter sido obtidas por vazamentos de dados, redes sociais, documentos expostos ou bancos de informações comercializados ilegalmente.
Aplicativo para “proteger” a conta pode dar acesso ao celular inteiro
Uma das versões mais perigosas é conhecida como golpe da mão fantasma ou do acesso remoto.
O suposto funcionário informa que a conta foi invadida e orienta o cliente a instalar um aplicativo para resolver o problema.
Esse programa, na verdade, pode permitir que o criminoso visualize ou controle remotamente a tela do telefone.
A partir daí, ele pode acompanhar senhas digitadas, acessar aplicativos, observar códigos de autenticação ou orientar a própria vítima a fazer transferências.
A recomendação da Febraban é direta: se alguém ligar dizendo ser do banco e mandar instalar um aplicativo, a orientação é desligar imediatamente. “Nenhum banco pede uma coisa dessas”, informa a entidade.
O cuidado vale também para programas conhecidos de acesso remoto. O fato de o aplicativo existir oficialmente em lojas digitais não significa que seja seguro instalá-lo a pedido de um desconhecido.
Número do banco na tela não garante que seja o banco
Outro recurso utilizado é o spoofing telefônico.
Com ferramentas específicas, o criminoso consegue mascarar a origem da ligação, fazendo aparecer no identificador de chamadas um número semelhante ou até aparentemente idêntico ao telefone oficial da instituição financeira.
Por isso, desligar e ligar novamente para o banco é uma das formas mais seguras de confirmar uma ocorrência.
A orientação é usar o telefone disponível no aplicativo oficial, no site da instituição ou no verso do cartão, e não retornar a chamada pelo número recebido na ligação suspeita.
O Banco Central também recomenda que, diante de qualquer dúvida, o cliente procure diretamente os canais oficiais da instituição financeira.
Link por SMS pode parecer verdadeiro
Outra modalidade começa com uma mensagem aparentemente simples.
“Compra de R$ 4.890 aprovada. Caso não reconheça, clique aqui.”
Ou:
“Seu acesso será bloqueado em duas horas. Atualize seus dados.”
Também são frequentes mensagens sobre milhas prestes a vencer, cartão bloqueado ou supostas atualizações de segurança.
O link leva a uma página visualmente semelhante à do banco, onde a vítima é convidada a informar agência, conta, CPF, senha e códigos de segurança.
Em outros casos, o clique pode iniciar a instalação de software malicioso.
A Febraban recomenda não clicar em links recebidos durante abordagens suspeitas e nunca fornecer códigos enviados por SMS, e-mail ou aplicativo de autenticação.
Até advogado e processo judicial viraram isca
As fraudes também passaram a combinar dados bancários com informações públicas.
Nesta quarta-feira (28), a Febraban alertou para o crescimento do golpe do falso advogado. Os criminosos usam informações verdadeiras de processos judiciais, fotografias e nomes de profissionais reais para convencer a vítima de que existe uma indenização ou valor a receber.
Depois, cobram uma taxa antecipada, normalmente via Pix.
“Sempre desconfie de contatos que pedem pagamentos com urgência”, afirma Raphael Mielle. A orientação é interromper o contato e confirmar diretamente com o profissional por um canal já conhecido.
A mesma lógica vale para banco, escritório de advocacia, operadora de cartão ou qualquer empresa: pressão para agir imediatamente é um sinal de alerta.
O que nunca fazer quando alguém disser que é do banco
Algumas regras ajudam a identificar rapidamente uma tentativa de fraude:
- não informe senha, token ou código de autenticação por telefone ou WhatsApp;
- não faça Pix para “proteger” o saldo ou transferir dinheiro para uma “conta segura”;
- não instale aplicativos indicados por um atendente que entrou em contato com você;
- não clique em links de SMS, WhatsApp ou e-mail para corrigir supostos problemas bancários;
- não entregue cartão a motoboy enviado pelo banco;
- desligue a ligação e procure a instituição por um canal oficial;
- antes de confirmar um Pix, confira novamente nome e instituição de quem vai receber.
Os bancos investem cerca de R$ 5 bilhões por ano em segurança, segundo a Febraban, mas parte relevante dos golpes depende justamente de convencer o usuário a autorizar pessoalmente uma operação.
Caiu no golpe? Velocidade pode fazer diferença
Quem percebe que acabou de fazer uma transferência fraudulenta deve entrar em contato imediatamente com o banco.
No caso do Pix, o Banco Central orienta a contestar a transação pelo aplicativo da própria instituição para tentar acionar o Mecanismo Especial de Devolução, o MED.
O banco da vítima registra a notificação e a instituição que recebeu o dinheiro pode bloquear os valores disponíveis. Os bancos têm até sete dias corridos para analisar se houve fraude. Caso a ocorrência seja confirmada, a devolução dos recursos disponíveis pode ocorrer em até 96 horas após o fim da análise.
O mecanismo, porém, não garante que todo o valor será recuperado. Se o dinheiro já tiver sido retirado ou transferido para outras contas, pode não haver saldo suficiente para ressarcimento.
Além de comunicar imediatamente a instituição financeira, o Banco Central recomenda registrar boletim de ocorrência e guardar prints, telefones utilizados, comprovantes, chaves Pix e demais registros da fraude.
