Como Reconhecer um Golpe de Falso Banco

Um golpe, três canais

O golpe do falso banco não é um único golpe, é a mesma mentira entregue por SMS, telefone ou e-mail, muitas vezes em combinação. Um SMS diz que há uma cobrança incomum. Um minuto depois entra uma ligação do que parece ser o número do seu banco. Um e-mail chega para "confirmar" tudo. Cada canal faz os outros parecerem mais reais, e esse reforço é justamente o objetivo.

A imitação pode ser do seu banco, da operadora do seu cartão ou de um app de pagamento, como um serviço de transferência entre pessoas. A história é sempre enquadrada como proteção: alguém tentou mexer no seu dinheiro, e a pessoa que ligou está aqui para ajudar você a impedir. Esse enquadramento baixa a sua guarda, porque você sente que está no mesmo time de quem está entrando em contato.

Ajuda lembrar o que o seu banco de verdade já sabe e já faz. Ele conhece o seu nome e os dados da sua conta, então não vai pedir que você "confirme" tudo do zero. Ele pode bloquear um cartão ou barrar um pagamento por conta própria, então não precisa que você autorize nada com urgência para manter você seguro. E ele vai esperar tranquilamente enquanto você desliga e liga de volta, porque um banco de verdade não tem nada a perder com a sua cautela, enquanto um golpista tem tudo a perder com ela.

Se você quiser o manual completo para identificar mensagens falsas que afirmam vir de um banco ou órgão oficial, nosso hub de mensagens oficiais reúne os sinais em um só lugar.

• Como identificar mensagens oficiais falsas

O truque do "você fez esta compra?"

A abertura mais comum é um SMS ou uma ligação pedindo que você confirme uma transação: "Você tentou enviar R$ 850 a um destinatário desconhecido? Responda SIM ou NÃO." Você responde NÃO, o que é verdade, você não tentou, e agora já se envolveu. Um instante depois, um interlocutor "do departamento de fraudes" o conduz por um "estorno" da cobrança, que de algum modo exige que você leia de volta um código, mova dinheiro para uma "conta segura" ou confirme o seu login.

É esse o truque de mão. Não existe cobrança. O seu NÃO apenas confirmou que você é uma pessoa real e preocupada, e o resto da ligação é um teatro feito para levar você a autorizar uma transferência ou entregar uma credencial. Departamentos de fraude de verdade bloqueiam uma cobrança suspeita e deixam você resolver depois, eles não pedem que você mova dinheiro para protegê-lo.

A versão de app de pagamento funciona da mesma forma: um alerta falso pergunta se você enviou dinheiro pelo Pix ou serviço parecido, e o "atendente" que liga em seguida usa a sua negativa para convencê-lo a enviar um pagamento real para "cancelar" o falso. A direção do dinheiro é sempre o indício.

• Falso alerta de fraude do banco
• Golpe do falso alerta de fraude do Zelle ("você enviou isto?")

Por que o identificador de chamadas e o código parecem convincentes

Dois detalhes tornam essas ligações difíceis de descartar. O primeiro é a falsificação: golpistas conseguem fazer o seu telefone exibir o nome ou o número real do seu banco, então "apareceu como sendo meu banco" não prova nada sobre quem está realmente ligando. O segundo é o código de verificação. O interlocutor diz que o banco está enviando um código por SMS para "confirmar a sua identidade" e pede que você o leia de volta. Esse código não confirma nada para eles, é o código que os deixa entrar na sua conta ou autoriza a transação deles.

Nenhum funcionário de banco legítimo vai jamais pedir que você leia de volta um código de uso único, um PIN ou uma senha completa. Se alguém em uma ligação pede um código que acabou de chegar por SMS, a ligação é golpe, não importa o que a tela mostre. Desligue.

A mesma lógica se aplica ao interlocutor que manda você não desligar, ou manter a ligação enquanto vai à agência ou ao caixa eletrônico. A pressão para permanecer na linha é uma tática de controle, não uma medida de segurança. Uma interação bancária genuína sempre pode ser pausada e retomada; um golpe depende de nunca deixar você sair do telefone tempo suficiente para pensar ou ligar para alguém que o dissuadiria.

E-mails funcionam da mesma forma, com adereços diferentes. Um e-mail falso de banco se apoia em um assunto urgente, um botão de login que leva a um domínio parecido e apenas branding real o suficiente para passar por uma olhada rápida. O movimento mais seguro com qualquer e-mail de banco é nunca clicar no botão, abra uma nova aba e digite você mesmo o endereço, ou use o seu app. Se a mensagem for real, você verá o mesmo alerta esperando por você dentro da sua conta.

• Falsificação (spoofing), explicada
• Vishing (phishing por voz)

A única regra que o derrota: ligue para o número no seu cartão

Aqui está o hábito que neutraliza quase toda versão desse golpe. Se você receber qualquer mensagem ou ligação sobre a sua conta, não use o número, o link ou o retorno de ligação daquela mensagem. Desligue ou deixe de lado, vire o seu cartão ou abra o app oficial do seu banco e ligue para o número impresso ali. Você vai chegar ao banco de verdade e poderá perguntar diretamente se há algo errado.

Isso funciona porque o golpe inteiro depende de manter você dentro de um canal que o golpista controla. No momento em que você sai dele e chega ao banco nos seus próprios termos, a história deles desmorona, não havia cobrança, nem departamento de fraudes ligando, nada a estornar. Custa dois minutos e derrota um número falsificado, um roteiro convincente e um e-mail falso de uma só vez.

Construa esse reflexo agora, antes de ser você a pessoa nervosa na ligação. Todo contato inesperado sobre o seu dinheiro recebe a mesma resposta: vou ligar para o número no meu cartão e conferir.

• Quando uma ligação de "banco" arrancou um código de verificação de você

Smishing, impostores e o que observar

A imitação de banco por SMS tem nome próprio, smishing, e se apoia em links para páginas de login falsas. Se um SMS de banco contém um link pedindo que você faça login ou verifique algo, não toque nele; faça login do jeito que você normalmente faz. A categoria mais ampla é a dos golpes de impostor, em que alguém alega uma autoridade que não tem para levar você a agir contra os seus próprios interesses.

Fique atento aos sinais recorrentes: urgência ("aja agora ou sua conta será congelada"), um pedido de código ou senha, pressão para mover dinheiro e qualquer empurrão para longe dos canais oficiais do seu banco. Qualquer um deles já deve fazer você parar; dois juntos significam que é golpe.

Se uma mensagem sobre a sua conta também tocar em compras, entregas ou um login suspeito em outro serviço, nossos guias irmãos sobre SMS golpistas e e-mails de phishing cobrem esses ângulos com mais profundidade.

• Smishing (phishing por SMS)
• Golpes de impostor, explicados
• Como identificar uma mensagem de texto golpista
• Como identificar um e-mail de phishing

FAQ