O CERT.br define phishing como a fraude em que golpistas tentam obter informações pessoais e financeiras combinando engenharia social com recursos técnicos. O nome vem de "fishing", pescar: a mensagem é a isca. No Brasil, a isca raramente é um e-mail em inglês mal traduzido. É um WhatsApp com o logotipo de uma entidade conhecida, uma ligação do "setor de segurança do banco" ou uma loja virtual com preço bom demais.

Segundo levantamento da Febraban com clientes de bancos associados, divulgado em novembro de 2025, os golpes mais relatados no primeiro semestre daquele ano foram a falsa venda (174 mil ocorrências), a falsa central ou falso funcionário (139 mil) e o golpe do WhatsApp (73 mil). O phishing clássico, por link, também aparece no ranking da entidade. Todos têm a mesma engrenagem: criar urgência para você agir antes de pensar.

Seis golpes reais e onde cada um quebra

1. A falsa Febraban no WhatsApp

Em 9 de outubro de 2026, a Febraban alertou que criminosos estão usando seu logotipo em perfis de WhatsApp. A mensagem traz a frase "assunto urgente", fala de uma transação suspeita na conta e pede número da conta e senha para "cancelar a operação".

Onde quebra: a Febraban é uma associação de bancos e não tem relacionamento com clientes. Ela informa que não entra em contato por SMS, telefone, carta, e-mail, WhatsApp ou redes sociais para tratar de segurança ou operações financeiras. Qualquer contato em nome dela é golpe.

2. O empréstimo fácil com taxa antecipada

No mesmo alerta, a Febraban descreveu páginas e perfis falsos que oferecem crédito a pessoas negativadas. Depois do cadastro, chega um "contrato" e a cobrança de uma taxa, imposto ou primeira parcela para liberar o dinheiro, com a justificativa de que é exigência do mercado ou da própria Febraban.

Onde quebra: a Febraban informa que não oferece empréstimos nem cobra valores para liberá-los. E o CERT.br sugere a pergunta que desmonta esse tipo de golpe: por que pagar antes em vez de descontar do que tenho a receber?

3. A falsa central ou o falso funcionário

Alguém liga dizendo ser do banco, às vezes já sabendo seu nome completo e outros dados verdadeiros. Relata uma compra suspeita ou uma invasão e pede um código recebido por SMS, uma senha, a instalação de um aplicativo "de proteção" ou um Pix para uma "conta segura".

Onde quebra: banco não pede senha nem código, não manda instalar aplicativo e não pede transferência para proteger o dinheiro. O CERT.br alerta que golpistas usam dados vazados e públicos para parecer legítimos, então saber seu nome não prova nada. Desligue e ligue você, pelo número do verso do cartão ou pelo chat do aplicativo.

4. A loja que não existe

É o golpe mais relatado no levantamento da Febraban. Os criminosos montam páginas que imitam lojas virtuais e perfis falsos em redes sociais, e divulgam ofertas por e-mail, SMS e WhatsApp.

Onde quebra: o CERT.br recomenda conferir se o perfil é o oficial pesquisando o nome dele no site da empresa e observando o histórico, como data de criação, publicações antigas e seguidores. Segundo a Febraban, loja recém-criada em rede social com preço muito abaixo do mercado tem grande chance de ser golpe.

5. O QR Code do Pix trocado

Em setembro de 2026, o Procon-SP alertou para um golpe identificado em lojas virtuais que substitui o código de pagamento legítimo, inclusive no "copia e cola", desviando o dinheiro para contas de criminosos. Em locais físicos, o CERT.br descreve adesivos com QR Codes falsos colados sobre os originais em mesas de restaurante, estacionamentos e parquímetros.

Onde quebra: antes de confirmar qualquer Pix, o aplicativo do banco mostra o nome e o CNPJ ou CPF de quem vai receber. O Procon-SP orienta a não concluir o pagamento se esses dados não baterem com a loja. Para entender o que acontece por trás de uma transferência, veja como funciona o Pix.

6. O "CPF cancelado", a "encomenda retida" e a voz clonada

O fascículo "Golpes: Não se Deixe Enganar", do CERT.br, lista os temas do dia a dia que mais servem de isca: CPF cancelado, encomenda retida, oferta de emprego, pagamento pendente, recadastramento de token, pontos ou bônus expirando e atualização de aplicativo. Também alerta para temas em alta, como IPVA, Imposto de Renda, Black Friday, grandes eventos e tragédias, e para áudios e vídeos feitos com inteligência artificial que imitam a voz ou o rosto de alguém conhecido.

Onde quebra: pendência com órgão público se resolve no site ou aplicativo oficial, acessado por você, nunca pelo link da mensagem. Para voz ou vídeo de parente pedindo dinheiro, o CERT.br orienta a falar com a pessoa pelo contato de sempre e a combinar com a família uma "senha" que só ela saberia responder.

O teste de cinco passos antes de clicar ou pagar

O CERT.br resume a postura em uma frase: se envolve dinheiro, dados pessoais ou alguma vantagem, assuma que é golpe até que se prove o contrário. Na prática, passe a mensagem por estes cinco filtros:

  1. Quem diz ser? Se é banco, órgão público ou loja, você não precisa do link: abra o aplicativo ou digite o endereço oficial no navegador.
  2. Faz sentido? Você tem conta nesse banco? Esperava essa encomenda? O valor confere?
  3. Qual é o tom? Ameaça, prazo curto, pedido de segredo, apelo afetivo e vantagem exclusiva são os sinais que o CERT.br aponta como típicos de engenharia social.
  4. Para onde o link leva? Segure o dedo sobre o link (ou passe o mouse) para ver o endereço real. Desconfie de letras trocadas, domínios estranhos e encurtadores. Em resultados de busca, confira se a URL é a legítima, porque anúncios falsos também aparecem.
  5. O que estão pedindo? Código de verificação, senha, foto de documento, instalação de aplicativo ou Pix. Qualquer um desses pedidos, vindo de um contato que você não iniciou, encerra a conversa.

Por que o 2FA nem sempre salva, e o que salva

Muitas páginas de phishing pedem a senha e, na tela seguinte, o código da verificação em duas etapas. O golpista repassa os dois ao site verdadeiro em segundos e entra na conta. Por isso o código de SMS ou de aplicativo protege contra vazamento de senha, mas não contra quem digita tudo na página falsa.

A defesa mais eficaz contra esse cenário são as passkeys e as chaves de segurança. Segundo a FIDO Alliance, cada passkey é vinculada ao site em que foi criada e não funciona em um domínio falso, então não há o que a página fraudulenta capturar. Veja como ativar cada uma em verificação em duas etapas e como organizá-las em gerenciador de senhas e passkeys. Um gerenciador também ajuda de outro jeito: ele não preenche a senha em um endereço diferente do cadastrado.

Phishing no trabalho

Em empresas, o alvo costuma ser o e-mail corporativo e a porta de entrada para ataques maiores, como o ransomware. As medidas recomendadas pela CISA, agência de cibersegurança dos Estados Unidos, no guia #StopRansomware incluem:

  • treinar as equipes para reconhecer e reportar mensagens suspeitas, sem punir quem reporta;
  • marcar visualmente e-mails vindos de fora da organização;
  • filtrar mensagens maliciosas no servidor e configurar DMARC no domínio, o que dificulta que terceiros enviem e-mails se passando pela empresa;
  • manter macros desativadas em arquivos do Office recebidos por e-mail;
  • usar autenticação resistente a phishing em e-mail, VPN e sistemas críticos.

Pedidos de pagamento urgente "do diretor" ou troca de dados bancários "do fornecedor" devem ser confirmados por telefone, em um número que já constava no cadastro.

Caiu? O que fazer, na ordem

O fascículo "Golpes: Caiu? Veja o que Fazer", do CERT.br, organiza a resposta assim:

  1. Corte o contato. Não envie mais dinheiro nem informações e não tente negociar.
  2. Troque as senhas das contas em que digitou dados, ative a verificação em duas etapas e encerre as sessões abertas em outros aparelhos.
  3. Conteste o Pix pelo aplicativo ou pelos canais oficiais do banco, o que aciona o Mecanismo Especial de Devolução (MED). Quanto antes, maior a chance de reaver o valor.
  4. Conteste compras no cartão que não reconhece, inclusive em faturas anteriores, e peça o bloqueio do cartão.
  5. Se instalou um aplicativo a pedido do golpista, restaure o celular para as configurações de fábrica e recupere os dados de um backup confiável. No computador, faça uma verificação completa com antivírus e reinstale o sistema se não conseguir remover o programa.
  6. Guarde evidências: links, mensagens, perfis, telefones, prints, comprovantes, protocolos e nomes de atendentes.
  7. Registre boletim de ocorrência, em geral pela internet.
  8. Denuncie o perfil, o anúncio ou a mensagem na própria plataforma e avise seus contatos se alguém está se passando por você.
  9. Monitore extratos, faturas e o Registrato do Banco Central, que mostra contas e empréstimos ligados ao seu CPF.

Para o restante da proteção, como backup, celular e rotina mensal, siga o plano de segurança digital.

Fontes