Loja falsa raramente parece falsa. Ela copia o visual de marcas conhecidas, exibe o cadeado na barra de endereço e anuncia descontos que somem "em poucas horas". Por isso, em vez de confiar na aparência, vale seguir uma sequência de checagens objetivas antes de digitar qualquer dado de pagamento.
As 12 verificações abaixo estão organizadas na ordem em que costumam ser feitas: primeiro o endereço, depois quem está por trás do site, em seguida a reputação e, por último, a forma de pagamento. Nenhuma delas, sozinha, garante que a loja é honesta. Juntas, reduzem bastante o risco.
Antes de tudo: como você chegou até a loja
Boa parte dos golpes começa fora do site, num anúncio patrocinado, numa mensagem de WhatsApp ou num e-mail de "oferta exclusiva". O CERT.br, centro de resposta a incidentes mantido pelo NIC.br, alerta que links e publicações patrocinadas são recursos comerciais legítimos, mas também são usados por golpistas para levar pessoas a anúncios fraudulentos e páginas falsas. A recomendação é acessar o site ou o aplicativo da loja diretamente, sem clicar no link recebido.
Se a oferta chegou por mensagem, o guia sobre como reconhecer phishing ajuda a perceber os sinais mais comuns de isca.
Bloco 1: o endereço do site
1. Digite o endereço em vez de clicar
O fascículo "Comércio via Internet" do CERT.br (novembro de 2023) orienta acessar o site digitando o endereço diretamente no navegador e, se usar um buscador, confirmar se a URL apresentada é a correta. Depois de chegar à loja verdadeira, salve a página nos favoritos para as próximas compras.
2. Leia o domínio com calma
Golpistas registram endereços parecidos com os de marcas conhecidas, trocando uma letra, acrescentando uma palavra como "oferta" ou "promo", ou usando outra terminação. Leia o endereço inteiro, letra por letra, e compare com o que aparece no site oficial da marca ou nos canais que você já conhece.
Desconfie também de lojas grandes com endereços longos, cheios de números ou hospedados em subdomínios de serviços gratuitos de criação de sites.
3. Não trate o cadeado como selo de confiança
O cadeado e o "https" indicam que a conexão entre você e o site está criptografada. Isso é necessário, mas não diz nada sobre quem está do outro lado. O próprio time do Chrome escreveu em 2023 que o ícone de cadeado não indica que um site é confiável, que quase todos os sites de phishing usam HTTPS e que, numa pesquisa de 2021, só 11% dos participantes entenderam corretamente o que o cadeado significa.
Em resumo: site sem HTTPS na hora de pagar é motivo para desistir; site com HTTPS ainda precisa passar pelas outras verificações.
4. Veja há quanto tempo o domínio existe
Para endereços terminados em .br, a ferramenta Whois do Registro.br mostra quando o domínio foi criado e quem é o titular. O Procon-SP recomenda essa consulta para saber quem é o responsável pelo site. Uma "loja" que anuncia anos de mercado com um domínio registrado há poucas semanas é um sinal de alerta sério.
Para domínios .com e outras terminações internacionais, a consulta de Whois também existe, mas costuma trazer menos dados, porque muitos registros escondem o titular por privacidade.
Bloco 2: quem está por trás da loja
5. Procure CNPJ, razão social e endereço físico
O Decreto nº 7.962, de 2013, que regulamenta o comércio eletrônico, obriga os sites de venda a mostrar, em local de destaque, o nome empresarial e o CNPJ (ou CPF) do fornecedor, além de endereço físico e eletrônico e outras formas de contato. Normalmente esses dados ficam no rodapé da página. Se não aparecem em lugar nenhum, a loja já descumpre a lei.
6. Confira o CNPJ na Receita Federal
Ter um número de CNPJ na página não basta, porque golpistas copiam números de empresas reais. Consulte o CNPJ no serviço oficial da Receita Federal e verifique três coisas: se a situação cadastral está ativa, se a razão social bate com a que aparece no site e se a atividade da empresa tem relação com o que ela vende.
Uma empresa registrada como transportadora vendendo celulares, ou um CNPJ aberto há poucos dias, merece desconfiança.
7. Teste os canais de atendimento
O mesmo decreto exige que o fornecedor mantenha atendimento eficaz por meio eletrônico e confirme o recebimento das demandas do consumidor. Antes de comprar, mande uma pergunta simples pelo canal indicado e veja se alguém responde. Lojas que só oferecem um número de WhatsApp, sem e-mail nem telefone fixo, ficam difíceis de cobrar depois.
Bloco 3: reputação
8. Consulte a lista do Procon-SP
O Procon-SP mantém a página "Evite esses sites", com lojas virtuais que receberam reclamações de consumidores e não as resolveram. A lista traz o endereço do site, a razão social e o CNPJ ou CPF, e indica se a página ainda está no ar. O CERT.br também recomenda consultar no Procon as empresas que devem ser evitadas.
9. Pesquise reclamações e avaliações
Busque o nome da loja seguido de "golpe" ou "reclamação" e veja o que aparece em redes sociais e sites especializados. No consumidor.gov.br, plataforma pública da Secretaria Nacional do Consumidor, dá para ver se a empresa está cadastrada e como responde às reclamações.
Desconfie de lojas sem nenhuma avaliação fora do próprio site. Depoimentos exibidos só na página da loja são fáceis de inventar.
10. Em marketplace, olhe o vendedor, não só a plataforma
Em marketplaces, boa parte dos produtos é vendida e entregue por terceiros. O CERT.br recomenda identificar quem é o vendedor de cada anúncio, observar a pontuação dele na plataforma e ler avaliações sobre qualidade do produto, prazo de entrega e atendimento em trocas.
Mantenha toda a negociação dentro da plataforma. Pedidos para pagar "por fora", por Pix direto ou boleto enviado por mensagem, tiram de você os mecanismos de proteção que o marketplace oferece.
Bloco 4: oferta e pagamento
11. Compare o preço com o mercado
Preço muito abaixo de todas as outras lojas é a isca mais comum. O CERT.br sugere pesquisar o mesmo produto em vários sites ou em comparadores de preço antes de fechar a compra. Confira também as condições: valor do frete, prazo de entrega, política de troca e formas de pagamento aceitas.
Lembre que o Código de Defesa do Consumidor (art. 49) garante o direito de desistir, em até sete dias, de compras feitas fora do estabelecimento comercial, como as feitas pela internet. Uma loja que esconde ou nega esse direito já mostrou como vai tratar você.
12. Escolha a forma de pagamento que deixa margem para contestar
Para compras com cartão, o CERT.br recomenda usar o cartão virtual, que tem dados diferentes do físico e pode ser trocado com frequência, além de reduzir o limite dele e ativar as notificações de uso. O funcionamento está explicado no guia sobre cartão virtual para compras online.
Se pagar com Pix, confira o nome e o CNPJ do recebedor antes de confirmar: eles devem ser os mesmos da loja. No boleto, o CERT.br orienta verificar se o beneficiário corresponde ao vendedor, se os primeiros dígitos do código batem com o banco emissor e se os últimos correspondem ao valor da compra. Se algo não bater, não pague.
Se você já pagou e desconfia do site
Aja rápido. Fale com o banco ou a operadora do cartão para contestar a cobrança. Se foi Pix, contestar a transação no aplicativo do banco aciona o Mecanismo Especial de Devolução; o passo a passo está em como pedir a devolução do Pix pelo MED.
Depois, guarde prints do anúncio, da página e dos comprovantes, registre reclamação no Procon ou no consumidor.gov.br e faça boletim de ocorrência. Se você digitou senha ou dados de cartão no site, troque as senhas e peça o cancelamento do cartão. As medidas gerais estão no guia de segurança digital.
Checklist rápido para salvar
| # | Verificação | Sinal de alerta |
|---|---|---|
| 1 | Endereço digitado, não clicado | Chegou por anúncio ou mensagem |
| 2 | Domínio lido letra por letra | Letra trocada, "promo", terminação estranha |
| 3 | HTTPS presente | Sem HTTPS na página de pagamento |
| 4 | Idade do domínio (Whois) | Registrado há poucas semanas |
| 5 | CNPJ e endereço no site | Nenhum dado da empresa |
| 6 | CNPJ ativo na Receita | Razão social ou atividade não batem |
| 7 | Atendimento responde | Só WhatsApp, sem resposta |
| 8 | Lista do Procon-SP | Loja aparece na lista |
| 9 | Reclamações externas | Só elogios dentro do próprio site |
| 10 | Vendedor no marketplace | Pede pagamento fora da plataforma |
| 11 | Preço e condições | Muito abaixo do mercado, sem política de troca |
| 12 | Pagamento | Recebedor do Pix ou boleto diferente da loja |
Fontes
- CERT.br. Fascículo Comércio via Internet (nov. 2023).
- Presidência da República. Decreto nº 7.962, de 15 de março de 2013.
- Presidência da República. Código de Defesa do Consumidor, Lei nº 8.078/1990.
- Procon-SP. Evite esses sites.
- Registro.br. Whois.
- Receita Federal. Consulta de CNPJ.
- Secretaria Nacional do Consumidor. consumidor.gov.br.
- Chromium Blog. An Update on the Lock Icon (2023).
