Os golpes que mais tiram dinheiro de brasileiros hoje não dependem de vírus sofisticado. Segundo levantamento da Febraban com clientes de bancos associados, divulgado em novembro de 2025, o primeiro semestre daquele ano teve 174 mil relatos do golpe da falsa venda, 139 mil da falsa central ou falso funcionário e 73 mil do golpe do WhatsApp. Os três exploram pressa e confiança, e quase sempre terminam com a vítima entregando um código, uma senha ou um Pix.

Por isso, este plano começa pelo que reduz mais risco por minuto investido. Está dividido em três etapas: o que fazer hoje, o que fazer nesta semana e o que fazer neste mês. No fim, há um roteiro para o caso de o golpe já ter acontecido.

Antes de começar: liste suas contas-chave

Nem toda conta vale o mesmo. Algumas dão acesso a todas as outras e merecem proteção primeiro:

  • E-mail principal: é por onde quase todo serviço manda o link de "esqueci minha senha". Quem controla o seu e-mail consegue redefinir o resto.
  • Conta gov.br: abre serviços do INSS, Receita, carteira de trabalho, CNH digital e assinatura eletrônica. O CERT.br cita o gov.br como exemplo de conta que dá acesso a vários serviços e exige atenção redobrada.
  • WhatsApp: é a ferramenta usada no golpe do falso parente. Uma conta sequestrada vira canal para pedir dinheiro aos seus contatos.
  • Aplicativos de banco e carteiras digitais, onde estão o Pix e o cartão.
  • Conta do celular (Conta Google no Android, Conta Apple no iPhone), que guarda backup, fotos, senhas salvas e a função de localizar o aparelho.

Anote essas cinco. As etapas a seguir são aplicadas a elas, nessa ordem.

Etapa 1, hoje (cerca de 30 minutos): fechar as portas principais

Ative a verificação em duas etapas nas contas-chave

A verificação em duas etapas faz o login pedir algo além da senha. Mesmo que alguém descubra a senha, ainda precisa de um código, de uma aprovação no seu celular ou de uma chave física. Os caminhos oficiais, conferidos em outubro de 2026:

ContaOnde ativarObservação
Googlemyaccount.google.com > Segurança e login > Verificação em duas etapasAceita aviso no celular, app autenticador, chave de segurança e códigos de backup
AppleAjustes > [seu nome] > Início de Sessão e SegurançaSe a conta foi criada já com dois fatores, eles não podem ser desativados
WhatsAppConfigurações > Conta > Verificação em duas etapasDesde agosto de 2026, aceita senha alfanumérica no lugar do PIN de 6 dígitos
gov.brApp gov.br > Segurança da conta > Verificação em duas etapasExige conta prata ou ouro; o código é gerado no próprio app, não chega por SMS

O passo a passo completo de cada serviço, com os cuidados para não ficar trancado fora da conta, está no guia de como ativar a autenticação em dois fatores.

Cadastre o celular no Celular Seguro

O Celular Seguro é um serviço do Ministério da Justiça e Segurança Pública, criado com a Febraban e a Anatel. Com login gov.br, você registra seus aparelhos e indica pessoas de confiança. Se o celular for roubado, você ou essas pessoas emitem um alerta que pede às operadoras e aos bancos participantes o bloqueio da linha e do acesso aos aplicativos.

O cadastro precisa ser feito antes do roubo. Depois, sem o aparelho, você depende de outro dispositivo e de lembrar os dados de acesso. Por isso ele entra na etapa de hoje.

Combine uma regra com a família

O golpe do falso parente funciona porque a mensagem chega com a foto de alguém conhecido e um "troquei de número". O CERT.br recomenda conversar pelo contato de sempre antes de qualquer transferência e combinar uma pergunta ou "senha" que só a pessoa verdadeira saberia responder. A regra vale também para áudios e vídeos, que já podem ser imitados com inteligência artificial.

Etapa 2, nesta semana: senhas, celular e aplicativos

Troque senhas repetidas por senhas únicas

Uma senha reutilizada transforma um vazamento em dez invasões. A orientação do NIST, órgão de padrões dos Estados Unidos, na revisão das diretrizes de autenticação publicada em agosto de 2025 (SP 800-63B-4), vai na direção do que é prático: senhas longas, sem regras de "misture símbolos" e sem troca periódica obrigatória, mas trocadas imediatamente se houver sinal de vazamento.

O jeito realista de ter uma senha diferente por conta é um gerenciador de senhas. Os do Google e da Apple já vêm no celular, e há opções dedicadas, gratuitas e pagas. Compare as alternativas e veja como migrar em gerenciador de senhas e passkeys.

Crie passkeys onde houver

Passkey (chave de acesso) é um login sem senha, liberado pela biometria ou pelo bloqueio de tela do aparelho. Como ela só funciona no site verdadeiro, uma página falsa não consegue capturá-la. O Google oferece passkeys para a conta pessoal, e o WhatsApp informou em agosto de 2026 que mais de 1 bilhão de pessoas já tinham configurado uma no aplicativo.

Revise o celular

  • Atualizações: instale as pendentes do sistema e dos aplicativos. O CERT.br lembra que o ransomware se espalha também explorando falhas que já têm correção disponível.
  • Bloqueio de tela: PIN longo ou biometria. Sem bloqueio, quem pega o aparelho abre o e-mail e redefine o resto.
  • Aplicativos: apague o que não usa e desconfie de qualquer app que alguém "do banco" mandou instalar. Segundo o CERT.br, esse tipo de app pode ser um programa de acesso remoto que altera valores e chaves Pix sem você perceber.
  • Localizar o aparelho: confirme que está ativo (android.com/find no Android, Buscar no iPhone). É o que permite apagar os dados à distância.

Confira limites e alertas no banco

Nos aplicativos de banco, reduza o limite do Pix noturno e ative notificações de toda movimentação. Um alerta imediato encurta o tempo entre o golpe e a contestação, e tempo é o que mais pesa na recuperação do dinheiro. Para entender como as transferências funcionam por trás, veja como funciona o Pix.

Etapa 3, neste mês: backup, privacidade e rotina

Monte um backup que sobreviva a roubo e a sequestro de dados

O CERT.br resume a regra como "quem tem 1 não tem nenhum": pelo menos duas cópias, em lugares diferentes, por exemplo uma na nuvem e outra em um disco externo. O disco não deve ficar conectado o tempo todo, porque o ransomware procura e criptografa também os backups acessíveis.

Ative o backup automático do celular (Google One no Android, iCloud no iPhone) e do WhatsApp. Uma vez por trimestre, abra o backup e restaure um arquivo qualquer para conferir que ele funciona. O cenário de sequestro de dados está detalhado em o que é ransomware.

Reduza o que está exposto

Golpistas usam dados vazados e publicados para parecer legítimos: sabem seu nome completo, seu banco, às vezes parte do CPF. O CERT.br orienta a desconfiar mesmo quando a mensagem traz dados verdadeiros. Na prática:

  • deixe perfis pessoais fechados e retire telefone e data de nascimento das redes;
  • não publique documentos, boletos, cartão de embarque ou localização em tempo real;
  • use seus direitos de titular para pedir a empresas que apaguem dados que não precisam mais. Os direitos e o caminho até a ANPD estão em LGPD na prática.

Consulte o Registrato

O Registrato, do Banco Central (registrato.bcb.gov.br), mostra contas, chaves Pix, empréstimos e financiamentos registrados no seu CPF. É gratuito, com acesso pelo gov.br. Uma conta ou um empréstimo que você não reconhece é sinal de uso indevido dos seus dados, e quanto antes aparecer, mais fácil é contestar.

Crie uma rotina curta

Uma vez por mês, gaste dez minutos: veja os alertas do gerenciador de senhas sobre senhas vazadas, confira os aparelhos conectados no Google, na Apple e no WhatsApp (Aparelhos conectados) e encerre os que não reconhece. Se o e-mail aparecer em um vazamento, troque a senha daquela conta na hora.

Como reconhecer o golpe no momento em que ele acontece

O fascículo "Golpes: Não se Deixe Enganar", do CERT.br, lista os sinais que se repetem: ameaça, pressa, pedido de segredo, apelo afetivo e vantagem boa demais. Os temas mudam conforme o calendário (IPVA, Imposto de Renda, Black Friday, enchentes), mas o roteiro é o mesmo.

Três regras resolvem a maioria dos casos:

  1. Banco não pede código, senha nem transferência para "proteger" o dinheiro. A Febraban afirma que bancos não fazem esse tipo de pedido e que ela própria não contata clientes por WhatsApp, SMS ou telefone. Em outubro de 2026, a entidade alertou para perfis falsos que usam seu logotipo com a mensagem "assunto urgente".
  2. Desligue e ligue você. Use o número do verso do cartão ou o chat do aplicativo, nunca o contato que veio na mensagem.
  3. Antes de pagar um QR Code, confira nome e CNPJ do recebedor. Em setembro de 2026, o Procon-SP alertou para lojas virtuais com o código Pix adulterado, inclusive no "copia e cola".

Os formatos mais comuns, com exemplos de mensagens, estão em como identificar phishing.

Se o golpe já aconteceu: a ordem que importa

Siga esta sequência, baseada no fascículo "Golpes: Caiu? Veja o que Fazer", do CERT.br, e nas regras do Pix:

  1. Corte o contato com o golpista. Não envie mais nada e não tente negociar.
  2. Se pagou com Pix, conteste pelo aplicativo do banco imediatamente. Desde 1º de outubro de 2025, os bancos são obrigados a oferecer no app a contestação sem atendimento humano, que aciona o Mecanismo Especial de Devolução (MED). Segundo o Procon do Ceará, o pedido pode ser feito em até 80 dias, mas a chance de reaver o dinheiro cai a cada hora.
  3. Troque as senhas das contas afetadas, a partir de outro aparelho, e encerre as sessões abertas.
  4. Se o celular foi roubado, emita o alerta no Celular Seguro e apague os dados à distância.
  5. Conteste compras no cartão que não reconhece e peça o bloqueio do cartão.
  6. Guarde evidências: prints, links, números de telefone, comprovantes e protocolos de atendimento.
  7. Registre boletim de ocorrência, que na maioria dos casos pode ser feito pela internet.
  8. Avise seus contatos se sua conta foi usada para pedir dinheiro.

Desde fevereiro de 2026, o MED 2.0 é obrigatório para as instituições do Pix. A diferença é que o rastreio passa a seguir o dinheiro além da primeira conta que o recebeu. Em apresentação de outubro de 2025, o Banco Central informou que, até então, apenas 9,3% do valor contestado era recuperado em média, justamente porque o dinheiro era espalhado por várias contas em minutos.

Fontes