O telefone toca e o visor mostra o número da central do banco. Do outro lado, alguém avisa que há movimentação suspeita na conta e, para provar, envia pelo WhatsApp um boletim de ocorrência com brasão, número de registro e aparência oficial.
A partir daí, é a própria vítima quem executa as transferências. O golpe é recorrente e foi alvo de um alerta feito nas redes sociais pelo comunicador Josmar Leite, da RBS TV, que orientou o público a desconfiar de ligações desse tipo.
A ferramenta que sustenta a fraude tem nome técnico: spoofing de chamada. É a falsificação do número exibido no identificador do celular. Em vez do telefone real de quem liga, o aparelho da vítima mostra outro, quase sempre o de uma instituição conhecida.
O recurso não nasceu no crime. Ele existe em sistemas de telefonia pela internet, os chamados VoIP (sigla em inglês para voz sobre protocolo de internet, ou seja, ligações que trafegam pela rede em vez da linha telefônica tradicional), e foi criado para uso legítimo, como o de empresas que querem que todas as ligações de uma central apareçam com um único número oficial.
O problema surge quando não há validação de quem está usando esse mecanismo.
— O criminoso faz com que o aparelho da vítima mostre outro número, muitas vezes o telefone oficial de um banco ou de uma empresa conhecida. Quando não existe validação adequada, esse mecanismo pode ser explorado de forma criminosa — explica Vitor Hugo Lopes, coordenador do Curso Superior de Tecnologia em Inteligência Artificial e Ciência de Dados do UniSenac - campus Porto Alegre.
Montar essa estrutura ficou mais barato e mais simples do que era há alguns anos. Existem grupos com operações sofisticadas, mas também plataformas ilegais vendidas na internet e em fóruns clandestinos que entregam a falsificação praticamente pronta.
— O criminoso nem precisa entender profundamente de telefonia. Muitas vezes ele apenas contrata uma plataforma ilegal — pondera o coordenador.
O que o visor do celular não mostra
A pergunta mais comum de quem recebe uma ligação dessas é se dá para perceber a fraude olhando para a tela. Não dá. Se o número foi falsificado corretamente, o celular exibe exatamente o telefone esperado, idêntico ao que está impresso no verso do cartão.
— O objetivo do spoofing é fazer a ligação parecer legítima. Nunca se deve confiar apenas no identificador de chamadas como prova de autenticidade — reforça Lopes.
A ligação também raramente vem sozinha. Na mesma fraude, os criminosos disparam SMS com identificador parecido com o do banco, enviam mensagens de WhatsApp usando fotos copiadas da instituição e nomes convincentes e ainda remetem e-mails. Cada canal reforça o anterior.
— O objetivo é criar várias provas falsas ao mesmo tempo, fazendo a vítima acreditar que tudo faz parte de um único atendimento oficial — observa o professor.
Por que o boletim de ocorrência falso funciona
O documento forjado é o elemento que muda o patamar da conversa. Ele transforma uma ligação em algo que parece evidência.
— Quando recebemos um documento com brasões, número de ocorrência e aparência oficial, passamos a acreditar que existe uma investigação em andamento. Documentos oficiais reduzem a desconfiança e aumentam a sensação de urgência — analisa Lopes.
Produzir esse tipo de arquivo também ficou mais fácil. Editores gráficos e ferramentas de inteligência artificial permitem reproduzir layouts muito próximos dos originais, incluindo brasão, assinatura e QR Code, o código quadrado que o celular lê com a câmera.
— É muito mais fácil copiar um brasão, uma assinatura e um QR Code. Os documentos ficaram muito mais convincentes do que eram alguns anos atrás — compara o especialista.
Ainda assim, o documento falso deixa rastros. Segundo Lopes, alguns sinais devem despertar desconfiança:
- Pressão para agir imediatamente
- Envio do documento por WhatsApp durante a ligação
- Erros na identificação da autoridade que teria assinado o boletim
- Ausência de canais oficiais para consultar o registro
- QR Codes e links suspeitos
- Orientações para fazer Pix, transferências bancárias ou instalar aplicativos
— Nenhuma investigação policial legítima exige decisões financeiras urgentes por telefone — resume o coordenador.
Quanto ao procedimento real, o especialista ressalta que o envio de documentos por mensagem até pode ocorrer, mas é pouco provável como parte de uma abordagem para resolver uma fraude bancária em andamento. Em geral:
- O boletim de ocorrência é registrado pelo próprio cidadão ou emitido pelos canais oficiais dos órgãos de segurança
- O documento não é enviado espontaneamente para convencer alguém a movimentar dinheiro
- Quando precisa entrar em contato com o cliente, o banco orienta que ele utilize os canais oficiais de atendimento
Não é invasão: é a vítima quem aperta os botões
Ao contrário do que o senso comum sugere, na maior parte dos casos não há invasão da conta. É a própria vítima quem realiza as operações, acreditando que está protegendo o dinheiro.
— Ela acredita estar protegendo o patrimônio quando, na verdade, está transferindo os recursos para contas controladas pelos criminosos. Não é um ataque hacker — afirma Lopes.
Em outra variação, a orientação é instalar um aplicativo, o que entrega o controle do aparelho aos criminosos. O perfil das vítimas também é mais amplo do que se imagina. Os idosos seguem entre os alvos frequentes por vulnerabilidade digital, mas o golpe tem atingido profissionais qualificados, pessoas jovens e com Ensino Superior.
— Esses golpes exploram emoções. Portanto, todos estamos vulneráveis — pondera o professor.
O ponto de partida costuma estar em vazamentos de dados. É assim que os criminosos sabem em qual banco a pessoa tem conta, alimentados por um mercado clandestino de informações pessoais que Lopes descreve como bastante organizado.
Minutos que decidem se o dinheiro volta
Quando a fraude é interrompida cedo, existe chance real de recuperação. O banco pode tentar bloquear os valores antes que eles sejam pulverizados entre várias contas, movimento que os criminosos fazem em série justamente para dificultar o rastreamento.
— Os primeiros minutos são decisivos. Se o dinheiro ainda não tiver sido movimentado, o banco pode conseguir bloqueá-lo. Quanto mais tempo passa, menor a probabilidade — alerta o coordenador.
A prevenção começa antes, nas configurações do aplicativo bancário. Lopes recomenda:
- Reduzir os limites de Pix
- Ativar o limite noturno
- Revisar os dispositivos autorizados
- Remover aparelhos antigos ainda cadastrados
- Ativar a autenticação em duas etapas, quando disponível
- Habilitar as notificações de movimentação, que avisam em tempo real cada operação feita na conta
No celular, algumas ferramentas ajudam a reduzir o risco:
- Filtro de chamadas do Android ou do iPhone
- Proteção contra spam oferecida pela operadora
- Aplicativos identificadores de chamadas
— Ajuda, mas não elimina. Mesmo assim, o spoofing pode contornar essas proteções — adverte o especialista.
Por isso, a regra que ele considera mais importante não é tecnológica, e sim comportamental. Sempre que receber uma ligação sobre suposta fraude, o recomendado é:
- Não tomar decisões financeiras durante a chamada
- Desligar o telefone
- Retornar o contato pelo número oficial do banco, informado no cartão, no aplicativo ou no site
- Nunca instalar aplicativos indicados por telefone
- Nunca transferir dinheiro para uma suposta "conta segura"
- Nunca compartilhar códigos de autenticação
O que fazer se você já caiu
Se as operações já foram feitas, a sequência recomendada por Lopes é:
- Encerrar imediatamente qualquer contato com o golpista
- Ligar para o banco
- Solicitar o bloqueio preventivo
- Alterar as senhas
- Remover dispositivos suspeitos
- Registrar boletim de ocorrência
- Acionar o MED (Mecanismo Especial de Devolução), ferramenta usada para tentar recuperar valores enviados por Pix em casos de fraude
A contestação pode ser aberta pelo próprio aplicativo do banco, pela central de atendimento ou pelo Serviço de Atendimento ao Consumidor (SAC).
Também é importante guardar todas as provas, como:
- Prints da conversa
- Número que apareceu na ligação
- SMS
- Mensagens de WhatsApp
- E-mails
- Comprovantes
- Horários das movimentações
- Documentos recebidos
- Eventuais gravações
Esse material serve tanto para a análise do banco quanto para a investigação policial.
Uma dúvida frequente é se ter autorizado a transferência com senha ou biometria inviabiliza a devolução. Não inviabiliza, embora torne a análise mais complexa, porque a operação foi autenticada pelo próprio cliente.
— O banco avaliará o contexto, incluindo indícios de engenharia social, fraude e falhas de segurança. Cada caso é analisado individualmente — explica Lopes.
Também vale verificar se o aparelho foi comprometido. Alguns sinais de alerta são:
- Aplicativos desconhecidos instalados
- Permissões de acessibilidade ativadas sem motivo
- Programas de acesso remoto que o usuário não reconhece, como AnyDesk, TeamViewer, RustDesk e AirDroid
- Movimentação do celular sem que ninguém esteja mexendo nele
- Consumo incomum de bateria ou de dados
Dependendo do caso, além do banco e da polícia, o especialista recomenda procurar:
- A operadora de telefonia, para registrar o número utilizado na fraude
- A instituição que recebeu o Pix, quando ela puder ser identificada
- Órgãos de defesa do consumidor, como o Procon, em caso de conflito
- Um advogado especializado, quando o prejuízo for elevado ou houver necessidade de medidas judiciais
