Golpes por SMS e WhatsApp: Correios, Receita, multas, falsa central do banco e Pix

As mensagens de golpe funcionam porque se parecem com o que recebemos todo dia: uma encomenda, uma cobrança, um aviso do banco, um parente pedindo ajuda. A armadilha é o link, o código ou o pagamento: o link leva a uma cópia convincente de um site de verdade, que pede uma taxa, os dados do cartão ou a senha. Em 2025, o Brasil registrou 2.261.055 ocorrências de estelionato, entre golpes tradicionais e digitais, segundo o Anuário Brasileiro de Segurança Pública: uma média de 258 por hora.

O que as instituições de verdade fazem e não fazem

• Os Correios não enviam mensagens com links diretos para pagamento nem pedem dados pessoais ou financeiros por e-mail, SMS ou WhatsApp. O SMS oficial só avisa sobre pendências ou taxas de objetos internacionais e orienta você a usar o site ou o aplicativo.
• A Receita Federal nunca liga nem manda mensagem cobrando pagamento para liberar encomendas, e não envia e-mails ou mensagens por aplicativo para cobrar nada. Uma encomenda que chegou pelos Correios se paga só pela página Minhas Importações, no site ou no app dos Correios.
• O banco nunca liga pedindo senha, número do cartão, transferência ou pagamento, e nunca liga pedindo que você instale um aplicativo, segundo a Febraban. Os bancos também nunca pedem o cartão de volta nem mandam alguém buscá-lo na sua casa.
• Multas de trânsito: o canal oficial de notificação eletrônica é o Sistema de Notificação Eletrônica (SNE), dentro do app Carteira Digital de Trânsito, com login gov.br. Confira a multa ali, nunca pelo link de uma mensagem.

Os golpes mais comuns, pelo nome

• Falsa central de atendimento: alguém se passa pelo banco por ligação, SMS ou WhatsApp, fala de uma compra suspeita ou de um problema na conta e pede senha, código ou transferência.
• Golpe do motoboy: o "banco" diz que o seu cartão foi clonado e manda um motoboy buscá-lo, às vezes pedindo a senha.
• Golpe do número novo: alguém usa a foto de um parente ou amigo, diz que trocou de número e pede dinheiro. O CERT.br aconselha: não salve o novo número sem confirmar antes, conversando com a pessoa pelo contato de sempre.
• WhatsApp clonado: o golpista pede o código de segurança que o WhatsApp envia por SMS, fingindo ser uma loja ou um serviço. Nunca compartilhe esse código.
• Pix "por engano": alguém manda um Pix e pede que você devolva para outra conta. O CERT.br orienta a devolver só para a conta de origem, pela opção de devolução do app do banco.

Como conferir sem clicar

1. Não clique no link, não responda e não ligue para o número da mensagem.
2. Abra você mesmo o app ou o site oficial (do banco, dos Correios, da Receita, da Carteira Digital de Trânsito) e veja se a mesma pendência aparece lá.
3. Para uma encomenda, consulte o código de rastreamento no site da loja ou dos Correios.
4. Na dúvida, ligue para a instituição por um número que você mesmo procurou, como o que está no verso do cartão, de preferência de outro telefone.
5. No WhatsApp, ative a confirmação em duas etapas, como recomenda a Febraban, e deixe a foto do perfil visível só para os seus contatos.

Se você clicou, pagou ou passou dados

1. Pagou por Pix? Acione o MED (Mecanismo Especial de Devolução) pelo aplicativo do seu banco o mais rápido possível. Segundo o Banco Central, dá para pedir a devolução em até 80 dias após a transação, mas o MED não garante a devolução e não vale para Pix feito por engano. Se o banco não resolver, abra uma reclamação no Banco Central.
2. Passou dados do cartão ou vê compras que não fez? Peça o bloqueio do cartão e conteste as compras indevidas.
3. Digitou a senha em uma página falsa? Troque a senha em todas as contas onde ela é usada, ative a verificação em duas etapas e encerre as sessões abertas em outros aparelhos.
4. Corte o contato com o golpista e bloqueie o número: não envie mais dinheiro nem tente negociar.
5. Guarde as provas (links, prints, mensagens, números, comprovantes) e faça um boletim de ocorrência: segundo o CERT.br, na maioria dos casos dá para fazer online. Em São Paulo, pela Delegacia Digital da Polícia Civil.
6. Avise os seus contatos se alguém estiver se passando por você.

Um antivírus ajuda?

Em parte. No celular, alguns pacotes acrescentam a verificação de links e de mensagens de golpe, e o próprio Google Play Protect impede a instalação de apps não verificados com permissões sensíveis, que costumam ser usados em fraudes financeiras. É uma rede de proteção útil, principalmente para parentes com menos familiaridade com o celular. Mas nada substitui o hábito de conferir primeiro no app ou no site oficial.

A mensagem não é o golpe. O link, o código e o Pix são. Vá sempre você mesmo ao canal oficial.