O que é phishing? Como reconhecer, o que fazer se caiu e onde registrar

Para o CERT.br, phishing é um tipo de fraude na qual golpistas tentam obter informações pessoais e financeiras, combinando engenharia social com recursos técnicos. O nome vem do inglês «fishing», pesca: os golpistas jogam iscas — as mensagens — para fisgar seus dados. O problema é grande: segundo o Anuário Brasileiro de Segurança Pública 2026, os registros de estelionato por meio eletrônico chegaram a 346.753 em 2025, 20,6% a mais que em 2024, sem contar São Paulo, Rio de Janeiro e Ceará, que não enviaram dados.

Os sinais de alerta

• Temas do dia a dia usados como isca: CPF cancelado, encomenda retida, oferta de emprego, pagamento pendente, recadastramento de token, pontos ou bônus expirando, atualização de aplicativo.
• Ameaças, pressa, apelos emocionais, pedidos de sigilo, vantagens boas demais e uso de autoridade para que você aja sem pensar.
• Links e QR Codes: confira o endereço do site antes de acessar e tenha o mesmo cuidado com QR Codes.
• Desconfie até de mensagens de pessoas conhecidas: a conta delas pode ter sido invadida.

Caiu? O que fazer, na ordem do CERT.br

1. Corte o contato com o golpista.
2. Troque a senha em todas as contas onde você a usava, ative a verificação em duas etapas, negue aprovações de login que você não pediu e encerre as sessões ativas.
3. Se pagou por Pix, conteste a transferência pelo app ou pelos canais oficiais do banco para acionar o MED: quanto antes, maior a chance.
4. Se usou cartão, conteste a compra, confira também as faturas anteriores e bloqueie o cartão; desative as compras online se possível.
5. Guarde as provas: links, prints, comprovantes, números de protocolo, nomes de atendentes e datas.
6. Registre um boletim de ocorrência: na maioria dos casos, ele pode ser feito online.
7. Denuncie o perfil falso na rede social e avise seus contatos.
8. Se não resolver, registre uma reclamação no Banco Central ou procure o Procon do seu estado, e acompanhe no Registrato se abriram contas ou empréstimos no seu nome.

O banco devolve o dinheiro do Pix?

• O MED (Mecanismo Especial de Devolução) vale para golpes com Pix. Peça a devolução à sua instituição em até 80 dias da data em que você fez o Pix — muitos bancos têm um botão de contestação no app desde outubro de 2025.
• As instituições que receberam o dinheiro bloqueiam os recursos disponíveis, até o valor contestado, e avaliam o caso em até 7 dias. Se ficar comprovada a fraude e ainda houver dinheiro na conta, você recebe a devolução, total ou parcial.
• O MED vale mesmo que você tenha autorizado o Pix com senha ou biometria, mas não cobre desacordos comerciais nem o Pix enviado por engano.
• Desde 2026, com o MED 2.0, o rastreamento vai além da primeira conta que recebeu o dinheiro. Mesmo assim, não há garantia de devolução, alerta o Procon-SP; em 2025, a recuperação média foi de 9,3% do valor contestado, segundo o Banco Central.

Onde registrar e pedir ajuda

• Polícia Civil: o Ministério da Justiça reúne os endereços das delegacias virtuais de cada estado. Em São Paulo, por exemplo, a Delegacia Digital aceita fraude e estelionato, e o boletim online tem a mesma validade do feito na delegacia.
• Polícia Federal: o canal Comunica PF é só para crimes de atribuição da PF; os demais casos vão para a Polícia Civil.
• Consumidor.gov.br, o serviço público da Secretaria Nacional do Consumidor, para negociar diretamente com empresas cadastradas; é preciso uma conta gov.br nível prata ou ouro.
• O CERT.br recebe notificações de incidentes por e-mail (cert@cert.br), mas não é um canal de reclamação nem de devolução de dinheiro.

Desde a Lei 15.397/2026, a ação penal por estelionato não depende mais de representação da vítima: o Ministério Público pode agir mesmo sem a queixa formal.

O link mais seguro de uma mensagem inesperada é aquele em que você não clica. Entre você mesmo no app ou no site oficial.