Uma mensagem chega citando seu nome completo. A pessoa sabe onde você trabalha, menciona uma compra recente ou conhece parte do seu CPF. A abordagem parece específica demais para ser falsa.

Esse é justamente o ponto em que vale reduzir a confiança, não aumentá-la automaticamente.

Em 31 de agosto de 2026, o Cetic.br divulgou uma pesquisa em que 32% dos usuários de Internet com 16 anos ou mais no Brasil disseram ter sofrido tentativas de golpe com uso de seus dados pessoais. Isso equivale a 45 milhões de pessoas. Outros 20% afirmaram ter sido vítimas desse tipo de crime.

Entre quem relatou tentativas, aplicativos de mensagem foram o canal mais citado, com 84%, seguidos por ligações telefônicas, com 79%. Sites ou aplicativos falsos e SMS apareceram em 71% dos relatos.

O dado mais importante para a rotina não é apenas o tamanho do problema. É entender por que uma abordagem pode parecer legítima mesmo quando não é.

Um dado correto sobre você confirma que alguém teve acesso àquela informação. Não confirma, sozinho, quem está falando nem se o pedido é legítimo.

Por que saber seu nome ou CPF torna o golpe mais convincente

Golpes genéricos pedem que a pessoa acredite numa história.

Golpes com dados pessoais acrescentam contexto verdadeiro à história.

O interlocutor pode saber:

  • seu nome completo;
  • telefone;
  • CPF;
  • endereço;
  • nome da empresa;
  • informação sobre um pedido;
  • uma reserva;
  • um serviço que você utiliza;
  • o nome de alguém com quem trabalha;
  • um dado financeiro parcial.

A presença de uma informação verdadeira reduz a sensação de estranheza. O raciocínio costuma ser rápido: “se sabe isso, deve ser quem diz ser”.

Esse salto é perigoso.

Dados pessoais podem circular por muitos caminhos legítimos e ilegítimos: cadastros, documentos enviados, sistemas de atendimento, bases comerciais, redes sociais, vazamentos, acessos indevidos e até conversas anteriores. Uma pessoa conhecer o dado não demonstra, por si só, como o obteve.

A própria pesquisa do Cetic.br mostra que as tentativas acontecem em vários canais ao mesmo tempo. Portanto, não faz sentido tratar WhatsApp, ligação, SMS ou e-mail como prova automática de identidade.

O que um dado realmente prova

Para decisões práticas, vale separar o poder de persuasão de uma informação do seu valor de autenticação.

A tabela abaixo é uma classificação editorial do Estúdio para orientar a conferência. Não é uma escala oficial de segurança.

Informação apresentada Por que convence O que realmente prova
Seu nome completo Parece pessoal e direcionado Apenas que o interlocutor conhece seu nome
CPF, endereço ou data de nascimento Parece informação restrita Apenas que esses dados chegaram ao interlocutor
Número de pedido, reserva ou contrato Liga a abordagem a algo real Que há conhecimento sobre uma relação ou operação
Nome de fornecedor, cliente ou colega Cria contexto profissional plausível Que o interlocutor conhece aquela relação
Mensagem vinda de um contato conhecido Reduz a desconfiança inicial Que a mensagem chegou por aquela conta, não necessariamente quem está controlando-a
Confirmação obtida por você em canal oficial já conhecido Rompe a dependência da abordagem recebida Aumenta materialmente a confiança na identidade ou no pedido
Informação conferida dentro do aplicativo ou portal oficial Permite validar a operação fora da mensagem Confirma melhor a existência da ação que está sendo solicitada

O ponto central é simples: informação pessoal aumenta a capacidade de convencimento muito mais rapidamente do que aumenta a certeza sobre identidade.

Antes de agir, separe três perguntas

Uma abordagem pode misturar três coisas diferentes:

  1. quem está falando;
  2. se o fato mencionado é real;
  3. se a ação pedida é legítima.

Essas perguntas precisam ser verificadas separadamente.

Uma pessoa pode citar corretamente uma compra e, mesmo assim, enviar um link falso.

Uma mensagem pode realmente partir da conta de alguém conhecido e ainda assim trazer um pedido que precisa de confirmação independente.

Uma cobrança pode mencionar um fornecedor real, mas direcionar o pagamento para dados diferentes dos usados normalmente.

Em vez de tentar decidir se “a mensagem parece verdadeira”, verifique o elemento que produziria o prejuízo.

Se pediram pagamento, confirme o destino

O fato de uma cobrança conhecer seus dados não confirma o beneficiário.

Antes de pagar:

  • abra diretamente o aplicativo do banco;
  • confira nome ou razão social do recebedor apresentado pelo banco;
  • compare os dados com os que você já utilizava;
  • trate mudança de conta ou chave como uma nova decisão;
  • confirme a mudança por um canal que você iniciou.

Se houver pressa para pagar exatamente porque “o sistema vai bloquear”, “o pedido vai vencer” ou “a oportunidade acaba agora”, a urgência aumenta a necessidade de confirmação.

Não use o mesmo contato que trouxe a cobrança como única fonte de validação.

Se pediram código, senha ou dado bancário, não use o conhecimento deles como prova

O projeto Cidadão na Rede, do NIC.br, orienta a não fornecer senhas, códigos de confirmação ou dados bancários em abordagens recebidas e recomenda verificar a situação nos canais oficiais da instituição.

Essa regra continua válida mesmo quando a pessoa do outro lado demonstra conhecer informações reais.

Se alguém disser que precisa de um código para:

  • cancelar uma compra;
  • proteger sua conta;
  • confirmar identidade;
  • atualizar cadastro;
  • liberar um pagamento;
  • impedir um bloqueio;

pare antes de fornecer qualquer coisa.

Abra o aplicativo ou site oficial por conta própria. Se necessário, ligue para o número oficial que você já conhece ou que está publicado no site legítimo da instituição.

Se o assunto é real, o pedido ainda pode ser falso

Esse é um dos pontos mais difíceis.

Imagine que você realmente tenha uma reserva de hotel. Uma mensagem menciona a data correta, o nome da hospedagem e o período da estadia. Depois pede atualização de cartão por um link.

A existência da reserva não autentica o link.

O mesmo vale para:

  • entrega que realmente está a caminho;
  • imposto que realmente vence naquele mês;
  • fornecedor com quem você realmente trabalha;
  • compra que realmente foi feita;
  • processo ou cadastro que realmente existe.

Uma boa verificação não tenta descobrir se a história inteira é inventada. Ela confirma, fora da abordagem, a ação específica que você está prestes a executar.

Use o canal oficial como ponto de reinício

Quando uma mensagem fica convincente demais para ser descartada, não continue discutindo dentro dela.

Reinicie a verificação.

Você pode:

  • fechar a conversa;
  • abrir o aplicativo oficial;
  • digitar o endereço conhecido do site;
  • procurar o telefone institucional em fonte confiável;
  • iniciar uma nova conversa com o contato salvo anteriormente;
  • consultar o painel onde aquela cobrança, compra ou solicitação deveria existir.

Essa mudança é importante porque retira do interlocutor o controle sobre todo o caminho de confirmação.

Se você já clicou em um endereço suspeito, o guia Cliquei em um link suspeito: o que fazer agora organiza as ações conforme você apenas abriu a página, informou dados, baixou arquivo ou realizou pagamento.

Quais sinais merecem mais peso do que os dados pessoais

Nome, CPF e contexto podem impressionar. Para a decisão, outros sinais importam mais:

A ação foge do processo normal

Um fornecedor sempre envia boleto pelo sistema e, desta vez, pede Pix pelo WhatsApp.

Uma plataforma que normalmente mostra cobranças no painel pede pagamento por link recebido em SMS.

Uma empresa que nunca solicita código por telefone passa a exigir um código imediatamente.

A mudança de processo merece confirmação.

O destino mudou

Nova chave Pix, conta bancária diferente, domínio parecido ou formulário externo alteram onde sua ação termina.

Quando o destino muda, o risco muda junto.

A confirmação depende apenas do próprio interlocutor

“Pode confiar, sou eu.”

“Esse número agora é o oficial.”

“Não ligue para a central porque o sistema está fora.”

Quanto mais a própria abordagem tenta impedir uma verificação independente, menos ela deve servir como prova.

Existe pressão para impedir reflexão

Urgência não transforma uma solicitação em golpe automaticamente. Existem prazos reais.

O problema é usar o prazo como argumento para remover a conferência.

Para pagamentos, acessos e envio de dados sensíveis, alguns minutos de verificação podem evitar um prejuízo difícil de reverter.

O que fazer se você já forneceu dados

O próximo passo depende do que foi entregue.

Se foi apenas uma informação já pública, o risco é diferente de ter fornecido:

  • senha;
  • código de autenticação;
  • dados completos de cartão;
  • credencial de acesso;
  • documento;
  • informação bancária;
  • autorização dentro de aplicativo;
  • pagamento.

Quando houver credencial ou acesso envolvido, proteja primeiro a conta que pode abrir caminho para as outras. E-mail principal, banco, mensageria e métodos de recuperação merecem prioridade.

Se aparecer atividade não autorizada, o guia Seu negócio sofreu um incidente digital: o que fazer antes de tentar consertar tudo ajuda a organizar contenção, registro e recuperação.

E se já houve Pix para o golpista

O Banco Central orienta a entrar em contato com a instituição financeira o mais rápido possível para relatar o golpe e solicitar a devolução por meio do Mecanismo Especial de Devolução, quando o caso estiver dentro das hipóteses do MED.

O MED não garante recuperação do valor. A devolução depende da análise e da existência de recursos nas contas envolvidas.

Também é recomendável preservar evidências e registrar boletim de ocorrência.

A velocidade importa depois do pagamento. Antes dele, a melhor proteção continua sendo interromper a ação quando a identidade, o pedido ou o destino não foram confirmados de forma independente.

Uma regra prática para mensagens muito convincentes

Quando uma abordagem conhece informações demais sobre você, use esta inversão:

Quanto mais uma mensagem usa dados pessoais para conquistar confiança, menos esses mesmos dados devem ser usados como prova de identidade.

Confirme por outro caminho aquilo que realmente produz consequência: o login, o pagamento, a alteração de cadastro, o envio de documento ou a autorização solicitada.

Dados corretos podem explicar por que uma mensagem parece verdadeira. A confirmação independente é o que ajuda a decidir se você deve agir.

Fontes consultadas

Vídeo relacionado

Não forneça seus dados bancários

Fonte:Cidadão na Rede | NIC.br