“Tem erro de português, então é golpe” nunca foi uma regra de segurança muito boa. Agora ficou pior. Ferramentas generativas conseguem produzir textos corretos, traduzir mensagens, adaptar o tom de uma empresa e transformar poucas informações sobre uma vítima em uma abordagem convincente. Isso não significa que todo golpe use inteligência artificial. Significa que aparência profissional, gramática correta, logotipo verdadeiro e até dados pessoais corretos deixaram definitivamente de servir como prova de autenticidade.
Por Portal Infoalfa
A defesa mais confiável contra phishing e engenharia social não é procurar erros na mensagem. É confirmar a solicitação por um canal que o remetente suspeito não controla.
Urgência, sigilo, mudança inesperada de procedimento, pedido de senha, código de autenticação ou transferência de dinheiro continuam sendo sinais importantes mesmo quando o texto parece perfeito.
Se dinheiro já foi enviado por Pix, o Banco Central orienta comunicar imediatamente a instituição financeira e solicitar o Mecanismo Especial de Devolução, o MED. Em caso de golpe ou crime, também é recomendável registrar ocorrência policial.
O português correto deixou de ser um critério confiável para reconhecer golpes
Campanhas antigas de phishing frequentemente apresentavam tradução ruim, erros de concordância, imagens borradas e páginas mal construídas. Isso criou um hábito útil por algum tempo: observar a qualidade da mensagem antes de confiar nela.
O problema é transformar um indício em regra. Golpistas nunca precisaram escrever mal. Uma campanha conduzida por alguém fluente no idioma poderia produzir uma mensagem impecável muito antes da atual geração de inteligência artificial.
Ferramentas generativas apenas diminuíram o custo desse trabalho. Hoje é possível criar rapidamente versões de uma mensagem em diferentes idiomas, adaptar formalidade, corrigir gramática e produzir dezenas de variações com pouca habilidade de redação.
A personalização também ficou mais barata. Informações públicas de redes sociais, páginas empresariais, vazamentos antigos ou bancos de dados criminosos podem ajudar a construir uma abordagem com nome, cargo, empresa, cidade ou outros detalhes corretos.
Isso não prova que a IA esteja por trás de determinada mensagem. Identificar com certeza se um texto curto foi escrito por uma pessoa ou por um modelo pode ser impossível. Detectores automáticos de conteúdo gerado por IA também apresentam falsos positivos e falsos negativos e não deveriam ser utilizados como ferramenta de autenticação.
O ponto prático é mais simples. Se produzir uma mensagem convincente ficou barato, a confiança precisa sair da aparência e migrar para o processo de verificação.
Português correto. Golpistas podem escrever bem ou utilizar ferramentas de revisão e geração.
Logotipo verdadeiro. Imagens e identidade visual de empresas podem ser copiadas em segundos.
Seu nome e seus dados. Informações pessoais podem vir de redes sociais, vazamentos ou outras fontes.
Número ou perfil conhecido. Contas podem ser comprometidas e identificadores podem ser falsificados em determinados canais.
Tom profissional. Formalidade não autentica remetente. Uma mensagem pode parecer exatamente como uma comunicação corporativa e continuar falsa.
Phishing é uma categoria ampla de fraude na qual o criminoso se passa por pessoa ou organização confiável para induzir a vítima a entregar informação, instalar software ou realizar alguma ação. Quando a abordagem ocorre por SMS, costuma ser chamada de smishing. Engenharia social é ainda mais ampla e engloba técnicas de manipulação usadas para convencer alguém a quebrar uma regra ou agir contra o próprio interesse.
Clonagem de voz e imagens sintéticas pertencem ao mesmo cenário de perda de confiança na aparência, mas funcionam de outra maneira. Um áudio semelhante à voz de um parente pode ser produzido artificialmente. Uma chamada de vídeo pode ser manipulada. Esses casos exigem verificação de identidade pelo contexto e por outro canal, não uma tentativa de adivinhar se o arquivo “parece IA”.
O comportamento da solicitação frequentemente revela mais que a qualidade do texto. Golpes procuram reduzir o tempo disponível para pensar. “Faça agora”, “sua conta será bloqueada”, “não desligue”, “não fale com ninguém”, “transfira para proteger seu dinheiro” e “envie o código que acabou de chegar” são exemplos de pressão que merecem interrupção imediata do processo.
A FTC, agência norte-americana de proteção ao consumidor, chama atenção justamente para isso. Em golpes de personificação, fraudadores podem conhecer nome, endereço e dados relacionados à vítima. A orientação é interromper o contato e confirmar a história diretamente com a instituição supostamente envolvida.
O CERT.br adota princípio semelhante. Mensagens recebidas até mesmo de conhecidos devem ser tratadas com cautela quando pedem acesso a links, informações ou ações fora do habitual, porque a conta do contato também pode ter sido comprometida.
O que verificar antes de clicar, responder ou transferir dinheiro
O método mais útil começa separando a mensagem da solicitação. Uma comunicação pode dizer que houve compra suspeita, problema na conta, entrega pendente, imposto atrasado ou emergência familiar. Antes de agir, pergunte o que exatamente estão pedindo para você fazer.
Se a solicitação envolve senha, código de autenticação, instalação de aplicativo, acesso remoto, Pix, alteração de conta bancária ou urgência financeira, o nível de verificação deve subir imediatamente.
Não use o link enviado na própria mensagem para fazer essa verificação. Se a comunicação afirma ser do banco, abra manualmente o aplicativo oficial que você já utiliza. Se diz ser de uma empresa, digite você mesmo o endereço conhecido ou utilize um contato existente em documento anterior confiável.
Nem o primeiro resultado de uma busca deve ser automaticamente considerado seguro. A FTC já alertou que golpistas podem comprar anúncios em mecanismos de busca e fazer números falsos de atendimento aparecerem em posições de destaque.
1. Não clique no link nem ligue para o número fornecido na própria mensagem.
2. Abra o aplicativo oficial, digite o endereço conhecido ou use telefone já registrado por você.
3. Pergunte se a solicitação realmente existe.
4. Para pedidos de familiares ou colegas, inicie uma nova ligação ou conversa utilizando o contato que você já possuía antes.
5. Só execute pagamento ou forneça informação depois que origem e finalidade estiverem confirmadas.
Pedidos de Pix merecem atenção específica. Antes de confirmar, o aplicativo bancário apresenta informações sobre o recebedor. Nome, instituição e demais dados disponíveis precisam ser comparados com aquilo que deveria ocorrer na transação.
Isso não basta quando o próprio fraudador controla uma conta com identidade aparentemente compatível, mas ajuda a detectar erros grosseiros. Mudança repentina de chave, recebedor diferente do fornecedor habitual ou pedido para transferir para uma terceira pessoa exigem confirmação independente.
Em empresas, alteração de dados bancários de fornecedor é um exemplo clássico. Um e-mail bem escrito pode informar que a conta mudou e anexar documento com identidade visual correta. O procedimento seguro é confirmar a alteração com o fornecedor por um contato previamente conhecido, não pelo telefone informado no próprio e-mail de mudança.
Códigos de autenticação também não devem ser compartilhados porque alguém diz trabalhar no banco, numa rede social ou no suporte técnico. Se um código chegou ao seu aparelho sem que você tenha iniciado o processo correspondente, ele pode indicar justamente que outra pessoa está tentando acessar sua conta.
Atendimento técnico remoto merece cautela semelhante. Uma pessoa que liga sem solicitação prévia e pede instalação de programa ou compartilhamento de tela pode estar tentando obter controle do dispositivo. Bancos não precisam assumir remotamente o controle do celular do cliente para “cancelar uma fraude”.
Autenticação multifator ajuda porque uma senha roubada deixa de ser suficiente em muitos cenários. Ela não elimina engenharia social. Se a vítima entregar voluntariamente o segundo fator ou aprovar uma notificação fraudulenta, a proteção pode ser contornada. Métodos resistentes a phishing, como determinadas chaves de segurança e passkeys, reduzem parte desse risco porque vinculam a autenticação ao serviço correto.
Também vale reduzir a exposição de informações públicas. Não é necessário desaparecer das redes sociais. Mas divulgar cargo, rotina, fornecedores, telefones pessoais, viagens e estrutura interna de uma empresa facilita abordagens direcionadas.
Uma mensagem bem personalizada não significa que alguém tenha “hackeado tudo”. Muitas vezes o criminoso apenas juntou informações que já estavam publicamente disponíveis.
O que fazer quando você já respondeu ou forneceu informações
A prioridade muda completamente depois da interação. O objetivo deixa de ser identificar o golpe e passa a ser limitar o dano. Quanto mais cedo isso acontece, maior a quantidade de opções disponíveis.
Se apenas clicou num link, não presuma automaticamente que todas as contas foram comprometidas. Feche a página e observe o que ocorreu. Se houve download de arquivo ou instalação de aplicativo, a situação exige mais atenção. Atualize o sistema e as ferramentas de segurança e faça verificações apropriadas no dispositivo.
Se informou uma senha, altere-a imediatamente pelo aplicativo ou site verdadeiro. Se a mesma senha foi reutilizada em outros serviços, troque-a também nesses locais. Senhas exclusivas impedem que o vazamento de uma conta seja reaproveitado em várias outras.
Revogue sessões desconhecidas quando o serviço oferecer essa opção e revise e-mail e telefone utilizados para recuperação de conta. Um invasor que conseguiu entrar pode tentar cadastrar um novo método de recuperação para manter acesso mesmo depois da mudança da senha.
Se compartilhou código de autenticação, aprovou login ou concedeu acesso remoto, trate o caso como comprometimento potencial da conta e entre em contato com a instituição envolvida pelos canais oficiais.
Quando houve Pix fraudulento, velocidade é particularmente importante. O Banco Central orienta a vítima a comunicar o banco imediatamente e solicitar o Mecanismo Especial de Devolução. O MED é específico para situações de fraude, golpe ou crime e não garante recuperação integral do dinheiro.
Em setembro de 2026, o Banco Central atualizou sua orientação sobre o mecanismo. O pedido pode ser apresentado à instituição em até 80 dias da transação, mas esperar é uma péssima estratégia. Quanto antes a fraude é comunicada, maior a chance de ainda existirem recursos passíveis de bloqueio.
O MED permite que instituições envolvidas analisem a ocorrência, bloqueiem valores disponíveis e, quando a fraude é confirmada e existem recursos, realizem devolução total ou parcial. O sistema também passou a mapear contas para as quais o dinheiro suspeito pode ter sido posteriormente movimentado.
O mecanismo não serve para qualquer disputa. Compra insatisfatória, desacordo comercial ou Pix enviado por engano não são automaticamente enquadrados como fraude.
O Banco Central também recomenda registrar boletim de ocorrência quando a pessoa é vítima de golpe. Guarde comprovantes, conversas, números, links, horários e dados das transações. Essas informações podem ser úteis para bancos, plataformas e autoridades.
Se documentos ou dados pessoais foram fornecidos, acompanhe movimentações financeiras e tentativas de abertura ou recuperação de contas. Dependendo do dado exposto, podem ser necessárias medidas específicas junto às instituições afetadas.
Depois da contenção, denuncie a conta ou mensagem na própria plataforma. Isso não recupera automaticamente o prejuízo, mas pode ajudar a interromper aquela infraestrutura de fraude e proteger outras vítimas.
O ponto mais importante é não permitir que a vergonha atrase a reação. Engenharia social é construída justamente para fazer uma situação falsa parecer plausível durante alguns minutos. A resposta mais eficaz começa quando a vítima interrompe o contato e volta a operar por canais independentes.
Inteligência artificial tornou mais barato produzir mensagens convincentes, mas não mudou o princípio central da engenharia social. O golpista ainda precisa fazer a vítima confiar numa identidade e executar uma ação. Por isso, a defesa mais durável não é aprender a reconhecer “texto de IA”. É retirar da própria mensagem o poder de provar que ela é verdadeira.
.png)
