Como evitar golpes financeiros via ligações — e até se divertir com eles

por Sommelier de Golpe

Nota do editor É raro um texto ser publicado aqui sem assinatura (o nome de quem o escreveu), mas acontece. O sommelier de golpes pediu para permanecer anônimo a fim de não atrair a ira de golpistas que porventura chegarem até aqui. (Se você for um golpista, ponha a mão na consciência e saia dessa vida!!)

Se você lê o Manual do Usuário, é provável que esteja atento aos golpes online. Deve já ter avisado os familiares e amigos e, quando recebe uma mensagem ou chamada do tipo “identificamos uma compra de um iPhone 12 Max na sua conta”, já saca que não é legítimo e evita qualquer prejuízo. (Afinal, como é que o banco ia saber exatamente o item comprado por você, né?)

Senti-me compelido a virar “sommelier de golpe” depois que algumas pessoas queridas se tornaram vítimas. São pessoas inteligentes, estudadas, afeitas a tecnologia, mas que foram pegas em um momento de fragilidade qualquer e foram seduzidas pela lábia dos golpistas.

O sucesso dos fraudadores, na minha análise, é uma mistura de gatilhos de marketing, entendimento dos fluxos de atendimento do telemarketing (tanto “turnover” ia acabar tendo efeitos colaterais) e vulnerabilidades emocionais que todos nós passamos em um dia ou outro.

Decidi atender a todos os golpistas que me ligam sempre que possível. Se não estivesse num momento ruim e com tempo sobrando, conversaria até onde conseguisse. Cada minuto ao telefone comigo, na condição de pessoa que entende da lógica do golpe e que se dispõe a estar atenta ao longo da conversa, seria um minuto a menos ao telefone com alguém mais vulnerável.

Virei sommelier de golpe por curiosidade também e, com o tempo, por pura farra: queria ocupar o tempo dos golpistas na condição de alguém que não cairia no golpe. De quebra, queria entender um pouco mais da engenharia social usada por eles para conseguir me antecipar e precaver pessoas próximas (e você, agora!) sobre como não cair em armadilhas.

Depois de dezenas de ligações atendidas e horas gastas ao telefone com gente mal intencionada, resolvi publicar meus achados aqui neste Manual do Usuário. Quem sabe meu texto possa ser uma espécie de contribuição social para que menos pessoas caiam nas garras dos estelionatários?

Pode ser também uma forma de convidar mais pessoas como você a atender ligações com mais atenção e ceticismo. Será mesmo que um banco que tem meus dados precisaria confirmar tantas informações por telefone?

Ou, ainda, quem sabe os leitores do Manual possam se tornar um exército de “white hats”, os chapeuzinhos brancos da cibersegurança, fazendo com que os golpistas se ocupem com a gente ao invés de pessoas leigas?

Sinto que em algum lugar nos painéis de dados dos golpistas, alguém deve ter colocado uma etiqueta no meu nome, porque eu parei de receber tantas ligações do tipo. Os golpes cessaram a ponto de eu começar a pedir o telefone de terceiros para atender quando imaginava que era golpe.

Neste texto, compartilho os principais gatilhos que identifiquei e as “falhas” atuais do script dos golpistas. Convido você a também virar um sommelier de golpe e colaborar aqui nos comentários com os seus relatos.

Comece por aqui

Um número desconhecido, um número que supostamente é o do seu banco ou um número com os cinco primeiros dígitos iguais aos do seu te liga. Você decide atender.

Do outro lado, alguém ou uma voz robótica informa que um banco ou sistema de pagamento reconheceu um pedido, uma compra ou uma transferência, e precisa de uma confirmação.

Uma compra no site ComprinhasDaHora, no valor de R$ 6.653, foi feita em seu nome. Você reconhece essa compra? Digite 1 se não reconhece, digite 2 se reconhece.

Foi detectada uma transferência Pix da sua conta, no valor de R$ 3.454, para Julio Augusto. Se você não reconhece essa transferência, digite 1. Para confirmar essa transferência, digite 2.

As frases podem ser diferentes, mas são sempre com o mesmo objetivo: informar uma transação envolvendo seu nome e pedir por uma confirmação. Daqui em diante, você está no maravilhoso mundo dos golpes. Vem comigo!

Digitando 1: O caminho dos roteiros diversos

Ao não reconhecer a compra, você é transferido para um suposto atendente que te ajudará a cancelar a compra, a transferência ou seja lá o que tiver ocorrido. Aqui, vale ficar atento aos gatilhos.

Gatilho “conte-me tudo”

Meu nome é Carla, como posso ajudar?

Essa é uma das falas mais comuns. Não há nem mesmo identificação do banco, meio de pagamento ou loja mencionados na mensagem anterior porque o atendente não sabe de literalmente nada. Ele saberá apenas o que você disser.

A expectativa do atendente é que você repita a mensagem automática, anterior ao atendimento dele, para que ele possa seguir a partir dali.

Caso você diga “há uma compra de uns R$ 3 mil que eu não reconheço”, na maioria das vezes ele não vai saber em qual banco ou cartão essa compra foi paga.

Aqui, o roteiro da fraude envolve fazer perguntas para que a própria vítima repasse as informações. O atendente mal intencionado vai pedir para você abrir o aplicativo do banco que você disser que tem instalado no celular e para que você leia o que está na tela.

Preciso que me diga o valor exato que está hoje em conta corrente, para ver se bate com o que temos aqui em sistema.

Ele talvez te pergunte, para entender o valor máximo que pode solicitar do golpe.

Outros pedidos envolvem:

Preciso que você me diga o valor da sua fatura hoje.

Você pode me informar o limite de crédito que você tem hoje no nosso banco?

Você pode me informar seu CPF?

Frases que encerram esse golpe

Os golpistas só avançam no roteiro se a vítima engajar. Caso você se recuse a repassar as informações, geralmente a ligação cai porque eles entendem que você não é alguém ingênuo o suficiente. Para encerrar golpes deste tipo, você pode dizer o seguinte:

Puxa, esse dado da fatura você deve ter acesso aí em sistema, não?

Entendo que o limite de crédito da minha conta é algo que você consegue conferir pelo seu sistema, certo?

Ou informe um CPF falso, usando qualquer gerador online. Como o CPF não bate com nenhum resultado de qualquer base vazada, eles desligam a ligação — e em alguns casos reclamam em voz alta que você “passou um CPF falso!”

Gatilho “eu sei quem você é”

Meu nome é Carla, falo em nome do Banco Banquinho, eu falo com Fulano de Tal?

Nesse cenário, os fraudadores estão de posse de algum tipo de informação sua, geralmente associada ao seu número de celular.

Nas ligações que atendi, percebi que boa parte das informações estavam associadas à conta bancária em que eu tinha o meu celular como Pix, mas as informações também podem vir de diversas bases de dados que vazaram ao longo dos últimos anos e que têm sido organizadas em sistemas usados por criminosos, como mostrou uma recente reportagem do Uol.

O importante nesses casos é não se assustar com a quantidade de informações que a pessoa do outro lado da linha sabe de você. Seu nome, CPF, parentescos, endereço, histórico com determinado banco e até o número da sua agência e conta não são dados assim tão privados hoje em dia.

Duvida? Abra o aplicativo que você mais usa para fazer um Pix e tente fazer uma transferência de R$ 0,01 para qualquer número de celular. Caso a pessoa tenha cadastrado o telefone como chave Pix, essa informação simples já mostrará na tela o nome completo do dono do celular, banco e partes do número do CPF.

Frases que encerram esse golpe

Os golpistas sabem quem você é, talvez saibam o quanto de crédito você tem na praça, mas isso é tudo. Eles ainda vão precisar de você para obter outros detalhes, como o “limite” do golpe que podem tentar aplicar (pedindo o valor do seu limite de crédito), e para causar danos, pedindo por senhas ou acessos e para que realize ações, como clicar em links. Ou você pode também… “desconfirmar” a informação, o que foi um dos meus jeitos mais divertidos de encerrar tais ligações:

Hm, acho que você ligou para o celular errado. Eu sou o Sandro Cruz.

Ih, acho que deve ser outra pessoa, porque esse não é meu CPF.

Informe um CPF falso, usando qualquer gerador online. Como o CPF não baterá com nenhum resultado de qualquer base vazada, eles geralmente desligam a ligação.

Gatilho “você precisa fazer isso agora, sem sair da ligação”

Senhor, preciso que você coloque o celular no viva voz e me acompanhe passo a passo para que possamos cancelar essa transação.

Esse tipo de golpe costuma ter os interlocutores mais esquentadinhos. Isso porque eles precisam gerar um gatilho de urgência na vítima, para que ela faça o que for necessário e se deixe guiar pelo golpista. Não se engane: eles geralmente são exímios conhecedores das plataformas de bancos e de pagamentos.

Em alguns casos, eles informam que vão mandar um código para que você possa “copiar e colar para cancelar a transação”, quando na verdade mandam um código de pagamento para efetuar uma transação Pix. Em outros casos, eles vão guiar a vítima num processo muito esquisito de “fazer uma transação de novo para a mesma conta”, com o intuito de “gerar duplicidade na transação, o que automaticamente cancelará as duas transações, porque gera um alerta de fraude no banco”. (Sim, nada disso faz sentido, mas é o argumento do golpe.)

Não é raro que o golpista chegue a se exceder na voz ou até a se exasperar caso perceba que você não está cooperando. Em uma das chamadas, atendidas em viva voz, decidi informar ao golpista que eu estava “com as mãos ocupadas”, mas que ele poderia me informar o caminho que eu iria proceder logo depois que desligasse a chamada com ele. Ele ficou furioso e me informou que “desta forma, o banco reconhece a transação e confirma a compra, passar bem”. Que banco indicaria aos seus atendentes um comportamento desses, sabe?

Frases que encerram esse golpe

A pessoa mal intencionada do outro lado da linha precisa que você coopere com ela no passo a passo, que pode ser fazer uma transferência ou inserir algum código no celular, de modo a fazer uma transação ou até ceder acesso remoto ao dispositivo.

Não cooperar ou se fingir de bobo pode ser uma maneira interessante de frustrar o golpe. Vale também não se assustar com quaisquer ameaças que venham a ser feitas pelos golpistas, porque muitos costumam ficar bastante chateados e usar de agressividade para tentar coagir a vítima.

Não estou achando esse botão que você indica, onde é que ele fica?

Acho que esse caminho não vai ajudar, porque ele está fazendo uma transação ao invés de cancelá-la.

Olha só, acho que foi um engano: estou vendo aqui e não houve transação nenhuma feita pela minha conta!

Digitando 2: Confirme a compra ou transferência

Essa é a coisa mais contra-intuitiva a se fazer. Quando alguém te liga indicando que uma transferência ou compra foi feita em seu nome e você não reconhece, o impulso mais rápido é falar “opa, epa, não fui eu”.

Mas e se você experimentar digitar 2 e… confirmar a compra ou transação que você nunca fez?

Ao fazer isso, você é redirecionado ao mesmo atendente que recepciona as ligações de quem digitam 1. Não é uma central funcional como as dos bancos. A central dos golpistas não costuma saber qual tecla você apertou. Eles recepcionam todas as ligações, e assumem que você digitou 1.

Se quiser se divertir, experimente dizer que reconhece a compra ou que confirma a transferência.

Na maior parte dos casos, não há roteiro para dar prosseguimento. Já que a pessoa confirma a compra (!), não há nada a fazer.

Puxa, senhor, então tenha um bom dia.

Foi a frase do golpista que me atendeu nessa ocasião, que não sabia o que fazer depois de eu confirmar a compra.

Somos o nosso pior inimigo

Nas dezenas de ligações com golpistas, pude perceber que a gente às vezes nem repara, mas na inocência de uma conversa elaborada ou em um diálogo mais apressado, não reparamos no tanto de coisas que entregamos.

Confirmamos nosso nome, o tom da nossa voz revela um pouco da nossa pressa ou não, se estamos surpresos ou aflitos com a informação de uma compra vultuosa até então desconhecida.

Em uma das ligações, eu estava me divertindo tanto que acabei encerrando o golpe mais cedo ao questionar “como é que o banco sabia que eu tinha feito uma compra de um iPhone 15 Pro Max”, já que geralmente os bancos só sabem o valor da compra e o estabelecimento onde o item foi comprado, mas não sabem o objeto ou serviço adquirido. Entreguei ceticismo demais e a pessoa golpista sacou e foi para o próximo número da lista.

Portanto, a melhor recomendação mesmo, caso você tenha algum receio ou esteja em um mau dia, é não atender ligações que não reconhecer e manter um ceticismo muito grande para qualquer comunicação supostamente feita por bancos.

Se um suposto gerente de banco te ligar, tente perguntar a ele como comprovar a autenticidade da ligação, como você pode retornar a ele mais tarde, entre outros detalhes. Profissionais de bancos e de instituições de pagamentos não vão se ofender e estão instruídos o suficiente para fornecer provas de idoneidade.

O único ponto de atenção real que encontrei foi ser mais cuidadoso com o uso de chaves Pix. Removi o celular, o CPF e emails pessoais e profissionais das chaves Pix das minhas contas, dando preferência às chaves aleatórias. Fazer isso não resolve o problema retroativamente: as bases dos “painéis de dados” vazados que contêm as minhas informações ainda vão tê-las, mas ao menos eu dificulto um pouco o caminho para a novas coletas de outros dados.

Para chaves Pix de uso rotineiro, criei novos emails que uso apenas para esse fim, evitando utilizá-los para login ou para falar com terceiros.

No final, vale a máxima de que o seguro morreu de velho e o prevenido segue andando por aí.

Previna-se, mantenha suas informações confidenciais em privado, evite passar seus dados pessoais a não ser em situações que saiba serem seguras e, na dúvida, desligue o telefone.

O que diz o especialista

O Manual do Usuário conversou com Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina, para entender o que sommeliers de golpe podem fazer no combate a esse tipo de crime.

Assolini mencionou algumas informações que podem ser obtidas nas conversas para ajudar a embasar denúncias:

• Número de telefone utilizado. Mesmo se for um VoIP ou um telefone falsificado com a técnica de “spoofing”, essa informação pode ajudar a rastrear padrões e pode ser útil em investigações maiores.
• Data e hora da ligação. Pode ser útil para cruzar informações com outros relatos e identificar campanhas de golpes.
• Nome do(a) atendente. Geralmente o nome é falso, mas pode ser usado como identificador em conjunto com outras informações.
• Detalhamento do golpe. Descrever o roteiro do golpe, quais informações suas os golpistas tinham e até de valores solicitados ou eventuais chaves Pix que venham a ser passadas ao longo da ligação podem ajudar as autoridades a compreender o formato do golpe e buscar maneiras de combatê-los.

Onde denunciar:

• Delegacias. Faça boletins de ocorrência na delegacia mais próxima de você, mesmo que não tenha a identificação dos criminosos.
• Instituições financeiras. Caso o golpe mencione uma instituição, denuncie nos canais de atendimento de bancos e operadoras, que costumam ter canais próprios para reportar fraudes.
• Anatel. denuncie o número usado em golpes, especialmente se perceber indícios de irregularidades na telefonia, como números clonados ou falsos (por exemplo, quando o seu próprio número liga para você). No site da Anatel há um canal específico para isso.

Cuidados ao interagir com golpistas:

• Garanta que você está emocionalmente bem. Atender ligações de golpes pode ser uma situação estressante. Por isso, se não estiver se sentindo bem ou em um momento complicado, o ideal é desligar a chamada e, em caso de insegurança, procurar os canais de atendimento do seu banco, como a agência bancária ou o aplicativo.
• Nunca forneça informações pessoais ou financeiras. Na maior parte dos roteiros, os golpistas têm poucas ou nenhuma informação de você. Quem passa as informações geralmente é a própria vítima, no decorrer da conversa. Mesmo informações aparentemente inofensivas podem ser usadas em golpes futuros. Se for interagir, desconverse e não confirme ou informe seus dados.
• Nunca informe códigos. Os golpistas podem simular comunicações de bancos ou instituições financeiras e pedir por códigos enviados por SMS, WhatsApp ou gerados pelo app do banco. Jamais informe esses códigos.
• Nunca instale aplicativos solicitados em chamadas telefônicas ou chats. Os golpistas podem tentar convencer você a instalar aplicativos maliciosos para ter acesso aos seus dados ou até acesso remoto ao seu celular. Recuse qualquer instalação.
• Nunca clique em links enviados por SMS ou WhatsApp. Links suspeitos podem legar a sites falsos que tem o intuito de roubar informações suas.

O especialista também recomenda que, ao identificar um golpe, as pessoas avisem seus amigos e familiares para ajudá-los a se protegerem, especialmente quando se trata de um novo roteiro ou esquema para ludibriar as vítimas.