Golpes no WhatsApp: como identificar uma mensagem falsa antes de clicar
Aprenda um método simples para conferir mensagens suspeitas, links, pedidos de Pix e códigos antes que a pressa transforme um contato falso em prejuízo.
Uma mensagem pode saber seu nome, mostrar uma foto conhecida e até citar uma compra verdadeira — e ainda assim ser um golpe.
Antes de clicar, responder ou fazer um Pix, existe uma atitude muito mais segura: não tente confirmar a mensagem usando o caminho que ela própria oferece.
Em vez disso, pare por alguns segundos e procure uma segunda forma independente de verificar a história.
Essa pequena mudança de comportamento é importante porque os golpes no WhatsApp estão cada vez menos óbvios. Em fevereiro de 2026, o Centro Integrado de Segurança Cibernética do Governo Federal alertou sobre criminosos que usavam perfis falsos, dados pessoais reais e páginas de phishing enquanto se passavam por entidades públicas para induzir vítimas ao pagamento de boletos e Pix fraudulentos.
Além disso, a dimensão do problema chama atenção. Segundo a Serasa Experian, o Brasil registrou 6.937.832 tentativas de fraude no primeiro semestre de 2025, alta de 29,5% em relação ao mesmo período do ano anterior.
Portanto, a melhor proteção não consiste em decorar todos os golpes existentes. O objetivo é aprender como investigar qualquer mensagem suspeita antes de agir.
Uma mensagem falsa nem sempre parece falsa
Muita gente imagina um golpe como uma mensagem cheia de erros, enviada por um número estranho e acompanhada de um link obviamente suspeito.
Porém, nem sempre funciona dessa maneira.
O criminoso pode conhecer:
- Seu nome completo: essa informação, sozinha, não autentica quem está falando com você.
- Seu CPF: possuir um dado verdadeiro não transforma o remetente em uma empresa ou órgão oficial.
- Uma compra ou dívida: informações reais podem tornar uma história falsa mais convincente.
- Nomes de familiares: fotos e informações públicas também podem ajudar na construção da abordagem.
- Uma instituição que você utiliza: bancos, lojas, transportadoras e órgãos públicos podem ser imitados.
O alerta do Governo Federal de 2026 mostra justamente que golpistas podem incorporar dados pessoais verdadeiros à abordagem.
Por isso, memorize esta regra:
Informação correta + identidade não confirmada = contato ainda suspeito.
Antes de olhar o link, descubra o que a mensagem quer que você faça
Um dos maiores erros é concentrar toda a atenção no endereço do link.
Antes disso, observe a história.
Golpes baseados em engenharia social procuram levar a vítima a tomar uma decisão antes de verificar cuidadosamente o que está acontecendo. A própria Febraban vem alertando que criminosos usam técnicas de manipulação para induzir pessoas a fornecer informações ou realizar transações.
Urgência
Mensagens como:
- “Pague hoje para evitar o bloqueio.”
- “Última tentativa de entrega.”
- “Confirme imediatamente.”
- “Sua conta será suspensa.”
merecem atenção extra.
Na prática, a urgência reduz o espaço para você pensar.
Medo
Outra estratégia é criar a sensação de que alguma coisa grave já aconteceu:
- compra que você supostamente não reconhece;
- dívida inesperada;
- bloqueio bancário;
- suspensão de CPF;
- invasão de conta;
- problema envolvendo familiar.
Entretanto, receber um alerta não significa que você precisa resolver a situação pela própria mensagem.
Dinheiro
Quando aparece um pedido de Pix, pagamento de taxa, boleto ou transferência, aumente o nível de verificação.
Inclusive, valores pequenos também merecem cuidado.
Uma cobrança de R$ 3,90 pode parecer insignificante, mas o link utilizado para realizar esse pagamento pode conduzir a uma página fraudulenta.
Código de verificação
Código recebido por SMS ou pelo próprio aplicativo merece proteção especial.
O WhatsApp orienta que códigos de confirmação não sejam compartilhados e também recomenda ativar a verificação em duas etapas.
Instalação ou acesso ao aparelho
Desconfie ainda mais quando alguém pede para:
- instalar um aplicativo;
- compartilhar a tela;
- liberar acesso remoto;
- fornecer senha;
- seguir instruções enquanto permanece em ligação.
A Febraban alerta que versões recentes do golpe da falsa central podem tentar induzir a vítima inclusive a instalar aplicativos maliciosos.
Quando uma mensagem tenta fazer você agir mais rápido do que pensar, pare.
Use a regra da segunda rota antes de clicar
Esta é provavelmente a maneira mais simples de lidar com golpes no WhatsApp:
Não tente descobrir se a mensagem é verdadeira dentro da própria mensagem. Confirme por um segundo caminho que o remetente não controla.
Imagine quatro situações:
| Mensagem recebida | Evite fazer | Segunda rota |
|---|---|---|
| “Seu banco detectou uma compra suspeita.” | Clicar no link | Abra manualmente o aplicativo oficial do banco |
| “Sua encomenda está retida.” | Pagar pela mensagem | Entre no aplicativo da compra ou rastreamento oficial |
| “Troquei de número, preciso de um Pix.” | Transferir imediatamente | Ligue para o número antigo |
| “Existe pendência no seu CPF.” | Abrir o endereço enviado | Acesse manualmente o serviço oficial |
O princípio é simples: retire o golpista do controle da verificação.
A Febraban, por exemplo, recomenda que o cliente procure os canais oficiais do banco quando receber um contato suspeito, em vez de confiar em números fornecidos durante a abordagem.
Os 7 sinais para verificar uma mensagem suspeita
Antes de tocar em qualquer link, faça este teste.
1. Origem
Eu realmente conheço esse número?
Um número desconhecido não significa automaticamente fraude. Porém, se alguém afirma ser um familiar, empresa ou instituição, você precisa confirmar essa identidade.
2. Contexto
Eu estava esperando essa mensagem?
Se você não pediu redefinição de senha, não iniciou atendimento e não aguardava uma cobrança, pergunte por que aquele contato apareceu justamente agora.
O WhatsApp informa que um código de registro inesperado pode indicar que outra pessoa digitou seu número e tentou registrar sua conta.
3. Emoção
A mensagem quer provocar medo, pressa, curiosidade ou ganância?
Quanto maior a emoção, maior deve ser a sua cautela.
4. Pedido
Estão querendo dinheiro, senha, código, documento ou instalação de aplicativo?
Esses pedidos mudam completamente o nível de risco.
5. Link
O endereço corresponde realmente à organização?
Observe domínio, grafia e palavras extras.
6. Segunda rota
Consigo confirmar a história entrando diretamente no aplicativo ou site oficial?
Se consegue, faça isso.
7. Destinatário
Se houver pagamento, o beneficiário é realmente quem deveria receber?
Antes de confirmar o Pix, leia a tela.
Esse último passo pode impedir que a pressa transforme uma tentativa em prejuízo.
Como saber se um link recebido no WhatsApp é falso
Você não precisa ser especialista em tecnologia para encontrar sinais estranhos.
Considere um endereço fictício:
minhaempresa.com.br
Agora compare com:
minhaempresa-seguranca123.com
O segundo pode usar o nome da empresa, mas pertence a outro domínio.
Além disso, observe:
- erros discretos: letras trocadas ou acrescentadas;
- palavras extras: “segurança”, “confirmação”, “suporte”, “atendimento”;
- endereços muito diferentes: a aparência da página não corrige um domínio estranho;
- links encurtados: eles escondem o destino original;
- marcas conhecidas em domínios desconhecidos: nome e logotipo podem ser copiados.
O próprio WhatsApp inclui pedidos para tocar em links e solicitações de informações pessoais entre sinais que podem indicar mensagens suspeitas.
E se aparecer o cadeado do navegador?
O cadeado ou HTTPS indica proteção da conexão entre seu navegador e aquele site.
Porém, isso não comprova que a empresa por trás da página seja legítima.
Consequentemente, um site fraudulento também pode apresentar aparência profissional.
Por isso, se a mensagem envolve dinheiro, senha, códigos ou dados pessoais, a melhor decisão continua sendo abandonar aquele caminho e acessar o serviço por conta própria.
“Troquei de número”: como conferir antes de fazer Pix
A mensagem chega de um número novo.
A foto parece familiar.
Em seguida, surge uma explicação plausível:
“Meu celular estragou e estou usando este número agora. Preciso pagar uma conta urgente. Você consegue fazer um Pix?”
O primeiro erro seria perguntar:
“É você mesmo?”
Afinal, o golpista obviamente pode responder “sim”.
Faça uma pergunta ou ação que retire dele o controle.
Por exemplo:
- ligue para o número antigo;
- faça uma chamada de vídeo;
- procure a pessoa por outro canal;
- confirme com outro familiar.
A Febraban recomenda justamente confirmar por outro meio antes de realizar transações quando um contato conhecido aparece utilizando um novo número.
Foto é identificação visual. Não é autenticação.
Falso banco ou falsa central de atendimento
Outra abordagem perigosa começa com um suposto problema:
“Detectamos uma compra suspeita.”
Depois vem a solução:
“Clique aqui para cancelar.”
É aí que a vítima precisa inverter a lógica.
Uma mensagem que informa um problema não precisa ser usada para resolver o problema.
Portanto, abra diretamente o aplicativo oficial do banco.
Se realmente houver uma compra suspeita, procure notificações, extrato ou os canais de atendimento disponíveis dentro do próprio aplicativo.
Em julho de 2026, a Febraban voltou a alertar para versões sofisticadas de falsa central, envolvendo ligações, mensagens e técnicas destinadas a obter dados ou induzir transferências.
Simulação de 30 segundos
Mensagem:
“Identificamos uma compra de R$ 1.897. Caso não reconheça, clique imediatamente para bloquear.”
Reação arriscada:
Medo → valor alto → clique.
Reação segura:
Medo → não toca em nada → abre o aplicativo oficial → verifica movimentações → usa o atendimento oficial se necessário.
Perceba o detalhe: a própria mensagem criou o problema e apresentou o caminho para resolvê-lo.
Esse é justamente o caminho que você deve evitar.
Falsa entrega: cuidado com a pequena taxa
Outra mensagem frequente diz algo parecido com:
“Sua encomenda está retida. Pague R$ 4,90 para evitar a devolução.”
O baixo valor diminui a resistência.
A pessoa pensa:
“Por esse valor, vou pagar logo.”
No entanto, o verdadeiro objetivo pode ser levar a vítima para um site falso, coletar dados ou receber o pagamento fraudulento.
A Serasa descreve golpes de falsa entrega nos quais criminosos enviam mensagens por WhatsApp, SMS ou e-mail, alegam pendências e direcionam consumidores para links fraudulentos.
Por isso:
Quanto menor a cobrança, maior a tentação de não conferir. Confira mesmo assim.
Abra o aplicativo onde realizou a compra ou consulte diretamente o serviço oficial de rastreamento.
Golpe usando CPF, imposto ou nome de órgão público
Mensagens envolvendo governo costumam carregar uma aparência de autoridade.
Por exemplo:
- “Seu CPF será suspenso.”
- “Existe uma restituição disponível.”
- “Seu benefício precisa ser atualizado.”
- “Regularize sua situação hoje.”
- “Existe uma pendência vinculada ao seu CPF.”
Entretanto, saber seus dados não comprova identidade.
O alerta do CISC de fevereiro de 2026 documentou justamente o uso de informações pessoais verdadeiras em abordagens falsas que se passavam por entidades governamentais.
Portanto:
Quanto maior a autoridade alegada, maior deve ser a independência da verificação.
Não comece pelo link.
Comece pelo serviço oficial que você mesmo procurar.
Falsa vaga de emprego pelo WhatsApp
Uma oferta de trabalho inesperada também pode esconder uma fraude.
Antes de continuar a conversa, pergunte:
- Eu me candidatei? Se nunca enviou currículo para aquela oportunidade, aumente a cautela.
- A vaga existe no canal oficial? Procure o site de carreiras da empresa.
- Há cobrança? Taxa para participar, comprar material ou garantir contratação é um forte alerta.
- Pedem curso obrigatório pago? Não transfira dinheiro simplesmente para permanecer em uma seleção.
- Tudo acontece apenas pelo WhatsApp? Tente encontrar uma confirmação institucional.
- Estão pedindo documentos cedo demais? Questione a necessidade antes de enviar dados sensíveis.
Golpes de emprego podem envolver falsos recrutadores, links para coleta de dados e até cobranças relacionadas ao processo seletivo.
Nunca forneça o código que chegou por SMS
Esta regra merece ser direta:
Código de confirmação não é informação para passar a um atendente.
A Febraban descreve golpes em que o criminoso se passa por empresa e pede o código enviado por SMS sob a justificativa de “atualização”, “manutenção” ou “confirmação de cadastro”.
Além disso, o próprio WhatsApp orienta a não compartilhar o código de confirmação nem a senha da verificação em duas etapas.
Se chegou um código que você não pediu, não repasse.
O que verificar antes de confirmar um Pix
A tela final do Pix não deve funcionar apenas como o botão “continuar”.
Transforme-a em sua última barreira de segurança.
Antes de confirmar, confira:
- Nome do destinatário: corresponde à pessoa ou empresa esperada?
- Conta diferente: alguém mudou repentinamente os dados para pagamento?
- Pessoa física: uma cobrança apresentada como empresarial está indo para outra pessoa?
- Intermediário: apareceu um beneficiário que ninguém mencionou antes?
- Chave Pix nova: por que a chave mudou?
- Urgência: estão pressionando para que você não confira?
Se qualquer elemento parecer estranho, pare.
Volte à segunda rota e confirme novamente.
Fiz um Pix para um golpista: o que fazer
Aqui, velocidade importa.
O Banco Central orienta a vítima a procurar sua instituição financeira, relatar a fraude e solicitar os procedimentos de devolução. Também recomenda registrar ocorrência policial.
O Pix possui o Mecanismo Especial de Devolução (MED). Segundo o Banco Central, a contestação deve ser registrada na instituição financeira e o mecanismo pode ser utilizado em situações de fraude, golpe ou crime.
Porém, existe um detalhe importante:
MED não significa garantia de recuperação do dinheiro.
A devolução depende da análise e de fatores como disponibilidade dos recursos na conta envolvida.
Portanto:
- Entre imediatamente no aplicativo ou canal oficial do banco.
- Informe que ocorreu uma fraude.
- Solicite a contestação e os procedimentos relacionados ao MED.
- Guarde conversas, números, comprovantes e outros registros.
- Registre uma ocorrência policial.
Cliquei no link: e agora?
Nem todo clique produz a mesma exposição. Portanto, observe o que aconteceu depois.
Clicou, mas não informou nada
Feche a página.
Não baixe arquivos e não siga novas instruções.
Além disso, se algum arquivo foi baixado automaticamente, não o execute.
Informou senha ou dados
Acesse o serviço pelo aplicativo ou endereço oficial.
Em seguida:
- altere sua senha;
- encerre sessões desconhecidas quando possível;
- confira dispositivos conectados;
- ative recursos adicionais de proteção.
Informou código de confirmação
Se o código estiver relacionado ao WhatsApp, trate a situação como possível tentativa de tomada da conta.
O próprio serviço explica que um terceiro precisa do código enviado ao seu número para concluir uma tentativa de registro.
Fez Pix
Procure o banco imediatamente e solicite os procedimentos de contestação e MED.
O WhatsApp tem criptografia. Então como acontecem golpes?
A criptografia de uma conversa resolve um problema diferente.
Ela protege a comunicação durante a transmissão.
Entretanto, não consegue garantir que a pessoa do outro lado esteja dizendo a verdade.
Uma analogia ajuda:
Uma carta pode chegar fechada e intacta. Isso não significa que o autor da carta seja quem afirma ser.
Consequentemente, segurança da comunicação e confiança no remetente são duas coisas diferentes.
É por isso que ainda existem mecanismos adicionais de proteção, verificação, bloqueio e denúncia.
Como deixar sua conta do WhatsApp mais protegida
A prevenção não termina quando você fecha uma mensagem suspeita.
O próprio WhatsApp oferece verificação em duas etapas, recurso opcional que adiciona outra camada de segurança à conta.
Além disso:
- Nunca compartilhe seu código de confirmação.
- Não informe sua senha/PIN a terceiros.
- Verifique dispositivos conectados à sua conta.
- Use somente versões oficiais do aplicativo.
- Desconfie de tentativas de registro que você não iniciou.
Cinco minutos hoje podem evitar uma conta roubada amanhã
Para conferir a proteção da conta, entre nas configurações do WhatsApp e procure as opções de Conta e verificação em duas etapas.
O WhatsApp recomenda oficialmente a ativação desse recurso.
O que fazer com um contato suspeito
Evite transformar a conversa em uma disputa.
Não tente descobrir “até onde o golpista vai”.
Em vez disso:
- pare de responder;
- não forneça novos dados;
- faça capturas de tela se precisar preservar provas;
- bloqueie o contato;
- utilize a ferramenta de denúncia do aplicativo;
- se alguém estiver se passando por você, avise seus contatos por um canal legítimo.
Quanto menos interação houver, menor será a oportunidade para novas tentativas de persuasão.
Checklist de 30 segundos antes de clicar
Recebeu uma mensagem inesperada?
Faça esta verificação:
- Quem enviou? Eu reconheço realmente o remetente?
- Eu esperava esse contato? Existe contexto para a mensagem?
- Existe urgência? Querem que eu aja imediatamente?
- Existe ameaça? Estão falando em bloqueio, dívida ou perda?
- Existe promessa exagerada? Prêmio, desconto ou vantagem inesperada?
- Pedem código? Não forneça.
- Pedem senha? Não forneça.
- Pedem Pix? Confirme o destinatário.
- Pedem aplicativo? Interrompa e verifique.
- O número mudou? Procure o contato antigo.
- Posso confirmar em outro canal? Faça isso.
- Posso abrir o aplicativo oficial em vez do link? Prefira esse caminho.
Se surgir qualquer inconsistência:
Não clique, não responda e confirme por uma segunda rota.
Perguntas frequentes sobre golpes no WhatsApp
Como saber se uma mensagem do WhatsApp é golpe?
Observe contexto, urgência, pedidos de dinheiro, senhas, códigos, instalação de aplicativos e links. Porém, o teste mais forte é verificar a história por outro canal independente.
É perigoso apenas clicar em um link do WhatsApp?
O risco depende do destino e das ações posteriores. Por isso, links inesperados não devem ser usados como ponto de partida para resolver problemas envolvendo dinheiro, contas ou dados pessoais.
Como conferir um link sem abri-lo?
Observe o domínio exibido e procure erros, letras extras ou palavras adicionadas. Ainda assim, para situações sensíveis, prefira abrir manualmente o aplicativo ou site oficial.
O que fazer quando alguém pede dinheiro de um número novo?
Não transfira imediatamente. Ligue para o número antigo, faça uma chamada de vídeo ou confirme a identidade por outro meio.
Por que nunca devo passar o código do WhatsApp?
Porque esse código participa do processo de registro da conta. O WhatsApp orienta explicitamente a não compartilhá-lo.
Uma empresa verdadeira pode chamar pelo WhatsApp?
Pode. Entretanto, a existência de empresas legítimas no WhatsApp não torna qualquer mensagem automaticamente confiável. Solicitações sensíveis devem ser confirmadas por canais oficiais.
Como saber se quem está falando comigo é realmente meu banco?
Não dependa do número, fotografia ou mensagem. Abra o aplicativo bancário ou procure um canal oficial independente. A Febraban recomenda esse tipo de verificação em contatos suspeitos.
O que fazer depois de clicar em um link falso?
Interrompa a navegação. Se informou credenciais, altere-as pelo canal oficial. Se instalou algo ou concedeu acesso, revise imediatamente a segurança do dispositivo e das contas relacionadas.
O que fazer se fiz um Pix para um golpista?
Entre rapidamente em contato com sua instituição financeira, comunique a fraude, solicite os procedimentos relacionados ao MED e registre ocorrência policial.
Uma regra que vale até para o próximo golpe que ainda nem existe
Criminosos podem trocar o texto, o número, a empresa imitada e até a tecnologia usada.
Porém, uma característica costuma permanecer: eles precisam convencer você a seguir o caminho que prepararam.
É por isso que aprender a investigar uma mensagem é mais útil do que decorar uma lista infinita de golpes.
Quando surgir uma cobrança, um problema bancário, uma encomenda retida ou um familiar pedindo dinheiro, lembre-se:
saia da conversa, procure uma segunda rota e confirme antes de agir.
Alguns segundos de verificação podem separar uma mensagem assustadora de um prejuízo real — e transformar a dúvida em uma decisão consciente.
