Golpe de falso reembolso: por que pedem seus dados bancários
Uma mensagem informa que você tem dinheiro para receber. Pode ser o reembolso de uma compra, a devolução de uma cobrança, uma indenização, um estorno ou até um valor supostamente pago a mais. Para liberar o dinheiro, o remetente pede seus dados bancários ou envia um link para você preencher um formulário.
A promessa parece simples, mas pode esconder uma tentativa de fraude.
No golpe do falso reembolso, a possibilidade de receber dinheiro é usada para convencer a vítima a fornecer informações pessoais, bancárias ou credenciais. Em outras variações, o objetivo é fazer a pessoa acessar uma página falsa, instalar um aplicativo ou realizar algum pagamento antecipado.
A principal dificuldade está em diferenciar uma solicitação legítima de uma abordagem fraudulenta, já que empresas verdadeiras também podem precisar de algumas informações para devolver valores.
Por que golpistas querem seus dados bancários?
Nem todo dado bancário permite movimentar uma conta sozinho. Saber apenas o número da agência e da conta, por exemplo, não equivale a possuir a senha do aplicativo bancário.
O problema aparece quando essas informações são combinadas com outros dados.
Nome completo, CPF, telefone, e-mail, banco utilizado e outras informações podem ajudar criminosos a construir abordagens mais convincentes. Quanto mais informações possuem sobre uma pessoa, mais fácil pode ser personalizar novas tentativas de fraude.
A Federação Brasileira de Bancos, a Febraban, alerta que criminosos podem utilizar engenharia social e se passar por instituições financeiras para tentar obter senhas e outras informações.
O falso reembolso pode funcionar justamente como uma etapa dessa coleta.
O golpe pode começar com informações verdadeiras
Uma característica perigosa desse tipo de fraude é que o criminoso não precisa começar do zero.
Imagine receber uma mensagem contendo seu nome, telefone e informações sobre uma empresa da qual você realmente é cliente. Isso pode tornar a abordagem muito mais convincente.
Ainda assim, conhecer alguns de seus dados não comprova que a pessoa esteja falando em nome daquela empresa.
Informações pessoais podem ter diferentes origens, inclusive exposições anteriores de dados. Por isso, a identidade de quem entrou em contato deve ser confirmada por outro canal.
Se uma loja diz que existe um reembolso, por exemplo, encerre a conversa e procure o atendimento diretamente pelo aplicativo ou site oficial da empresa.
Cuidado quando pedirem senha, código ou token
Uma empresa pode eventualmente precisar de informações para identificar o cliente ou realizar determinado pagamento. Isso é completamente diferente de solicitar credenciais secretas.
Senhas bancárias, códigos de autenticação e tokens não devem ser entregues a terceiros.
O Banco Central orienta os consumidores a nunca fornecer senhas ou códigos de acesso fora do site ou aplicativo da instituição financeira.
Essa regra ajuda a identificar muitas fraudes.
Se alguém disser que precisa do código recebido por SMS para “confirmar o reembolso”, interrompa o procedimento. Leia também a mensagem que acompanha o código. Muitas vezes ela informa exatamente qual operação está sendo autorizada.
O link para receber o reembolso pode ser a verdadeira armadilha
Em muitas fraudes, pedir os dados bancários é apenas parte da história.
A mensagem contém um endereço que supostamente leva à página onde o usuário poderá receber o dinheiro. O site pode imitar a identidade visual de uma empresa, instituição financeira ou serviço conhecido.
Depois, começa a coleta de informações.
Primeiro pode ser solicitado CPF e nome. Na página seguinte aparecem dados bancários. Depois, senha, cartão ou código de confirmação.
Essa técnica é conhecida como phishing.
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, o CERT.br, descreve phishing como fraude na qual o criminoso tenta obter dados pessoais e financeiros combinando meios técnicos e engenharia social.
Taxa para liberar reembolso é um forte sinal de alerta
Outra variação aparece quando existe uma pequena cobrança antes do recebimento.
A vítima é informada de que possui, por exemplo, R$ 1.000 a receber, mas precisa pagar uma “taxa de liberação”, “tarifa administrativa”, “imposto” ou “validação” para que o valor seja depositado.
O pagamento antecipado é justamente o objetivo da fraude.
Às vezes, a quantia inicial é pequena para reduzir a resistência. Depois do primeiro pagamento podem aparecer novas cobranças.
Por isso, diante de uma promessa inesperada de dinheiro condicionada a um pagamento prévio, não transfira nada antes de confirmar a situação diretamente com a organização supostamente responsável.
Existe uma diferença entre dados para depósito e dados para acesso
Essa distinção é fundamental.
Algumas informações podem ser necessárias para que uma empresa efetue um pagamento. Uma instituição pode, dependendo do procedimento utilizado, solicitar dados para identificar corretamente o beneficiário.
Isso não significa que seja normal pedir tudo relacionado à sua conta.
Dados destinados a identificar onde o dinheiro será depositado não são equivalentes a credenciais que permitem autenticar operações.
Uma senha, código temporário, token ou confirmação dentro do aplicativo bancário merece atenção especial.
Se uma pessoa diz que está enviando dinheiro para você, mas pede que aprove uma operação que não entende, não confirme.
Também podem pedir dados do cartão
Um falso reembolso pode assumir a aparência de uma devolução relacionada ao cartão de crédito.
O criminoso argumenta que precisa do número completo do cartão, data de validade, código de segurança e outros dados para devolver o valor.
Não forneça essas informações com base em um contato inesperado.
Quando houver um reembolso verdadeiro de uma compra feita com cartão, consulte o estabelecimento e a instituição emissora pelos canais oficiais para saber como aquele procedimento específico funciona.
O caminho mais seguro é iniciar você mesmo o contato.
Como verificar se o reembolso realmente existe
Antes de fornecer qualquer informação, procure evidências independentes da mensagem recebida.
Se a suposta devolução estiver relacionada a uma compra, entre no aplicativo ou site oficial da loja e consulte o pedido. Se envolver uma instituição financeira, abra o aplicativo bancário instalado no seu aparelho.
Não utilize o link enviado na própria mensagem suspeita para fazer essa verificação.
Também não ligue automaticamente para o telefone informado pelo remetente. Procure o número oficial no aplicativo, cartão ou site legítimo da organização.
Essa separação de canais é importante porque impede que o próprio golpista controle tanto a mensagem inicial quanto a falsa “confirmação”.
Desconfie da urgência
Fraudes financeiras frequentemente tentam reduzir o tempo disponível para pensar.
“Seu reembolso expira hoje.”
“Confirme os dados nos próximos 10 minutos.”
“Última oportunidade para receber.”
“Se não responder agora, o valor será cancelado.”
Uma devolução legítima pode possuir prazos, mas a existência de pressão não é motivo para ignorar verificações de segurança.
Quanto maior a urgência apresentada, mais importante é confirmar a informação por um canal independente antes de tomar qualquer decisão.
O que fazer se você já informou seus dados
A resposta depende do que foi compartilhado.
Se você forneceu apenas informações básicas, fique especialmente atento a novas mensagens e ligações. Os dados podem ser usados para tornar contatos posteriores mais convincentes.
Se entregou senha bancária, dados completos de cartão, códigos de autenticação ou aprovou alguma operação, entre imediatamente em contato com sua instituição financeira utilizando os canais oficiais.
Troque credenciais comprometidas quando aplicável e siga as orientações fornecidas pelo banco.
Caso tenha ocorrido uma transação Pix decorrente de fraude, informe a instituição financeira rapidamente. O Banco Central mantém o Mecanismo Especial de Devolução, o MED, para situações específicas de fraude envolvendo Pix. A existência do mecanismo, entretanto, não garante que o dinheiro será recuperado.
Também preserve as evidências da abordagem, como mensagens, números utilizados, endereços de páginas, comprovantes e registros das transações.
Não instale aplicativos indicados pelo suposto atendente
Algumas fraudes evoluem da coleta de dados para uma tentativa de acesso ao aparelho.
A pessoa que promete o reembolso pode dizer que existe um problema e pedir a instalação de um aplicativo para “liberar o pagamento”, “corrigir a conta” ou permitir que um técnico ajude remotamente.
Não instale aplicativos de acesso remoto ou programas desconhecidos seguindo instruções de contatos inesperados.
Da mesma forma, não compartilhe a tela do celular durante operações bancárias e não permita que desconhecidos orientem passo a passo o que deve ser feito dentro do aplicativo do banco.
Se realmente existir um problema com um reembolso, procure você mesmo a empresa responsável.
Um reembolso verdadeiro não precisa parecer secreto
Fraudes prosperam quando a vítima passa a seguir exclusivamente as instruções do criminoso.
Por isso, uma boa defesa é interromper a comunicação e reconstruir o caminho por conta própria.
Recebeu uma mensagem de uma loja? Abra o aplicativo oficial da loja.
Recebeu uma ligação supostamente do banco? Encerre a chamada e procure o banco por um canal oficial.
Recebeu um e-mail sobre uma devolução? Entre na sua conta digitando você mesmo o endereço conhecido do serviço, em vez de utilizar o botão recebido.
E, principalmente, nunca forneça senhas, códigos de autenticação ou credenciais secretas apenas para receber dinheiro.
A promessa de reembolso pode ser apenas a justificativa utilizada para iniciar a conversa. O verdadeiro objetivo pode ser obter informações suficientes para uma segunda fraude, capturar credenciais ou convencer a vítima a realizar uma transferência. Quando houver dinheiro inesperado a receber, confirmar primeiro e fornecer dados somente pelo canal oficial é muito mais seguro do que confiar na mensagem que trouxe a notícia.
Fontes consultadas
Banco Central do Brasil, segurança e prevenção a golpes
Banco Central do Brasil, Mecanismo Especial de Devolução do Pix