Phishing: iscas, finalidades e crimes de cada golpe

Um SMS diz que você tem uma multa para pagar. Uma mensagem no Instagram avisa que seu perfil vai ganhar o selo de verificado. Um e-mail do fornecedor informa que a conta bancária para pagamento mudou. Uma página do “governo” oferece dinheiro esquecido para resgatar. As histórias são diferentes, mas o caminho é quase sempre o mesmo: um link, uma página ou uma ligação falsa que leva a vítima a entregar dinheiro, senha, código ou dados. Esse caminho tem nome: phishing, a “pescaria digital”.

Este guia é o ponto de partida de uma nova série do site. A ideia é simples e muito útil para vítimas, policiais e concurseiros: o phishing é o anzol, a engenharia social é a isca e o fim imediato do criminoso é o que define o crime. A mesma mensagem pode configurar fraude eletrônica, furto mediante fraude, invasão de dispositivo ou extorsão, dependendo do que o golpista faz depois que a vítima morde a isca.

Aviso Editorial

Este conteúdo tem finalidade informativa e educativa. Foi elaborado exclusivamente com base em fontes públicas, citadas ao longo do texto. Nos casos reais, vítimas e investigados não são identificados; os casos ilustrativos são fictícios. A descrição dos golpes é propositalmente conceitual, sem roteiros, modelos de mensagem ou instruções técnicas: o objetivo é permitir que você reconheça e previna o crime, não ensinar a praticá-lo. O texto será atualizado se surgirem fatos novos ou mudanças legislativas relevantes.

O link falso é sempre parecido; o que muda é a história contada e o que o golpista quer no fim. Este guia organiza os golpes de phishing por isca e por finalidade, mostra o crime de cada um, traz casos reais e ensina a se proteger.

1. Resumo

No phishing, o criminoso se passa por alguém em quem a vítima confia (banco, órgão público, empresa, parente, plataforma) e a conduz a um ato que a prejudica: pagar, digitar a senha, repassar um código, instalar um aplicativo ou enviar uma foto. O meio muda pouco. O que muda é a história contada e o objetivo final: ganhar dinheiro na hora, tomar uma conta, chantagear, sabotar, colher dados para golpes futuros, aliciar ou vigiar alguém.

2. Conceito: anzol, isca e peixe

Três ideias ajudam a entender qualquer golpe digital:

O anzol (o meio): o phishing propriamente dito, isto é, a página, o link, o arquivo, o perfil ou a ligação falsa que imita uma fonte confiável.
A isca (o método): a engenharia social, ou seja, a história que convence a vítima. Pode ser uma dívida, um prêmio, um parente em apuros, um amor, um emprego, uma ameaça.
O peixe (o fim): o que o criminoso quer obter. É aqui que o Direito Penal decide qual crime foi cometido.

O anzol também chega por caminhos diferentes, e cada um ganhou um nome próprio. Conhecer os nomes ajuda a reconhecer o golpe:

Smishing: o phishing por SMS (veja as novas regras contra golpes por mensagem).
Vishing: o phishing por voz, muitas vezes com o número falsificado na tela (spoofing) ou com voz clonada por inteligência artificial.
Quishing: o phishing por QR Code.
Phishing por mensageiro: o link “urgente” no WhatsApp e no Telegram.
Anúncio patrocinado falso: a página do golpe aparece paga, no topo das buscas ou das redes sociais, acima do site verdadeiro.
Spear phishing: o ataque sob medida, com nome, cargo e dados reais da vítima, comum contra empresas.

3. Os números

Segundo o 20º Anuário Brasileiro de Segurança Pública, divulgado em julho de 2026, o Brasil registrou 2.261.055 estelionatos em 2025, contra 927.898 em 2020, alta de cerca de 144% em cinco anos.
Pelo Panorama de Ameaças da Kaspersky, o Brasil teve 553 milhões de detecções de phishing entre junho de 2024 e maio de 2025, crescimento de 80% sobre o período anterior. É uma média de 1,5 milhão de tentativas por dia.
A Febraban inclui o phishing entre os golpes mais aplicados contra clientes bancários, ao lado do golpe do WhatsApp, das falsas vendas e da falsa central.

Esses números têm uma leitura prática: o phishing é barato, automatizado e disparado em massa. O criminoso não precisa enganar todo mundo, basta que uma pequena parte morda a isca.

4. As vulnerabilidades exploradas

A confiança na marca: logotipos, cores e linguagem de bancos, órgãos públicos e empresas são copiados com facilidade, hoje até com inteligência artificial.
Dados pessoais vazados: nome, CPF, endereço e código de encomenda dão credibilidade à mensagem, como no SMS falso dos Correios.
Perfis abertos nas redes: fotos de família, local de trabalho e rotina viram roteiro para o golpe do falso parente.
Contas sem verificação em duas etapas e senhas repetidas em vários serviços.
Anúncios e domínios mal fiscalizados: páginas falsas impulsionadas por anúncios pagos chegam a milhões de pessoas.
Processos frágeis nas empresas: pagamentos alterados por simples e-mail, sem confirmação por telefone com o fornecedor.

5. Modus operandi: as fases do golpe

A descrição é conceitual, apenas para que a vítima reconheça o golpe em andamento:

Preparação: o criminoso compra ou monta uma página falsa (há quem venda “kits” prontos), consegue listas de telefones e e-mails e, às vezes, dados reais das vítimas.
Abordagem: a isca chega por SMS, e-mail, WhatsApp, rede social, anúncio ou ligação.
Gatilho emocional: urgência, medo, ganância, afeto ou autoridade empurram a vítima a agir sem pensar.
Captura: a vítima paga, digita a senha, repassa um código, instala um aplicativo ou envia uma imagem.
Monetização: o dinheiro passa por contas laranja; a conta tomada é usada ou “devolvida” mediante pagamento; os dados são vendidos ou reaproveitados em novos golpes.

6. Gatilhos psicológicos explorados

Urgência: “pague hoje ou a multa dobra”, “sua conta será bloqueada em 24 horas”.
Autoridade: o nome do banco, da polícia, do tribunal, do governo ou do chefe.
Medo: ameaça de prisão, de exposição de fotos, de perda da conta.
Ganância e oportunidade: prêmio, dinheiro esquecido, investimento milagroso, renda extra.
Afeto e vaidade: o filho que precisa de ajuda, o novo amor, o selo de verificado no perfil.

7. O mapa: as iscas e o que o criminoso quer em cada uma

Agrupamos os golpes pela finalidade imediata do criminoso. Em cada grupo, você encontra as iscas mais comuns, o crime principal e as postagens do site que tratam de cada golpe em detalhe.

7.1. Fim: dinheiro na hora (fraude)

É o grupo mais numeroso. A vítima é levada a pagar ou a entregar o acesso que permite ao criminoso tirar o dinheiro. Iscas típicas: falsa central do banco, falso motoboy, falso parente com “número novo”, falso delegado ou advogado, taxa falsa (Correios, multa, Detran, pedágio), boleto falso, loja ou leilão falso, falso investimento, renda extra, golpe do amor, falso fornecedor (contra empresas). Crime principal: fraude eletrônica (art. 171, § 2º-A, do CP) quando a vítima transfere; furto mediante fraude eletrônica (art. 155, § 4º-B) quando o criminoso subtrai o dinheiro com os dados obtidos.

7.2. Fim: extorsão

Aqui o phishing serve para conseguir algo com que pressionar a vítima. Iscas típicas: falsa verificação de perfil que entrega a conta ao criminoso, que depois cobra para “devolver”; perfil falso de romance que obtém imagens íntimas; e-mail dizendo que a câmera foi invadida, com uma senha antiga vazada para assustar; ransomware que chega anexado a um e-mail. Crime principal: extorsão (art. 158 do CP), muitas vezes somada à invasão de dispositivo (art. 154-A).

7.3. Fim: tomar a conta ou o aparelho

O objetivo imediato é o acesso, que depois vira fraude contra a própria vítima ou contra seus contatos. Iscas típicas: pedido do código de verificação do WhatsApp, falsa votação, falso alerta de vírus, falso suporte técnico, falsa atualização de aplicativo, arquivo “comprovante”, falso login do e-mail corporativo. Crime principal: invasão de dispositivo informático (art. 154-A do CP); se forem obtidas comunicações privadas ou segredos comerciais, a forma qualificada do § 3º.

7.4. Fim: dano e sabotagem

Menos comum, mas grave: o anexo ou o link abre a porta para apagar arquivos, derrubar sistemas ou destruir o perfil comercial de alguém. Crime principal: invasão de dispositivo com o fim de adulterar ou destruir dados (art. 154-A) e, se o serviço for interrompido, o art. 266, § 1º, do CP. O Código Penal não tem um tipo específico de “dano a dados”, o que torna esse enquadramento um bom tema de prova.

7.5. Fim: colher dados para golpes futuros

Muitas páginas falsas não pedem dinheiro na hora: pedem CPF, selfie, endereço, dados de cartão. Iscas típicas: falso cadastro no gov.br, falso “dinheiro esquecido”, falso benefício do INSS, falsa renegociação de dívidas, falsa prova de vida. A simples captura de dados entregues pela própria vítima tem enquadramento frágil; o crime aparece com clareza no uso posterior: abertura de contas e empréstimos em nome da vítima (falsidade ideológica, art. 299, e fraude), uso indevido de símbolos de órgãos públicos (art. 296, § 1º, III) e, para quem fabrica ou vende o kit de páginas falsas, o art. 154-A, § 1º.

7.6. Fim: aliciar e recrutar

A isca, aqui, recruta a própria vítima para o crime ou para a exploração. Iscas típicas: “empreste sua conta e ganhe uma comissão”; falsa vaga de emprego; falsa vaga no exterior que leva brasileiros a centrais de golpe; perfil falso de jovem em jogos e redes para se aproximar de crianças. Crimes: cessão de conta laranja (art. 171, § 2º, VII, do CP, incluído pela Lei 15.397/2026), aliciamento de criança (art. 241-D do ECA) e tráfico de pessoas (art. 149-A do CP).

7.7. Fim: atingir a honra, vigiar e controlar

Nem todo phishing busca dinheiro. Há quem clone o perfil de alguém para ofender terceiros ou espalhar mentiras, e há quem envie a um parceiro um link ou “presente” que instala um aplicativo espião. Crimes: falsa identidade (art. 307) e crimes contra a honra com a pena triplicada quando cometidos nas redes sociais (art. 141, § 2º); invasão de dispositivo (art. 154-A), perseguição (art. 147-A) e violência psicológica contra a mulher (art. 147-B), com as medidas da Lei Maria da Penha.

8. Crimes praticados e capitulação penal

Finalidade	Conduta	Tipo penal	Pena
Dinheiro	Induzir a vítima, por página, mensagem ou ligação falsa, a transferir ou pagar	Fraude eletrônica – art. 171, § 2º-A, do CP	Reclusão de 4 a 8 anos e multa
Dinheiro	Usar senha, cartão ou acesso obtido no golpe para tirar o dinheiro sem que a vítima perceba	Furto mediante fraude eletrônica – art. 155, § 4º-B, do CP	Reclusão de 4 a 8 anos e multa
Dinheiro	Vender, alugar ou emprestar a conta para receber o dinheiro do golpe	Cessão de conta laranja – art. 171, § 2º, VII, do CP	Reclusão de 1 a 5 anos e multa
Extorsão	Exigir pagamento sob grave ameaça (expor imagens, apagar a conta, vazar dados)	Extorsão – art. 158 do CP	Reclusão de 4 a 10 anos e multa
Acesso	Tomar conta, aparelho ou sistema sem autorização	Invasão de dispositivo informático – art. 154-A, caput, do CP	Reclusão de 1 a 4 anos e multa
Acesso	Obter conversas privadas, segredos comerciais ou o controle remoto do aparelho	Art. 154-A, § 3º, do CP	Reclusão de 2 a 5 anos e multa
Dano	Derrubar ou perturbar serviço informático ou telemático	Art. 266, § 1º, do CP	Detenção de 1 a 3 anos e multa
Dados	Produzir, vender ou distribuir kit de páginas falsas	Art. 154-A, § 1º, do CP	A mesma do caput
Dados	Usar indevidamente logotipos e símbolos de órgãos públicos	Art. 296, § 1º, III, do CP	Reclusão de 2 a 6 anos e multa
Dados	Abrir contas ou contratar em nome da vítima com os dados capturados	Falsidade ideológica – art. 299 do CP (em concurso com a fraude)	Reclusão de 1 a 5 anos (documento público) ou de 1 a 3 anos (particular) e multa
Aliciamento	Aliciar criança, por meio digital, para fins libidinosos	Art. 241-D do ECA	Reclusão de 1 a 3 anos e multa
Recrutamento	Recrutar por falsa vaga para exploração no exterior	Tráfico de pessoas – art. 149-A do CP	Reclusão de 4 a 8 anos e multa
Honra	Usar perfil clonado para se passar pela vítima	Falsa identidade – art. 307 do CP (se não houver crime mais grave)	Detenção de 3 meses a 1 ano, ou multa
Vigilância	Instalar app espião e monitorar o parceiro	Arts. 154-A, 147-A e 147-B do CP	Penas somadas conforme o concurso de crimes
Todas	Atuar em grupo estruturado e ocultar os lucros	Organização criminosa (art. 2º da Lei 12.850/2013) e lavagem de dinheiro (art. 1º da Lei 9.613/1998)	Reclusão de 3 a 8 anos e de 3 a 10 anos, respectivamente, e multa

Principais enquadramentos penais do phishing, organizados pela finalidade do criminoso.

Pontos que caem em prova (e decidem inquéritos)

Furto mediante fraude ou fraude eletrônica? A doutrina traça a linha pela entrega: no estelionato, a vítima enganada entrega o valor; no furto mediante fraude, o engano só reduz a vigilância, e o criminoso tira o dinheiro por conta própria. Na prática do phishing: se a página falsa leva a vítima a fazer a transferência, há fraude eletrônica; se ela só digita a senha e o criminoso, depois, movimenta a conta, há furto mediante fraude eletrônica. Entenda melhor em onde termina o estelionato comum e começa o § 2º-A.
Extorsão ou estelionato? O que separa os dois é a grave ameaça. O STJ já reconheceu extorsão no golpe do falso sequestro por telefone (3ª Seção, CC 129.275/RJ, Rel. Min. Laurita Vaz, j. 11/12/2013) e admitiu que a ameaça de prejuízo econômico pode configurar o crime (5ª Turma, REsp 1.207.155/RS, Rel. Min. Sebastião Reis Júnior, j. 7/11/2013, Info 531). Mas, em 2026, a 5ª Turma afirmou que a ameaça só é grave quando é capaz de gerar fundado temor na vítima, e classificou como tentativa de estelionato a cobrança para devolver uma carteira perdida sob ameaça de “extraviá-la de novo” (AgRg no HC 1.066.889/SC, Rel. Min. Reynaldo Soares da Fonseca, j. 9/9/2026, Info 904; veja o nosso comentário). Na cobrança para “devolver” um perfil, a análise é do caso concreto: o perfil profissional de quem vive dele, ou a ameaça de expor conteúdo íntimo, tende a gerar esse temor.
Extorsão consumada ou tentada? A extorsão é crime formal (Súmula 96 do STJ), mas a 3ª Seção do STJ decidiu que ela fica na tentativa quando a vítima, apesar da ameaça, não pratica nenhuma conduta exigida e apenas procura a polícia (EAREsp 2.819.893/SP, Rel. Min. Ribeiro Dantas, j. 10/6/2026, Info 895), num caso de ameaça de divulgar vídeo íntimo.
Ação penal. A Lei 15.397/2026 revogou o § 5º do art. 171: para fatos a partir de 04/05/2026, o estelionato é de ação pública incondicionada. A invasão de dispositivo continua dependendo de representação, salvo contra a administração pública ou concessionárias (art. 154-B). Furto mediante fraude e extorsão são de ação pública incondicionada.
O titular da conta laranja. Quem vende, aluga ou empresta a conta para receber o dinheiro responde pelo crime de cessão de conta laranja (art. 171, § 2º, VII, do Código Penal), com pena de 1 a 5 anos. Veja as quatro faces do “laranja”.

9. O efeito cascata: os crimes que vêm depois

Golpes contra os contatos: a conta tomada pede dinheiro a amigos e familiares, vende produtos falsos ou espalha o mesmo link.
Contas e empréstimos em nome da vítima: com CPF e selfie capturados, criminosos abrem contas digitais, usadas como laranja (veja a fraude no onboarding).
Venda de dados e senhas: as listas alimentam o credential stuffing e golpes ainda mais personalizados.
Chantagem posterior: conversas e imagens obtidas com a conta invadida viram material de extorsão.
Lavagem de dinheiro: o valor passa por contas laranja, criptoativos e empresas de fachada.

Os crimes de amanhã. A inteligência artificial já permite páginas falsas sem erros de português, anúncios com vídeos manipulados de autoridades e mensagens sob medida para cada vítima, disparadas em escala. A tendência é que a isca fique cada vez mais convincente; a defesa, por isso, precisa se apoiar menos em “perceber o erro” e mais em hábitos fixos: nunca usar o link recebido e sempre conferir pelo canal oficial.

10. Casos reais

Operação Ad Phishing: 1.770 anúncios falsos com a imagem do governo (PF, 2026)

Em 1º de julho de 2026, a Polícia Federal cumpriu nove mandados de busca em Minas Gerais, Santa Catarina, Rio de Janeiro e São Paulo, expedidos pela Justiça Federal no Distrito Federal, contra um grupo suspeito de impulsionar anúncios que imitavam serviços e programas do governo federal, alguns com conteúdo manipulado por inteligência artificial. A investigação mapeou 1.770 anúncios ligados a dezenas de páginas e domínios. Os investigados podem responder por uso indevido de símbolos públicos, estelionato, associação criminosa, falsidade ideológica e lavagem. É o exemplo de phishing por anúncio patrocinado, com fim de dinheiro e de coleta de dados.

Operação Carteira Vazia: investimento falso no topo da busca (PCDF, 2026)

Em junho de 2026, a Delegacia de Repressão aos Crimes Cibernéticos da Polícia Civil do Distrito Federal prendeu dois irmãos suspeitos de criar páginas que imitavam plataformas de investimento. Pelo menos cinco domínios falsos eram exibidos acima dos sites verdadeiros por meio de conteúdo patrocinado, e o prejuízo apurado foi de cerca de R$ 300 mil. A isca era a própria busca do investidor.

Operação Cobrança Verdadeira: o boleto trocado da empresa (PCGO, 2025)

Em 24 de setembro de 2025, a Polícia Civil de Goiás prendeu preventivamente, em Aparecida de Goiânia, um homem de 27 anos investigado pelo golpe do boleto falso contra uma empresa, que pagou um boleto adulterado e perdeu mais de R$ 74 mil. Segundo a polícia, o suspeito montou uma estrutura empresarial destinada apenas a receber os valores das fraudes. É o phishing corporativo, em que a isca é a rotina de pagamentos.

Operação Golpe do Amor: do flerte à chantagem (PCPB, 2026)

Em 5 de novembro de 2026, a Delegacia de Crimes Cibernéticos da Polícia Civil da Paraíba prendeu, no interior de Pernambuco, uma mulher suspeita de integrar um grupo que abordava empresários de vários estados pelo Instagram. A conversa migrava para o WhatsApp, imagens íntimas eram trocadas e, depois, vinha a ameaça de divulgação para exigir dinheiro. A vítima paraibana chegou a pagar antes de procurar a polícia. Aqui, a mesma isca do golpe do amor tem como fim a extorsão.

O fabricante de kits de phishing preso na Espanha (2025)

Em outubro de 2025, a Guarda Civil espanhola, com a colaboração da Polícia Federal brasileira, prendeu na Cantábria um brasileiro de 25 anos apontado como principal fornecedor de kits de phishing do país. Segundo as autoridades espanholas, ele vendia por grupos de Telegram páginas prontas que imitavam bancos e órgãos públicos, usadas por outros criminosos em campanhas desde pelo menos 2023. O caso mostra o “phishing como serviço”: quem fabrica a ferramenta raramente é quem aplica o golpe.

11. Casos ilustrativos (fictícios): a mesma isca, crimes diferentes

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas ou fatos reais é coincidência.

Caso 1 – A multa que não existia. Dona Célia recebe um SMS sobre uma multa de trânsito “com desconto até hoje” e paga R$ 187 por Pix na página indicada. Enquadramento possível: fraude eletrônica (art. 171, § 2º-A), com o aumento de pena do § 4º por ser vítima idosa, e uso indevido de símbolos públicos se a página imitava o órgão de trânsito.

Caso 2 – O mesmo SMS, outro desfecho. Seu Antônio recebe a mesma mensagem, mas a página pede o login do aplicativo do banco “para emitir a guia”. Ele digita a senha e não paga nada. Horas depois, o criminoso entra na conta e faz três transferências. Enquadramento possível: furto mediante fraude eletrônica (art. 155, § 4º-B), porque o dinheiro foi tirado sem que a vítima o entregasse.

Caso 3 – O selo azul da confeitaria. Júlia vende bolos pelo Instagram. Recebe uma mensagem oferecendo o selo de verificado, entra num link e confirma um código. Perde o acesso ao perfil, que passa a anunciar “promoções” falsas aos seus clientes. No dia seguinte, o criminoso exige R$ 2 mil para devolver a conta. Enquadramento possível: invasão de dispositivo (art. 154-A), extorsão (art. 158), se a ameaça de perder o perfil de que ela vive for considerada grave, e fraude eletrônica contra os clientes enganados.

Caso 4 – O fornecedor que “mudou de banco”. O setor financeiro de uma distribuidora recebe, do e-mail que parece ser do fornecedor de sempre, um aviso de nova conta para pagamento e um boleto atualizado. Ninguém liga para confirmar. A empresa paga R$ 48 mil. Enquadramento possível: fraude eletrônica (art. 171, § 2º-A); se o e-mail verdadeiro do fornecedor foi invadido, também invasão de dispositivo (art. 154-A, § 3º); e cessão de conta laranja para quem emprestou a conta de destino.

12. Sinais de alerta (checklist)

Mensagem que pede ação imediata: pagar hoje, confirmar agora, “últimas horas”.
Link encurtado, endereço com letras trocadas ou domínio que não é o oficial.
Pedido de senha, código de verificação, token, selfie ou foto de documento.
Pix para conta de pessoa física ou de empresa com nome diferente do órgão ou do fornecedor.
Oferta boa demais: prêmio, dinheiro esquecido, desconto enorme, lucro garantido.
Ameaça: prisão, processo, exposição de fotos, bloqueio da conta.
Pedido de sigilo: “não conte para ninguém”, “não ligue para o banco”.
Anúncio patrocinado que leva a um endereço diferente do site oficial.

13. Prevenção

Para você e sua família

Nunca use o link recebido. Digite o endereço oficial ou abra o aplicativo do banco, do órgão ou da loja.
Confirme por outro canal. Ligue para o número que você já conhece, nunca para o número da mensagem.
Código não se repassa. Nenhum banco, plataforma ou órgão pede código de verificação por mensagem ou telefone.
Ative a verificação em duas etapas no WhatsApp, no Instagram, no e-mail e no gov.br (veja o checklist de 2 minutos).
Use senhas diferentes em cada serviço e, se possível, um gerenciador de senhas.
Feche o perfil e reduza informações sobre família, rotina e trabalho nas redes.
Combine uma palavra-chave com a família para pedidos de dinheiro urgentes.
Desconfie de anúncios: o primeiro resultado da busca pode ser pago pelo golpista.

Para empresas e órgãos públicos

Regra de ouro dos pagamentos: toda mudança de conta bancária de fornecedor é confirmada por telefone, com contato já cadastrado, antes do pagamento.
Dupla aprovação para pagamentos acima de um valor definido.
Treinamento periódico e simulações de phishing com os funcionários.
Verificação em duas etapas obrigatória no e-mail corporativo e nas redes da empresa.
Proteção do domínio (configurações que dificultam que e-mails falsos usem o nome da empresa) e monitoramento de domínios parecidos.
Plano de resposta: quem avisa o banco, quem preserva as provas, quem registra a ocorrência e quem comunica a ANPD, se houver dados pessoais envolvidos (art. 48 da LGPD).

14. Já fui vítima: o que fazer

Ligue para o banco imediatamente pelo número do cartão ou do aplicativo. Peça o bloqueio e a abertura do MED (Mecanismo Especial de Devolução do Pix), de preferência nas primeiras horas.
Recupere as contas: troque senhas, encerre sessões abertas e use os canais oficiais de recuperação (no Instagram, a página oficial de conta invadida).
Não pague resgate nem chantagem. Pagar não garante a devolução e costuma gerar novas cobranças.
Preserve as provas: prints com o endereço da página, data e hora; o número ou perfil do golpista; comprovantes; e-mails. Não apague as conversas (veja como guardar as provas).
Registre boletim de ocorrência na delegacia ou na delegacia virtual do seu estado.
Denuncie o perfil, o número, o anúncio ou a página na própria plataforma.
Consulte o Registrato do Banco Central para ver contas e empréstimos em seu nome e, se a empresa não resolver, reclame no consumidor.gov.br.
Avise seus contatos se a sua conta foi usada para pedir dinheiro.

15. Públicos mais vulneráveis e cuidados específicos

Idosos: mais expostos a falsas centrais, falso parente e taxas falsas. Combine com eles: “banco não liga pedindo nada; na dúvida, desligue e me chame”.
Pequenos comerciantes e criadores de conteúdo: alvo da falsa verificação de perfil, porque vivem do Instagram e pagam para recuperá-lo.
Setor financeiro de empresas: alvo do boleto trocado e do falso fornecedor.
Desempregados e jovens: alvo de falsas vagas e da proposta de “emprestar a conta”.
Crianças e adolescentes: alvo de perfis falsos em jogos e redes. Converse, acompanhe e use o controle parental.
Mulheres em relacionamentos abusivos: alvo de aplicativos espiões. Em caso de suspeita, procure a delegacia ou ligue 180.

16. Repressão: como a polícia investiga

Seguir o dinheiro: as contas que receberam os valores, os titulares laranja e a rota até criptoativos ou empresas de fachada.
Seguir a página: domínio, hospedagem, anunciante e meios de pagamento dos anúncios.
Requisição de registros a provedores de conexão e de aplicação (Marco Civil da Internet, Lei 12.965/2014) e quebra de sigilo telemático e bancário com autorização judicial.
Prova digital íntegra: o STJ já excluiu provas extraídas de computadores de um grupo acusado de desviar dinheiro de correntistas porque não havia registro dos procedimentos de preservação (5ª Turma, RHC 143.169/RJ, j. 7/2/2023). Em 2026, a Corte Especial afirmou que a cópia por espelhamento com código hash garante a integridade da evidência e que falhas na cadeia de custódia afetam o peso da prova, sem nulidade automática (Inq 1.674/DF, Rel. Min. Nancy Andrighi, j. 6/5/2026, Info 891).
Cooperação internacional, com base na Convenção de Budapeste, quando servidores, contas ou autores estão no exterior, como no caso do kit vendido na Espanha.

17. Guia de leitura: a série por finalidade

Esta postagem é o mapa. Cada golpe tem o seu guia próprio no site:

Dinheiro na hora (fraude)

Extorsão

Tomar a conta ou o aparelho

Coleta de dados

Aliciamento e recrutamento

Vigilância

Opinião do Autor

Quando uma vítima chega à delegacia, quase sempre começa pela história que ouviu: a multa, o filho, o selo do Instagram, o fornecedor. É natural, porque foi a história que a convenceu. Mas, para quem investiga, a pergunta decisiva é outra: o que o criminoso queria obter naquele momento? É essa resposta que separa a fraude do furto mediante fraude, a extorsão do estelionato, a invasão de dispositivo do simples engano, e ela muda a pena, a ação penal e até a linha de investigação.

Para o cidadão, a lição é ainda mais simples: as histórias mudam toda semana, o anzol quase nunca. Quem cria o hábito de não usar o link recebido, não repassar códigos e confirmar tudo pelo canal oficial se protege de golpes que ainda nem foram inventados.

Ronaldo Entringe, Delegado de Polícia Civil

Aviso de Atualização Legal: Este conteúdo reflete o panorama legislativo e o entendimento dos tribunais vigentes em novembro de 2026. Considerando a suscetibilidade de alterações no cenário normativo, recomenda-se a validação das diretrizes atuais antes de qualquer tomada de decisão. A presente publicação destina-se exclusivamente a fins informativos, não substituindo uma análise técnica e individualizada da matéria.

Fontes

Golpes digitais crescem 19% e Goiás supera mil casos de estelionato por 100 mil habitantes – Jornal Opção, julho de 2026 (dados do 20º Anuário Brasileiro de Segurança Pública).
Fique atento: Brasil registra aumento de 80% em tentativas de golpe via SMS – Viva (dados do Panorama de Ameaças da Kaspersky, junho de 2024 a maio de 2025).
Febraban divulga os 10 golpes mais aplicados contra clientes bancários – Movimento Econômico, 14/04/2025.
PF faz operação contra anúncios falsos que imitavam serviços públicos – Congresso em Foco, 01/07/2026.
PF investiga quem estaria por trás de anúncios falsos do Governo Federal – TecMundo, 02/07/2026.
Dupla presa por roubo de R$ 300 mil em plataformas de investimento falsas – Portal Tela, 17/06/2026.
PCGO deflagra operação “Cobrança Verdadeira” e prende homem por aplicar golpe do “boleto falso” – Polícia Civil de Goiás, 24/09/2025.
Polícia Civil prende mulher suspeita de extorquir empresário de João Pessoa – Jornal da Paraíba, 05/11/2026.
Detido brasileiro de 25 anos que fez “kits” para “phishing” de milhões de euros em Espanha – Correio da Manhã (Portugal), 09/10/2025.
Furto mediante fraude por meio de dispositivo eletrônico ou informático – Ricardo Antonio Andreucci, Empório do Direito.
Informativo de Jurisprudência do STJ – Superior Tribunal de Justiça (Informativos 531, 891, 895 e 904).
Cartilha de Segurança para Internet – CERT.br/NIC.br.
Código Penal e Lei 14.155/2021 – Planalto.

Chamada para Mentoria

Fraude eletrônica ou furto mediante fraude eletrônica? Extorsão ou estelionato? Extorsão consumada ou tentada? Quem empresta a conta comete qual crime? Essas distinções, que decidem inquéritos e processos, estão entre as mais cobradas nas provas objetivas, discursivas e orais para Delegado de Polícia, e a jurisprudência do STJ sobre elas mudou em 2026.

Se você quer se preparar com quem investiga esses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.