Golpes em carteiras digitais (Mercado Pago, PicPay, PagBank, Nubank): como identificar e o que fazer

Passo a passo — o que fazer

1. 1

   1. Pare qualquer transferência ou liberação em andamento

   Se você ainda não enviou o produto, liberou o saldo ou transferiu valores, interrompa agora. A maioria dos golpes só se consuma na ação final da vítima. Encerre a ligação ou a conversa antes de continuar.

2. 2

   2. Acione o MED se foi um PIX

   O Mecanismo Especial de Devolução (MED) do Banco Central permite contestar PIX feitos sob fraude. Abra o app oficial da carteira ou banco, procure a transação e use a opção de reportar golpe ou solicitar devolução. O prazo para registrar é de até 80 dias, mas faça o quanto antes.

3. 3

   3. Troque senhas e revogue acessos

   Se houver suspeita de conta invadida, altere a senha do app e do e-mail vinculado, encerre as sessões ativas e revogue dispositivos conectados. Ative a verificação em duas etapas se ainda não estiver ativa.

4. 4

   4. Contate a carteira pelo canal oficial

   Use apenas os números e canais listados dentro do próprio aplicativo ou no site oficial. Relate o ocorrido, bloqueie cartões virtuais e peça o congelamento da conta se necessário. Não use telefones recebidos por mensagem.

5. 5

   5. Registre boletim de ocorrência

   Faça o BO, presencial ou pela delegacia eletrônica do seu estado. Descreva valores, datas, contas de destino e prints das conversas. O BO costuma ser exigido pela instituição e ampara contestações e o MED.

6. 6

   6. Conteste a transação na instituição

   Formalize a contestação por escrito com a carteira ou o banco emissor do cartão. Guarde o número de protocolo. Se a resposta for negativa ou demorar mais que dez dias úteis, registre reclamação no Banco Central e no Procon.

7. 7

   7. Reúna e preserve as provas

   Salve prints das conversas, do comprovante recebido, dos links e dos dados da conta de destino, além de extratos com data e hora. Esse material sustenta o MED, a contestação e a investigação policial.

Os quatro formatos mais comuns

O falso comprovante é o golpe clássico em vendas online. O fraudador envia uma imagem ou PDF que imita o recibo do Mercado Pago, PicPay, PagBank ou Nubank e cobra a entrega imediata do produto. O documento pode ser editado ou totalmente falso, e o dinheiro nunca entra na conta. A única confirmação válida é a transação aparecer no extrato dentro do aplicativo oficial.

O link de cobrança falso replica a identidade visual da carteira em uma página fora do domínio oficial. Ao pagar, a vítima envia o valor a uma conta de terceiro ou entrega dados de cartão. Já a falsa central de atendimento usa engenharia social: alguém liga alegando movimentação suspeita e induz a vítima a transferir o saldo para uma 'conta segura' ou a informar códigos. O quarto formato é a conta invadida, em que o criminoso obtém acesso por phishing ou reaproveitamento de senha e movimenta o dinheiro.

Como identificar antes de cair

A regra central é simples: comprovante não é pagamento. Em vendas, confira o saldo dentro do app oficial pelo seu próprio caminho de navegação, nunca por um link recebido. Compare o nome do pagador, o valor exato e o horário. Em PIX, a confirmação aparece em segundos; uma alegação de que 'está em análise' ou 'cai em até 24 horas' costuma ser sinal de fraude.

Desconfie de qualquer contato não solicitado que crie urgência ou peça uma ação financeira. Nenhuma instituição legítima liga pedindo que você transfira dinheiro para se proteger, informe senha ou instale programas de acesso remoto. Verifique remetentes de e-mail e domínios de links com calma, e na dúvida feche tudo e procure o canal oficial você mesmo.

Quem vende ou recebe pagamentos com frequência deve adotar um procedimento fixo de conferência. Em volume, golpistas exploram a pressa: padronizar a checagem do saldo no app antes de liberar qualquer produto elimina a maior parte das fraudes de falso comprovante.

Da pessoa física à conta PJ: por que isso vira problema de empresa

Carteiras digitais deixaram de ser exclusivas de pessoas físicas. Mercado Pago, PicPay, PagBank e Nubank oferecem contas PJ, maquininhas e links de cobrança que pequenas e grandes empresas usam no dia a dia. O mesmo golpe de falso comprovante que atinge um vendedor individual pode causar prejuízo recorrente em um caixa corporativo, e a falsa central de atendimento mira gerentes financeiros com acesso a contas de maior saldo.

Quando vários colaboradores operam recebimentos, o elo fraco passa a ser o comportamento humano: um funcionário que libera mercadoria por um comprovante falso, ou que entrega credenciais a uma central forjada, expõe a empresa inteira. Conta invadida em ambiente PJ pode significar movimentação de valores altos, fraude em folha ou desvio para contas de laranjas.

É por isso que a defesa precisa ir além do indivíduo. A Decripte ajuda organizações de 1 a mais de 100.000 colaboradores a reduzir essa superfície de ataque, com um plano gratuito de Gestão de Ameaças que dá visibilidade sobre vazamentos de credenciais, domínios falsos e exposições que alimentam golpes em carteiras digitais. Conheça o plano gratuito e mapeie os riscos da sua empresa antes que virem prejuízo.

Recuperação: MED, contestação e órgãos de defesa

Para PIX feitos sob fraude, o Mecanismo Especial de Devolução (MED) é o caminho mais direto. Ao reportar o golpe pelo app, a instituição que recebeu o valor é notificada e pode bloquear e devolver o montante caso ainda exista saldo na conta de destino. O sucesso depende de agir rápido, antes que o criminoso esvazie a conta.

Em paralelo, formalize a contestação por escrito com a carteira ou o banco emissor do cartão e guarde o número de protocolo. Se a transação foi feita por cartão de crédito ou débito, o estorno (chargeback) também pode ser solicitado. Não havendo solução, registre reclamação no Banco Central pelos canais oficiais e leve o caso ao Procon do seu estado, que atua na relação de consumo com a instituição.

O boletim de ocorrência e o conjunto de provas sustentam todas essas etapas. A CERT.br orienta que incidentes de phishing e fraudes online sejam reportados, o que ajuda a derrubar páginas falsas e a alimentar bases de proteção usadas por bancos e empresas.

Termos importantes

MED (Mecanismo Especial de Devolução)

Ferramenta do Banco Central que permite contestar e tentar reaver PIX feitos por fraude ou erro operacional, acionada pelo app do banco ou carteira em até 80 dias do registro.

Engenharia social

Conjunto de técnicas de manipulação psicológica que induz a vítima a entregar informações ou executar ações, explorando urgência, medo ou confiança em vez de falhas técnicas.

Phishing

Tentativa de fraude que usa mensagens, e-mails ou páginas falsas imitando empresas conhecidas para capturar senhas, códigos e dados financeiros.

Chargeback

Solicitação de estorno de uma compra feita com cartão de crédito ou débito junto à bandeira e ao banco emissor, usada em casos de fraude ou produto não recebido.

Perguntas frequentes