Golpe da falsa central: anatomia do roubo de conta e as contramedidas

O telefone toca. Do outro lado, alguém se apresenta como funcionário da central de segurança do banco. Sabe o nome completo da pessoa, o CPF (Cadastro de Pessoas Físicas), às vezes até os últimos dígitos do cartão. Diz que o sistema detectou uma compra suspeita e que é preciso agir rápido para cancelar a transação antes que o dinheiro saia da conta. Em poucos minutos, quem acredita estar impedindo uma fraude está, na verdade, entregando a própria conta ao criminoso.

Esse é o golpe da falsa central. Ele quase nunca explora uma falha técnica: explora pessoas. Por isso não se resolve apenas com criptografia ou senha forte. Resolve-se com desenho de produto, comunicação repetitiva e verificação proporcional ao risco.

Este texto interessa a dois públicos. Primeiro, a quem desenha produtos financeiros ou digitais e precisa reduzir a taxa de sucesso do golpe dentro do próprio aplicativo. Segundo, a qualquer pessoa que atende o telefone. Vamos percorrer o roteiro do criminoso, entender por que ele convence e listar contramedidas concretas.

O roteiro do golpe, passo a passo

O ataque segue um script bem ensaiado, com pequenas variações:

1. Contato inicial. A vítima recebe uma ligação, uma mensagem de SMS (Short Message Service, o serviço de mensagens de texto) ou um contato por aplicativo de mensagens, sempre em nome do banco ou da fintech. O identificador de chamada pode ser falsificado para exibir um número parecido com o oficial, o que reforça a encenação.
2. A urgência fabricada. O falso atendente afirma que há uma transação suspeita em andamento, uma compra em outro estado, um Pix de valor alto, e que ela precisa ser cancelada imediatamente. O relógio correndo é parte do golpe: pensar com calma é o inimigo do criminoso.
3. A coleta da chave. Para o "cancelamento", o golpista pede a senha, o código de uso único (OTP, do inglês One-Time Password) que acabou de chegar por SMS, ou orienta a vítima a instalar um aplicativo de acesso remoto no celular, com a desculpa de que a equipe técnica precisa "verificar o dispositivo". Qualquer um dos três entrega o controle da conta.
4. A consumação. Com senha, código ou tela espelhada em mãos, o criminoso transfere o dinheiro por Pix, altera cadastro, registra um novo dispositivo e, muitas vezes, contrata crédito em nome da vítima antes de sumir.

Há uma variante mais sofisticada que combina a falsa central com a troca de chip: o criminoso primeiro clona a linha telefônica junto à operadora e passa a receber os códigos de uso único no lugar da vítima. Já explicamos por que a troca de chip derrota a verificação por SMS e o que usar no lugar dela.

Por que o golpe funciona

Entender a psicologia do ataque é o primeiro passo para desenhar a defesa.

Autoridade percebida. A ligação imita os rituais de uma central verdadeira: script formal, número de protocolo, música de espera, transferência entre "setores". O cérebro reconhece o formato e baixa a guarda.

Medo e urgência. A mensagem central é "você está perdendo dinheiro agora". Sob estresse, as pessoas obedecem a instruções que rejeitariam em condições normais. O golpe não pede que a vítima confie: pede que ela reaja.

Verossimilhança comprada com dados vazados. O golpista abre a conversa citando nome, CPF, endereço, às vezes o gerente da agência. Esses dados vêm de vazamentos anteriores e custam pouco no mercado ilegal. Cada dado correto aumenta a credibilidade da encenação: saber os dados da pessoa não prova a legitimidade de nenhuma ligação.

Inversão de papéis. O detalhe mais cruel: a vítima acredita que está se protegendo. Ela não sente que está fazendo uma transferência, sente que está cancelando uma. Toda a comunicação preventiva precisa atacar exatamente essa inversão.

Contramedidas no desenho do produto

A instituição não controla o telefone da vítima, mas controla o próprio aplicativo, os canais oficiais e as regras de negócio. É aí que o golpe pode ser sufocado.

Comunicação insistente e sem exceções. A regra "nós nunca pedimos senha, código ou instalação de aplicativo por telefone" precisa aparecer no onboarding, no corpo de cada SMS com código, na tela de espera do atendimento. A Febraban, a Federação Brasileira de Bancos, mantém campanhas permanentes com essa orientação, e a mensagem só gruda com repetição. Uma frase no rodapé do site não conta.

Canal oficial de retorno. O antídoto mais simples contra a falsa central é devolver a iniciativa ao cliente: desligue e chame de volta pelo aplicativo. Se o produto oferece um botão de "falar com a central" dentro do app, com fila prioritária para suspeita de fraude, a vítima tem uma saída fácil no momento de pânico. A ligação recebida nunca deve ser o canal de decisão.

Re-verificação forte nas ações de alto risco. Troca de dispositivo, cadastro de nova chave Pix, aumento de limite e transferência atípica são os pontos onde o roubo de conta se concretiza. Nesses momentos, o código por SMS é insuficiente, porque a troca de chip o intercepta. O padrão mais resistente é a verificação biométrica com prova de vida, que confirma que há uma pessoa real e presente diante da câmera. Na UNIFOKAL, por exemplo, o desenho recomendado é exigir biometria facial com prova de vida nesses pontos, com o SMS rebaixado a fator complementar.

Atrito proporcional ao risco. Segurança não precisa encarecer o uso cotidiano. Um Pix pequeno para um contato habitual pode fluir sem fricção; um Pix alto, de madrugada, para uma chave recém-cadastrada, merece espera deliberada, limite reduzido e verificação extra. Períodos de carência após troca de dispositivo tiram do golpista aquilo de que ele mais precisa: velocidade.

Detecção de acesso remoto. Aplicativos financeiros podem detectar indícios de ferramentas de espelhamento de tela em execução e bloquear a sessão ou degradar as ações sensíveis. Não é infalível, mas remove um dos braços do roteiro.

O caminho do dinheiro e o MED do Pix

Consumado o golpe, o dinheiro sai por Pix e é pulverizado em minutos por uma cadeia de contas de passagem, as chamadas contas laranja, tema que já detalhamos ao explicar como o dinheiro do golpe circula até sumir.

Existe um mecanismo formal de reação: o MED, Mecanismo Especial de Devolução, instituído pela Resolução BCB 103/2021 do Banco Central do Brasil. Quando a vítima notifica sua instituição relatando fundada suspeita de fraude, a instituição registra a ocorrência no arranjo do Pix e solicita o bloqueio dos recursos, com prazo de até 80 dias contados da transação para a abertura do pedido, conforme o Regulamento do Pix.

A honestidade aqui importa: o MED bloqueia o que ainda estiver bloqueável dentro do arranjo. A atualização conhecida como MED 2.0, trazida pela Resolução BCB 493/2025 e em vigor desde fevereiro de 2026, estendeu o rastreamento às contas subsequentes por onde o valor foi pulverizado, fechando a rota clássica de dispersão em camadas; ainda assim, valor sacado ou convertido para fora do arranjo segue fora do alcance do bloqueio. Por isso cada minuto entre o golpe e a notificação vale dinheiro, e por isso a instituição deve tornar o botão de "fui vítima de golpe" impossível de não achar.

O que orientar a vítima a fazer

Toda instituição deveria publicar, em linguagem simples, um roteiro de reação:

1. Notificar a instituição imediatamente, pelo aplicativo ou pela central oficial, pedindo o bloqueio das transações e o acionamento do MED. Este é o passo mais urgente.
2. Registrar boletim de ocorrência, presencialmente ou pela delegacia eletrônica do estado. Além de formalizar o caso, o registro sustenta a persecução penal: a Lei 14.155/2021 incluiu a fraude eletrônica no Código Penal como forma qualificada de estelionato, com pena mais severa.
3. Trocar senhas e revogar dispositivos conectados à conta, e contatar a operadora de telefonia se houver suspeita de troca de chip.
4. Preservar evidências: prints das mensagens, número que ligou, horários e comprovantes das transações.

O golpe da falsa central vai continuar existindo enquanto for barato ligar e caro verificar. Cada re-verificação forte, cada canal de retorno oficial e cada segundo de atrito bem colocado reduz a taxa de conversão do criminoso. Defesa, aqui, é sobretudo design.

Fontes citadas

• Resolução BCB 103/2021, do Banco Central do Brasil, que instituiu o Mecanismo Especial de Devolução (MED) do Pix
• Resolução BCB 493/2025, do Banco Central do Brasil, que atualizou o MED (MED 2.0) com o rastreamento do valor em contas subsequentes
• Lei 14.155/2021, que incluiu a fraude eletrônica no Código Penal como forma qualificada de estelionato
• Febraban (Federação Brasileira de Bancos), campanhas permanentes de orientação contra golpes financeiros