Golpe da falsa entrega: como conferir a cobrança

O golpe da falsa entrega usa uma situação familiar: você recebe uma mensagem dizendo que uma encomenda ficou retida, que o endereço precisa ser corrigido ou que falta pagar uma pequena taxa. A cobrança parece urgente e pode chegar justamente quando existe uma compra real a caminho.

A regra mais útil é separar a mensagem da verificação. Não é preciso abrir o link recebido para descobrir se há uma pendência. Consulte o pedido e a transportadora por um caminho independente, como o aplicativo que você já utiliza ou o site oficial acessado diretamente. Este guia organiza essa conferência e mostra como agir conforme o que já aconteceu.

O que torna uma mensagem de entrega suspeita?

Não existe um sinal visual capaz de resolver todos os casos. Uma mensagem pode ter logotipo, português correto e informações que parecem pessoais, mas isso não confirma quem a enviou. O nome exibido no remetente também não substitui a verificação da origem.

Observe principalmente o que a mensagem pede: pagar imediatamente, digitar senha, informar dados do cartão, compartilhar código de autenticação ou instalar um aplicativo. Quanto mais a ação sai do fluxo normal da sua compra, maior a necessidade de conferir tudo antes de continuar.

O valor baixo não torna uma cobrança segura. Também não basta encontrar um símbolo de cadeado no navegador: uma conexão protegida não comprova que o responsável pelo site seja a empresa que ele imita.

Os Correios enviam SMS sobre encomendas?

Há uma distinção importante. Na página oficial de segurança dos Correios, a empresa informa que pode usar SMS para avisar sobre informações pendentes ou necessidade de pagamento de taxas de objetos internacionais, direcionando o cliente aos canais oficiais.

A mesma página esclarece que os Correios não enviam mensagens com links diretos para pagamento nem solicitam dados pessoais ou financeiros por e-mail, SMS ou WhatsApp. Portanto, não é correto resumir a prevenção a “todo SMS é falso”. O ponto decisivo é confirmar a situação no site ou aplicativo oficial, sem seguir o caminho de pagamento oferecido na mensagem.

Outras transportadoras têm processos próprios. Para elas, confira as orientações da empresa responsável pela sua entrega. Não transfira automaticamente uma regra dos Correios para qualquer serviço de transporte.

Como conferir a cobrança antes de pagar

1. Abra a compra pelo canal que você já conhece

Entre no aplicativo da loja ou marketplace que utilizou para comprar. Localize o pedido e veja a transportadora, o código de rastreamento e a situação informada. Não use o número de atendimento incluído na mensagem suspeita como única fonte de confirmação.

Se não encontrar a compra, confira se outra pessoa da casa fez o pedido ou se existe uma encomenda enviada por alguém conhecido. Faça essa checagem diretamente com a pessoa. Não responda à mensagem fornecendo CPF, endereço ou número de pedido para que o remetente tente “localizar” a entrega.

2. Compare o rastreamento no ambiente oficial

Acesse o canal oficial da transportadora por conta própria e consulte o código associado à compra. Compare os dados disponíveis com o pedido original. O objetivo é verificar se existe uma pendência real naquele envio, não apenas encontrar qualquer pacote com uma sequência semelhante.

Se houver divergência, procure o suporte dentro da própria loja ou no canal oficial da transportadora. Uma mensagem dizendo que a encomenda será devolvida em poucos minutos não é motivo para dispensar essa etapa.

3. Verifique a cobrança dentro do fluxo legítimo

Uma cobrança existente no ambiente oficial deve ser analisada com os detalhes do pedido. Confira o motivo, o valor e as instruções apresentadas ali. Não suponha que a taxa da mensagem seja a mesma só porque você encontrou outra pendência verdadeira.

Se um pagamento for realmente necessário, siga o procedimento confirmado nesse ambiente. Antes de autorizar a transação, confira os dados que aparecem na tela do banco. Quando houver dúvida sobre o recebedor, interrompa o pagamento e peça esclarecimento ao atendimento oficial.

4. Guarde o resultado da conferência

Anote o protocolo quando precisar de suporte e mantenha os comprovantes vinculados ao pedido. Isso facilita acompanhar a resolução sem depender de uma conversa com o remetente desconhecido.

Se a mensagem for identificada como tentativa de fraude, use as opções de denunciar e bloquear disponíveis no aplicativo. Preserve o que for necessário para relatar o ocorrido, mas não divulgue publicamente capturas com endereço, CPF, códigos ou dados bancários.

QR Code, boleto e Pix também precisam de contexto

O meio de pagamento não comprova a legitimidade da cobrança. Um QR Code só facilita a abertura de um destino ou o preenchimento de dados; ele não atesta que o pedido é verdadeiro. O mesmo cuidado vale para um código de pagamento copiado de uma mensagem.

Se uma cobrança aparecer como imagem, não a escaneie apenas para descobrir o que acontece. Primeiro confirme a pendência pelo pedido real. O guia do G7 sobre golpes com QR Code e quishing explica por que a origem e a conferência do destino continuam importantes.

Também não compartilhe códigos recebidos por SMS para alguém “autorizar a entrega”. Códigos de autenticação podem estar relacionados ao acesso a contas ou à confirmação de ações, não ao transporte do pacote.

Já cliquei no link. O que devo fazer?

Comece identificando até onde você foi. Abrir uma página, digitar uma senha, fornecer cartão, pagar e instalar um aplicativo são situações diferentes. Não conclua automaticamente que o aparelho foi invadido apenas porque uma página abriu, mas também não continue interagindo para testar se o site é falso.

Se apenas abriu a página

Feche-a e não permita notificações, downloads ou instalações. Confira se algum arquivo foi baixado e não o execute. Mantenha navegador e sistema atualizados. Se aparecerem avisos persistentes ou comportamento incomum, procure orientação técnica por um canal confiável.

Uma janela dizendo que o aparelho está infectado não é um diagnóstico. Não telefone para um número exibido nesse aviso nem instale a ferramenta que ele oferece como solução.

Se informou uma senha ou um código

Acesse o serviço verdadeiro por um dispositivo confiável e altere a senha exposta. Se ela foi reutilizada em outras contas, revise essas contas também. Verifique as sessões ativas e as opções de recuperação disponibilizadas pelo serviço.

As orientações de segurança do CERT.br recomendam não repassar códigos de autenticação, evitar a reutilização de senhas e alterá-las quando houver suspeita de exposição. A proteção precisa alcançar o acesso real à conta, não apenas o histórico da página falsa.

Quando o serviço permitir, revise a autenticação em duas etapas e os métodos de entrada. O artigo sobre passkeys e proteção contra phishing apresenta uma opção adicional de autenticação. Nenhum recurso, porém, torna seguro aprovar uma operação que você não solicitou.

Se informou dados do cartão ou realizou um pagamento

Entre em contato com o banco ou emissor pelos canais do aplicativo oficial ou pelos contatos já conhecidos. Relate exatamente o que ocorreu e peça orientação sobre proteção do cartão, contestação ou medidas disponíveis para aquela transação.

Guarde data, valor, comprovante e informações do destinatário exibidas no pagamento. Não há garantia de recuperação do dinheiro; o atendimento precisa avaliar o caso. Não faça uma segunda transferência porque alguém prometeu liberar o reembolso da primeira.

Se instalou um aplicativo ou autorizou acesso ao aparelho

Não utilize um dispositivo suspeito para continuar operações sensíveis. Busque suporte técnico confiável e use outro equipamento seguro para contatar o banco ou proteger contas, quando necessário.

Informe ao suporte o nome do aplicativo, de onde ele veio e quais permissões você concedeu. Não siga instruções de novos contatos que aparecem oferecendo uma “limpeza” mediante pagamento. Uma restauração do aparelho também não deve ser feita às cegas, sem considerar os dados importantes e a orientação adequada ao incidente.

Três situações que ajudam a decidir

Os exemplos a seguir são hipotéticos e servem para mostrar o processo de conferência, não para relatar casos reais.

Você não comprou nada, mas recebeu um aviso de taxa

Não preencha o formulário da mensagem. Confira se há um envio conhecido por outra pessoa ou uma compra registrada em uma conta sua. Sem correspondência verificável, não pague para descobrir depois a que encomenda a cobrança se referia.

Você espera um pacote, mas o aplicativo da loja não mostra pendência

A coincidência aumenta a aparência de credibilidade, mas não resolve a dúvida. Consulte o rastreamento oficial e, se necessário, o atendimento. Não use apenas a expectativa de receber algo como justificativa para pagar.

Existe uma pendência real no canal oficial

Trate-a dentro do procedimento confirmado. Isso não transforma automaticamente o link recebido em um canal seguro. Duas mensagens podem usar a mesma situação, mas levar a destinatários completamente diferentes.

Como ajudar outra pessoa sem expor os dados dela

Em vez de pedir que ela encaminhe documentos e comprovantes para um grupo, ajude a abrir o pedido no aplicativo legítimo. Oriente a própria pessoa a conferir os dados sensíveis e a falar com o suporte oficial.

Uma regra doméstica simples é útil: cobranças inesperadas de entrega não são pagas diretamente pelo link de uma mensagem. Primeiro se localiza o pedido; depois se confirma a pendência. Isso reduz decisões apressadas sem depender de reconhecer cada novo modelo de golpe.

Perguntas frequentes

Ter meu nome e endereço na mensagem prova que a entrega existe?

Não. Dados aparentemente corretos não confirmam a identidade de quem enviou a cobrança. A verificação deve acontecer na compra e nos canais oficiais da transportadora.

Uma cobrança pequena pode ser ignorada como risco?

Não. O valor não valida a origem. Além do pagamento, um formulário pode pedir informações ou acessos que não deveriam ser fornecidos àquele destinatário.

Todo pagamento por Pix relacionado a entrega é golpe?

Não é o meio de pagamento, isoladamente, que decide isso. Confirme a necessidade e o fluxo no canal oficial, confira os dados da transação e peça esclarecimento quando houver divergência.

O cadeado no navegador significa que a página é oficial?

Não. Ele se relaciona à proteção da conexão, não à identidade comercial que o conteúdo da página alega representar. Continue conferindo a origem.

Devo pagar uma taxa para alguém recuperar o dinheiro perdido?

Não aceite uma promessa de recuperação como prova de legitimidade. Procure o banco e os canais oficiais de atendimento e denúncia. Nenhum desconhecido que aparece na conversa deve receber senhas, códigos ou novos pagamentos sob essa justificativa.

O roteiro que vale guardar

Pare antes de agir, abra a compra por um caminho independente, confirme o rastreamento e verifique a cobrança no ambiente oficial. Se já forneceu dados ou pagou, descreva o ocorrido ao serviço responsável e preserve os comprovantes. A prevenção mais consistente é conferir a operação real, não confiar apenas na aparência da mensagem.