O link parece do banco.
O endereço é que não é.

Como o golpe funciona

A mensagem chega por SMS, WhatsApp ou e-mail e imita alguém em quem você confia: o seu banco, a Receita, o gov.br, uma transportadora, o INSS. Sempre com um problema para resolver e um prazo curto.

O link abre uma página igual à verdadeira: mesmas cores, mesmo logo, mesmo desenho. Só que ela não pertence ao banco nem ao órgão. Tudo o que você digitar ali — CPF, senha, número do cartão, o código que chegou por SMS — cai direto na mão de quem montou a página.

Alguns links não abrem página nenhuma: eles baixam um arquivo para instalar. Esse é o golpe do APK, e ele é ainda mais grave.

Os sinais de alerta

• O endereço tem uma palavra a mais ou uma letra trocada. É a parte que muda, e a mais difícil de notar com pressa.
• Link encurtado. Aquele endereço curtinho que não deixa ver para onde leva.
• Prazo curto e ameaça. “Em 24 horas”, “sua conta será bloqueada”, “última chance”.
• Pede senha, código ou dados do cartão depois que você clica. Nenhum banco e nenhum órgão público faz isso por link.
• Chegou sem você pedir. Você não abriu nenhuma solicitação, não comprou nada, não pediu segunda via de coisa alguma.
• Escrita estranha. Nem sempre acontece, mas erro de português, saudação genérica e remetente esquisito ajudam a desconfiar.

O que fazer em vez de clicar

Se preferir conferir por telefone, use o número do verso do cartão ou o de uma conta antiga. Nunca o número que veio na própria mensagem.

Se você já clicou e digitou seus dados

Se o dinheiro já saiu, não perca tempo lendo: mande “caí num golpe” no WhatsApp do Verifica e siga o guia de emergência, que é gratuito para qualquer pessoa. A ordem dos primeiros passos muda o que dá para recuperar.

Se você digitou a senha, troque a senha agora, de outro aparelho, e ligue para o banco pelo número oficial. Se digitou o número do cartão, peça o bloqueio. Se passou o código que chegou por SMS, avise o banco na hora: esse código costuma ser o último passo de uma transferência.

Dúvidas frequentes

Cliquei no link, mas não digitei nada. Estou em risco?

O risco é bem menor. Fique atento a uma coisa: se a página baixou algum arquivo ou pediu para instalar um aplicativo, não instale e apague o arquivo.

O link veio de um contato conhecido. Pode ser golpe?

Pode. Contas clonadas espalham links para toda a lista de contatos. Ligue para a pessoa antes de clicar.

Como vejo para onde um link encurtado leva?

Sem abrir, não dá para ter certeza — e é justamente para isso que ele existe. Em vez de tentar adivinhar, ignore o link e entre pelo aplicativo oficial.

A página pediu meu CPF e minha data de nascimento. Já é problema?

É. Esses dados alimentam golpes futuros, que ficam mais convincentes porque a pessoa já sabe algo sobre você. Desconfie de contatos que chegarem nos próximos dias citando esses dados.