Um site falso do gov.br pode reproduzir a aparência de um serviço público para roubar senhas ou cobrar um Pix indevido. Para conferir, examine o endereço completo e procure o serviço por um caminho independente da mensagem recebida. Nome, CPF e símbolos oficiais na tela não comprovam que a página é verdadeira.
Anúncios
- A aparência do portal não substitui a conferência do endereço.
- Palavras como gov ou Receita no link podem servir de disfarce.
- Uma cobrança precisa ser confirmada no serviço oficial, fora da mensagem.
- Se houve exposição de senha, a proteção da conta também exige atenção.
Como conferir o endereço de um site que imita o gov.br?
O primeiro passo é olhar a barra de endereços do navegador, não apenas o título da página. Uma tela pode exibir o nome de um órgão enquanto está hospedada em outro domínio. O endereço é a informação que ajuda a distinguir quem apresenta aquele conteúdo.
Segundo o CISC, em alerta publicado em fevereiro de 2026, criminosos usam portais imitados para encaminhar vítimas a pagamentos fraudulentos. A orientação do órgão é procurar os serviços nos endereços oficiais, digitados diretamente no navegador, em vez de seguir o caminho indicado pela mensagem.
Onde aparece o nome do serviço?
Separe o domínio, que identifica o site, do caminho que aparece depois da primeira barra após esse domínio. Escrever gov.br dentro do caminho não transforma uma página particular em portal público. O mesmo cuidado vale para palavras inseridas antes de um domínio que pertence a outra organização.
No celular, toque na barra de endereços para visualizar o link completo. Se a tela corta parte do endereço ou usa uma apresentação simplificada, não conclua que o destino é legítimo apenas pelo trecho visível. Saia da página e recomece pelo portal conhecido do órgão responsável.
Essa conferência reduz a dependência da aparência, mas não substitui a confirmação do serviço. Quando houver dúvida sobre o endereço correto, procure o órgão por seus canais institucionais. Não use como referência o telefone ou o atendimento oferecido na própria página suspeita.
Por que uma página com seus dados ainda pode ser falsa?
Informações pessoais corretas podem funcionar como instrumento de convencimento. No alerta do CISC, as abordagens incluem nome, CPF, endereço e até identificação de familiares. A presença desses dados mostra que o remetente os conhece, não que representa um órgão público.
Para uma situação específica de exposição de informações pessoais, o guia sobre o vazamento na Caixa Vida e Previdência explica como conferir seus dados.
A Kaspersky também descreve páginas que exploram nomes de serviços, termos tributários e referências ao gov.br para capturar credenciais. O objetivo pode ser financeiro, com uma cobrança, ou envolver o acesso à identidade digital. Por isso, não chegar à etapa do Pix não significa que a visita deixou de trazer riscos.
Observe o percurso completo: mensagem inesperada, página com aparência oficial, pedido de identificação e exigência de pagamento. Cada etapa pode preparar a próxima. O fato de a página apresentar uma suposta consulta personalizada não prova que houve acesso a uma base oficial.
| Elemento mostrado | O que não comprova | Como conferir |
|---|---|---|
| Nome e CPF corretos | Vínculo do remetente com o órgão | Consultar o serviço por acesso independente |
| Símbolos oficiais | Autenticidade da página | Examinar domínio e origem do acesso |
| Prazo muito curto | Existência da obrigação anunciada | Buscar a pendência no canal institucional |
| QR Code de pagamento | Legitimidade da cobrança | Confirmar documento e destinatário antes de autorizar |
Como verificar uma cobrança por Pix sem usar o link recebido?
Uma forma prática é interromper o caminho proposto pelo remetente. Feche a página e abra o serviço oficial por conta própria. Procure a situação mencionada na mensagem dentro desse ambiente, sem reutilizar o link, o QR Code ou o código de pagamento enviado pelo contato.
- Identifique qual órgão ou instituição supostamente está cobrando.
- Acesse o portal conhecido dessa instituição, fora da conversa.
- Confira se existe a pendência e qual procedimento é apresentado.
- Se a informação não estiver clara, procure atendimento no canal institucional.
- Só examine um pagamento depois de confirmar a origem da obrigação.
O problema não é o Pix isoladamente, mas a cobrança sem confirmação. Um meio de pagamento não autentica a história contada pelo cobrador. Da mesma forma, conseguir abrir o aplicativo do banco a partir de um código não demonstra que o destinatário representa o serviço anunciado.
Antes de autorizar, compare os dados exibidos pelo banco com os dados da cobrança confirmada no canal oficial. Uma divergência pede esclarecimento, não uma justificativa improvisada pelo remetente. Também não basta o recebedor ter um nome que pareça relacionado ao assunto.
Quando a abordagem começa por mensagem eletrônica, os cuidados para reconhecer um e-mail suspeito ajudam a avaliar o contato antes de abrir páginas. A verificação começa na origem da comunicação e continua até a autorização do pagamento.
O que fazer se você informou a senha ou chegou a pagar?
Separe as providências conforme o que aconteceu. Apenas abrir uma página não é a mesma situação que fornecer credenciais ou concluir uma transferência. Registre quais dados foram digitados, se houve instalação de aplicativo e se algum pagamento foi autorizado.
Para suspeita de invasão da conta gov.br, o Ministério da Justiça orienta alterar a senha e utilizar a recuperação oficial quando o acesso não estiver disponível. Se o procedimento não resolver, o atendimento indicado é o suporte da plataforma. Evite intermediários que prometam recuperar a conta mediante novo pagamento.
Depois de retomar o acesso, revise os dispositivos autorizados e as opções de segurança. O guia sobre criar e validar a conta gov.br prata explica formas de validação, mas aumentar o nível não substitui investigar um acesso desconhecido.
Se houve Pix, comunique imediatamente a suspeita ao banco pelo aplicativo ou canal oficial e solicite orientação para contestar a operação. Guarde comprovante, endereço da página e conversa. A comunicação não permite presumir que o dinheiro será recuperado.
O Ministério da Justiça também recomenda registrar boletim de ocorrência em caso de invasão, com datas, horários e evidências disponíveis. Preserve o material sem voltar ao site para reproduzir o golpe. Denunciar o contato na plataforma de mensagens é uma providência complementar, não substitui o atendimento bancário ou policial.
Perguntas Frequentes
Não. A expressão pode aparecer em uma parte do endereço que não identifica o responsável pelo site, como o caminho depois do domínio. Examine o endereço completo e procure o serviço por acesso independente. A aparência da página e os símbolos exibidos não substituem essa conferência.
Não necessariamente. Dados pessoais reais podem ser usados para dar credibilidade a páginas fraudulentas. O CISC descreve abordagens que apresentam informações da própria vítima para reduzir a desconfiança. A confirmação precisa ocorrer no canal institucional, não pela quantidade de dados corretos que aparecem na tela.
A abordagem suspeita não permite concluir, sozinha, se existe alguma pendência real. Evite pagar pelo caminho enviado e procure o serviço oficial por conta própria. Assim, é possível conferir a situação sem depender da mensagem e sem tratar uma eventual obrigação verdadeira como automaticamente inexistente.
Trocar a senha é importante quando ela foi exposta, mas pode não encerrar todas as providências. Verifique dispositivos autorizados e métodos de recuperação. Se houve pagamento, procure também o banco; se há indícios de invasão, preserve evidências e registre ocorrência pelos canais disponíveis no seu estado.
Conteúdo informativo, não constitui recomendação financeira.
