Parte II · A anatomia · Capítulo 9

Golpes contra a loja

Nem todo golpe passa pelo carrinho. Alguns chegam pelo telefone do financeiro, pela caixa de e‑mail do dono ou pelo chat do atendimento, e quem perde dinheiro é a própria loja. Este capítulo mostra o que a equipe vê em cada um desses golpes e o procedimento que o barra antes de o dinheiro ou o acesso sair.

Leitura de 18 min
1 quadro para afixar
Para dono, financeiro e atendimento

Em resumo

Nos golpes contra a loja virtual, dinheiro, acesso e status de pagamento só mudam por um caminho definido antes, e nunca se confirmam pelo mesmo canal que fez o pedido. Pix recebido a mais volta pela função de devolução da própria transação, nunca para outra chave indicada por mensagem, e comprovante não é pagamento. Ninguém da loja pede código de verificação, e ninguém passa código para ninguém.

Telefone de mesa e celular ligados por um fio vermelho esticado, com um cadeado no meio.

A anatomia · os pontos da operação em que a fraude deixa sinais

1Cadastro
2Conta
3Checkout
4Pagamento
5Análise
6Expedição
7Retirada
8Atendimento
9Financeiro
10Pós‑venda

Em destaque, os pontos da operação de que este capítulo trata.

Ao final do capítulo, você consegue decidir

Como o financeiro devolve um valor, confirma um pagamento e aceita uma troca de conta bancária sem abrir espaço para golpe.
O que a equipe responde a quem pede um código de verificação, um programa de acesso remoto ou um pagamento urgente.
O que fazer quando clientes avisam que existe uma loja falsa com a sua marca.
Que controles de reembolso protegem a loja de desvio interno sem transformar a equipe em suspeita.

9.1Quando o alvo é a loja

Nos capítulos anteriores, o golpista se passava por cliente para levar mercadoria. Aqui ele se passa por outra coisa: o cliente que errou um Pix, o gerente do banco, o suporte da plataforma, o fornecedor que mudou de conta, o próprio dono escrevendo com pressa. O que ele quer é que alguém da equipe faça uma de três coisas: mande dinheiro, entregue um acesso ou dê como pago o que não foi pago.

Esses golpes dependem de alguém ocupado, querendo ajudar, diante de quem parece ter autoridade e tem pressa. A defesa são procedimentos escritos antes: a equipe não precisa descobrir se é golpe; seguindo a regra, o golpe não passa.

Princípio do capítulo

Dinheiro, acesso e status de pagamento só mudam por um caminho definido antes. Um pedido que chega por mensagem, ligação ou e‑mail nunca se confirma pelo mesmo canal que o fez: confirma‑se pela transação original, pelo extrato ou por um contato que a loja já conhecia.

9.2O Pix “errado” com devolução para outra chave

O que a loja vê. Cai na conta um Pix sem pedido correspondente, ou um valor maior que o do pedido. Logo depois, alguém escreve dizendo que transferiu por engano e pede, com educação e alguma urgência, que a loja devolva para outra chave, “porque a conta de origem foi encerrada” ou “porque é a conta da minha mãe”. Dias depois, o banco da loja comunica uma contestação pelo MED sobre aquele mesmo crédito.

Se a loja fez uma nova transferência para a chave indicada, ela pode perder duas vezes: o que mandou e o que o MED devolve ao pagador. O capítulo 3 explica a função de devolução do Pix e como o MED funciona; aqui basta a regra que fecha a porta.

Regra do financeiro

Valor recebido a mais ou sem pedido volta pela função de devolução da própria transação, no prazo do quadro de prazos do capítulo 3, no aplicativo ou no canal do banco da loja. O dinheiro retorna para a conta de onde veio, ligado ao crédito original.
Fora desse prazo, transferência só para conta do mesmo CPF ou CNPJ de quem pagou, com segundo aprovador. Nunca para chave, conta ou pessoa indicada por mensagem. Se já há MED aberto, o caso se trata pelo banco.
Quem decide a devolução é o financeiro, depois de localizar o crédito no extrato. O atendimento responde ao cliente que a devolução será feita “para a conta de origem, pelo próprio Pix”, e não promete outra forma.

9.3O comprovante falso

O que a loja vê. Um comprovante de Pix ou de boleto chega por mensagem, com o valor certo e a loja como recebedora, junto com um pedido para adiantar o envio ou a retirada. O comprovante pode ser editado, ser de um agendamento que nunca foi executado ou ser de outra transação. O caso do capítulo 3 mostra esse golpe do começo ao fim.

A regra cabe numa linha: o status “pago” vem só da conciliação, isto é, do meio de pagamento ou do crédito localizado no extrato pelo financeiro. Ninguém marca um pedido como pago à mão a partir de uma imagem. Se o sistema permite, tire do atendimento a permissão de alterar o status de pagamento.

A prevenção começa na cobrança. O Pix da loja sai do checkout, com QR Code dinâmico ou cópia e cola gerado para aquele pedido e valor: o crédito chega identificado e o pedido muda de status sozinho. Chave da loja passada no chat é o pagamento mais difícil de conciliar e o mais fácil de imitar. No boleto, o pedido só vira pago depois da compensação, e a segunda via sai só pelo site ou pelo e‑mail automático da loja. Cliente que pagou boleto com outro beneficiário foi vítima de golpe: o atendimento o orienta a procurar o banco e registrar ocorrência.

9.4O pedido do código de verificação

É o golpe central deste capítulo, porque funciona contra o cliente e contra a equipe. A lógica é sempre a mesma: alguém já tem a senha de uma conta (do cliente na loja, da loja no banco, no marketplace, no painel, no aplicativo de mensagem) e esbarra no código de verificação, que o sistema manda por SMS, e‑mail ou aplicativo para o celular do dono da conta. Sem o código, a senha não basta. Então ele contata o dono da conta e pede o código, fingindo ser alguém em quem a vítima confia.

Contra a equipe

O que a equipe vê. Uma ligação ou mensagem do “banco”, do “marketplace”, da “plataforma” ou de um “comprador”, com uma história plausível: transação suspeita a bloquear, conta a revalidar, venda a confirmar. Chega um código no celular de quem atende, e o interlocutor pede que seja lido “só para confirmar”. Muitas vezes ele já sabe o nome da loja, do dono e o banco que ela usa.

O código é a última barreira. Quem o repassa autoriza, na prática, o acesso de outra pessoa à conta.

Contra o cliente

O que o atendimento vê. Um cliente dizendo que “a loja” pediu um código pelo telefone, ou reclamando de pedidos que não fez numa conta que já não acessa. O golpista usou o nome da loja, e para o cliente quem falhou foi a loja.

O mesmo golpe toma a conta da loja no aplicativo de mensagem (ou cria um número novo com a foto e o nome dela): o golpista passa a responder os clientes como se fosse a loja e cobra por Pix numa chave dele. Ative a verificação em duas etapas (PIN) no aplicativo de mensagem da loja e no de cada atendente.

Regra escrita da casa

Ninguém da loja pede código. Ninguém da loja passa código. Vale para clientes, para fornecedores e para qualquer pessoa que ligue em nome do banco, do marketplace, da plataforma ou da própria loja, inclusive o dono. Código recebido sem que a própria pessoa tenha iniciado a ação é sinal de que alguém está tentando entrar: não se lê, não se repassa, e o responsável é avisado na hora.

Do lado do cliente, a loja publica um aviso fixo, no rodapé do site, na página de atendimento e nas mensagens automáticas de pedido. Antes de publicar, teste a própria cobrança: pague um Pix pelo QR Code de um pedido, gere um boleto e, se a loja usa, um link de pagamento, e anote o beneficiário exatamente como aparece ao pagador em cada um. Ele pode vir com a razão social, o nome fantasia ou o nome de quem intermedeia o pagamento, e pode mudar de uma modalidade para outra. Liste também os canais reais de atendimento: se são dois números, o aviso traz os dois. O texto é escolha da loja, não exigência legal; o que está entre colchetes, ela preenche:

Aviso ao cliente · rodapé, atendimento e mensagens de pedidoA [nome da loja] nunca pede código de verificação, senha ou dados do cartão por telefone, e‑mail ou mensagem. Se alguém pedir em nosso nome, não informe e fale com a gente por [canais oficiais, como aparecem no site]. No Pix, o recebedor que aparece é [beneficiário exatamente como aparece no Pix]; no boleto, [beneficiário exatamente como aparece no boleto], CNPJ [número]. Se aparecer outro nome, não pague e fale com a gente.

9.5O e‑mail do dono ou do fornecedor pedindo pagamento

O que o financeiro vê. Um e‑mail do dono, escrito de um celular, pedindo um pagamento urgente a um fornecedor novo “antes do fim do dia”, e que não pode ligar agora. Ou um e‑mail de um fornecedor de verdade, com o mesmo assunto das conversas anteriores, avisando que mudou de banco e mandando a nova conta para o boleto do mês. Às vezes o endereço tem uma letra trocada; às vezes é o e‑mail verdadeiro, invadido. Por isso o endereço certo não prova nada.

Regra do financeiro

Troca de dados bancários de fornecedor, pagamento fora da rotina ou pagamento “urgente” só se confirma por telefone que a loja já tinha antes dessa mensagem (o do cadastro do fornecedor, o celular do dono salvo na agenda). Nunca pelo número, link ou contato que vem na própria mensagem.
Antes de pagar qualquer boleto, confira na tela do banco o nome e o CNPJ do beneficiário: têm de ser os do fornecedor do cadastro, e não um intermediário ou uma pessoa física. Se a loja usa o DDA (os boletos registrados no CNPJ dela aparecem no banco), pague pelo boleto que aparece ali e desconfie do que chega só por e‑mail ou mensagem. Pedido para pagar por Pix ou transferência “porque o boleto deu erro” segue a regra da troca de conta.
A confirmação fica anotada: com quem se falou, em que número, quando.
O dono combina com o financeiro que pedido de pagamento por e‑mail sem confirmação por telefone não é cumprido, nem quando parece vir dele.

9.6O falso suporte e o programa de acesso remoto

O que a equipe vê. Um contato do “suporte” da plataforma, do banco ou do marketplace, em horário de movimento, avisando de um problema grave: a loja vai sair do ar, a conta vai ser bloqueada, um pagamento ficou retido. Para resolver, pede que alguém entre num link, informe a senha, leia um código ou instale um programa de acesso remoto “para o técnico ver a tela”. Com o programa instalado, quem está do outro lado opera o computador.

Três marcas aparecem juntas: foi o “suporte” quem procurou a loja, há urgência e há pedido de acesso.

A equipe conhece os canais oficiais. Anote, num lugar que todos conhecem, como se fala com o suporte da plataforma, do banco e de cada marketplace.
Contato que a loja não iniciou é desconfiado por padrão. A resposta é “vou abrir um chamado pelo canal oficial”, e a loja procura o suporte pelo caminho anotado.
Programa de acesso remoto só com chamado aberto pela loja, e com o dono ou o responsável sabendo. Se alguém já instalou por pressão, desligue o computador da internet e avise o responsável; o capítulo 12 trata do que fazer em seguida.

9.7Loja clonada e páginas falsas com a sua marca

O que a loja vê. Quase sempre, o primeiro aviso vem de clientes: alguém cobra um pedido que a loja não encontra; outro manda o print de um anúncio com preços muito baixos; outro diz que pagou um Pix para “a loja” e o nome do recebedor era de outra pessoa. Há um site parecido com o seu, um perfil em rede social com a sua logo ou um anúncio pago apontando para uma página que imita a sua.

Quem comprou ali foi vítima de golpe, não cliente da loja, mas a reclamação chega à loja. O que fazer:

Juntar os relatos
Atendimento
Endereço da página falsa, prints, data, quanto cada cliente pagou e para quem. Salve a página com o endereço completo e a data visíveis, porque ela some rápido; em caso grave, uma ata notarial feita em cartório dá à prova fé pública. Relatos que se repetem viram incidente e sobem para o responsável.
Registrar ocorrência
Dono ou responsável
A loja registra a dela (seção 9.11) e orienta os clientes lesados a registrar a deles e a procurar o banco de onde saiu o pagamento.
Pedir a remoção
Dono ou responsável
Notifique o provedor que hospeda a página, a rede social ou a plataforma onde está o perfil falso e o serviço que exibiu o anúncio, pelos canais de denúncia de cada um. Para domínio terminado em .br, o Registro.br recebe a notificação. O CERT.br, mantido pelo NIC.br, recebe notificações de incidentes como páginas falsas, por e‑mail, e ajuda a encaminhá‑las a quem pode agir; a orientação dele é mantê‑lo em cópia quando há domínio ou rede brasileira envolvidos.
Avisar a base de clientes
Dono, com o atendimento
Aviso no site e nas redes, e e‑mail à base quando o caso é grande: o endereço oficial, os canais oficiais e o que fazer se alguém pagou na página falsa. As vítimas reclamam da loja no Procon, no consumidor.gov.br e em sites de reclamação: responda no canal, com os mesmos fatos (a compra foi numa página falsa, o endereço oficial, o número da ocorrência) e sem expor dados de ninguém. Marca registrada no INPI facilita os pedidos de remoção.

Antes de qualquer caso, a página de atendimento já pode dizer o endereço oficial, os perfis oficiais e o nome que aparece no recebimento de um Pix da loja.

9.8Invasão do painel da loja

Quando o golpe do código ou do falso suporte dá certo, o que se perde é o acesso ao painel da loja, ao e‑mail ou à conta do banco. Os sinais: preço ou estoque alterado sem ninguém da equipe ter mexido, dados bancários de recebimento trocados, usuário novo no painel, aviso de “senha alterada” que ninguém pediu. Acessos individuais, verificação em duas etapas e o que fazer nas primeiras horas de uma invasão são assunto do capítulo 12.

9.9Fraude interna: o reembolso que não volta ao estoque

A grande maioria das equipes é honesta. Mas quem tem permissão para cancelar e reembolsar tem também a possibilidade de desviar, e o desvio interno passa muito tempo sem ser visto quando ninguém olha para ele.

O que a loja vê, quando olha. Reembolsos feitos para um cartão ou uma conta que não são os da compra original. Vendas canceladas e reembolsadas sem produto devolvido ao estoque. A mesma pessoa registrando a venda e, depois, cancelando. Muitos reembolsos pequenos, todos logo abaixo do valor a partir do qual alguém revisa. Dados de reembolso alterados no meio do atendimento.

O controle não é desconfiar de pessoas; é desenhar o processo para que o desvio fique difícil e visível:

Controle	O que barra
Quem pede o reembolso não é quem aprova	O atendimento registra; o financeiro ou o responsável aprova e executa. Em loja muito pequena, o dono aprova numa lista semanal.
Reembolso sempre pela transação original	Estorno no mesmo cartão, devolução pelo próprio Pix. No boleto, transferência só para conta do mesmo CPF ou CNPJ do comprador, com segundo aprovador. Conta de terceiro, nunca, nem de parente.
Todo reembolso ligado ao produto de volta	Só com a entrada no estoque e a nota fiscal de devolução registradas. Exceção: no arrependimento, o estorno é pedido ao receber a desistência e a entrada é registrada quando a caixa chega (capítulo 7). Sem devolução (avaria, extravio), com motivo e evidência anotados. Reembolso de devolução sem nota de entrada é sinal.
Alteração de dados de reembolso com segundo aprovador	Trocar a conta, a chave ou o titular que vai receber o dinheiro passa por uma segunda pessoa, sempre.
Reembolsos comparados por operador	Uma vez por mês, quantidade e valor de reembolsos e cancelamentos por pessoa. Quem destoa muito dos colegas é olhado com mais atenção.
Valor de revisão que não é um número fixo e conhecido	Além do valor acima do qual o reembolso sobe para revisão, uma amostra dos reembolsos menores é conferida todo mês.

Um número que destoa não é acusação: quem tem mais reembolsos pode atender o canal com mais reclamações. Observe por semanas e converse mostrando os números. Muitas vezes aparece outra coisa: um cliente que pressiona sempre o mesmo atendente, um produto com defeito, uma regra mal entendida. Se a diferença continuar sem explicação, a decisão é do dono, com o registro na mão.

9.10O “suporte do banco” na linha do financeiro

Caso composto, montado a partir de situações recorrentes no e‑commerce. Nomes, valores e lugares são ilustrativos.

Terça‑feira, 10h20 · ligação para o financeiro

Conta da loja no banco · pedido de código

O que chegou: Renata, do financeiro, recebe uma ligação de alguém que se apresenta como “central de segurança” do banco da loja. Ele sabe o nome da empresa e do dono e diz que há uma transferência suspeita de R$ 18.400 agendada para hoje. Para cancelar, Renata vai receber um código por SMS e precisa lê‑lo em voz alta.
O que a equipe vê: Chega de fato um SMS do banco com um código. O interlocutor está calmo e repete que, sem o código, a transferência sai em 15 minutos.
A informação que barrou: A regra afixada na parede, “ninguém da loja passa código”, e o próprio SMS: o texto dizia que o código servia para “cadastrar novo dispositivo”, e não para cancelar nada.
Verificação: Renata diz que vai retornar e desliga. Liga para o gerente, no número que está no contrato da conta. Ele confirma que não há transferência agendada e que o banco não pede código por telefone. Renata troca a senha de acesso ao banco, e o dono confere os aparelhos cadastrados.
Decisão: Não passar o código Nenhum valor saiu e nenhum aparelho novo foi cadastrado.
Registro: “Ligação de suposta central do banco pedindo código de SMS para ‘cancelar transferência’. Código era de cadastro de novo dispositivo. Não informado. Confirmado com o gerente pelo telefone do contrato que não havia transferência. Senha trocada, dispositivos conferidos. Renata, 10h40. Avisada a equipe.”

O que mudou o rumo foi uma regra que não depende de julgamento: código não se passa. Renata só seguiu a regra e confirmou pelo telefone que a loja já tinha. E o SMS de novo dispositivo mostrava que o golpista já tinha a senha: trocá‑la naquele dia não foi detalhe.

9.11Registrar ocorrência

Se a loja já pagou o golpista

O primeiro telefonema é para o próprio banco, pelo canal oficial, e não para a polícia. No Pix, peça a abertura do Mecanismo Especial de Devolução, dentro do prazo do quadro do capítulo 3: o banco de destino só bloqueia o que ainda estiver na conta, por isso cada hora conta. Em TED ou boleto, peça ao banco que contate a instituição de destino. Depois registre a ocorrência com o número do protocolo do banco.

Quando a loja perde dinheiro, quando uma página falsa usa a marca dela ou quando alguém da equipe repassou um acesso, vale registrar ocorrência policial. O registro organiza os fatos com data, fica à mão quando o banco ou a plataforma o pedem numa contestação ou numa remoção, e ajuda a ligar casos parecidos entre si. Confira se a polícia civil do seu estado oferece o registro pela internet.

Leve datas e horários, valores, contas e chaves de destino, prints, e‑mails e endereços das páginas falsas.

Para contexto, a Lei nº 14.155/2021 agravou os crimes de invasão de dispositivo, furto e estelionato cometidos pela internet e criou a fraude eletrônica (Código Penal, art. 171, § 2º‑A): a fraude com informações fornecidas pela vítima induzida a erro por rede social, ligação, e‑mail fraudulento ou meio análogo, com reclusão de 4 a 8 anos e multa. É o desenho de vários golpes deste capítulo. A mesma lei fixou, no estelionato por transferência de valores, a competência do domicílio da vítima.

Esta seção traz informação sobre a lei, não orientação jurídica. Para decidir como agir num caso concreto, consulte quem cuida do jurídico da loja.

9.12Regras da casa

O quadro resume o capítulo para afixar perto do financeiro e do atendimento.

Regras da casa contra golpes · afixar

Código: ninguém da loja pede código de verificação. Ninguém da loja passa código, para ninguém, nem para quem diz ser do banco, do marketplace, da plataforma ou o dono.
Pago: pedido só é pago quando o meio de pagamento confirma ou o financeiro localiza o crédito no extrato. Comprovante não é pagamento.
Devolução: dinheiro volta pela transação original (estorno no cartão, devolução do próprio Pix). No boleto, só para conta do mesmo CPF ou CNPJ de quem comprou. Nunca para outra chave ou conta indicada por mensagem.
Conta bancária e pagamento urgente: troca de conta de fornecedor ou pagamento fora da rotina só depois de confirmar por telefone que a loja já tinha. Boleto só com beneficiário e CNPJ conferidos.
Suporte: a loja fala com banco, plataforma e marketplace pelos canais oficiais anotados. Contato que a loja não iniciou, com urgência e pedido de acesso, é tratado como golpe até prova em contrário.
Acesso remoto: nenhum programa de acesso remoto é instalado sem chamado aberto pela loja e sem o responsável saber.
Reembolso: quem pede não aprova. Reembolso ligado ao produto de volta ao estoque, exceto no arrependimento, que tem tratamento próprio (o estorno não espera a caixa). Trocar os dados de quem recebe exige segundo aprovador.
Se já pagou: ligue primeiro para o banco (no Pix, MED); depois, ocorrência.
Na dúvida: não faça na hora. Diga “vou confirmar e retorno”, desligue e avise o responsável. Golpe tem pressa; a loja, não.

9.13Lista de verificação do capítulo

A regra “ninguém pede código, ninguém passa código” está escrita, afixada e foi explicada a toda a equipe, inclusive ao dono.
O site, a página de atendimento e as mensagens de pedido trazem o aviso de que a loja nunca pede código, senha ou dados do cartão, com beneficiário e canais conferidos numa cobrança de teste.
O status “pago” vem só da conciliação, e o atendimento não tem permissão para alterá‑lo à mão. O Pix sai do checkout, gerado para o pedido.
Antes de pagar boleto, o financeiro confere nome e CNPJ do beneficiário.
O aplicativo de mensagem da loja e o de cada atendente têm verificação em duas etapas.
Os canais oficiais de suporte do banco, da plataforma e de cada marketplace estão anotados num lugar que todos conhecem.
Existe um caminho combinado para relatos de loja falsa: quem junta, quem registra ocorrência, quem pede remoção, quem avisa a base.
Quem pede reembolso não é quem aprova, e alteração de dados de reembolso passa por segundo aprovador.
Uma vez por mês, reembolsos e cancelamentos são comparados por operador, e uma amostra dos reembolsos pequenos é conferida.

FontesFontes e referências

Brasil. Lei nº 14.155, de 27 de maio de 2021 (altera o Código Penal, arts. 154‑A, 155 e 171, incluindo o § 2º‑A do art. 171, fraude eletrônica, e o Código de Processo Penal, art. 70, § 4º). Consulta em 11/11/2026.
Banco Central do Brasil. Guia de implementação dos procedimentos de devolução no Pix, com ênfase no Mecanismo Especial de Devolução, versão 4.4, de 01/09/2026 (devolução pela função da própria transação; MED aberto pelo banco do pagador). Prazos no quadro do capítulo 3. Consulta em 11/11/2026.
Brasil. Lei nº 13.105, de 16 de março de 2015 (Código de Processo Civil), art. 384 (ata notarial). Consulta em 11/11/2026.
Consumidor.gov.br (Secretaria Nacional do Consumidor). Página de adesão das empresas (Termo de Adesão e Compromisso: resposta ao consumidor em até 10 dias). Consulta em 11/11/2026.
CERT.br (NIC.br). Páginas “Reportar incidentes” e “Recomendações para notificações de incidentes de segurança” (notificação de páginas falsas ao provedor e ao registrador, Registro.br para domínios .br, CERT.br em cópia quando há domínio ou rede brasileira). Consulta em 11/11/2026.
Saporta, Gilit; Maraney, Shoshana. Practical Fraud Prevention. O'Reilly Media, 2022. Caps. 2 (golpista que mira a empresa), 4 (colaboração com o atendimento), 10 (atendente como alvo e revisão de reembolsos por operador), 13 (pedido de código de verificação; e‑mail comercial falso ou invadido) e 14 (falso suporte com acesso remoto; mensagem clara antes de uma ação).

Revisado em novembro de 2026.