4. WhatsApp: o falso parente e a conta sequestrada

Uma foto de perfil e uma pergunta de filho

Na terça-feira, 5 de abril de 2022, a Polícia Civil de Goiás prendeu 29 pessoas na Operação 2 Face. A investigação tinha começado em São Paulo, depois que uma vítima registrou queixa numa delegacia, e se espalhou por vários estados. Segundo as reportagens da época, a polícia cumpriu 41 mandados de prisão preventiva e 56 de busca, bloqueou bens e contas dos suspeitos e estimou em cerca de duas mil o número de vítimas, com prejuízo na casa dos R$ 3 milhões. Os crimes apurados eram estelionato eletrônico, falsidade ideológica, organização criminosa e lavagem de dinheiro. Tudo isso é o que a polícia afirmou na data da operação, e os investigados têm direito à presunção de inocência até o fim do processo, cujo desfecho eu não consegui apurar.

O método que a polícia descreveu cabe em uma frase: os suspeitos usavam a foto de perfil de uma pessoa, abriam uma conversa nova com um número que a vítima não conhecia e contatavam amigos e parentes daquela pessoa para pedir dinheiro. Esse é o golpe do falso parente, também chamado de golpe do "troquei de número". Um resumo da imprensa sobre a operação descreve a variante mais conhecida: o interlocutor se apresenta como filho de uma idosa, diz que mudou de número e pede ajuda com um pagamento. Não consegui confirmar, em fonte primária, se esse caso específico consta do inquérito, e por isso o tomo como ilustração do método e não como fato provado.

Pare um momento nessa cena, porque ela contém quase tudo que o capítulo vai dizer. Ninguém invadiu telefone nenhum. Não houve vírus, não houve falha de segurança do WhatsApp, não houve engenharia sofisticada. Houve uma foto, que qualquer pessoa pode copiar de um perfil aberto. Houve um número novo, que qualquer pessoa pode obter. E houve uma relação de confiança entre mãe e filho que a organização não precisou construir, porque já existia. O golpista pegou emprestado o capital afetivo de outra família.

Quatro anos depois, o mesmo golpe continua em operação, com ajustes. Em 7 de outubro de 2026, a Polícia Civil do Distrito Federal prendeu cinco suspeitos de aplicar a fraude no DF e em Goiás, na Operação Atrás das Grades. Segundo a polícia, o grupo atuava desde 2024, e os casos identificados somavam ao menos 19 vítimas e cerca de R$ 73 mil em prejuízos, entre elas pessoas de 75 e 83 anos. O dado mais revelador não foi o valor. Foi a descrição, feita pelo delegado responsável, de que o grupo também produzia e vendia "kits" completos, com dados pessoais da vítima e de seus parentes, obtidos em painéis clandestinos, e material para a abordagem, e que esses kits eram feitos para outras organizações. A polícia chamou de organização criminosa o que, anos antes, era um sujeito com um telefone.

Este capítulo explica dois golpes que a imprensa costuma misturar e que o perito precisa separar. O primeiro é o do perfil falso: o golpista usa uma conta nova, com a identidade de outra pessoa. O segundo é o sequestro de conta: o golpista toma o controle da conta verdadeira da vítima e fala com os contatos dela a partir dela mesma. Os dois dependem de um ativo que a vítima construiu sem pensar nisso, a sua rede de confiança. E nos dois, as defesas mais úteis são combinadas em família antes do problema, não aprendidas no momento do susto.

O que você vai levar deste capítulo

O golpe do falso parente funciona sem invasão técnica nenhuma. Basta uma foto pública, um número novo e a confiança que já existe entre as pessoas. A defesa está em verificar a identidade por um segundo canal, não em reconhecer a "voz" do texto.

O sequestro de conta é outro golpe. Ele depende de um código de seis dígitos que o WhatsApp envia por SMS ou ligação ao registrar um número em outro aparelho. Quem repassa esse código entrega a conta, e a conta sequestrada fala com credibilidade total para todos os contatos.

A verificação em duas etapas é a defesa técnica mais importante e a mais negligenciada. Ela não evita a mensagem do golpista, mas torna muito mais difícil perder a conta.

A pesquisa brasileira mostra que o golpe digital atinge uma fatia enorme da população, e que a maioria das vítimas não registra ocorrência. A proteção da família passa por regras simples combinadas antes, principalmente com os mais velhos.

Dois golpes com a mesma vitrine

O perfil falso

No golpe do perfil falso, a conta do golpista é nova e não tem nenhuma ligação técnica com a conta da pessoa imitada. O que existe é uma cópia de superfície: a foto, às vezes o nome. Esses dados são públicos em muitos perfis, ou podem ser obtidos por quem já está na rede de contatos. A vítima recebe uma mensagem de um número que não conhece, com a foto de alguém que conhece, e a mensagem diz que a pessoa trocou de número.

Esse golpe é barato e escalável. O custo de abrir um número novo é baixo. A lista de contatos a abordar pode vir de uma pessoa que publicou parentes e amigos em uma rede social aberta, de um vazamento ou de um kit comprado, como na investigação do Distrito Federal. A taxa de sucesso é pequena, mas o custo por tentativa também.

A conta sequestrada

No sequestro de conta, a conta é a verdadeira. O dono perde o acesso, e quem a controla agora fala com os contatos pelo número que eles sempre usaram. A vantagem para o golpista é enorme, porque tudo que o perfil falso precisa convencer, a conta verdadeira traz pronto: o número certo, o histórico de conversas, as fotos, o nome gravado na agenda dos contatos.

O mecanismo, em nível de princípio, está descrito pela própria plataforma em seus alertas de segurança. Para usar o WhatsApp em um novo aparelho, é preciso registrar o número, e o serviço confirma que o registro é legítimo enviando um código de seis dígitos, por SMS ou ligação, ao próprio número. Quem tem o código completa o registro. Por isso a Central de Ajuda do WhatsApp orienta, de forma insistente, que esse código nunca seja compartilhado com ninguém, nem com amigo, nem com parente. O golpe de sequestro explora a possibilidade de a vítima, por algum pretexto, entregar o código a quem iniciou o processo. Não descreverei os pretextos, porque eles são a parte do golpe que um leitor mal-intencionado aproveitaria, e o leitor defensor não precisa dela. O que o defensor precisa saber cabe em uma regra: o código de seis dígitos é uma chave da sua casa. Quem pede a chave por qualquer motivo não é quem diz ser, ou foi enganado antes de você.

Segundo a Central de Ajuda, quando alguém tenta registrar seu número, você recebe uma notificação, e quem tenta precisa do código enviado por SMS ao seu número. A página sobre recuperação de conta comprometida diz também que, em casos em que o golpista ativou a verificação em duas etapas, a recuperação pode exigir uma espera de sete dias. Registro isso com reserva: consultei resumos da página, não o texto completo, e a plataforma altera esses fluxos com frequência. O leitor que precisar recuperar uma conta deve seguir a página oficial do momento.

Cenário ilustrativo: a rede como ativo

Para entender por que o sequestro vale mais para o golpista do que o perfil falso, faça a conta de um cenário inventado, sem relação com nenhum caso real. Suponha uma conta sequestrada de alguém com 300 contatos. Um perfil falso, que escreve para desconhecidos, é ignorado por 98% das pessoas. A conta sequestrada, que chega com a foto e o nome certos, tem uma taxa de resposta muito maior, e o ônus da dúvida se inverte: quem recebe a mensagem não pensa em fraude, pensa em ajudar. Digamos, por hipótese, que 2% dos contatos, seis pessoas, atendam a um pedido de R$ 800 cada. São R$ 4.800 com uma conta. Se a organização controlar cinquenta contas ao mesmo tempo, o total chega a R$ 240 mil. A conta fecha por aritmética (6 × 800 = 4.800; 4.800 × 50 = 240.000), mas os percentuais e valores são hipotéticos. A lição é de estrutura: o ativo do sequestrador é a rede da vítima, e cada pessoa na lista de contatos é um alvo que chega já confiante. Quem sofre o sequestro causa, sem querer, um problema para todos que conhece.

O caso: da Operação 2 Face ao "kit" de 2026

O caso: o grupo de 2022

A Operação 2 Face é útil porque mostra o golpe do perfil falso em escala, com os elementos que o perito procura: uma vítima que registra a ocorrência, uma delegacia que cruza casos parecidos, uma organização que se revela maior do que um indivíduo. Segundo as reportagens, a investigação nasceu em São Paulo e foi conduzida pela Polícia Civil de Goiás, o que indica que as vítimas e os investigados estavam em estados diferentes. Esse é um padrão frequente: o golpe é aplicado de um lugar, o dinheiro é recebido em outro, e o boletim de ocorrência é feito num terceiro. Cada polícia estadual vê um pedaço. Quem junta os pedaços é a investigação que cruza as contas que receberam o dinheiro.

As acusações incluíram lavagem de dinheiro, e isso é revelador. Não adianta ao golpista obter R$ 800 de uma pessoa se o dinheiro cair numa conta que a polícia identifica e bloqueia em dias. A etapa da conta, tratada no capítulo 3, é a que decide se o golpe é lucrativo. A polícia, nessa operação, bloqueou bens e contas dos suspeitos. Não consegui verificar quanto do prejuízo foi recuperado pelas vítimas, e por isso não afirmo nada a respeito.

O caso: "Atrás das Grades" e o mercado de kits

A operação de outubro de 2026 mostra a evolução do mesmo golpe, e o detalhe que vale uma seção é o do kit. Segundo o delegado, citado na cobertura do Correio da Manhã, os suspeitos produziam e vendiam "kits" completos. Cada kit teria dados pessoais da vítima e de seus parentes, obtidos em painéis clandestinos de consulta, além de imagens e roteiros de conversa. A polícia disse que os kits eram feitos também para outras organizações criminosas. Foram apreendidos aparelhos e computadores, que seguiram para perícia.

A reportagem registra que as penas máximas somadas poderiam passar de 26 anos. Isso é uma possibilidade de exposição penal e não uma condenação. Os cinco foram presos em 7 de outubro de 2026, e a notícia que consultei não informa se já se manifestaram. O perito deve registrar esta distinção no próprio relatório: ao descrever o caso, diga "presos" e "investigados" e dê a data. O estágio do processo muda a cada semana.

A mesma leitura vale para a Operação Proteu, da Polícia Civil de Pernambuco, divulgada em 28 de setembro de 2026. As reportagens falam em dez mandados de busca e apreensão e cinco mandados de prisão em cinco municípios de Pernambuco, Mato Grosso e Minas Gerais, e em um esquema que também usava contas de terceiros. Não tenho mais detalhes confirmados e, por isso, uso o caso só como indício de que a investigação deste golpe, em 2026, é rotina nas polícias estaduais.

A anatomia

Desmontado como perito, o falso parente tem as seguintes peças, todas em nível de princípio.

O alvo é escolhido por proximidade de um terceiro. O golpista não procura a vítima por si mesma, procura por alguém que ela ama e confia. É por isso que perfis de idosos aparecem tanto nas estatísticas: elas têm filhos e netos bem identificados em redes abertas, têm menos familiaridade com as formas de verificação e muitas vezes menos conversas simultâneas que os distraiam. Mas o alvo não é exclusivo de idosos. Funcionários, amigos e colegas também recebem mensagens de um falso chefe ou de um falso amigo.

O contato vem de um número novo, que a história justifica como uma troca. O pretexto é a mudança de número e uma urgência de dinheiro, em geral uma conta vencida ou um problema de aplicativo bancário que o impede de pagar. O gatilho é duplo: afeto, porque a vítima quer ajudar alguém querido, e pressa, porque o pedido tem prazo. O capítulo 2 chamou isso de estado visceral, e o capítulo 1 mostrou que a pressa é a etapa que impede a verificação.

O pagamento é pedido por transferência instantânea, a uma conta cujo titular não é o parente alegado. Esse é o ponto decisivo para o perito: o nome do beneficiário. A vítima que lê o nome de um desconhecido na tela de confirmação do banco tem ali o último aviso, e muitas passam por ele porque a explicação, "é a conta de um amigo", foi dada antes. O dinheiro deixa a conta de recebimento em minutos, como explicou o capítulo 3, e o rastro de conversas é apagado: a conversa no WhatsApp pode ser bloqueada e excluída pelo golpista. O boletim de ocorrência depende do que a vítima guardou.

A defesa

O conselho genérico é "desconfie de mensagens de números desconhecidos". Ele falha porque a vítima não lê a mensagem como de desconhecido: lê como de um filho. A defesa útil muda a pergunta. Em vez de "eu reconheço esta pessoa?", pergunta-se "como eu confirmo, por um canal que o golpista não controla?". As respostas práticas são simples e estão no protocolo ao fim do capítulo: ligar para o número antigo, falar com outro familiar, fazer uma videochamada, perguntar algo combinado antes, nunca pagar a conta de um terceiro com base apenas na mensagem.

Há uma defesa que cabe ao banco, e que é uma das verdades incômodas do tema: a tela de confirmação do beneficiário. Quando uma pessoa transfere dinheiro para um nome que nunca viu, o aviso do aplicativo deveria ser mais claro do que um nome em letras pequenas. Esse é um ponto de design, de que o livro irmão Design Viciante trata em outro contexto, e que os bancos podem melhorar sem prejuízo para o uso legítimo. Alguns bancos já adotam fricção para transferências para beneficiários novos, outros menos, e a variação importa.

A conta sequestrada: o que a verificação em duas etapas faz

A anatomia do roubo de acesso

Em nível de princípio, o sequestro de conta é um problema de autenticação. O WhatsApp usa o número de telefone como identidade. Quem provar que controla o número, recebendo o código, é reconhecido como o dono da conta. Essa escolha de projeto torna o serviço simples de usar, sem senha e sem conta de e-mail, e é uma das razões de sua popularidade. A contrapartida é que o código passa a ser a única barreira. Se alguém o repassa, a identidade muda de mãos.

A plataforma acrescenta uma segunda camada, a verificação em duas etapas. Quem a ativa define um PIN de seis dígitos (a Central de Ajuda informa que esse PIN está sendo convertido em senha, em mudança que não consegui datar), que será pedido junto ao código no registro em um novo aparelho. O PIN é diferente do código de SMS. Sem ele, o código sozinho não completa o processo, ou, em alguns casos, impõe uma espera. Ele não evita que o golpista tente, mas torna a tentativa inútil se a vítima não o revelar também. Para quem perdeu a conta, a verificação em duas etapas é também um argumento: se estava ativada e mesmo assim houve perda, a pergunta que o perito faz é como o PIN foi obtido.

Os limites da defesa técnica

Seria mentira dizer que a verificação em duas etapas resolve tudo. Ela não protege contra o perfil falso, que não precisa de acesso a nada. Não protege contra a vítima que, convencida, entrega também o PIN. E não protege quem perdeu o chip: o sequestro do número de telefone na operadora, tema que ultrapassa este capítulo, é outra rota de ataque. O que ela faz é elevar o custo, e isso é o que uma defesa em camadas faz. Uma regra simples vale para tudo: nenhum código nem senha de aplicativo é devido a ninguém, em nenhuma circunstância, mesmo que a pessoa alegue ser do suporte.

O que fazer quando a conta é perdida

Quem perde a conta tem duas frentes. A primeira é recuperá-la, pelos passos que a própria plataforma indica na Central de Ajuda. A segunda, tão importante quanto a primeira, é avisar a rede. Todos os contatos recebem mensagens em nome da vítima enquanto o golpista controla a conta, e cada um é um prejuízo em potencial. Avisar por outro canal (ligação, e-mail, rede social) que a conta foi comprometida e que ninguém deve atender pedidos de dinheiro feitos por ela é o gesto que mais reduz o dano. As pessoas costumam sentir vergonha de fazê-lo. A vergonha é a mesma que o capítulo 2 descreveu, e o preço de adiar é pago por parentes e amigos.

Vale também registrar a ocorrência. O art. 154-A do Código Penal, incluído pela Lei 12.737/2012, define o crime de invasão de dispositivo informático, e o art. 171, §2º-A, a fraude eletrônica, com reclusão de quatro a oito anos e multa. Não é consenso, na doutrina e na jurisprudência, em qual dos tipos se enquadra o sequestro por repasse voluntário de código, já que a vítima entrega a chave, ainda que enganada. Por isso o advogado ou o delegado vai escolher a capitulação, e a vítima não precisa se preocupar com ela. O que importa é que o relato, com data, número, horário das mensagens e prints, esteja disponível. O capítulo 19 explica o que guardar.

O mercado dos dados e da identidade

O capítulo 3 explicou que o insumo do golpe é um mercado. No falso parente, o mercado fica mais visível, porque o que se vende é o par "pessoa e parentes". A polícia do Distrito Federal descreveu painéis clandestinos que reúnem esses dados. O mecanismo é o de qualquer cadastro: nome, CPF, telefone, endereço e vínculos. A lei, no Brasil, trata esses dados como pessoais e protegidos (Lei Geral de Proteção de Dados, Lei 13.709/2018), mas a proteção só funciona quando alguém é responsabilizado pelo vazamento, e o dado já vazado não volta.

A consequência prática para a família é que a identidade baseada em dado cadastral não existe mais. Quem liga ou escreve sabendo o nome da sua filha, o nome do seu neto e o seu CPF pode ter comprado tudo isso por pouco. A prova de identidade que sobra é o conhecimento compartilhado e nunca publicado: um apelido de infância, uma lembrança que só duas pessoas têm, uma palavra combinada. É por isso que a palavra-senha de família, tema do capítulo 18, é a defesa mais barata e mais eficaz contra este golpe e contra o falso sequestro do capítulo 3.

O papel da plataforma

A plataforma é parte do problema e parte da solução, e é preciso dizer as duas coisas. Em agosto de 2025, a Meta informou que o WhatsApp havia derrubado mais de 6,8 milhões de contas ligadas a complexos de golpe, a maioria no Sudeste Asiático, no primeiro semestre do ano, conforme a divulgação reproduzida pela imprensa. A empresa disse ainda que passou a avisar usuários adicionados a grupos por pessoas fora de sua lista de contatos. É um número grande, e ele sugere duas coisas. A plataforma consegue detectar parte da estrutura industrial do capítulo 3. E o volume de contas abusivas é tão alto que um número desses é só uma fração do fluxo. Eu não consegui verificar o relatório original, o que me impede de dizer quanto isso representa do total.

Do ponto de vista do brasileiro, o que importa é que a plataforma tem papel limitado diante do falso parente comum. A mensagem do perfil falso, enviada de um número novo para um número conhecido, é tecnicamente uma mensagem como outra qualquer. A plataforma pode avisar, por exemplo, quando uma conversa é iniciada por um número que não está nos contatos, e já faz isso em alguns casos. Não pode, com a tecnologia atual, saber que a foto de perfil é de outra pessoa. O dever de remover contas fraudulentas, de responder a ordens judiciais de dados e de investir em detecção é tema de debate jurídico e de política pública, e o capítulo 9 trata da responsabilidade de plataformas em anúncios. Aqui basta lembrar que a vítima, hoje, depende de si mesma e da família.

Como conversar com pais e avós sem humilhar

A defesa mais eficaz contra o falso parente é familiar, e depende de uma conversa que muita gente evita por medo de ofender. O erro comum é o tom de tutela: "mãe, não caia em golpe". Ele produz o efeito contrário. A pessoa mais velha entende que está sendo tratada como incapaz, defende-se dizendo que jamais cairia e, quando cai, esconde. A pesquisa sobre vítimas, que o capítulo 2 resumiu, aponta que a vergonha é o maior inimigo da denúncia, e que pessoas de qualquer idade e instrução são enganadas quando o golpe encontra o momento certo.

A abordagem que costuma funcionar é de combinado, não de advertência. Em vez de dizer "você pode ser enganada", diga "vamos combinar uma coisa que protege nós dois". Proponha a palavra de família como um jogo entre vocês, não como um teste. Peça que ela, antes de qualquer pagamento a um parente por mensagem, ligue para você ou para outro familiar, e deixe explícito que ligar nunca é incômodo, mesmo de madrugada. Conte uma história real de alguém conhecido que passou por isso, sem apontar culpados, e conte também uma em que você mesmo quase caiu, se for verdade. Peça que ela ative com você a verificação em duas etapas, e faça com ela, no aparelho dela, em vez de explicar por telefone.

Por fim, combine o que acontece depois de um erro. Se ela pagar e depois perceber, a primeira ligação deve ser para você, sem medo de bronca, e a segunda para o banco. A família que reage ao golpe com acolhimento recupera mais depressa, porque a reação rápida, nas primeiras horas, é o que mais ajuda na tentativa de bloqueio. E a que reage com acusação fica sabendo do golpe semanas depois, quando o dinheiro já circulou.

O direito: quem responde e quem ressarce

O falso parente é estelionato (art. 171 do Código Penal), com a qualificadora do §2º-A quando praticado por meio eletrônico, que prevê reclusão de quatro a oito anos e multa. A falsidade ideológica e a falsa identidade (art. 307, que pune atribuir-se ou atribuir a terceiro falsa identidade para obter vantagem) aparecem nas denúncias. A lavagem de dinheiro (Lei 9.613/1998) aparece quando há movimentação organizada. A associação ou organização criminosa entra quando há estrutura.

Desde a Lei 15.397, de 30 de abril de 2026, que revogou o §5º do art. 171, segundo o texto compilado do Código Penal e os comentários jurídicos que consultei, o estelionato voltou a ser, como regra, de ação penal pública incondicionada: o Ministério Público não depende da representação da vítima para processar. Isso pesa para quem tem vergonha: mesmo que a vítima não queira "levar adiante", a ocorrência pode seguir. Não verifiquei a aplicação da mudança a casos anteriores à lei, e a vítima deve consultar um advogado ou a Defensoria Pública.

No plano civil, a pergunta mais comum é se o banco responde pela transferência que a própria vítima fez. A Súmula 479 do STJ trata da responsabilidade objetiva das instituições financeiras por fraudes e delitos de terceiros no âmbito de operações bancárias. Mas o falso parente é um caso difícil, porque a vítima autoriza a transferência, e a jurisprudência distingue situações em que o banco falhou nos seus controles daquelas em que o cliente agiu de forma voluntária, ainda que enganado. O capítulo 5 aprofunda essa divisão. Para a vítima, o ponto prático é pedir o ressarcimento por escrito ao banco, imediatamente, e guardar protocolos.

Para empresas: o falso chefe e o grupo da firma

A empresa tem a sua versão do mesmo golpe. Um funcionário recebe uma mensagem de um número desconhecido com a foto do diretor ou do dono, pedindo que pague uma conta, compre cartões ou comunique um dado. É o primo-irmão da fraude do CEO, que o capítulo 11 estuda. O mecanismo é o mesmo do falso parente, e a variável decisiva também: a autoridade percebida substitui a confirmação. A ferramenta de defesa é de processo, não de instrução. A empresa que define que nenhum pagamento nem alteração de dado bancário é feito com base em mensagem de chat, e que toda solicitação fora do fluxo exige confirmação em outro canal, tira do funcionário o peso de adivinhar quem está do outro lado. O funcionário que recusa um pedido do "diretor" pelo regulamento não está desobedecendo, está cumprindo a regra.

Outro ponto: a conta de WhatsApp corporativa, que serve de canal para clientes, é um ativo. Se for sequestrada, o golpista passa a falar com a base de clientes em nome da empresa. A empresa que usa o WhatsApp como canal de atendimento deve tratar o acesso a essa conta como trata o acesso ao banco: verificação em duas etapas ativada, número de recuperação em posse de mais de uma pessoa de confiança, uma pessoa responsável pelo chip e controle de quem tem o aparelho. Nenhuma dessas medidas é cara.

O que o perito pede à vítima: preservar antes de limpar

Quase toda vítima de golpe por WhatsApp comete, por instinto, o mesmo erro: apaga a conversa, bloqueia o número e tenta esquecer. É compreensível, e prejudica a investigação. A conversa é a principal prova de materialidade do golpe, e quem a destrói a seguir ao susto entrega ao golpista o apagamento de rastros que ele mesmo gostaria de fazer. O capítulo 17 trata da preservação de provas em profundidade. Aqui vale o essencial, em nível de quem não é perito e precisa agir em minutos.

Primeiro, não apague nada e não responda mais. Bloquear o número depois de registrar os dados é razoável; bloquear antes pode dificultar o acesso ao perfil. Segundo, registre o que identifica o interlocutor: o número completo com o código do país e do estado, a foto de perfil, o nome que aparece, o horário da primeira e da última mensagem. Tire capturas de tela da conversa inteira, de modo que apareçam as datas, e guarde-as em mais de um lugar. A plataforma permite exportar o histórico de uma conversa, e essa cópia é um complemento útil. Terceiro, guarde o comprovante da transferência, que traz o nome e o documento parcial do beneficiário e o identificador da transação, e o extrato do dia. Quarto, anote por escrito, enquanto lembra, a sequência dos fatos: o que foi dito, em que ordem, o que a levou a acreditar.

Em casos de valor alto, um advogado pode recomendar a ata notarial, em que um tabelião atesta o conteúdo de uma conversa em determinado momento, o que reforça a força probatória de capturas de tela, que podem ser contestadas. O custo é pequeno comparado ao valor em jogo, e o capítulo 17 explica quando faz sentido.

Essas informações não servem apenas para a vítima. Quem tem o número de conta que recebeu o dinheiro tem o ponto de partida que o banco e a polícia usam para bloquear valores e cruzar casos, como ocorreu na Operação 2 Face, em que queixas de várias pessoas, cruzadas, levaram à rede. Cada ocorrência bem documentada aumenta a chance de que um caso seja ligado a outro. O boletim de ocorrência, hoje, pode ser feito pela internet na maioria dos estados, e o capítulo 19 indica o caminho.

Os números: quanto pega

Os dados brasileiros específicos de falso parente são escassos e eu não encontrei uma série oficial separada. O que existe é o quadro geral, com todas as ressalvas do capítulo 3. O Anuário Brasileiro de Segurança Pública divulgado em julho de 2026 registrou 2.261.055 ocorrências de estelionato em 2025, segundo a cobertura da imprensa. Uma pesquisa do mesmo Fórum, de março de 2026, apurou que 15,8% das pessoas de 16 anos ou mais foram vítimas de golpe ou perderam dinheiro pela internet ou pelo celular no último ano, o equivalente a 26,3 milhões de pessoas. Não sei qual fração desse total corresponde a golpes por WhatsApp. Reportagens citam o WhatsApp como canal frequente, mas uma frase de imprensa não é uma estatística.

Do lado dos Estados Unidos, o relatório de 2025 do IC3, do FBI, registrou que as pessoas com 60 anos ou mais apresentaram 201.266 queixas e perdas de cerca de US$ 7,7 bilhões, com perda média de US$ 38.500. É um país e uma definição diferentes, e a comparação direta com o Brasil não é válida. Mas o sentido é o mesmo: o golpe que explora laços afetivos pesa mais em valor sobre os mais velhos, em parte porque eles têm poupança acumulada, e em parte porque pesa também o isolamento e a menor fluência com a tecnologia. Isso é uma hipótese comum na literatura, não uma conclusão sobre cada pessoa. Idoso não é sinônimo de ingênuo, e o capítulo 7 trata do tema sem preconceito.

Verdades desconfortáveis

A primeira é que a vítima do falso parente não errou por burrice, errou por amar. O golpe usa o melhor de uma pessoa, a vontade de ajudar quem ama, contra ela. Dizer a uma mãe que "foi descuido" acrescenta culpa a um prejuízo que já é grande. Quem acolhe essa vítima ajuda a investigação, porque a que se envergonha apaga a conversa e não registra.

A segunda é que o WhatsApp, por projeto, deposita sobre o usuário a defesa da própria identidade. Um serviço usado por quase todo mundo, cujo cadastro é o número de telefone, e que por isso não tem senha na entrada, é uma conveniência para o usuário e uma facilidade para o golpe. Não é conspiração, é trade-off de produto, e quem o fez sabia. A verificação em duas etapas existe porque esse risco foi reconhecido.

A terceira é que o dado pessoal brasileiro está espalhado. O CPF, o telefone e a lista de parentes de quase todo adulto estão em algum painel. Isso torna inútil a estratégia de "proteger seus dados" como única defesa e obriga a mudar a de "provar identidade com dados" para "provar identidade com o que só nós dois sabemos".

A quarta é que o banco vê a tela de transferência para um desconhecido e, em muitos casos, não faz nada além de um aviso padrão. Há cuidado de usabilidade, e há também interesse comercial em não atrapalhar o fluxo. O resultado é que o último ponto de verificação, que é o aplicativo, funciona muito abaixo de seu potencial.

A quinta é que a polícia e a Justiça tratam o golpe de R$ 800 como caso menor, e o golpista conta com isso. A operação só acontece quando os casos se somam. Por isso registrar a ocorrência, mesmo de valor pequeno, é um serviço aos próximos: cada boletim é um ponto na rede que um investigador, um dia, vai ligar.

Protocolo de defesa

Para a pessoa e a família

• Ative a verificação em duas etapas no WhatsApp, hoje, em todos os aparelhos da família, e cadastre um e-mail de recuperação que você controla.
• Nunca repasse o código de seis dígitos do WhatsApp, nem o PIN ou a senha da verificação em duas etapas, a ninguém, em nenhuma circunstância, mesmo que a pessoa diga ser parente, suporte ou autoridade.
• Combine uma palavra ou pergunta de família, que não esteja em nenhuma rede social, e use-a em qualquer pedido de dinheiro por mensagem.
• Diante de uma mensagem de "troquei de número" com pedido de dinheiro, não responda ao pedido. Ligue para o número antigo ou fale com outro parente, e só então decida.
• Nunca pague uma conta em nome de terceiro com base em mensagem. Leia o nome do beneficiário na tela de confirmação do banco: se ele não tem relação com a pessoa que pediu, pare.
• Torne a conta mais difícil de copiar: restrinja a foto de perfil aos contatos e evite expor nomes de parentes em perfis abertos.
• Com pais e avós, faça o combinado presencial, sem alarme, e deixe claro que consultar a família antes de pagar é sempre bem-vindo e jamais motivo de bronca.
• Se perder a conta, avise por outro canal todos os contatos, registre a ocorrência e acione a plataforma pelos canais oficiais.
• Se pagou, ligue para o banco na hora, informe que foi golpe e peça o bloqueio e a devolução. O capítulo 19 detalha o que fazer nas primeiras 24 horas.

Para a empresa

• Defina por escrito que pagamento, troca de dado bancário e envio de informação sensível não são aceitos por chat, e que qualquer exceção exige confirmação por outro canal.
• Proteja a conta corporativa do WhatsApp com verificação em duas etapas e responsáveis nomeados pelo chip e pelo aparelho.
• Informe os funcionários, nominalmente, sobre o golpe do falso chefe, com o exemplo de uma tentativa real da própria empresa, se houver.
• Tenha um canal para o funcionário reportar a tentativa sem constrangimento, e agradeça quem reporta.

Sinais de alerta

• Mensagem de um número que você não conhece, com a foto de alguém que você conhece, dizendo que mudou de número.
• Pedido de dinheiro com urgência e justificativa de que o aplicativo do banco "não está funcionando".
• Conta de pagamento em nome de pessoa diferente da que pede.
• Recusa de atender ligação ou fazer videochamada, com desculpa de microfone, câmera ou local ruim.
• Recebimento de um código de seis dígitos do WhatsApp que você não pediu, ou pedido de alguém para que você o repasse.
• Mensagem de um contato conhecido, do número de sempre, pedindo dinheiro com um texto que não parece o dele: pode ser conta sequestrada.
• Notificação de que seu número está sendo registrado em outro aparelho.
• Pressão para manter segredo, "não conte à sua mãe", "é uma surpresa".

Exercícios

1. Auditoria de exposição do perfil. Abra o seu WhatsApp e o de um familiar mais velho. Em cada um, confira quem pode ver a foto de perfil, o recado e a última vez online, e se a verificação em duas etapas está ativada. Entrega: uma tabela com o estado de cada item antes e depois, e o que foi mudado.
2. Combinado de família. Reúna a família e defina uma palavra ou pergunta de verificação, uma regra de "ligue de volta no número antigo" e uma pessoa de referência para consultar antes de pagar. Entrega: as três regras em meia página, guardadas com todos.
3. Simulação de decisão. Peça a alguém de confiança que descreva por escrito, sem usar mensagem real de golpe, uma situação em que um parente "pede ajuda" por mensagem. Responda, também por escrito, o que você faria passo a passo e por qual canal confirmaria. Entrega: a sua resposta e o que você mudaria nela depois de relê-la.
4. Mapa de impacto de uma conta perdida. Liste os cinco contatos de WhatsApp que mais lhe dariam dinheiro se você pedisse. Entrega: a lista, e como você os avisaria, por outro canal, se perdesse a conta hoje.
5. Regra de empresa. Se você trabalha numa empresa, escreva meia página com a regra de pagamentos e alterações bancárias por chat e o canal alternativo de confirmação. Entrega: o texto, e uma pessoa responsável por revisá-lo a cada semestre.

Prompt de estudo

Vou descrever uma mensagem que recebi de um suposto parente ou conhecido pedindo dinheiro (sem colar dados pessoais reais). Atue como um perito em fraudes. Diga quais características da situação são típicas de golpe de falso parente, quais perguntas eu deveria fazer a mim mesmo e a quem posso recorrer para confirmar a identidade por outro canal. Não escreva exemplos de mensagens de golpe.

Quero montar um combinado de segurança no WhatsApp para minha família, incluindo pais idosos e filhos adolescentes. Pergunte-me como a família se comunica e proponha cinco regras curtas, fáceis de lembrar e de cumprir sob pressão, para três situações: pedido de dinheiro por mensagem de número novo, recebimento de código de verificação que não pedi e perda da conta.

Fontes e leituras

• Polícia Civil de Goiás e reportagens sobre a Operação 2 Face, 5 de abril de 2022 (Canaltech).
• Polícia Civil do Distrito Federal e reportagens sobre a Operação Atrás das Grades, 7 e 8 de outubro de 2026 (Correio da Manhã).
• Reportagens sobre a Operação Proteu, da Polícia Civil de Pernambuco, setembro de 2026 (resumo de busca; texto original não aberto).
• Central de Ajuda do WhatsApp. Páginas "Sobre a confirmação em duas etapas", "Como recuperar uma conta comprometida" e "Recebimento de código de verificação sem solicitação", em faq.whatsapp.com. Consulte o texto atual: os fluxos mudam.
• Meta. Divulgação de agosto de 2025 sobre a remoção de mais de 6,8 milhões de contas de WhatsApp ligadas a complexos de golpe, conforme reproduzida pela imprensa (AP e outros).
• Fórum Brasileiro de Segurança Pública. Anuário Brasileiro de Segurança Pública 2026 e pesquisa de vitimização de março de 2026 (números via cobertura da imprensa; confira o PDF oficial em forumseguranca.org.br).
• Federal Bureau of Investigation, Internet Crime Complaint Center. 2025 IC3 Annual Report, em ic3.gov.
• Presidência da República. Código Penal (Decreto-Lei 2.848/1940), arts. 154-A, 171 e 307; Lei 12.737/2012; Lei 14.155/2021; Lei 15.397/2026; Lei 9.613/1998; Lei 13.709/2018.
• Superior Tribunal de Justiça. Súmula 479.