17. O método do perito

Vinte minutos antes do Pix

Cenário ilustrativo. Numa segunda-feira de manhã, o dono de uma pequena oficina de bicicletas elétricas, a quem chamaremos de Marcos, recebe uma mensagem de um distribuidor que ele nunca ouviu citar. O distribuidor oferece baterias de uma marca conhecida por um preço 30% abaixo do que Marcos paga hoje. O catálogo é bonito, o texto é educado, o atendente responde em dois minutos. Para "reservar o lote", pede um sinal de 50% por Pix, até o meio-dia, porque a oferta vale só para os primeiros compradores. O lote custa R$ 18.000, e o sinal é de R$ 9.000.

Marcos já viu esse filme no grupo de lojistas do bairro. Mesmo assim, o desconto é real o bastante para pesar, e a pressa é do tipo que ele conhece bem, porque o próprio negócio dele vive de prazo curto. Ele faz o que faria um bom gestor: chama a contadora, Helena, e pergunta se ela consegue olhar aquilo antes do meio-dia.

Helena não tem acesso a nada que um adulto interessado não tenha. Em vinte minutos, ela faz seis consultas. Na Receita Federal, o CNPJ informado existe e está ativo, mas foi aberto há 41 dias, com atividade principal de comércio de artigos do vestuário, capital social de R$ 1.000 e endereço em um prédio residencial. No registro de domínio, o site do "distribuidor" foi criado há 12 dias. A busca reversa das fotos do catálogo leva a um fabricante estrangeiro e a três outras lojas, nenhuma delas com o mesmo nome. O nome do beneficiário que apareceria na tela do banco é o de uma pessoa física, e não o da empresa. Nos sites dos tribunais, não há nada, o que, para uma empresa de 41 dias, não prova coisa alguma. E no Reclame Aqui não há registro, o que pelo mesmo motivo também não prova.

Helena escreve três linhas para Marcos. Primeira: o CNPJ é de verdade, mas não combina com o que a empresa diz ser. Segunda: o endereço, o domínio e a conta de recebimento apontam para uma estrutura de poucas semanas, e o desconto é grande demais para uma empresa assim. Terceira: ela não consegue afirmar que é golpe, e nem precisa. Para pagar, ela exige o que um distribuidor de verdade entregaria sem esforço, que é pagamento contra nota fiscal, entrega parcial ou referência de outro lojista. Marcos manda a proposta. O "distribuidor" insiste, baixa o preço mais um pouco e some às 11h40.

Esse cenário é inventado, mas o método dele é real, e é o assunto deste capítulo. Repare no que Helena não fez. Não acusou ninguém, não procurou a vida pessoal de ninguém, não usou nenhuma ferramenta que um cidadão comum não tenha. Perguntou o que cada fonte aberta responde, separou o que sabia do que supunha, e propôs um teste que um fornecedor honesto passa e um golpista não. Os capítulos anteriores ensinaram a reconhecer padrões. Este ensina a investigar, em casa ou no escritório, com rigor e com limites.

O que você vai levar deste capítulo

Investigar um caso suspeito é testar hipóteses, e não confirmar a primeira impressão. A pergunta útil é "o que seria diferente se isto fosse legítimo?".

As fontes abertas, como Receita, Junta, registro de domínio, tribunais e reclamações de consumidores, respondem perguntas específicas e têm limites que precisam ser conhecidos. A ausência de um registro raramente prova inocência, e a presença dele raramente prova confiança.

Prova digital se perde rápido e se contesta com facilidade. O que você preserva nas primeiras horas, e como, decide o que o banco, a polícia e o juiz poderão fazer depois.

A vítima não rastreia o dinheiro, mas pode entregar a quem rastreia um dossiê que economiza dias. E o método tem limites éticos e legais que valem tanto quanto as técnicas.

A cabeça do perito

Hipótese, evidência e grau de confiança

A diferença entre um perito e um curioso está na forma de duvidar. O curioso procura uma explicação e, quando acha uma que cabe, para. O perito mantém mais de uma hipótese viva e pergunta, para cada fato novo, qual delas ele favorece. Se a hipótese é "esta loja é legítima", o fato "o site tem três meses" pesa pouco, porque lojas legítimas também são novas. Se a hipótese é "esta loja é golpe", o mesmo fato pesa mais, porque golpes têm vida curta. O que importa é quanto o fato separa as hipóteses, e não se ele parece suspeito.

Esse raciocínio tem consequência prática. Um sinal de alerta isolado, como vimos em cada capítulo da Parte II, quase nunca decide. O que decide é a combinação de sinais independentes e a ausência de explicação inocente para eles. O endereço residencial de Helena poderia ser de um microempreendedor que trabalha em casa. O domínio novo poderia ser de uma empresa que acabou de abrir. O capital de R$ 1.000 poderia ser de uma firma pequena. Cada item tem explicação honesta. Os três juntos, somados a um preço fora do mercado e a um prazo curto, fecham uma figura muito mais difícil de explicar.

Fato, indício, alegação e suposição

Quem escreve um dossiê, ou apenas anota o que descobriu, deve separar quatro categorias, e a separação é o hábito mais valioso do método. Fato é o que você observou diretamente e pode demonstrar: o comprovante mostra que o Pix saiu às 14h02, para tal conta, no valor de R$ 12.000. Indício é um fato que aponta numa direção sem esgotá-la: o domínio foi registrado doze dias antes da primeira mensagem. Alegação é o que alguém afirma, e que você não verificou: o vendedor disse que a empresa tem dez anos de mercado. Suposição é o que você concluiu: "isto é uma quadrilha de Goiás". Escreva cada coisa na sua categoria. Quando o dossiê chegar ao delegado, ao gerente do banco ou ao advogado, essa organização vale mais do que dez páginas de indignação.

A mesma disciplina vale para o que se diz sobre as pessoas. O livro inteiro segue a presunção de inocência, e o perito amador tende a esquecê-la no calor do caso. Dizer que "o dono desta conta é o golpista" é uma suposição que pode estar errada de várias maneiras: o titular pode ser um laranja enganado, como vimos no capítulo 6, ou uma pessoa cujos documentos foram usados sem que ela soubesse. O que você sabe é que o dinheiro foi para uma conta em nome de alguém. O resto é trabalho da polícia e da Justiça.

O teste que o legítimo passa

Quando a investigação não chega a uma conclusão, a melhor saída costuma ser mudar a pergunta. Em vez de "isto é golpe?", pergunte "que teste um negócio honesto passaria sem custo e um golpe não passaria?". Helena propôs pagamento contra nota fiscal, entrega parcial e referência de outro lojista. Um distribuidor real tem nota, tem estoque, tem clientes que o recomendam. Um golpe que depende da pressa e do pagamento antecipado não tem como oferecer nenhum dos três sem desmontar o próprio negócio. É a versão prática do que o capítulo 18 vai chamar de atrito deliberado: um passo que custa pouco ao honesto e muito ao desonesto.

Cinco perguntas e uma linha do tempo

Todo caso suspeito, seja ele uma proposta que chegou hoje ou um golpe que você sofreu na semana passada, se organiza em torno de cinco perguntas. Quem é a outra parte, de verdade? O que ela pede, e o que entrega? Como o contato chegou até você, e por qual canal? Para onde o dinheiro vai ou foi? E quando cada coisa aconteceu?

A última merece uma atenção particular, porque quase todo mundo a negligencia. A linha do tempo é a ferramenta mais poderosa de que o investigador dispõe e a que menos custa. Anote, em ordem, cada evento com data e hora: o primeiro contato, cada mensagem relevante, a chegada do boleto ou do QR, o pagamento, o momento em que você percebeu, a ligação ao banco. Quando as datas entram na mesma coluna, aparecem coincidências que a memória não guarda. O domínio do site criado dois dias antes de o anúncio ir ao ar. A mudança de número "do parente" logo depois de um vazamento noticiado. O golpe da falsa central que chegou meia hora depois de você ter conversado com o banco, no capítulo 6, quando o criminoso conhecia o e-mail trocado. Em quase todo caso que vimos no livro, a linha do tempo foi o que transformou uma suspeita em um padrão.

Além disso, a linha do tempo protege você. O banco, a polícia e o juiz perguntam quando as coisas aconteceram, e a vítima que responde com precisão é mais crível do que a que responde com impressões.

Verificar a empresa

O que a Receita diz

A primeira consulta a fazer sobre qualquer empresa desconhecida é a do CNPJ, que o cidadão faz de graça no portal da Receita Federal. O comprovante de inscrição e de situação cadastral informa o nome empresarial, a data de abertura, a situação (ativa, suspensa, inapta, baixada), a atividade econômica principal e as secundárias, o endereço, o capital social, a natureza jurídica e o quadro de sócios e administradores. Cada campo responde uma pergunta.

A data de abertura responde há quanto tempo a empresa existe, e a idade tem relação direta com a promessa. Uma empresa que afirma ter "dez anos de mercado" e foi aberta há dois meses mentiu. Uma loja que anuncia desconto de liquidação histórico e abriu na semana passada está, no mínimo, fora do padrão. A atividade econômica diz se o que a empresa vende é compatível com o que ela está registrada para fazer. Não é crime vender algo diferente do cadastro, e muitos negócios legítimos se desatualizam, mas um distribuidor de baterias registrado como comércio de roupas merece mais perguntas. O capital social e o porte dizem se a estrutura é compatível com o valor da operação, e uma empresa de capital de mil reais que pede R$ 9.000 de sinal é uma pergunta, e não uma resposta. A situação cadastral informa se a empresa está regular. O endereço pode ser conferido em mapas e imagens de rua: um galpão que na foto é uma casa de família, ou uma sala de coworking que abriga centenas de CNPJs, não é prova de nada, mas é um fato para a linha do tempo.

Há duas ressalvas essenciais. A primeira é que o CNPJ existir não prova que quem fala com você é daquela empresa. Golpistas usam CNPJs verdadeiros de empresas reais, com o nome, o endereço e até os sócios, e põem outro telefone, outro e-mail e outra conta de recebimento. A verificação, nesse caso, não é a do cadastro, mas a do canal: o telefone, o site e o e-mail que falam com você batem com os que a empresa tem em seus canais oficiais, encontrados por você de forma independente? A segunda ressalva é que o CNPJ também revela quem são os sócios, mas isso é apenas o ponto de partida de uma verificação sobre a empresa e não uma licença para investigar a vida pessoal de alguém. Voltaremos ao assunto.

Junta Comercial, tribunais e reguladores

A Junta Comercial do estado guarda o contrato social e as alterações da empresa, e permite, conforme o estado, a consulta por certidões simplificadas ou por documentos mais completos, às vezes com taxa. Serve para verificar se o contrato de fato existe e confere com o que a Receita mostra, e é útil quando o negócio é grande e a documentação precisa ser comparada. A Comissão de Valores Mobiliários mantém listas de entidades autorizadas e alertas sobre entidades não autorizadas, e o Banco Central divulga as instituições que funcionam sob sua supervisão. Uma plataforma que recebe depósitos de investimento e não aparece em nenhuma dessas listas está operando sem autorização, ou mentindo sobre quem é.

Os tribunais completam a figura. Cada Justiça tem sua consulta processual pública, e o nome ou o CNPJ da empresa pode ser pesquisado nos tribunais do estado e nos da Justiça Federal e do Trabalho. Muitas ações como ré em varas de consumo são um indício de comportamento, e uma ou outra isolada não diz nada. Devem-se ler os processos com a mesma disciplina de qualquer indício: quem processa, sobre o quê, com que desfecho. Um processo é uma alegação até a sentença, e processo em segredo de justiça não aparece. A ausência de processos, por sua vez, é compatível com uma empresa nova e com uma empresa limpa, e não distingue uma da outra.

Reclamações de consumidores

O Reclame Aqui e o Consumidor.gov.br são os dois repositórios de reclamações mais consultados. Ambos têm utilidade e limites diferentes. O Reclame Aqui é uma empresa privada, cuja nota e cujos selos refletem em grande parte o comportamento da empresa na própria plataforma, e não necessariamente a experiência do cliente. As empresas podem responder, contratar serviços da plataforma e ter reputação construída ou comprada de diversas maneiras. O Consumidor.gov.br é um serviço público, em que só aparecem as empresas que aderiram, e os índices de resolução e de satisfação refletem o que as empresas fizeram com as reclamações que receberam. Para o perito, vale mais o conteúdo do que a nota: o que se repete nas reclamações, com que datas, em que formato. Quarenta reclamações idênticas sobre "produto não entregue" em dois meses são um padrão, mesmo que a nota geral esteja alta.

O limite mais importante é o do tempo. Uma empresa nova não tem reclamações, e o golpe que dura três semanas costuma sumir antes de acumulá-las. Quem usa a ausência de reclamações como atestado de bom comportamento está usando uma ferramenta que, por construção, falha justamente para os golpes mais rápidos.

Domínio, site e imagens

O registro de domínio é a fonte mais subestimada do investigador comum. Para domínios terminados em .br, o Registro.br mantém uma consulta pública que mostra, entre outras informações, as datas de criação e de expiração, o status e, para pessoas jurídicas, dados do titular, enquanto os dados de pessoas físicas costumam ser protegidos. Para domínios genéricos, existem consultas equivalentes, e muitos registradores ocultam o titular por motivos de privacidade. O dado mais útil, nos dois casos, é a data de criação. Um site que diz representar uma marca centenária e foi registrado na semana passada tem um problema. Um domínio que difere do da marca real por uma letra, uma terminação ou um hífen é a assinatura clássica de imitação. O certificado de segurança, o cadeado do navegador, não ajuda aqui: ele só garante que a conexão com aquele site é criptografada, e qualquer site, honesto ou fraudulento, pode tê-lo.

A busca reversa de imagem completa a verificação. Fotos de produtos, de pessoas e de escritórios usadas em um catálogo ou em um perfil podem ser enviadas a um buscador de imagens, que mostra onde mais elas aparecem. Se as fotos de uma "equipe" aparecem em bancos de imagens, ou se as fotos de um "apartamento para alugar" estão em anúncios de outra cidade, a história muda. Como o capítulo 8 já avisou para o golpe do amor, a busca reversa não prova que o perfil é verdadeiro quando não acha nada, porque imagens inéditas, geradas ou recortadas passam por ela. Seu valor está em desmontar o falso, não em atestar o autêntico. O capítulo 16 trata das imagens geradas por inteligência artificial e explica por que esse limite se tornou mais estreito.

Quanto cada fonte responde

A tabela a seguir resume o que cada consulta responde e o que ela não responde. É a única do capítulo.

Fonte	Responde	Não responde
Receita (CNPJ)	Existência, idade, atividade, capital, endereço, sócios	Se o canal que fala com você é da empresa
Junta Comercial	Contrato social e alterações	Idoneidade; o que a empresa faz na prática
Tribunais	Processos públicos, partes, desfechos	Casos em segredo de justiça; empresa nova sem histórico
Reclamações (Reclame Aqui, Consumidor.gov.br)	Padrão de queixas e respostas	Reputação real; golpes de vida curta
Registro de domínio	Data de criação, status, às vezes titular	Quem opera o site; honestidade do conteúdo
Busca reversa de imagem	Reaproveitamento de fotos	Autenticidade, quando nada é achado
Reguladores (CVM, Banco Central)	Autorização para atuar	Qualidade do serviço de quem está autorizado

OSINT básico e ético

O que é, e onde o amador se perde

OSINT é a sigla inglesa para inteligência de fontes abertas: a coleta e a análise de informação disponível ao público, sem invasão, sem engano e sem acesso a nada que o titular não tenha escolhido tornar público ou que a lei não obrigue a ser público. Tudo o que descrevi até aqui é OSINT básico. Para quem lê este livro, é a única parte do ofício de que vale se ocupar. Ela basta para a maior parte das decisões que a pessoa comum e a pequena empresa precisam tomar, e tem uma vantagem pouco notada: é lícita, repetível e explicável diante de um delegado, de um juiz ou de um cliente.

O problema do amador é que o caminho entre "estou verificando uma empresa" e "estou investigando uma pessoa" é curto e agradável. Quando se acha um nome, a tentação é seguir adiante: procurar o perfil, as fotos, o endereço, os parentes, o empregador. Em quatro ou cinco passos, a verificação de uma empresa se tornou o perfilamento de uma pessoa física que pode ser o dono de uma firma honesta, um laranja enganado ou um homônimo. O dano possível é concreto, tanto para ela quanto para você.

Os limites

Cinco limites orientam o capítulo, e valem como regra de conduta.

O primeiro é o da proporcionalidade. Consulte o que for necessário para a decisão que você tem de tomar. Para decidir se paga um sinal de R$ 9.000, a idade da empresa, a coerência do cadastro, o domínio e a referência de outro cliente bastam. A vida pessoal do sócio não entra.

O segundo é o do acesso lícito. Perfil privado, grupo fechado, mensagem que você receberia só se fingisse ser outra pessoa, base de dados vazada: nada disso é fonte aberta. Invadir uma conta ou dispositivo sem autorização pode configurar o crime previsto na Lei 12.737, de 2012; comprar um "dossiê" de quem vende dados pessoais pode violar a Lei Geral de Proteção de Dados. O fato de a informação estar na internet não a torna livre para qualquer uso. Dados pessoais acessíveis publicamente continuam protegidos pela LGPD quanto à finalidade com que são tratados.

O terceiro é o de não interagir com o golpista para investigá-lo. Entrar na conversa para "ver até onde vai", fingir interesse, enviar documento falso ou tentar identificá-lo por provocação expõe você, atrapalha a investigação policial e pode alertar o outro lado para apagar rastros. Você pode parar de responder e preservar as provas, e é só isso que precisa fazer. A investigação ativa é função do Estado.

O quarto é o de não fazer justiça com as próprias mãos. Divulgar o nome, a foto ou o endereço de alguém como "golpista" é a maneira mais rápida de transformar a vítima em ré por calúnia, difamação ou injúria, e de expor um inocente que foi confundido com o criminoso, o que acontece com frequência, porque o laranja e o homônimo existem. Descrever fatos a quem tem atribuição de apurá-los, a polícia, o banco, o Procon, a plataforma, é um direito. Acusar nominalmente em público, não.

O quinto é o de documentar o que você fez. Se, depois, alguém perguntar como você chegou a tal informação, a resposta tem de ser simples: abri o site tal, consultei a base tal, em tal data. A rastreabilidade do próprio método protege o investigador.

Perfilar pessoa física: fora do livro

Este capítulo não ensina a levantar a vida de uma pessoa física, localizar alguém, cruzar redes sociais ou identificar quem está por trás de um perfil anônimo. Isso é trabalho de polícia e de profissional com base legal e controle. Quando a investigação passa de verificar uma empresa a identificar um indivíduo, entregue o dossiê às autoridades e deixe que quem pode peça os dados ao provedor, ao banco e à operadora.

Preservar a prova

Por que as primeiras horas contam

Prova digital é volátil por natureza. O anúncio sai do ar, o perfil é apagado, a conversa é limpa por quem a abriu, o site fica fora do ar, a mensagem de "visualização única" desaparece. Os provedores, por sua vez, não guardam registros para sempre: o Marco Civil da Internet, em seus artigos 13 e 15, estabelece prazos mínimos de guarda de um ano para registros de conexão, a cargo do provedor de acesso, e de seis meses para registros de acesso a aplicações, a cargo do provedor de aplicações organizado profissionalmente e com fins econômicos. O artigo 22 permite que a parte interessada, para formar prova em processo cível ou penal, peça ao juiz que ordene a quem guarda os registros o fornecimento deles. Isso significa que há uma janela: depois dela, mesmo uma ordem judicial pode chegar a nada. Quem demora meses para registrar a ocorrência está perdendo evidência que existia.

O que guardar, em ordem de volatilidade

A regra do técnico forense é preservar primeiro o que desaparece primeiro. Na prática, para a vítima ou para o investigador cuidadoso, a ordem é a seguinte.

Primeiro, o que está na tela e pode sumir: o anúncio, o perfil, a página do site, a conversa. Capture a tela inteira, incluindo o endereço do navegador e a data e a hora do aparelho, e não apenas o trecho. Se possível, grave um vídeo da tela navegando pela página e rolando a conversa do início ao fim. Para páginas da web, salve também o arquivo da página em PDF ou em HTML. Guarde o endereço completo, o identificador do anúncio, o nome do perfil e o seu identificador numérico, quando visível, porque o nome muda e o número fica.

Segundo, a conversa em si. Nos aplicativos de mensagem, use a função de exportar a conversa, que gera um arquivo com o texto e a data e hora de cada mensagem, e guarde também as mídias. Não apague a conversa, não bloqueie o contato antes de preservar, e não a edite, mesmo que seja para apagar uma frase constrangedora. Se houver mensagens de voz, guarde os arquivos originais. Para e-mails, a mensagem que importa não é a que aparece na tela, mas a original com o cabeçalho completo, que se pode salvar em arquivo. É no cabeçalho que ficam os caminhos técnicos por onde a mensagem passou, e um especialista consegue dizer muito sobre ela a partir dali.

Terceiro, os comprovantes. O comprovante do Pix ou da transferência, o boleto pago, o código de barras, a chave de destino, o extrato com o lançamento, o protocolo de cada ligação ao banco. O comprovante de Pix traz, em geral, o nome do recebedor, parte do documento dele, a instituição, e um código de identificação da transação que serve de referência única para o banco e para a polícia. Guarde o arquivo original e não apenas uma foto dele.

Quarto, o aparelho. Se o golpe passou por um aplicativo instalado por orientação do golpista, pelo recebimento de um código ou por um arquivo baixado, não formate o celular de imediato. A perícia pode precisar dele. Desconecte-o da rede, anote os aplicativos instalados e a hora, e peça orientação à polícia ou a um profissional antes de qualquer limpeza, mesmo que a segurança da conta exija que você troque as senhas a partir de outro aparelho.

Quinto, as cópias. Duplique tudo em pelo menos dois lugares, um deles fora do celular. Nomeie os arquivos com data e hora, em ordem, de modo que a sequência conte a história.

Print basta? Ata notarial e hash

O print de tela é a prova mais usada e uma das mais fracas, porque qualquer pessoa pode editar uma imagem e a outra parte pode alegar que foi o que você fez. Um print solto, sem endereço, sem data e sem o arquivo original que o sustente, vale pouco quando contestado. Ele ajuda como indício e como roteiro, mas não deve ser a única base de uma ação.

Para o que importa mais, a ata notarial é a ferramenta clássica. O Código de Processo Civil, em seu artigo 384, diz que a existência e o modo de existir de algum fato podem ser atestados ou documentados, a requerimento do interessado, mediante ata lavrada por tabelião, e acrescenta, no parágrafo único, que dados representados por imagem ou som gravados em arquivos eletrônicos poderão constar da ata. Na prática, você vai ao cartório de notas com o aparelho, o tabelião acessa a página ou abre a conversa na presença dele e descreve o que vê, com data e hora, em documento com fé pública. O custo varia de cartório para cartório e de estado para estado, e o procedimento também. Vale a pena quando o conteúdo é decisivo e provavelmente vai sumir: o anúncio fraudulento de uma marca, a publicação ofensiva, a conversa com o golpista, a página de uma loja que será derrubada. Para a empresa que sofre uso indevido da marca, é uma peça padrão do dossiê. O que a ata atesta é que o tabelião viu aquilo naquele momento, e não que o conteúdo é verdadeiro ou que seu autor é quem diz ser.

Há ainda um recurso simples, o hash: um código calculado a partir do conteúdo de um arquivo, que muda se qualquer parte dele mudar. Registrado no momento em que o arquivo foi salvo, mostra depois que ele não foi alterado. Para o cidadão é opcional; para a empresa, vale o hábito de registrar o hash dos arquivos importantes numa planilha de custódia.

Cadeia de custódia

O Código de Processo Penal, desde a Lei 13.964, de 2019, define a cadeia de custódia, no artigo 158-A, como o conjunto de todos os procedimentos usados para manter e documentar a história cronológica do vestígio coletado em locais ou em vítimas de crimes, para rastrear sua posse e manuseio a partir de seu reconhecimento até o descarte. O artigo 158-B lista as etapas, de reconhecimento a descarte. A norma trata da atividade do Estado, e não vincula o particular, mas oferece um modelo útil: saber quem teve a prova, quando, em que estado, e poder demonstrar que nada mudou. A vítima que guarda os arquivos originais, anota quando e como os salvou, e entrega cópias em vez de originais com um recibo, está, na prática, mantendo uma cadeia de custódia doméstica.

Seguir o dinheiro, em alto nível

O que a vítima enxerga e o que não enxerga

A vítima de um golpe com Pix vê, no comprovante, um nome, parte de um documento, um banco e uma chave. Isso é o início do rastro e é valioso para as instituições, mas é só o primeiro elo. O que acontece depois, as divisões, os saltos entre contas e a saída do sistema bancário, como mostrou o cenário dos doze mil reais do capítulo 6, só quem tem acesso ao conjunto de contas consegue ver. É o banco, por meio da Recuperação de Valores, e a polícia, com ordem judicial.

O sigilo bancário é protegido por lei, e a quebra depende de decisão judicial, pedida pela autoridade ou pelo Ministério Público no curso de uma investigação. O cidadão não tem como consultar a movimentação de uma conta alheia, e não deve tentar contornar isso. A lei da lavagem, que citei no capítulo 6, é o que sustenta, no outro extremo, a atuação dos órgãos de inteligência financeira, que recebem comunicações das instituições sobre operações atípicas e as cruzam. Nada disso passa pela vítima, e a boa notícia é que ela não precisa fazê-lo.

O que a vítima pode fazer

A primeira coisa é entregar bons identificadores: o valor, o horário até o segundo, o nome do recebedor, o banco, a chave ou os dados da conta, o código da transação. Um bom pedido ao banco, nos primeiros minutos, vale mais do que qualquer investigação posterior, porque é no banco que está a única ferramenta rápida, o bloqueio. A segunda é pedir ao banco que registre, no pedido de Recuperação de Valores, tudo o que você sabe sobre o golpe, para que a instituição do recebedor tenha elementos para avaliar a fraude. A terceira é cruzar: se você participa de grupos de vítimas, de fóruns ou de associações de consumidores, comparar chaves, nomes e valores com outras queixas pode revelar que a mesma conta recebeu de dezenas de pessoas, e esse cruzamento, entregue à polícia, é o que, como na Operação 2 Face, transforma um boletim em uma investigação. Mas a comparação é feita em dados do golpe, e não em dados da vida dos titulares: chaves e números de conta, e não perfis pessoais.

O dossiê

Uma página, uma linha do tempo, anexos

Depois de preservar e organizar, o produto do método é o dossiê. Ele não precisa ser longo, mas precisa ser lido por pessoas ocupadas, e por isso sua forma importa. A estrutura que serve à maior parte dos casos tem cinco partes.

A primeira é o resumo de uma página: quem você é, o que aconteceu em três ou quatro frases, o prejuízo em reais, as datas extremas e o que você pede. A segunda é a linha do tempo, em tabela ou lista, com data, hora e fonte de cada evento. A terceira é o quadro de identificadores: nomes, números de telefone, chaves de Pix, contas, endereços de sites, nomes de perfil, números de protocolo, e para cada um, onde ele foi obtido. A quarta é o conjunto de anexos, numerados, com um índice: comprovantes, conversas exportadas, capturas, ata notarial, boletim de ocorrência. A quinta é a declaração de método: o que você consultou, em que dia, e o que é fato, indício, alegação e suposição.

Para cada destinatário

A polícia quer fatos e identificadores. O boletim de ocorrência, hoje registrado pela internet na maioria dos estados, é o ponto de entrada, e vale lembrar a regra de competência que a Lei 14.155, de 2021, incluiu no Código de Processo Penal: nos crimes de estelionato praticados mediante depósito, cheque sem fundos ou transferência de valores, a competência é do local do domicílio da vítima, e, havendo várias vítimas, firma-se pela prevenção. Na prática, isso permite à vítima registrar a ocorrência perto de casa, ainda que o golpista esteja em outro estado. O dossiê entra como anexo ao boletim ou é entregue à delegacia, e o que o delegado mais usa é o quadro de identificadores.

O banco quer horário, valor e destino, para abrir a Recuperação de Valores e justificar o bloqueio. Para ele, o resumo de uma página e o comprovante bastam, e tudo o que passar disso pode ser enviado depois. Como o capítulo 6 mostrou, o relógio corre, e o dossiê completo não deve atrasar o primeiro telefonema.

O advogado quer cronologia, prejuízo, documentos e pedidos. É o destinatário que mais se beneficia da declaração de método, porque precisa saber o que pode afirmar na petição e o que precisa comprovar. Se a ação for contra o banco, o capítulo 5 e o capítulo 19 explicam em que ponto a prova da falha do serviço pesa, e o dossiê deve conter tudo o que mostre se a operação era compatível com o perfil do cliente: limites, histórico de transferências, horário.

O pedido certo

Todo dossiê termina com um pedido claro: ao banco, a abertura da Recuperação de Valores e o bloqueio; à polícia, o registro e a apuração; à plataforma, a remoção do conteúdo e a preservação de registros; ao advogado, a avaliação das vias possíveis. Um dossiê sem pedido é um relato, e relatos se perdem em filas.

Oito casos, olhados pelo método

A seguir, oito casos já contados neste livro, revistos em poucas linhas com a lente do método. Não recontarei os fatos, que estão nos capítulos indicados, e todos os acusados mantêm a presunção de inocência. A pergunta de cada item é a mesma: qual consulta, feita a tempo, teria mudado a decisão?

A Operação 2 Face (capítulo 4). A vítima que registrou a queixa em São Paulo não sabia que outras duas mil pessoas, segundo as reportagens, tinham passado por algo parecido. O que fez a diferença foi o cruzamento: queixas de vários estados, com chaves e contas comuns. Pelo método, o valor do boletim bem documentado não está no caso individual, mas no quadro de identificadores que permite ligar um caso a outro. A pergunta que a vítima individual poderia ter feito é se o número que lhe escrevia coincidia com o que o parente de fato usava, perguntando por outro canal, e a que a polícia fez foi se a mesma conta aparecia em outras queixas.

A falsa central (capítulo 5). No caso do Recurso Especial 2.209.868, a vítima seguiu as instruções de quem se dizia o banco. A pergunta decisiva, aquela que o método coloca sempre, é sobre o canal: o número de onde a ligação chegou, e o que o banco, procurado por um número que a vítima já tinha, teria dito. O desfecho judicial, em que o banco não foi condenado por não haver operações incompatíveis com o perfil, mostra também o papel do dossiê: quem entra com ação precisa de elementos sobre o perfil da conta, a hora e o valor, e não apenas sobre o susto.

O boleto de R$ 19 mil (capítulo 6). O criminoso conhecia a negociação real. A consulta que teria separado o boleto verdadeiro do falso era a do nome do beneficiário na tela de confirmação, comparado com o do banco, e a obtenção do documento por canal iniciado pela vítima. É um caso em que a verificação mais barata, de dois segundos, era também a mais eficaz, e em que a observação da ministra relatora, de que uma pessoa comum nem sempre consegue distinguir as diferenças do documento, mostra o limite de depender do olho.

A Operação Sem Desconto (capítulo 7). Aqui não havia conversa a analisar. O sinal estava no extrato, em linhas de desconto de entidades que o beneficiário não reconhecia. A consulta que o método sugere é a do histórico de descontos e de empréstimos nos canais oficiais do INSS, feita de forma rotineira, e a de cada linha do extrato com a pergunta "por que isto existe?". É a aplicação da linha do tempo a uma vida inteira de pagamentos, e um bom exemplo de que, quando o golpe é de sistema, a defesa é o hábito de conferir.

A vitrine alugada (capítulo 9). O anúncio com o rosto de Andrew Forrest e a promessa de investimento. Pelo método, o que a vítima poderia verificar é o destino do clique: o domínio da página para onde o anúncio levava, a data de criação do site, a presença da empresa nos cadastros do regulador, e a existência da mesma recomendação no site e nos perfis oficiais da pessoa. A ausência de qualquer uma dessas confirmações bastava. E, para a pessoa ou a marca imitada, o caso é uma aula de preservação: capturas com data, identificador do anúncio e notificações guardadas, ata notarial quando a peça é decisiva.

A tarefa paga (capítulo 10). O golpe do grupo em que todos relatam ganhos tem uma característica que o método explora bem: o teste do saque. Pergunta-se o que acontece quando se tenta tirar o dinheiro sem depositar mais, e a resposta, nos relatos do capítulo, é a exigência de novos pagamentos. Outro teste é o da origem do convite: uma mensagem que você não pediu, de um número que você não conhece, oferecendo um emprego sem entrevista nem contrato. Nenhuma pesquisa em registro de CNPJ é necessária, e a regra do capítulo 10, de que não se paga para trabalhar nem para receber, resolve o caso antes de começar.

Rimasauskas e a fatura (capítulo 11). Duas gigantes pagaram um fornecedor que não era o que parecia. O método aponta duas verificações que não exigiam tecnologia: comparar os dados bancários da fatura com o cadastro prévio do fornecedor, e confirmar a mudança por um canal já existente. A segunda pergunta, "o que seria diferente se isto fosse legítimo?", teria resposta imediata: o fornecedor legítimo atenderia ao telefone que já estava no cadastro. O ponto, como o capítulo 11 ressalta, é que bastava uma pessoa a mais olhando.

Wirecard (capítulo 12). É o caso mais distante da vítima comum, e o mais didático sobre a pergunta "quem confirma?". Segundo o que vimos, os auditores dependiam de confirmações de terceiros que, ao que tudo indica, eram controlados pela fraude. A lição do método é geral: uma verificação só vale se a fonte da confirmação for independente de quem tem interesse no resultado. Vale para o auditor que consulta o banco, para o dono que confere a conta com o extrato direto e para a família que liga ao banco pelo número do cartão e não pelo número que apareceu no celular.

Nos oito casos, a distância entre o desastre e a salvação foi a mesma: uma pergunta feita a uma fonte independente, a tempo, por alguém sem pressa. O método é, em essência, a institucionalização dessa pergunta.

Os erros do perito amador

Alguns erros se repetem. O viés de confirmação leva a procurar só o que confirma o que já se pensava. A confiança numa única fonte, seja a nota de um site, seja o cadeado do navegador, trata um indício como veredito. A pressa de apontar o culpado leva a publicar nomes e a acusar homônimos. A contaminação da prova vem de apagar conversas, reinstalar aparelhos ou responder ao golpista. E há o erro inverso, o abandono: não registrar a ocorrência, não pedir o bloqueio, não guardar nada, por vergonha ou descrença. Como o capítulo 19 mostra, é o mais caro de todos.

Verdades desconfortáveis

A maior parte do que o método consegue fazer é prevenir, e não remediar. As consultas descritas aqui custam minutos quando feitas antes do pagamento e quase nada rendem depois. A vítima que aprende a investigar depois do golpe aprendeu cedo demais para o próximo e tarde demais para este.

O método também tem limites de poder. A pessoa comum não pode quebrar sigilo, não pode exigir registros de provedores, não pode cruzar bases que só o Estado cruza. A parte mais valiosa da investigação de um golpe, o rastreio das contas e a identificação dos operadores, está fora do seu alcance, e depende de uma polícia que, como o livro já mostrou, é sobrecarregada, e de bancos que respondem com velocidades muito diferentes. Entregar um bom dossiê aumenta a chance, mas não a garante.

Existe ainda a assimetria: o golpista repete o roteiro dezenas de vezes por dia, e a vítima investiga uma vez na vida, em estado emocional ruim. Por isso o método precisa ser escrito, simples e feito antes.

É preciso admitir, por fim, que as fontes abertas são imperfeitas. O cadastro pode estar desatualizado, a nota de reclamação pode ser comprada, o domínio pode ser registrado em nome de um laranja, a empresa legítima pode ter pior aparência do que a fraudulenta. Quem investiga com humildade sabe que sua conclusão é um grau de confiança, e age de acordo: quando a confiança é insuficiente e o dinheiro é irreversível, a decisão racional é não pagar ou pagar por um meio que permita contestar.

Protocolo de defesa

Para a pessoa e a família, antes de pagar a alguém desconhecido:

• Consulte o CNPJ na Receita e confira a data de abertura, a situação, a atividade, o capital e o endereço, comparando-os com a promessa que lhe fizeram.
• Procure o site e o telefone da empresa por conta própria, sem usar os que vieram na mensagem, e pergunte pelo negócio no canal oficial.
• Consulte a data de criação do domínio no registro público, e compare o endereço do site com o da marca verdadeira, letra por letra.
• Faça uma busca reversa das imagens do catálogo ou do perfil, sabendo que ela desmonta o falso e não atesta o verdadeiro.
• Consulte as reclamações em mais de uma fonte, lendo o conteúdo e as datas, e lembre que empresa nova não tem histórico.
• Se a atividade exige autorização, confira no regulador (CVM, Banco Central) antes de depositar qualquer valor.
• Proponha um teste que o honesto passa: pagamento contra nota, entrega parcial, referência de outro cliente, cartão de crédito em lugar de Pix.
• Escreva a linha do tempo no mesmo dia, com datas e horas, e guarde conversas, comprovantes e capturas sem apagar nada.
• Para provas decisivas e perecíveis, avalie uma ata notarial em cartório, lembrando que ela atesta o que o tabelião viu, e não a verdade do conteúdo.
• Não confronte nem tente identificar o golpista, não publique acusações e não consulte vida privada de pessoa física. Entregue o dossiê a quem tem atribuição.

Para a empresa:

• Mantenha um procedimento escrito de homologação de fornecedor novo, com consulta de CNPJ, domínio, endereço, referências e confirmação dos dados bancários por canal independente.
• Tenha um dossiê padrão de incidente, com modelo de resumo, linha do tempo, quadro de identificadores e anexos, e um responsável por montá-lo.
• Registre o hash e a data de arquivos de prova importantes, e guarde cópias fora do ambiente onde o incidente ocorreu.
• Use a ata notarial para o uso indevido de marca, perfis e anúncios falsos, e mantenha um advogado ou escritório de referência para o primeiro contato.
• Defina quem conversa com banco, polícia, plataformas e imprensa, para que ninguém improvise nem acuse em nome da empresa.

Sinais de alerta

• O desconto, a rentabilidade ou o prazo estão muito acima do mercado, e o pagamento é adiantado e irreversível.
• A empresa é mais nova do que a história que conta, ou tem atividade e capital incompatíveis com a operação.
• O site foi criado há poucas semanas, ou seu endereço difere do da marca por uma letra, uma terminação ou um hífen.
• A conta de recebimento está em nome de pessoa física ou de empresa diferente da que fez a oferta.
• As fotos do catálogo, da equipe ou do escritório aparecem em outros sites, com outros nomes.
• O interlocutor reage ao teste de legitimidade com pressa, irritação, desconto maior ou ameaça de retirar a oferta.
• A prova que você tem é só um print solto, sem endereço, data nem arquivo original.
• Você está tentado a investigar uma pessoa, entrar em contato com o golpista ou expor um nome em público.
• Todas as confirmações que você obteve vieram do mesmo intermediário ou do próprio interessado.

Exercícios

1. Escolha uma empresa que você pretende contratar, ou uma loja que apareceu num anúncio, e consulte o CNPJ, a data de criação do domínio e as reclamações em duas fontes. Entrega: uma página com o que você achou, classificado em fato, indício, alegação e suposição, e a decisão que tomaria.

2. Recupere um golpe ou tentativa de golpe que tenha acontecido com você ou com alguém próximo (ou use um dos casos do livro) e monte a linha do tempo, com datas e horas. Entrega: a tabela e dois pontos em que a ordem dos eventos revela algo que a memória escondia.

3. Faça, no seu celular, a exportação de uma conversa de aplicativo de mensagem e salve uma página da web em PDF, anotando nome, data e hora de cada arquivo. Entrega: a lista dos arquivos e um parágrafo sobre o que seria perdido se você tivesse apenas prints.

4. Ligue ou consulte o site de um cartório de notas da sua cidade e descubra o custo e o procedimento para uma ata notarial de conteúdo da internet. Entrega: o valor, o prazo e as exigências, e uma frase sobre em que tipo de caso você pagaria por ela.

5. Escolha dois dos oito casos da seção anterior e proponha, para cada um, o teste que um negócio honesto passaria e o golpe não. Entrega: dois testes, cada um com a justificativa em três linhas.

Prompt de estudo

Vou descrever, sem nomes, números de documento ou dados bancários, uma proposta de negócio, uma mensagem ou um anúncio que me parece suspeito. Aja como um perito que orienta uma pessoa comum: liste as hipóteses legítima e fraudulenta, diga que consultas públicas e lícitas eu posso fazer para separá-las, o que cada uma responde e o que não responde, e qual teste de legitimidade eu poderia propor. Não sugira investigar a vida pessoal de ninguém, nem contato com o golpista, nem acusação pública. Se não tiver certeza de uma regra, diga que preciso conferir na fonte oficial.

Com base no material que vou colar (linha do tempo e lista de arquivos), ajude-me a montar um dossiê: resumo de uma página, quadro de identificadores, índice de anexos e uma declaração de método que separe fato, indício, alegação e suposição. Aponte o que falta para que o banco, a polícia e um advogado consigam agir, e o que eu não deveria afirmar.

Fontes e leituras

• Código de Processo Civil (Lei 13.105, de 16 de março de 2015), artigo 384 e parágrafo único (ata notarial), em planalto.gov.br.
• Código de Processo Penal, artigos 70, §4º (competência pelo domicílio da vítima em estelionato por transferência, incluído pela Lei 14.155, de 2021), 158-A e 158-B (cadeia de custódia, Lei 13.964, de 2019), em planalto.gov.br.
• Lei 12.965, de 23 de abril de 2014 (Marco Civil da Internet), artigos 13, 15 e 22, em planalto.gov.br.
• Lei 12.737, de 30 de novembro de 2012, e Lei Geral de Proteção de Dados (Lei 13.709, de 2018), em planalto.gov.br.
• Receita Federal, consulta ao comprovante de inscrição e de situação cadastral do CNPJ; Registro.br, consulta pública de domínios; Comissão de Valores Mobiliários e Banco Central, cadastros e alertas sobre entidades autorizadas e não autorizadas.
• Consumidor.gov.br, funcionamento e prazos da plataforma (10 dias para a empresa responder, 20 dias para o consumidor avaliar), em consumidor.gov.br.
• Capítulos 4 a 12 deste livro, para os casos revistos: Operação 2 Face, REsp 2.209.868, REsp 2.077.278, Operação Sem Desconto, Forrest v. Meta, golpe da tarefa, Rimasauskas e Wirecard. Os fatos e as fontes de cada um estão nos respectivos capítulos.
• ABNT NBR ISO/IEC 27037, diretrizes para identificação, coleta, aquisição e preservação de evidência digital, para quem quiser aprofundar a parte forense.