Apêndice C — Protocolos para imprimir

Este apêndice reúne, em páginas curtas, os protocolos que o livro desenvolve nos capítulos. Cada item remete ao capítulo onde a razão e os casos estão explicados. Imprima, cole ao lado do telefone ou na parede do financeiro, e combine as regras antes de precisar delas. Uma regra decidida com a cabeça fria é a que sobrevive ao medo (Cap. 2 e Cap. 18).

Os prazos e as regras do Pix, do Mecanismo Especial de Devolução (MED) e dos bancos mudam. Confira o que está em vigor no site do Banco Central e no aplicativo do seu banco antes de contar com um prazo (Cap. 6 e Cap. 19). Os canais oficiais de denúncia estão no Apêndice D.

A. Protocolo da família

1. Palavra-senha de família (Cap. 16 e Cap. 18)

• Combine pessoalmente uma palavra ou pergunta que só a família sabe e que não está em nenhuma rede social nem em dado público.
• Quem recebe o pedido de dinheiro é quem pergunta a palavra.
• Teste duas vezes por ano, em tom de brincadeira séria, e troque a palavra depois de qualquer uso real.
• Voz e vídeo são indícios, não prova de identidade. Ver o rosto não confirma nada (Cap. 11 e Cap. 16).

2. Regra do retorno de ligação (Cap. 1, Cap. 5 e Cap. 18)

• Pedido de dinheiro, de código ou de dado sensível que chegue por mensagem ou por telefone só é atendido depois de você ligar para um número que já tinha: o da agenda, o do verso do cartão ou o do site oficial digitado por você.
• Nunca use o número, o link ou o canal "mais rápido" que a outra pessoa passou.
• Se a ligação simulava o banco, espere um tempo antes de discar ou use outro telefone, e confirme que ouviu o tom de discagem (Cap. 5).
• Para confirmar com um parente, ligue para o outro número dele ou para outra pessoa da família. Se ninguém atender, a resposta é esperar, e nunca pagar.
• Em mensagem de "troquei de número", não responda ao pedido. Ligue para o número antigo (Cap. 4).

3. Regra do tempo (Cap. 2, Cap. 16 e Cap. 18)

• Combine um valor a partir do qual nenhum pedido de dinheiro é atendido antes de 30 minutos e de uma conversa com uma segunda pessoa (Cap. 18).
• Em pedido feito por telefone, deixe passar um intervalo fixo de pelo menos dez minutos antes de qualquer transferência, e use-o para o retorno de ligação (Cap. 16).
• Quem pede segredo está dizendo qual regra não quer que você use.

4. Limites e atrasos no banco (Cap. 6, Cap. 9 e Cap. 18)

• Ajuste o limite de Pix, diurno e noturno, ao seu uso real, e peça que aumentos tenham prazo, quando o banco permitir.
• Use cartão virtual de uso único ou de limite baixo em loja desconhecida. Cartão de crédito permite contestar, e Pix não.
• Mantenha a reserva em uma conta separada, que exija uma etapa a mais, e deixe no dia a dia só o saldo necessário.
• Ative alertas de movimentação, com cópia para uma pessoa de confiança, se o banco oferecer.
• Para valores altos e sem urgência, agende o pagamento para o dia seguinte. Confira no seu banco se e até quando o agendamento pode ser cancelado.
• Anote o telefone e o horário do canal de fraude do banco em um papel que esteja fora do celular.
• Antes de qualquer Pix, leia o nome do recebedor na tela de confirmação. Se ele não tem relação com quem pediu, pare (Cap. 4 e Cap. 6).

5. Regras de proteção da conta (Cap. 4, Cap. 5, Cap. 16)

• Ative a verificação em duas etapas no WhatsApp e nos aplicativos de banco, e cadastre um e-mail de recuperação que você controla.
• Nunca repasse o código de seis dígitos do WhatsApp, o PIN, a senha ou o código de qualquer serviço, a ninguém e por nenhum motivo.
• Banco não pede para transferir, instalar aplicativo, entregar cartão nem ditar senha ou código. Qualquer pedido assim encerra a conversa (Cap. 5).
• Não instale aplicativo nem compartilhe a tela por orientação de ligação.
• Não empreste, não alugue e não "teste" conta, chave Pix ou cartão para ninguém (Cap. 3 e Cap. 6).

6. Regra de contar (Cap. 1, Cap. 2 e Cap. 19)

• Quem for vítima conta no mesmo dia, e ninguém será julgado. Contar é um ato de coragem, e nunca motivo de piada.

B. Protocolo para pais e avós idosos

Este protocolo é um acordo entre adultos. A pessoa continua decidindo sobre o próprio dinheiro, e a família ajuda (Cap. 18 e Cap. 7).

O acordo, em quatro regras, escritas à mão, com letra grande, coladas ao lado do telefone (Cap. 18)

1. Regra do silêncio. Nenhuma assinatura, autorização por voz, selfie ou código para quem ligou, sem falar antes com a pessoa de referência.
2. Regra do retorno. Qualquer assunto de dinheiro por telefone, mensagem ou carta é confirmado ligando para um número que o idoso já tinha.
3. Regra do pagamento para receber. Taxa, imposto, caução, seguro ou despesa de liberação cobrados antes de um valor entrar não existem em prêmio, herança, precatório ou ressarcimento oficial (Cap. 7 e Cap. 10).
4. Regra da pessoa de referência. Um filho, um neto ou um amigo que será sempre o primeiro a ser consultado, a qualquer hora, sem bronca.

A frase de segurança

• "Vou desligar e ligar para o número do cartão." Ensine e ensaie essa frase. "Vou ligar de volta" é uma frase de segurança, e não de desconfiança (Cap. 1 e Cap. 18).

Travas que podem ser combinadas (Cap. 7 e Cap. 18)

• Limite de transferência menor e alertas com cópia para a pessoa de referência.
• Conta de despesas correntes separada da reserva.
• Bloqueio do benefício do INSS para novos empréstimos consignados. Só desbloqueie para uma operação que a própria pessoa pediu.
• Conferência mensal do extrato do benefício e da conta, com a pessoa presente. Para cada linha de desconto, pergunte por que ela existe. Mensalidade de entidade que ninguém reconhece deve ser tratada como irregular e contestada.
• Procuração só com advogado de confiança da família, com poderes limitados e prazo, e uma cópia guardada por uma segunda pessoa.

Como conversar (Cap. 18)

• Comece dizendo o que não vai mudar: a pessoa continua decidindo sobre o próprio dinheiro.
• Trate cada tentativa relatada como uma vitória e agradeça. Se a resposta for "eu já avisei", a próxima ligação suspeita não será contada.
• Ensaie uma vez, com carinho: "se alguém ligar dizendo que é do banco, o que você faz?".
• Não tire cartão, celular ou conta como resposta a um susto. A perda de autonomia faz a pessoa esconder.

Atenção a mudanças de comportamento (Cap. 7)

• Saques repetidos, empréstimos novos, telefone atendido escondido, irritação quando se pergunta sobre dinheiro, ou um novo "amigo" ou "namorado" que a família nunca viu e que sempre tem uma emergência financeira.

C. Protocolo da empresa

1. Pagamentos (Cap. 6, Cap. 11, Cap. 12 e Cap. 18)

• Defina limites por faixa e exija dupla aprovação independente acima do limite. O limite certo é o que cobre a maior parte do valor com o menor número de verificações.
• Segregue funções: quem cadastra fornecedor não aprova, quem aprova não libera, quem libera não concilia. Em empresa pequena, as pontas de fora são o dono, o contador externo e a dupla assinatura do banco.
• Pedido de pagamento por e-mail, mensagem, ligação ou reunião, mesmo com vídeo, é uma solicitação. A autorização só existe no fluxo registrado do sistema financeiro.
• Confirme por retorno de ligação a um número já cadastrado, nunca pelo contato do pedido, e registre quem confirmou.
• Concilie os pagamentos e os recebimentos todos os dias.
• Configure limites baixos para contas operacionais, por usuário e por horário, e exija autenticação adicional para elevá-los.
• Tenha poucas credenciais com poder de iniciar ordens grandes, revise-as periodicamente e desligue de imediato os acessos de quem sai.

2. Mudança de dados bancários de fornecedor (Cap. 11 e Cap. 18)

• Dado bancário novo ou alterado entra em quarentena de pelo menos um dia útil, com segunda aprovação e confirmação direta com o fornecedor, por canal já cadastrado.
• Comunicação de mudança por e-mail ou mensagem, sobretudo perto do vencimento, é sinal de alerta.
• Peça ao fornecedor, uma vez por trimestre, a confirmação dos dados bancários cadastrados (Cap. 11).
• Cadastro de fornecedor novo: consulta de CNPJ, domínio, endereço e referências, e aprovação do dono ou de um segundo responsável (Cap. 12 e Cap. 17).

3. Help desk e acessos (Cap. 11, Cap. 16 e Cap. 18)

• Proíba redefinição de acesso e troca de dispositivo de autenticação apenas por ligação. Exija retorno a número registrado, confirmação do gestor por outro canal ou verificação presencial para contas privilegiadas.
• Avise o dono da conta e o gestor a cada redefinição.
• Adote autenticação resistente a phishing, como chaves de segurança e passkeys, em contas de administração, financeiro e acesso remoto.
• Para pedidos urgentes de executivos por telefone ou vídeo, use uma pergunta de verificação privada ou um código rotativo que não possa ser respondido com dados públicos (Cap. 16).
• Nenhuma ordem de pagamento, mudança de dados bancários ou liberação de acesso por voz, vídeo ou mensagem sem retorno a número cadastrado e dupla aprovação (Cap. 16).

4. A linha de parada (Cap. 11 e Cap. 18)

• Escreva e divulgue: ninguém será punido por atrasar um pagamento para confirmá-lo, mesmo que a ordem venha do presidente.
• Quem recebe uma ordem urgente, sigilosa e fora do fluxo deve saber que a combinação já é o sinal. Contar a um colega não quebra sigilo.
• Mantenha um canal de reporte sem punição e de um clique, e agradeça a quem reporta. Quem teme a bronca esconde a tentativa (Cap. 2 e Cap. 18).

5. Controles contra fraude interna (Cap. 12)

• Dê ao dono acesso de consulta ao internet banking e peça que confira o saldo real e os pagamentos da semana, sem avisar ninguém.
• Receba todo mês um relatório de despesas por fornecedor, ordenado pela variação em relação ao ano anterior, e pergunte por todo salto sem explicação.
• Mantenha canal de denúncia que não passe pelo financeiro nem pela chefia, com anonimato, prazo de resposta e proibição escrita de retaliação.
• Exija férias reais e rodízio de tarefas sensíveis.

6. Plano de incidente de uma página (Cap. 11, Cap. 14 e Cap. 19)

• Escreva quem liga ao banco, quem preserva as evidências, quem fala com a polícia, com a seguradora e com o jurídico, e quem decide o que se comunica. Guarde o telefone de plantão do banco onde se acha sem a rede da empresa.
• No incidente de pagamento, o financeiro liga ao banco pelo canal cadastrado, pede o MED e o bloqueio e anota o protocolo.
• TI preserva logs, isola aparelhos e troca credenciais, sem formatar nada que possa ser evidência.
• Registre o boletim de ocorrência, avise a seguradora e avalie com o advogado as comunicações obrigatórias, inclusive à ANPD, se houver dados pessoais.
• Em ransomware, isole as máquinas afetadas sem desligar tudo às cegas, acione advogado e prestador de resposta a incidentes antes de qualquer contato com o criminoso, e não decida pagamento sem apoio jurídico (Cap. 14).
• Ninguém acusa publicamente funcionário, fornecedor ou banco antes de saber o que aconteceu. Depois do episódio, refaça os controles sem expor o nome da pessoa (Cap. 12 e Cap. 19).
• Antes do ataque: cópias de segurança isoladas, com restauração testada ao menos uma vez por ano, e autenticação em dois fatores em acesso remoto, e-mail e contas de administrador (Cap. 14).

D. As primeiras 24 horas depois do golpe

A velocidade decide quase tudo, e a ordem segue a volatilidade: primeiro o que se perde em minutos (Cap. 19).

Nos primeiros 15 minutos

1. Pare de pagar e pare de responder ao golpista. Não confronte nem negocie.
2. Se instalou aplicativo, compartilhou a tela ou entregou código, desconecte o aparelho da internet e siga os próximos passos de outro telefone ou de um computador seguro (Cap. 5 e Cap. 19).
3. Ligue para o banco pelo canal oficial: o número do verso do cartão, o do aplicativo ou o do site digitado por você. Diga que foi golpe, informe valor, horário, forma de pagamento, nome do recebedor e instituição de destino, e peça a abertura da Recuperação de Valores (MED) e o bloqueio. Anote protocolo, horário e nome do atendente. Se pagou por mais de uma conta ou banco, ligue para cada um.
4. Se o banco exigir boletim de ocorrência antes de abrir o procedimento, insista, peça o supervisor e registre a recusa. O banco não deve exigir o documento para abrir o procedimento (Cap. 6 e Cap. 19).
5. Se foi cartão de crédito, peça o cancelamento do cartão, a contestação do lançamento e o bloqueio de novas tentativas.
6. O pedido de MED vale para transações com no máximo 80 dias. Confira o prazo em vigor (Cap. 6).

Entre 15 minutos e uma hora

7. Preserve as provas: capturas com data e hora, conversa exportada, comprovantes, boleto, anúncio, número e perfil do golpista. Não apague a conversa nem bloqueie o contato antes disso (Cap. 17 e Cap. 19).
8. Escreva a linha do tempo, com datas e horas. Se uma prova decisiva provavelmente sairá do ar, como um anúncio, pense na ata notarial no dia útil seguinte (Cap. 17).

Na primeira ou segunda hora

9. Troque a senha do e-mail primeiro, porque ele abre as outras, e depois as do banco, das redes sociais e do aplicativo de mensagens, a partir de um aparelho limpo. Ative ou confira a verificação em duas etapas e encerre as sessões abertas em outros aparelhos (Cap. 19).

Entre duas e seis horas

10. Registre o boletim de ocorrência, de preferência pela internet, com os dados do recebedor e o protocolo do banco, e peça cópia. Guarde o número do registro (Cap. 19).

Entre seis e doze horas

11. Avise por outro canal os contatos que possam ser alvo, se a conta de mensagens foi sequestrada. Se houve troca de chip ou perda repentina de sinal, fale com a operadora (Cap. 4 e Cap. 19).

Entre 12 e 24 horas

12. Consulte o Registrato, serviço gratuito do Banco Central, para ver contas, empréstimos e chaves Pix em seu nome, e conteste o que não reconhecer (Cap. 19).
13. Ligue de novo ao banco para saber o andamento e registre por escrito tudo o que foi dito.
14. Conte a alguém de confiança, hoje. Se a vergonha ou a tristeza forem pesadas, o CVV atende pelo 188, a qualquer hora (Cap. 19).

Nos dias seguintes

15. Se o banco negar ou demorar, a escada é: SAC, ouvidoria, Banco Central (Meu BC), Consumidor.gov.br, Procon, Defensoria e Juizado Especial Cível (Cap. 19).
16. Não pague a ninguém que prometa recuperar o dinheiro cobrando adiantado. Quem tem o direito de bloquear e devolver valores não cobra para isso. Verifique advogados no Cadastro Nacional da OAB ou no ConfirmADV (Cap. 2 e Cap. 19).
17. Espere que o telefone toque: quem foi enganado uma vez tem mais chance de ser abordado de novo (Cap. 2 e Cap. 19).
18. Lembre que o MED recupera o que ainda está na conta. Quanto mais cedo a ligação, maior a chance. O que se recupera costuma ser menos do que se perdeu, mas registrar e guardar as provas tem valor mesmo quando o dinheiro não volta (Cap. 6 e Cap. 19).

E. Sinais de alerta universais

Se um destes sinais aparecer junto com um pedido de dinheiro, de dado ou de acesso ao seu aparelho, pare e use o protocolo (Cap. 1).

• O contato começou por iniciativa da outra parte.
• Há urgência, com prazo curto para decidir ou ameaça de perda iminente. Quanto mais urgente, mais se confirma (Cap. 18).
• Pedem sigilo, ou orientam a não falar com o banco, a família ou outra pessoa de confiança.
• A autoridade da outra parte é apresentada, mas não pode ser verificada por um canal seu.
• O pagamento é imediato e difícil de reverter, ou o meio de pagamento foi escolhido por eles.
• A conta de destino está em nome de uma pessoa diferente da empresa ou da pessoa com quem você pensa estar falando.
• A conversa tenta impedir que você desligue, pense ou consulte alguém.
• O valor vem com promessa de retorno desproporcional ou de um favor excepcional.
• Pedem que você pague para receber: taxa, imposto, caução, seguro, liberação, ou depósito para sacar um saldo (Cap. 7, Cap. 9 e Cap. 10).
• Pedem que você instale aplicativo, compartilhe a tela, entregue o cartão ou digite um código (Cap. 5).
• Pedem um código de seis dígitos do WhatsApp, senha ou PIN (Cap. 4).
• Oferecem renda por "receber e repassar" valores ou por emprestar sua conta (Cap. 3, Cap. 6 e Cap. 10).
• Há um motivo para você não poder ligar de volta ou fazer videochamada: o telefone com defeito, o chefe em reunião, o parente sem sinal (Cap. 18).
• Alguém surge depois de um golpe oferecendo recuperar o dinheiro e cobrando antes (Cap. 19).

A pergunta de perito para qualquer caso: o que seria diferente se isto fosse legítimo? Um pedido legítimo aguenta uma segunda opinião, uma ligação de volta e um dia útil de espera. O golpe, não (Cap. 11 e Cap. 17).