Numa segunda-feira de manhã, a gerente de uma loja de móveis do interior paulista recebe três ligações seguidas. Os clientes querem saber por que a loja pediu, pelo WhatsApp, um Pix de "sinal" para liberar pedidos já pagos. A loja não pediu nada. Alguém criou um perfil com o logotipo dela e um número novo, e passou o fim de semana escrevendo para quem tinha comentado nas publicações da loja.

O caso é fictício, mas o roteiro se repete em empresas de todos os tamanhos e quase nunca começa por uma falha técnica sofisticada. Começa pela confiança que o cliente tem na marca. Este guia mostra os golpes mais frequentes, o que fazer antes que aconteçam, um roteiro para quando acontecerem e orientações para repassar aos clientes.

Por que golpistas usam o nome de empresas

Para se passar por uma loja, o golpista não precisa invadir nada. Logotipo, fotos e horário de funcionamento estão nas redes sociais da empresa. O que ele explora é a expectativa do cliente: quem acabou de comprar espera mensagens sobre entrega, pagamento ou troca, e um aviso como "seu pedido está retido, falta pagar uma taxa" chega num momento em que faz sentido.

Por isso, proteger clientes depende menos de tecnologia e mais de deixar claro, antes de qualquer problema, como a empresa se comunica, o que ela pede e o que nunca pede. Quando o cliente conhece esse padrão, qualquer desvio chama atenção.

Os golpes mais comuns envolvendo empresas

Número falso com a identidade da marca

É o caso da loja de móveis: um número qualquer recebe nome, foto e descrição copiados da empresa, às vezes divulgado por um perfil falso como "o novo WhatsApp da loja". O golpista oferece descontos irreais, cobra sinal ou pede pagamento antecipado de algo que nunca será entregue.

Falso atendente ou falso suporte

O golpista diz ser do atendimento, do financeiro ou do suporte. Numa variação frequente, afirma que precisa "confirmar o cadastro" e pede o código de seis dígitos que o cliente acabou de receber por SMS. É o código de registro do WhatsApp: quem o informa entrega a própria conta, que passa a ser usada para pedir dinheiro aos contatos da vítima.

Boleto ou Pix falso

O cliente recebe uma "segunda via" de boleto, um QR Code ou uma chave Pix "atualizada". O documento pode parecer idêntico ao verdadeiro; o que muda é o beneficiário. Em parcelas, mensalidades e serviços recorrentes, o golpe funciona porque o cliente já espera a cobrança.

Clonagem ou sequestro da conta da própria empresa

É o cenário mais grave. Se alguém da equipe informa o código de verificação a um golpista e o número não tem a confirmação em duas etapas ativa, a conta verdadeira pode ser registrada em outro aparelho. O golpista passa a conversar com clientes reais, com o nome verdadeiro da empresa no topo da tela. A abordagem à equipe costuma vir de um falso contato "da Meta" alegando problema urgente na conta comercial.

Golpe Sinal de alerta para o cliente O que a empresa pode fazer antes
Número falso Número diferente do site; preço muito baixo; pressa para pagar Publicar os números oficiais e repeti-los nas respostas automáticas
Falso atendente Pedido de código do SMS, senha ou foto de documento Avisar desde a primeira mensagem que nunca pede códigos ou senhas
Boleto ou Pix falso Recebedor com nome de pessoa física ou de outra empresa Divulgar razão social, CNPJ e chave Pix oficiais
Clonagem da conta Pedidos fora do padrão vindos do número verdadeiro Ativar a confirmação em duas etapas e controlar quem acessa o número

Como comunicar seus canais oficiais

O cliente só percebe um número falso se souber qual é o verdadeiro. Muitas empresas têm três ou quatro números circulando: o celular antigo do dono, o do vendedor que saiu, o fixo que virou WhatsApp. Antes de comunicar, decida quais canais continuam valendo.

Uma página de canais oficiais

Crie no site uma página simples, fácil de achar no menu ou no rodapé, com:

  • os números de WhatsApp oficiais, com o nome exato que aparece no perfil;
  • o e-mail e os perfis oficiais em redes sociais;
  • a razão social e o CNPJ que aparecem em boletos e notas fiscais;
  • a chave Pix oficial e o nome do recebedor que o banco mostra na confirmação;
  • o que a empresa nunca pede: códigos, senhas ou "taxas de liberação";
  • como avisar a empresa sobre um contato suspeito.

Use links no formato wa.me nos botões do site e das redes, para que o cliente chegue ao número certo sem digitar. Quando um número for desativado, informe isso na página por algum tempo em vez de apagá-lo: quem o tinha salvo precisa saber que deixou de ser oficial.

Repita a informação onde o cliente olha

Quase ninguém visita essa página por iniciativa própria. A informação precisa aparecer na descrição do perfil comercial, na mensagem de boas-vindas, nos e-mails de confirmação de pedido e no comprovante de compra. Uma linha basta, por exemplo: "Nosso único WhatsApp é (16) 9XXXX-XXXX. Nunca pedimos códigos ou pagamentos fora do link oficial" (número ilustrativo). O artigo sobre como escrever mensagens automáticas que as pessoas entendem ajuda a deixar frases assim curtas e claras.

Verificação do perfil e proteção da própria conta

Perfil comercial completo e consistente

Atenda pelo WhatsApp Business (aplicativo ou plataforma), nunca por uma conta pessoal. Preencha nome, categoria, endereço, horário, site e e-mail, com o mesmo nome da fachada e das redes. Um perfil completo dá ao cliente um termo de comparação: cópias feitas às pressas costumam ter campos vazios ou nomes ligeiramente diferentes.

O selo de verificação

Há dois caminhos para o selo azul ao lado do nome, conforme o número seja usado no aplicativo ou na API (o comparativo entre WhatsApp Business App e API oficial ajuda a escolher):

  • Conta comercial oficial (Official Business Account): para números na API oficial. Segundo a documentação da Meta, o pedido é feito no WhatsApp Manager ou pela API e exige, entre outros pontos, portfólio empresarial com a verificação da empresa concluída, nome de exibição aprovado, confirmação em duas etapas ativa no número e pelo menos 30 dias de registro na plataforma. A aprovação não é garantida: a Meta analisa cada pedido e, se negar, é preciso esperar 30 dias para tentar de novo.
  • Meta Verified: assinatura oferecida no aplicativo WhatsApp Business no Brasil, com o selo e, conforme o plano, proteção contra falsificação de identidade. Planos e preços mudam, então confira no próprio aplicativo.

O selo ajuda, mas não substitui a divulgação dos canais oficiais: muitos clientes não sabem o que ele significa, e muitas empresas legítimas não o têm.

Confirmação em duas etapas e controle de acesso

A confirmação em duas etapas cria um PIN de seis dígitos, pedido quando alguém tenta registrar o número em outro aparelho. Sem ele, quem obtém o código de SMS consegue assumir a conta. No aplicativo, o recurso fica nas configurações da conta; na plataforma, o PIN é definido via API no registro do número e pode ser trocado nas configurações do número no WhatsApp Manager. Práticas complementares:

  • guarde o PIN e o e-mail de recuperação em um cofre de senhas da empresa, não na memória de uma única pessoa;
  • revise os aparelhos conectados e desconecte os que ninguém reconhece;
  • mantenha a lista de quem acessa o número e o portfólio empresarial da Meta, removendo acessos no desligamento de funcionários;
  • ative a autenticação em dois fatores nas contas que administram o portfólio.

A regra sem exceção: nunca pedir senhas e códigos

Clientes aprendem pelo padrão. Se o atendimento às vezes pede "o código que chegou no seu celular", a orientação de nunca informar códigos perde força. Defina por escrito o que a empresa nunca solicita pelo WhatsApp:

  • códigos de verificação recebidos por SMS, ligação ou e-mail;
  • senhas, inclusive de cartão e de aplicativo de banco;
  • fotos de cartão, e de documentos sem necessidade justificada;
  • pagamentos para pessoas físicas ou empresas com outro nome;
  • instalação de aplicativos de acesso remoto.

Se algum processo interno depende de um desses itens, o problema está no processo. A identidade pode ser confirmada com dados que a empresa já tem, como a data da compra, e cobranças podem sair de um link de pagamento gerado pelo seu sistema, com o nome da empresa visível.

Dica: inclua a frase "Nunca pedimos códigos, senhas ou pagamentos fora dos nossos canais oficiais" na mensagem de boas-vindas do atendimento automático e na confirmação de cada pedido. Repetida em todo contato, ela vira a referência que o cliente lembra quando um golpista aparece.

Para a equipe, a orientação é simples: na dúvida, como na ligação de alguém "da Meta" pedindo acesso ao número, o atendente não informa nada e chama o responsável.

Roteiro de resposta quando um golpe usa sua marca

Quando o primeiro cliente avisa, outras pessoas provavelmente já foram abordadas. Ter um roteiro combinado evita improviso. Uma sequência possível:

  1. Confirme e registre. Peça ao cliente capturas de tela, o número usado, data, horário e o comprovante, se houve pagamento. Guarde tudo numa pasta única.
  2. Denuncie o número. No WhatsApp, abra os dados do contato suspeito e use a opção de denunciar. Peça aos clientes abordados que façam o mesmo, e denuncie também perfis falsos em outras redes.
  3. Avise publicamente. Publique um alerta no site, nas redes e no status do WhatsApp com os canais verdadeiros e o que a empresa nunca pede. Descreva o padrão da abordagem em vez de dar destaque ao número do golpista.
  4. Acolha quem foi enganado. Sem culpar o cliente, oriente a pessoa a procurar o banco imediatamente. No caso de Pix, a vítima pode pedir a devolução pelo Mecanismo Especial de Devolução (MED), criado pelo Banco Central; desde outubro de 2025, os aplicativos dos bancos oferecem a contestação na própria área do Pix, sem precisar ligar para a central. Quanto antes o pedido, maior a chance de ainda haver saldo para bloquear na conta do golpista. Recomende também o boletim de ocorrência.
  5. Registre a ocorrência da empresa. O uso indevido da marca também atinge a empresa; registre boletim e, se houver prejuízo relevante, consulte um advogado.
  6. Investigue a origem dos dados. Verifique se o golpista sabia algo que não é público (veja abaixo).
  7. Revise e ajuste. Passada a crise, avalie se a página de canais estava atualizada e se a equipe sabia o que responder. Ajuste o roteiro.

Quando o golpe indica vazamento de dados

Se o golpista abordou apenas quem comentou nas redes, provavelmente usou informações públicas. Se citou dados que só a empresa tinha, como valor da compra ou número do pedido, investigue um possível acesso indevido: funcionário, sistema integrado, planilha compartilhada, e-mail comprometido.

Confirmado um incidente de segurança com dados pessoais que possa causar risco ou dano relevante aos titulares, o art. 48 da LGPD obriga o controlador a comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis, contados de quando o controlador fica sabendo que o incidente afetou dados pessoais, com prazo em dobro para agentes de tratamento de pequeno porte. Mesmo incidentes que não precisem ser comunicados devem ficar registrados internamente. Por isso, envolva o encarregado de dados desde o início. O artigo sobre LGPD no atendimento digital detalha as obrigações de quem trata dados em WhatsApp e chatbots.

Modelo de aviso aos clientes

Para quem autorizou receber mensagens da empresa (veja opt-in e consentimento), um aviso curto ajuda:

Olá, [nome]. Identificamos um número que está usando o nome da [empresa] para pedir pagamentos pelo WhatsApp. Nosso único WhatsApp é este. Não pedimos códigos, senhas nem Pix para pessoas físicas. Se recebeu algo parecido, não pague e nos avise por aqui.

Orientações para o consumidor

As dicas abaixo podem ir para a página de canais oficiais ou para um post de alerta:

  • Desconfie da pressa. "Só hoje", taxa para liberar entrega e ameaça de cancelamento servem para você não parar e pensar.
  • Confira o número na fonte. Digite o endereço do site oficial no navegador e compare com o número da conversa.
  • Nunca informe o código recebido por SMS. Empresa nenhuma precisa dele.
  • Ative a confirmação em duas etapas no seu próprio WhatsApp.
  • Leia o nome do recebedor. Antes de confirmar um Pix ou boleto, confira o nome e o CNPJ que o aplicativo do banco mostra.
  • Se caiu no golpe, aja rápido. Procure o banco pelos canais oficiais dele (no caso de Pix, use a opção de contestação no aplicativo), registre boletim de ocorrência e avise a empresa cujo nome foi usado.
  • Se sua conta foi tomada, siga a Central de Ajuda do WhatsApp e avise seus contatos por outro meio.

Perguntas frequentes

O selo azul garante que a conta é da empresa?

É um bom sinal, mas a ausência dele não prova golpe: muitas empresas legítimas, principalmente pequenas, não têm selo. O mais seguro continua sendo comparar o número com o divulgado no site oficial.

Minha empresa é pequena e usa só o aplicativo. Vale fazer tudo isso?

Vale, e a maior parte custa pouco. A confirmação em duas etapas é gratuita, a frase sobre o que a empresa nunca pede entra na mensagem de boas-vindas em minutos, e a página de canais oficiais pode ser uma seção do site que você já tem.

A empresa responde pelo prejuízo de um cliente que caiu em golpe com o nome dela?

Não há resposta única: depende das circunstâncias, como a existência de vazamento de dados ou falha de segurança da própria empresa, e cada caso pede análise jurídica. O que está ao alcance da empresa é prevenir, agir rápido e documentar o que foi feito.

Devo divulgar o número do golpista?

Em geral, é mais útil divulgar o padrão da abordagem e os seus canais verdadeiros. Golpistas trocam de número com facilidade, e uma regra como "não pedimos Pix por mensagem" continua valendo para o próximo número.

Conclusão

Golpes com o nome de empresas dependem de o cliente não saber como a empresa se comunica de verdade. Canais oficiais bem divulgados, conta protegida, a regra de nunca pedir códigos e um roteiro combinado com a equipe reduzem o espaço do golpista e encurtam o estrago quando ele aparece.

Se você quer revisar as mensagens do seu atendimento, migrar para a API oficial ou montar um fluxo para avisar clientes com rapidez, a Telep pode ajudar. Veja como funciona o nosso trabalho.