50 milhões de mensagens de golpe em seis meses: sua marca pode ser a isca

O que a Serasa contou hoje

A Serasa Experian divulgou hoje, 15 de setembro de 2026, o Mapa da Fraude do primeiro semestre. Entre janeiro e junho, o levantamento identificou mais de 50,7 milhões de mensagens ligadas a golpes no Brasil. Dá uma média de 3,2 por segundo, e é por isso que a manchete diz "três por segundo".

Parece número de outro planeta, mas ele conta uma história bem prática. Não é só gente recebendo SMS esquisito. Boa parte desses golpes usa anúncios, perfis, páginas e aplicativos falsos pra parecer legítima. E muitos desses disfarces copiam marcas reais, de empresas grandes e também de pequenas.

Veja o que o relatório trouxe de mais útil:

• 20.840 anúncios, perfis, páginas e aplicativos falsos foram identificados no semestre, alta de 27,2% sobre o primeiro semestre de 2025.
• A divisão: anúncios falsos somam 62%, perfis falsos 19% e páginas falsas 18%.
• Páginas falsas cresceram 107,1% na comparação com o ano anterior, com mais de 20 sites fraudulentos novos por dia.
• Anúncios falsos passaram de 12.900, cerca de 70 por dia, alta de 19,5%.
• 2.100 grupos de mensagens ligados a conteúdo fraudulento foram identificados.

Esses números vêm de um comunicado de imprensa da própria Serasa, republicado pela Folha de Pernambuco e pelo Convergência Digital. Como o dado é o mesmo nos três lugares, conto como uma fonte só. Dá pra ver o texto original nas fontes no final.

Tem também um dado anterior da Serasa, divulgado pelo MobileTime em 18 de junho de 2026, que ajuda a dar contexto. No primeiro trimestre, foram cerca de 10.000 perfis, páginas e aplicativos falsos, alta de 8,3%. Segundo o mesmo levantamento, 51% da população economicamente ativa já foi vítima de golpe. E os grupos de conversa usados em fraudes passaram de 2.000, com 19,7 milhões de mensagens só nos três primeiros meses do ano.

Agora um aviso honesto, porque a gente prefere isso a vender medo. O comunicado não descreve a metodologia e não traz um recorte por pequenas empresas. Ou seja, não dá pra afirmar "tantos por cento dos pequenos negócios foram atingidos". O que dá pra afirmar é o cenário: o volume de golpes é enorme, cresce, e usa cada vez mais páginas e anúncios que imitam quem existe de verdade.

Como funciona um golpe de marca clonada?

Um golpe de marca clonada costuma seguir três passos: um anúncio ou mensagem chama a atenção, leva a um perfil ou página falsa e termina num pedido de pagamento. Segundo Rodrigo Sanchez, diretor de Autenticação e Prevenção a Fraudes da Serasa, uma única fraude pode percorrer esse caminho inteiro.

Entender essa sequência ajuda a achar o ponto onde você pode interromper o golpe. Vamos por partes.

Passo 1: a isca

Tudo começa com algo que faz o cliente parar de rolar a tela. Pode ser um anúncio com preço baixo demais, uma mensagem dizendo que "seu pedido teve um problema", ou um convite pra um grupo de ofertas. A isca costuma usar o nome, o logotipo e até as fotos de produtos de uma empresa conhecida na região ou no nicho.

Anúncios falsos são a maior fatia dos números da Serasa, com 62% do total identificado. Isso faz sentido: anúncio é barato de produzir e alcança muita gente rápido.

Passo 2: a página ou o perfil falso

Quem clica não cai no seu site. Cai numa página parecida, com o mesmo logotipo, as mesmas cores e às vezes textos copiados do seu site de verdade. Ou cai num perfil de rede social que se apresenta como o "atendimento oficial" da sua marca.

Aqui o dado de páginas falsas pesa: alta de 107,1% em um ano e mais de 20 sites fraudulentos novos por dia. Fazer uma página convincente deixou de dar trabalho.

Passo 3: o pedido de pagamento

No fim da linha vem o pedido: pagar um Pix pra "garantir a promoção", pagar uma taxa pra "liberar a entrega", ou confirmar dados do cartão. O dinheiro vai pra conta do golpista, e o cliente descobre depois que nunca comprou de você.

O ponto que quase ninguém considera é o que vem a seguir. O cliente enganado não lembra do golpista. Lembra do nome da sua marca. É nela que ele vai reclamar.

Exemplo hipotético: uma loja de ração de uma cidade média tem boa fama no bairro. Um golpista cria um perfil com o mesmo nome e a mesma foto de capa, e anuncia ração com desconto grande "só hoje". Quem paga por Pix nunca recebe nada. Dias depois, a loja de verdade começa a receber mensagens furiosas de gente que ela nunca atendeu.

Por que isso importa pra uma pequena empresa?

Pra uma pequena empresa, o problema tem duas faces: sua marca pode ser usada como isca pra enganar clientes, e você mesmo pode ser enganado ao comprar de um fornecedor ou loja falsa. São riscos diferentes, com defesas diferentes, e vale olhar os dois.

Quando sua marca é a isca

Marca pequena também é copiada. Às vezes justamente porque tem boa reputação local e pouca vigilância. O dano não é só financeiro. Cliente que perdeu dinheiro num perfil falso desconfia de você, fala mal da sua empresa e, mesmo depois de entender o que houve, volta com receio.

Existe ainda o custo de tempo. Quem atende o público passa a gastar horas explicando que "aquele perfil não é nosso", e isso tira energia do que dá lucro.

Quando você é a vítima

O outro lado é menos comentado. Dono de pequena empresa compra muita coisa pela internet: embalagem, equipamento, software, estoque. Anúncios e lojas falsas também atingem esse comprador, e um pagamento adiantado pra fornecedor que não existe pode doer no caixa do mês.

Rodrigo Sanchez, da Serasa, recomenda que as empresas monitorem o uso indevido da própria marca em anúncios, perfis, páginas e aplicativos falsos. É o primeiro lado da conta. O segundo, o de comprar com cuidado, a gente vê mais abaixo.

O que a pesquisa da Kaspersky diz sobre pequenas empresas?

Uma pesquisa da Kaspersky ouviu 1.800 profissionais de TI e segurança em 18 países, incluindo o Brasil, e 616 deles trabalham em pequenas e médias empresas. Dessas, 86% relataram pelo menos um incidente de segurança no último ano, e 14% disseram não ter tido nenhum.

Um cuidado importante: esse não é um índice brasileiro. É uma amostra internacional, com o Brasil entre os países. Serve pra mostrar tendência, não pra dizer "86% das empresas brasileiras". Aqui, nada de inventar recorte que a pesquisa não fez.

O que os dados mostram

Entre as empresas com menos de 500 funcionários, a pesquisa trouxe alguns números que ajudam a entender onde mora o risco:

• Dos que sofreram o incidente mais prejudicial, 22% tiveram perda financeira.
• Os alvos mais comuns foram dados de clientes (32%), informações internas sensíveis (28%), credenciais de funcionários (25%) e estratégia de negócio (23%).
• Os departamentos mais atingidos foram TI (50%), segurança de TI (46%) e contabilidade ou financeiro (24%). Em média, três departamentos foram comprometidos ao mesmo tempo.
• As pequenas empresas sofreram mais ataques por canais de atendimento ao cliente (21%) do que as de médio porte (15%) e as grandes (17%).

Num comunicado anterior, de 12 de agosto, a Kaspersky listou os caminhos mais usados contra as pequenas empresas: phishing (20%), falhas em software (17%) e acesso remoto externo (16%). No mesmo material, 75% das empresas disseram ter aumentado o orçamento de segurança.

O que isso muda pra você

Dois pontos merecem atenção. O primeiro: o atendimento ao cliente é uma porta de entrada. Se um golpista se passa por cliente, ou se passa por você, o canal que você usa pra vender vira o canal por onde o problema chega.

O segundo: dados de clientes são o alvo número um. Isso conecta com a história da marca clonada. Quem tem lista de clientes, WhatsApp comercial e histórico de compras tem material valioso nas mãos, e esse material pode ser usado pra montar golpes bem convincentes.

Exemplo hipotético: um golpista que tenha acesso a uma lista de clientes de uma loja de roupas consegue mandar mensagem citando o nome da pessoa e a última compra. A mensagem diz que houve erro no pagamento e pede um novo Pix. Como os dados batem, o cliente acredita.

Como saber se sua marca está sendo clonada?

Você descobre um clone monitorando, com rotina simples, onde o nome da sua empresa aparece fora dos seus canais oficiais. Segundo a Serasa, empresas devem acompanhar o uso indevido da marca em anúncios, perfis, páginas e aplicativos falsos. Não precisa de ferramenta cara pra começar.

Uma rotina de dez minutos por semana

Vale marcar um horário fixo, de preferência na segunda-feira, e fazer sempre a mesma checagem. Na nossa experiência, o que mata o monitoramento é depender de lembrar quando der tempo. Agenda no calendário resolve.

Uma checklist enxuta:

1. Pesquise o nome da empresa no Google, entre aspas, e veja os resultados além da primeira página.
2. Pesquise o nome junto de palavras como "promoção", "oficial", "falso", "golpe" e "reclamação".
3. Procure o nome nas redes sociais que você usa e nas que não usa. Perfil falso aparece onde você não está.
4. Pesquise no Instagram, Facebook e TikTok por variações do nome, com letra trocada, número no meio ou "oficial" no final.
5. Confira a biblioteca de anúncios das plataformas, quando existir, buscando pelo nome da marca.
6. Veja se o domínio do seu site tem versões parecidas, com hífen, terminação diferente ou letra trocada.
7. Leia as mensagens recentes dos clientes. Quando alguém pergunta "foi vocês que me mandaram isso?", é sinal de alerta.

Seus clientes são seu melhor sensor

O monitoramento mais rápido costuma vir de quem compra de você. Deixe fácil para o cliente avisar: um botão no site, um e-mail dedicado ou uma frase no WhatsApp comercial dizendo "se recebeu algo estranho em nosso nome, avise aqui".

Combine com o time de atendimento que qualquer relato desse tipo é prioridade, e que todo relato vai pra uma pessoa só, que guarda prints e links. Sem esse registro, depois fica difícil provar o que aconteceu.

O que fazer no dia em que você descobrir um clone?

Quando achar um perfil, página ou anúncio falso, a ordem importa: registre as provas, denuncie à plataforma, avise seus clientes pelos canais oficiais e depois reveja suas defesas. Agir rápido ajuda, mas agir na ordem certa evita perder as evidências.

Primeiro, guarde as provas

Antes de denunciar, tire prints da tela inteira. Anote o endereço (URL) exato, o nome do perfil, a data e o horário. Se o anúncio tiver um link, copie. Se houver conversas com clientes lesados, peça autorização para guardar também.

Isso importa porque, depois da denúncia, a página pode sumir. Sem prova, você não tem como mostrar o que aconteceu a um advogado, à polícia ou à própria plataforma, caso a primeira resposta seja negativa.

Segundo, denuncie nas plataformas

A maioria das plataformas tem um formulário pra denunciar anúncio, perfil ou página que se passa por outra pessoa ou empresa. Use o canal oficial de cada uma, envie as provas e, se tiver registro da sua marca ou site oficial, mencione.

Seja específico. "Esse perfil usa nosso nome e nosso logotipo pra pedir pagamento" funciona melhor do que "isso é golpe". E denuncie cada item separadamente: o perfil, o anúncio e a página de destino.

Em alguns casos a resposta demora. Nessas horas, insistir pelo canal oficial e pedir ajuda de um advogado de propriedade intelectual ou de direito digital pode acelerar. Não prometo prazo, porque ele varia por plataforma e por caso.

Terceiro, avise seus clientes pelos canais oficiais

Fale com o seu público antes que o boato corra mais rápido que você. Publique um aviso curto nas redes que você realmente usa, no site e, se tiver lista de contatos, por WhatsApp ou e-mail.

Um bom aviso tem quatro partes:

• O fato, sem drama: "Identificamos um perfil que usa nosso nome e não é nosso."
• Como reconhecer o oficial: endereço do site, @ correto das redes, número do atendimento.
• O que nunca pedimos: por exemplo, pagamento por link enviado em mensagem fora do site oficial.
• O que fazer: se pagou, entre em contato e registre boletim de ocorrência.

Evite culpar o cliente que caiu. Quem foi enganado já está constrangido. Um tom acolhedor traz a pessoa de volta e ainda deixa claro que a sua empresa não participou.

Quarto, revise suas defesas

Depois do susto, pergunte: como o golpista conseguiu material pra copiar? Se foi só do seu site e redes públicas, não tem muito o que fazer além de monitorar. Mas se o golpe cita pedidos reais, nomes de clientes ou valores corretos, pode ter havido vazamento de dados, e aí o assunto é mais sério.

Nesse caso, troque senhas, ative a verificação em duas etapas onde ainda não existe e confira quem tem acesso aos seus sistemas. Se houver suspeita de vazamento de dados pessoais de clientes, vale conversar com um profissional que entenda de LGPD sobre os próximos passos.

Exemplo hipotético: uma loja online descobre uma página clonada que usa o nome e as fotos dela. Em vez de só denunciar, a dona guarda os prints, avisa os clientes por e-mail e por Stories, e coloca no rodapé do site um aviso com o endereço oficial. Dias depois, os clientes que receberem o link falso já sabem como checar.

Como não ser a vítima quando você compra de fornecedores?

Antes de pagar um fornecedor novo, confirme que ele existe fora do anúncio que você viu: documentos, endereço, referências e um canal de contato independente. Golpe de loja falsa só funciona porque a pressa vence a checagem. Dez minutos de verificação costumam custar menos que um Pix perdido.

Checklist antes de pagar um fornecedor novo

• Confira o CNPJ na consulta pública da Receita Federal e veja se a razão social, a atividade e o endereço combinam com o que o site mostra.
• Desconfie de preço muito abaixo do mercado, de "só hoje" e de pressão pra pagar na hora.
• Procure reclamações do nome e do CNPJ em sites de reclamação e no próprio buscador.
• Veja a idade do site. Domínio muito recente, com poucas páginas e sem endereço físico, merece cautela.
• Ligue pra um número que você encontrou por conta própria, e não o que veio no anúncio ou na mensagem.
• Confirme a conta de pagamento. O nome do favorecido deve bater com a razão social. Se o Pix vai pra pessoa física sem relação com a empresa, pare.
• Na primeira compra, pague menos adiantado ou prefira meios com proteção, como cartão, se o fornecedor aceitar.
• Peça referências de outros clientes e, de preferência, converse com um deles.

Cuidado com o "fornecedor que mudou de conta"

Esse é um clássico que atinge empresas de qualquer tamanho: chega um e-mail ou WhatsApp dizendo que o fornecedor antigo mudou de conta bancária e que o próximo pagamento deve ir pra outra. O contato parece o de sempre, mas é um golpista copiando o jeito do fornecedor.

A regra de ouro é simples. Mudança de dados de pagamento só vale com confirmação por um segundo canal, por exemplo uma ligação pro telefone que você já tinha guardado. Ninguém deveria alterar uma conta de pagamento só com base numa mensagem.

Exemplo hipotético: o financeiro de uma gráfica recebe um e-mail do "fornecedor de papel" avisando que a conta mudou. O funcionário liga pro número antigo, guardado no cadastro, e descobre que o fornecedor não mandou aviso nenhum. O pagamento não sai, e o golpe morre ali.

Como proteger o time e o caixa por dentro?

Boa parte da defesa não depende de tecnologia sofisticada: depende de hábitos. A Kaspersky aponta phishing como o caminho mais usado contra pequenas empresas (20%), e o phishing se combate principalmente com gente atenta, senhas bem protegidas e um jeito claro de confirmar pedidos de dinheiro.

Verificação em duas etapas, em tudo que importa

A verificação em duas etapas pede um segundo passo além da senha, como um código no celular. Mesmo que alguém descubra a senha, não entra sem esse segundo passo. Ative em:

• e-mail da empresa, que costuma ser a chave de todo o resto;
• internet banking e contas de pagamento;
• redes sociais e contas de anúncios;
• painel do site, da loja virtual e do domínio;
• aplicativo de WhatsApp Business e outros canais de atendimento.

Se tiver que escolher por onde começar, comece pelo e-mail. Quem controla o seu e-mail consegue pedir redefinição de senha em quase tudo.

Treinamento curto e frequente

Treinamento de segurança não precisa ser palestra de duas horas. Conversas rápidas funcionam melhor. Na nossa experiência, um exemplo real de golpe, mostrado em cinco minutos numa reunião semanal, ensina mais do que um manual.

Alguns temas pra repetir de tempos em tempos:

1. Como reconhecer link suspeito antes de clicar.
2. Por que nunca mandar senha ou código de verificação por mensagem, mesmo pra "alguém da empresa".
3. O que fazer ao receber um pedido urgente de pagamento.
4. Como avisar quando alguém clicou em algo estranho, sem medo de bronca.

Esse último ponto é mais importante do que parece. Quem teme punição esconde o erro, e o golpe cresce no escuro.

Uma regra para dinheiro: duas pessoas, dois canais

Defina uma regra simples pra pagamentos fora do comum, como novo fornecedor, mudança de conta ou valor acima do habitual: uma pessoa pede, outra aprova, e a confirmação acontece por um canal diferente do que trouxe o pedido. Parece burocracia, mas é o tipo de freio que impede um erro de se tornar prejuízo.

Atenção especial ao atendimento

A pesquisa da Kaspersky mostrou que as pequenas empresas sofrem mais ataques por canais de atendimento (21%) do que as de médio e grande porte. Então pense em quem responde seus clientes e o que essa pessoa pode fazer.

Quem atende deve ter acesso só ao que precisa, sem acesso total a dados de todos os clientes. E precisa saber que nunca deve confirmar dados pessoais completos a quem ligar ou escrever sem validar a identidade antes.

Quais erros comuns deixam a empresa mais exposta?

Os erros mais comuns não são técnicos: são de hábito. Empresa que ignora o próprio nome na internet, demora a avisar clientes ou usa a mesma senha em vários sistemas deixa a porta aberta. A boa notícia é que quase todos se corrigem sem gastar muito.

Achar que "empresa pequena não é alvo"

Esse é o erro de partida. A pesquisa da Kaspersky mostra que 86% dos pequenos e médios negócios ouvidos tiveram pelo menos um incidente no último ano, e o volume de golpes da Serasa mostra que o ambiente é hostil pra todos. Tamanho pequeno não protege, e a falta de vigilância pode até ajudar o golpista.

Só reagir depois do prejuízo

Muita empresa só olha pra segurança quando um cliente reclama. O problema é que, a essa altura, o golpe já rodou por dias. Uma rotina curta de monitoramento custa pouco e encurta o tempo em que o clone fica no ar.

Não ter um canal oficial claro

Se o cliente não sabe qual é o seu perfil verdadeiro, o seu site e o seu número, ele não tem como diferenciar o falso. Deixe essas informações sempre visíveis: no site, na bio das redes, na assinatura de e-mail e nas notas fiscais, se fizer sentido.

Apagar as provas ou responder no impulso

Na raiva, é comum o dono apagar comentários, bloquear o perfil falso ou discutir publicamente. Isso destrói evidências e pode piorar a imagem. Primeiro registre tudo e depois aja.

Compartilhar senhas e acessos

Senha compartilhada no WhatsApp ou numa planilha é um risco clássico. A Kaspersky mostrou que credenciais de funcionários estão entre os dados visados (25%). Cada pessoa deve ter o próprio acesso, e quem sai da empresa precisa perder o acesso no mesmo dia.

Pagar rápido demais

Quase todo golpe depende de pressa. "Última unidade", "taxa urgente", "seu cadastro será cancelado": a urgência existe pra desligar o seu senso crítico. Desconfie de qualquer pedido que não aceite uma confirmação de cinco minutos.

O que os reguladores estão fazendo?

No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) abriu em 9 de setembro uma consulta pública pra atualizar o regulamento de fiscalização e sanções. É um assunto próximo de quem lida com dados de clientes, e vale acompanhar, mesmo sem entrar nos detalhes jurídicos.

A consulta fica aberta de 9 de setembro a 26 de outubro de 2026, pela plataforma Brasil Participativo, e atualiza a Resolução CD/ANPD nº 1/2021. Uma audiência pública online está marcada para 24 de setembro. Depois, o texto passa pela Superintendência de Regulação e pela aprovação do Conselho Diretor.

A atualização se alinha ao ECA Digital, aos Decretos 12.975/26 e 12.976/26 e à Lei 15.352/26, que transformou a ANPD em agência reguladora. O que isso significa na prática para você? Que as regras de como a autoridade fiscaliza e pune estão sendo revistas, e que cuidar bem dos dados dos clientes tende a ser cada vez mais cobrado. Pra decisões específicas, vale falar com um advogado.

Perguntas rápidas

Quantas mensagens de golpe foram identificadas no Brasil no primeiro semestre de 2026?

Segundo a Serasa Experian, mais de 50,7 milhões de mensagens ligadas a golpes foram identificadas entre janeiro e junho de 2026, uma média de 3,2 por segundo. O comunicado não detalha a metodologia, então vale ler o número como indicador de tendência.

Minha empresa pequena pode mesmo ter a marca clonada?

Pode. O relatório da Serasa não traz um recorte só de pequenas empresas, então não dá pra dizer com que frequência acontece com elas. Mas a recomendação da Serasa é que empresas em geral monitorem o uso indevido da marca em anúncios, perfis, páginas e aplicativos falsos. Fazer isso custa pouco.

O que faço primeiro ao achar um perfil falso com o meu nome?

Tire prints da tela e anote o endereço e a data. Depois denuncie pelo canal oficial da plataforma e avise os clientes pelos seus canais oficiais. Não apague nada nem discuta com o perfil falso antes de registrar as provas, porque elas podem ser necessárias depois.

Como sei se um fornecedor novo é confiável?

Confira o CNPJ, a idade do site, as reclamações e se o nome do favorecido do Pix bate com a razão social. Ligue pra um número que você mesmo encontrou. E desconfie de preço muito baixo e de pressão pra pagar na hora. Na primeira compra, evite pagar tudo adiantado.

A pesquisa da Kaspersky vale pro Brasil?

Só em parte. Foram ouvidos 1.800 profissionais de 18 países, incluindo o Brasil, sendo 616 de pequenas e médias empresas. Os 86% com algum incidente no último ano são um dado internacional, não um índice brasileiro. Serve como sinal de que o risco é comum, mas não como medida exata do mercado daqui.

O que é verificação em duas etapas e por onde começo?

É um segundo passo além da senha, como um código no celular. Mesmo que alguém descubra a senha, não entra sem esse código. Comece pelo e-mail da empresa, porque ele costuma ser a chave pra redefinir senhas de quase tudo. Depois ative em banco, redes sociais, painel do site e WhatsApp Business.

Onde a Diglion entra

A Diglion ajuda pequenas e médias empresas a montar o básico que este texto descreve: uma rotina de monitoramento da marca, a organização dos canais oficiais pra que o cliente saiba distinguir o verdadeiro do falso, a ativação de verificação em duas etapas nos sistemas críticos e um roteiro escrito pra agir no dia em que um clone aparecer, com responsável, prazos e modelo de aviso aos clientes.

Fontes consultadas

• Serasa Experian, A cada segundo, três mensagens de golpes foram identificadas no Brasil; volume superou 50 milhões no 1º semestre, consultado em 2026-09-15.
• Folha de Pernambuco, A cada segundo, três golpes foram identificados no Brasil, consultado em 2026-09-15.
• Kaspersky, Kaspersky unveils how the worst cyber incidents hit SMBs over the past year, consultado em 2026-09-15.
• Kaspersky, 86% of small and medium-sized businesses encountered cybersecurity incidents over the past year, consultado em 2026-09-15.
• ANPD, ANPD abre audiência e consulta pública para atualização do regulamento de fiscalização, consultado em 2026-09-15.