“Sua restituição do Imposto de Renda está disponível. Clique no link abaixo antes que o prazo expire.” A mensagem chegou por SMS às 21h40, bem na hora em que Cristiane, entregadora de aplicativos de 29 anos, guardava a bicicleta em Belo Horizonte depois do último pedido da noite. Cansada, com o polegar quase automático, ela tocou no link sem pensar duas vezes.
A página que abriu parecia o site da Receita Federal — mesma combinação de cores, mesmo tipo de letra, um brasão no topo. Pedia CPF, data de nascimento e número do título de eleitor e, na etapa seguinte, os dados do cartão bancário “para depósito imediato da restituição”. Ela preencheu os 3 primeiros campos antes de parar: por que um órgão público pediria dados do cartão para devolver um dinheiro que já sairia direto na conta cadastrada na declaração?
Fechou o aplicativo, mas a dúvida ficou. No dia seguinte, decidiu conferir o link que havia clicado — e percebeu que o endereço não terminava em “gov.br”, como todo site oficial do governo federal. Terminava em uma sequência de letras aleatórias, seguida de “.com”. Era tarde para não ter clicado, mas ainda dava tempo de agir.
Ela contou o episódio para um colega de trabalho no dia seguinte, ainda sem saber se deveria se preocupar. O colega lembrou de ter recebido mensagem parecida meses antes, também prometendo valores a receber, também com prazo curto, também pedindo dados que nenhuma restituição de verdade exigiria. A coincidência a fez perceber que não tinha sido alvo de um golpe isolado, e sim de uma abordagem repetida, aplicada em massa, testando quem clicava sem parar para conferir.
Por que a pressa é a parte mais importante do golpe
Mensagens falsas sobre restituição, bloqueio de CPF ou dívidas com a Receita quase sempre usam um prazo curtíssimo — “hoje”, “em 24 horas”, “antes que expire” — porque o objetivo é impedir que a pessoa pare para conferir. A pressa afasta o senso crítico que normalmente faria alguém reparar num detalhe simples: nenhum órgão federal cobra tributo ou libera restituição por link enviado em SMS, WhatsApp ou redes sociais. A Receita Federal também não solicita reconhecimento facial, foto de documento ou senha de aplicativo bancário para liberar valores — qualquer pedido nesse sentido já é, por si só, motivo para desconfiar e interromper o processo.
LeiaTambém
Como conferir se o endereço é realmente oficial
Todo site do governo federal termina em “gov.br” — não em “.com”, “.net” ou variações parecidas. Antes de clicar em qualquer link recebido por mensagem, vale abrir o navegador separadamente e digitar o endereço oficial, em vez de seguir o atalho enviado. A Receita Federal mantém uma página própria só para explicar os golpes mais comuns que usam o nome do órgão, incluindo os que chegam por link, aplicativo e até carta física.
Sinais que costumam aparecer juntos
- pedido de dados bancários para “receber” um valor que a própria pessoa nem sabia que tinha direito;
- erros de português ou formatação diferente do site oficial;
- número de telefone ou remetente que não corresponde a nenhum canal já conhecido;
- insistência para que a resposta seja imediata.
O que fazer depois de informar dados por engano
Se dados como CPF, data de nascimento ou número de cartão já foram informados, o primeiro passo é entrar em contato com o banco para monitorar ou bloquear movimentações suspeitas. Vale também acessar os canais oficiais da Receita Federal para confirmar a situação da declaração e verificar se existe algum registro de tentativa de golpe em nome do contribuinte. Guardar prints da mensagem, do link e da página falsa ajuda caso seja necessário registrar um boletim de ocorrência depois. Se algum valor chegou a ser pago — por boleto ou Pix apresentado como “taxa” para liberar a restituição —, vale lembrar que a Receita não cobra taxa alguma para restituir imposto de renda, e esse pagamento também deve constar no relato feito à polícia e ao banco.
O número que enviou o SMS pode ainda ser denunciado à Anatel, que recebe reclamações sobre uso indevido de linhas telefônicas para golpe e spam.
Quando vale desconfiar mesmo de mensagens “oficiais”
A entregadora só percebeu o problema porque parou para pensar num detalhe pequeno: o pedido de dados do cartão. Isso mostra por que vale desconfiar até de mensagens com aparência cuidada, principalmente quando pedem informações que um órgão público já teria, ou quando o link foge do padrão gov.br. Um alerta parecido apareceu recentemente em outra reportagem sobre uma mensagem falsa envolvendo bancos, que também usava urgência e identidade visual conhecida. O padrão se repete porque funciona: quem recebe a mensagem no fim de um dia cansativo, no meio de outras notificações do celular, tende a reagir por hábito, não por análise — e é justamente esse automatismo que o golpe explora.
Passados alguns dias, ela decidiu revisar as configurações de segurança do próprio celular e trocar as senhas dos aplicativos que usavam o CPF como login, mesmo sem ter informado dados bancários completos. Não era garantia de que nada aconteceria, mas reduzia o risco de que os poucos dados já expostos fossem reaproveitados em outra tentativa de fraude.
Uma história como esta, embora hipotética, mostra o que fazer quando uma cobrança ou restituição chega por link, SMS ou aplicativo: não pagar nem informar dados; acessar a Receita por endereço oficial e registrar o incidente se houve exposição. Cada caso tem particularidades que merecem checagem direta nos canais oficiais antes de qualquer decisão.