Às 7h de uma segunda-feira, Cristiane, 43 anos, contribuinte que sempre entregava a declaração dentro do prazo, já estava sentada à mesa da cozinha com o notebook aberto e o celular ao lado, checando o e-mail antes de começar o expediente. Trabalhava havia 6 anos como revisora de textos para clientes de diferentes estados, numa rotina que sempre começava do mesmo jeito: café, caixa de entrada, agenda do dia. Naquela manhã, entre as mensagens de trabalho, apareceu um e-mail com o brasão da Receita Federal no topo, um texto formal e um aviso em destaque — pendência identificada na última declaração. O remetente parecia oficial, o texto usava termos que ela já tinha visto antes em comunicados de verdade, e nada naquele primeiro olhar chamava atenção como estranho.
O botão logo abaixo do aviso prometia resolver tudo ali mesmo: “Regularizar agora em 2 minutos”. Cristiane clicou sem hesitar. Tinha entregue a declaração dentro do prazo e o receio de qualquer irregularidade pesou mais do que a desconfiança. O link abriu um formulário parecido com os que ela já havia preenchido em sites de governo — mesmas cores, mesmo tipo de campo — e ela digitou CPF, data de nascimento e os dados bancários pedidos para “confirmar a identidade” antes da regularização. Levou pouco mais de 2 minutos para preencher tudo, exatamente o tempo prometido no botão, e fechou a aba com a sensação de dever cumprido, sem desconfiar de nada além do alívio de ter resolvido logo cedo.
Nada aconteceu de imediato, e por 3 dias ela seguiu a rotina normalmente, quase esquecendo o episódio. No 4º dia, chegou uma segunda mensagem, agora cobrando o pagamento de uma taxa para concluir o processo. Cristiane estranhou — não lembrava de ter visto isso no formulário — e tentou ligar para o número de suporte informado no rodapé do e-mail. Ninguém atendeu na primeira tentativa, nem na segunda. Chegou a cogitar pagar logo para encerrar o assunto, só para não correr risco de multa, mas antes disso resolveu procurar a própria declaração salva no computador, só para conferir se havia mesmo alguma pendência registrada. Enquanto procurava o arquivo, reparou que a segunda mensagem trazia o mesmo tom de urgência da primeira, só que agora com um prazo ainda mais curto, como se qualquer demora pudesse gerar problema maior.
Foi abrindo essa pasta que ela decidiu, pela primeira vez desde o clique inicial, entrar no site oficial da Receita Federal digitando o endereço direto no navegador, sem usar nenhum link recebido por e-mail. Acessou com a própria conta gov.br e não encontrou pendência, cobrança em aberto ou registro parecido com o que a mensagem descrevia. O aviso recebido dias antes simplesmente não existia no sistema real — e só ali Cristiane entendeu que tinha preenchido dados pessoais num formulário que nunca teve relação com o órgão.
Os sinais que o e-mail falso reproduz tão bem quanto o original
Mensagens que reproduzem o brasão oficial, um texto formal e um prazo apertado são características comuns de fraudes que miram justamente o medo de estar em situação irregular. A página da Receita Federal sobre golpes que usam o nome do órgão explica que a instituição não cobra tributo por link, Pix ou mensagem, e que qualquer pendência real só aparece nos canais próprios de atendimento. O visual convincente de um e-mail não garante nada sobre a origem dele — o mesmo vale para páginas que imitam o layout de sites de governo com pequenas diferenças no endereço.
“Nunca imaginei que um clique tão rápido pudesse abrir uma porta tão grande”, pensou Cristiane, dias depois, ao reconstituir cada passo daquela manhã.
Quando Cristiane comparou o endereço do link recebido com o do site oficial, notou uma diferença sutil no domínio — um detalhe que, na pressa do início do expediente, tinha passado despercebido.
O que fazer se os dados já foram digitados no formulário falso
Quando CPF, data de nascimento ou dados bancários já foram enviados a um formulário falso, o primeiro passo é trocar as senhas de acesso a contas bancárias, e-mail e aplicativos que usam as mesmas informações, e ativar, se disponível, a confirmação em duas etapas. É recomendável avisar o banco no mesmo dia, para acompanhar movimentações fora do padrão nos dias seguintes. Esse tipo de golpe também pode ser denunciado nos canais de atendimento do próprio órgão citado na mensagem, o que ajuda a mapear o alcance da fraude e a orientar outras pessoas que recebam o mesmo e-mail. Guardar uma cópia da mensagem original, sem clicar de novo em nenhum link dela, também ajuda a documentar o ocorrido caso seja preciso relatar o episódio ao banco ou registrar boletim de ocorrência mais adiante.
LeiaTambém
Por que o portal oficial é o único lugar para conferir pendência
Qualquer dúvida sobre situação fiscal deve ser tirada digitando o endereço oficial diretamente no navegador ou usando o aplicativo do governo, nunca a partir de um link recebido por e-mail, SMS ou aplicativo de mensagens. A página do Meu Imposto de Renda reúne os canais para consultar declarações, pendências e situação cadastral sem depender de terceiros. Vale ainda o cuidado mais amplo com dados pessoais, como mostramos em outra reportagem sobre alertas da Receita relacionados ao uso de dados dos contribuintes, já que informações soltas em lugares diferentes podem se juntar em golpes como esse. Passado o susto, Cristiane passou a adotar um hábito simples: nunca mais abrir link algum recebido por e-mail sem antes checar, num navegador à parte, se o mesmo aviso aparecia no canal oficial correspondente.
Uma história como esta, embora hipotética, mostra o que fazer quando uma mensagem em nome de um órgão público pede clique imediato e dados pessoais: desconfiar da urgência, conferir a informação apenas nos canais oficiais e buscar orientação especializada quando dados sensíveis já tiverem sido compartilhados, já que cada caso pode exigir medidas específicas.
Sua história pode virar reportagem
Conte por texto ou áudio — nomes e endereços viram fictícios antes de qualquer publicação.