TecnologiaArtigo
Golpes contra quem vende online: Pix falso, e-mail falso de marketplace e falsa central de atendimento
Em resumo
Lojistas e vendedores de marketplace são alvo de golpes como o comprovante de Pix falso, o e-mail falso em nome da plataforma e a ligação de uma falsa central de atendimento. O ConnectWeek reúne o que orientam Mercado Pago, Mercado Livre, Shopee, Banco Central e o centro de segurança CERT.br, mostra como proteger a conta de vendedor e lista os primeiros passos para quem caiu.
Quem vende pela internet é alvo de golpes próprios, diferentes dos que atingem o comprador. O golpista se apresenta como comprador que já pagou, como funcionário do marketplace ou como atendente do banco, e tenta levar a mercadoria, o dinheiro ou a senha da conta de vendedor. Este artigo reúne os golpes contra lojistas que estão descritos em páginas do Mercado Pago, do Mercado Livre, da Shopee, do Banco Central e do CERT.br, o centro que trata incidentes de segurança na internet brasileira, lidas pelo ConnectWeek em 12 de outubro de 2026, e mostra a conferência que desarma cada um.
Cinco golpes e a conferência que barra cada um
Os cinco golpes abaixo têm um ponto em comum: o golpista quer que a loja aja antes de conferir. Dois deles são variações do comprovante de Pix falso. O quadro resume o que ele apresenta e onde a loja deve olhar antes de fazer o que ele pede. As descrições vêm das páginas das empresas citadas em cada capítulo. A coluna da conferência é a leitura do ConnectWeek sobre essas orientações.
| Golpe | O que o golpista apresenta | O que ele quer | Onde conferir antes de agir |
|---|---|---|---|
| Comprovante de Pix falso | Imagem de um comprovante de Pix editado | O produto enviado sem pagamento | Extrato da conta que recebe o Pix |
| Comprovante de Pix agendado | Comprovante de um agendamento, e não de um pagamento concluído | O produto enviado antes da data marcada | Extrato da conta que recebe o Pix |
| Devolução de valor pago a mais | Prova falsa de uma transferência maior que o pedido | Que a loja devolva a diferença | Extrato da conta e painel de pedidos do marketplace |
| Mensagem falsa em nome do marketplace | E-mail, SMS ou mensagem de aplicativo com um link | Usuário e senha da conta de vendedor | Painel do vendedor, aberto pelo endereço oficial |
| Falsa central de atendimento | Ligação ou mensagem de um suposto atendente | Código, senha ou uma operação feita pela própria loja | Canal oficial, em contato iniciado pela loja |
Venda paga por Pix: comprovante não é pagamento
O golpe mais simples é o do comprovante de Pix falso. O comprador diz que pagou e envia a imagem de um comprovante, mas nenhum dinheiro saiu da conta dele. Em um texto de 28 de setembro de 2026 sobre o Pix falso em empresas, o Mercado Pago descreve o caso assim: o comprovante foi alterado para simular uma transferência que nunca existiu, e muitos negócios só notam quando vão usar o valor.
A orientação da empresa é liberar o produto ou o serviço só depois de ver o crédito na conta. O comprovante que aparece na tela não basta. O mesmo vale para o aviso de recebimento que chega por canal incomum para o banco. A empresa recomenda abrir o aplicativo oficial e procurar o valor no extrato.
O comprovante de Pix agendado
Uma variação usa um documento verdadeiro. O comprador agenda o Pix para uma data futura e envia o comprovante do agendamento. Segundo o mesmo texto do Mercado Pago, o comprovante de agendamento parece o de uma transação concluída, e a confusão está entre as palavras "enviado" e "agendado". Um agendamento não é um pagamento concluído. A conferência é a mesma: o dinheiro já está disponível na conta ou não está.
O pedido de devolução de um valor "pago a mais"
Aqui o golpista não quer o produto. Ele quer um Pix da loja. Em um texto do blog da Shopee de 2 de junho de 2026, a empresa descreve o golpe contra vendedores: o golpista faz um pedido, insiste em conversar fora da plataforma, mostra uma prova falsa de transferência bancária e alega ter pago mais do que devia. Em seguida, pede a diferença de volta. O vendedor devolve um dinheiro que nunca recebeu.
Em outro texto, de 24 de julho de 2026, o Mercado Pago descreve uma versão parecida, a do Pix "enviado por engano": chega um comprovante por WhatsApp ou e-mail e alguém pede o estorno. A empresa orienta a verificar primeiro se o dinheiro entrou de fato na conta. A Shopee acrescenta que o reembolso de uma compra feita na plataforma só é pedido dentro do aplicativo.
Sinais de alerta na hora da venda
O texto do Mercado Pago sobre empresas lista três sinais que pedem mais cuidado:
- o comprador pressiona para receber a mercadoria antes de o crédito aparecer;
- o comprovante tem diferença de fonte, de alinhamento ou de valor;
- o nome do titular que aparece na confirmação da transferência não é o nome informado na compra.
Para a rotina, a empresa sugere treinar quem atende, adotar a mesma regra em todos os turnos e avisar o cliente, desde o início da compra, de que a liberação depende do crédito na conta. Na avaliação do ConnectWeek, a regra cabe em uma frase que qualquer pessoa da equipe consegue repetir: o pedido só sai depois que o valor aparece no extrato. O mesmo texto cita outro golpe, o do QR Code adulterado. QR Code é o código quadriculado que o cliente lê com a câmera do celular para pagar. Para esse caso, o Mercado Pago orienta a gerar o código sempre pelo aplicativo oficial da empresa e a não usar imagens enviadas por terceiros.
Mensagem em nome do marketplace: como conferir quem enviou
O segundo grupo de golpes mira a conta de vendedor. A técnica tem nome em inglês, phishing: uma mensagem que imita a de uma empresa verdadeira e leva a uma página falsa, onde a vítima digita usuário e senha. Quando chega por SMS, o golpe é chamado de smishing. Segundo o blog da Shopee, quem rouba a conta passa a ver as informações sensíveis da vítima, como os dados bancários.
Mercado Livre
Na página da Central de aprendizagem sobre e-mail fraudulento, o Mercado Livre explica que essas mensagens costumam alertar sobre um risco de segurança ou pedir uma providência urgente, e que o objetivo é fazer a pessoa clicar em um link. A empresa manda conferir o domínio, que é a parte do endereço depois do sinal de arroba. O golpista troca uma letra por outra parecida ou põe o nome da empresa antes da arroba, como no exemplo citado na página, "mercadolivre@verificacoes.com".
Outra página da mesma central, sobre segurança da conta, lista o que o Mercado Livre afirma que não faz por e-mail:
- pedir a senha, o número do cartão de crédito ou senhas de segurança;
- mandar arquivo anexo;
- escrever de endereço pessoal, como os terminados em @gmail, @hotmail ou @yahoo;
- pedir depósito em conta bancária de terceiros;
- pedir a instalação de programa no celular ou no computador.
A mesma página informa que a empresa nunca entra em contato por mensagem privada em rede social. Informa também que o telefonema acontece a pedido do usuário e que nele ninguém pede senha nem código de segurança. Para denunciar um e-mail falso, o caminho indicado na página sobre e-mail fraudulento é "Contato", depois "Segurança", "Acho que recebi um e-mail falso" e "Denuncie um e-mail falso".
Shopee
O blog da Shopee descreve um golpe que tem o vendedor como alvo, o da falsa central do vendedor. O golpista escreve por aplicativo de mensagens, como o WhatsApp, e afirma que um produto da loja é proibido. Depois pede que a vítima salve o novo número e abra um link. O link leva a uma página de login falsa, que copia o usuário e a senha.
Segundo o mesmo texto, a Shopee só entra em contato por canais oficiais, como o aplicativo, as contas verificadas em redes sociais e endereços de e-mail terminados em shopee.com. A empresa afirma que nunca pede senha, número PIN (a senha numérica) ou outros detalhes da conta por plataformas não oficiais. O texto cita ainda, como um dos sinais de golpe, o pedido do código de verificação, a senha de uso único enviada ao usuário, que a Shopee chama de OTP.
Na avaliação do ConnectWeek, a conferência mais segura diante de um aviso de anúncio proibido ou de conta suspensa é abrir o painel do vendedor pelo endereço que a loja já usa e procurar o aviso lá, sem clicar no link da mensagem. O caminho do recurso em cada plataforma está no artigo sobre conta de vendedor suspensa no marketplace.
Ligação da "central de atendimento": desligue e ligue você
A falsa central também usa o nome do banco. O Banco Central mantém uma página de alerta sobre falsas centrais de atendimento, atualizada em 28 de março de 2024. O texto manda desconfiar de quem liga ou escreve dizendo ser funcionário do banco e faz um destes pedidos:
- que a pessoa cancele uma compra ou um boleto, quando a operação que ela vai fazer é, na verdade, um pagamento;
- que a pessoa abra o aplicativo do banco e siga supostos procedimentos de segurança;
- que a pessoa clique em links ou abra documentos recebidos por e-mail.
O Banco Central explica que, com esses artifícios, o golpista consegue invadir o celular ou o aplicativo e fazer saques, pagamentos e contratações. A orientação é não executar nenhum procedimento e procurar o gerente ou os canais oficiais do banco para confirmar a informação.
Na avaliação do ConnectWeek, o atendente que cita dados corretos da loja, como o CNPJ, não prova com isso que a ligação é verdadeira. Quem desliga e liga para o número oficial tira a dúvida. Quando o pedido de pagamento chega com a voz ou o rosto de alguém conhecido, o cuidado é outro, descrito no artigo sobre golpe com voz ou vídeo falso contra empresas.
Como deixar a conta de vendedor mais difícil de invadir
A principal proteção é a verificação em duas etapas. Com ela, a conta pede um segundo código além da senha. A senha roubada, sozinha, não abre a conta. O fascículo Autenticação da Cartilha de Segurança para Internet, do CERT.br, o centro que trata incidentes de segurança na internet brasileira, traz, entre outros, estes cuidados:
- preferir chave de segurança física ou aplicativo que gera códigos, e deixar o SMS para quando não houver outra opção;
- recusar todo pedido de autorização de login que a pessoa não iniciou;
- gerar códigos de reserva e guardá-los em local seguro;
- usar uma senha diferente em cada conta.
No Mercado Livre, a página sobre segurança da conta informa que a verificação em duas etapas é ativada em "Configuração", na seção "Segurança". O código pode chegar por SMS, WhatsApp ou ligação, ou ser gerado no aplicativo Google Authenticator. A página diz que ele é pedido, por exemplo, quando alguém entra na conta por um aparelho desconhecido ou saca dinheiro.
A mesma página recomenda rever de tempos em tempos os aparelhos vinculados à conta, os aplicativos autorizados a operar nela e as permissões dos colaboradores, que são as pessoas com acesso à conta da loja. Recomenda também uma senha com pelo menos 14 caracteres. Para quem tem loja própria, os cuidados com o painel da plataforma estão no checklist de segurança da loja virtual.
Se alguém da equipe caiu: os primeiros passos
O fascículo Golpes: Caiu? Veja o que Fazer, do CERT.br, afirma que agir rápido reduz o prejuízo. A sequência abaixo junta as orientações do fascículo com as das plataformas.
- Corte o contato. Não negocie, não envie mais dinheiro e bloqueie o número ou o perfil.
- Troque a senha. Faça isso em todas as contas em que ela é usada, ative a verificação em duas etapas e encerre as sessões abertas em outros aparelhos.
- Avise a plataforma. A Shopee orienta a informar o atendimento pelo chat e a trocar na hora a senha da conta e o PIN da Carteira Shopee.
- Fale com o banco. Se a loja fez um Pix para o golpista, o fascículo indica contestar a transferência pelo aplicativo ou por outro canal oficial do banco. Quando o valor de uma venda não aparece depois do prazo combinado, o Mercado Pago orienta a procurar a instituição financeira usada para receber o Pix e relatar o ocorrido. Para quem enviou os próprios dados em resposta a um e-mail falso, o Mercado Livre orienta a avisar o banco e a operadora do cartão de crédito.
- Guarde as provas. O fascículo lista links, mensagens, nomes de perfis, números de telefone, capturas de tela, comprovantes, protocolos e os horários dos atendimentos.
- Registre boletim de ocorrência. O CERT.br lembra que, na maioria dos casos, o registro pode ser feito pela internet, com as provas anexadas.
- Trate o celular como comprometido se houve instalação. Se alguém instalou um aplicativo a pedido do suposto atendente, o fascículo recomenda restaurar o aparelho para as configurações de fábrica.
O que este artigo não trata
Este artigo não trata do golpe conhecido como triangulação, em que um terceiro se põe entre o vendedor e o comprador verdadeiros. A compra feita com cartão roubado, que volta para a loja como contestação, é assunto do artigo sobre antifraude para loja pequena.
Fonte: Mercado Pago: 6 formas de prevenir o Pix falso e proteger sua empresa dos golpes financeiros
Perguntas frequentes
Comprovante de Pix agendado vale como pagamento do pedido?
Não. O comprovante de agendamento mostra que o comprador marcou um Pix para uma data futura. Ele não mostra que o dinheiro foi transferido. Em texto de 28 de setembro de 2026, o Mercado Pago orienta a empresa a checar se o valor já está disponível na conta, e não só se existe um comprovante. Sem o crédito no extrato, o pedido não deve ser enviado.
O Mercado Livre pede senha ou código de segurança por e-mail ou telefone?
Segundo a página do Mercado Livre sobre segurança da conta, lida pelo ConnectWeek em 12 de outubro de 2026, não. A empresa afirma que nunca pede a senha, que não solicita número de cartão de crédito por e-mail e que, nas ligações feitas a pedido do usuário, não pede senha nem códigos de segurança.
Como saber se uma mensagem em nome da Shopee é verdadeira?
Em texto do blog de 2 de junho de 2026, a Shopee afirma que só entra em contato por canais oficiais, como o aplicativo, as contas verificadas em redes sociais e os e-mails de endereço terminado em shopee.com. Fora desses canais, segundo o texto, ela nunca pede senha, número PIN (a senha numérica) ou outros detalhes da conta. Na avaliação do ConnectWeek, mensagem de WhatsApp com link para login foge desse padrão.
O comprador diz que pagou a mais e pede a diferença de volta: o que a loja deve fazer?
Conferir o extrato antes de devolver qualquer valor. O blog da Shopee descreve esse pedido como golpe contra vendedores: o golpista mostra uma prova falsa de transferência e pede o reembolso de um valor que nunca enviou. A empresa informa que o reembolso de compra feita na plataforma só é solicitado dentro do aplicativo.
Qual é a forma mais segura de verificação em duas etapas para a conta de vendedor?
O fascículo Autenticação, da Cartilha de Segurança para Internet do CERT.br, aponta a chave de segurança física como a opção mais segura na data do material, novembro de 2022. O material recomenda preferir a chave física ou um aplicativo gerador de códigos e usar o SMS apenas quando não houver outra opção. Cada plataforma oferece métodos próprios, e a loja escolhe entre os disponíveis.
