Fraude usa engenharia social para induzir vítimas a executar ações perigosas e já atingiu sistemas públicos e empresas ligadas ao setor financeiro.
Uma operação realizada em Santa Catarina colocou novamente os crimes digitais no centro das discussões sobre segurança da informação, proteção de dados e responsabilidade jurídica. Batizada de ClickFix, a investigação mira uma organização criminosa suspeita de praticar fraudes eletrônicas e invadir sistemas de órgãos públicos, utilizando uma técnica de engenharia social que explora a confiança dos usuários em páginas aparentemente legítimas. A ação ocorreu em 10 de setembro e teve apoio do Ministério da Justiça e Segurança Pública, além da participação de forças policiais de outros estados. Segundo o governo federal, foram apreendidos mais de R$ 8,7 milhões em criptoativos e determinados bloqueios de contas que podem chegar a R$ 93 milhões.
O caso chama atenção não apenas pelos valores envolvidos, mas pelo método utilizado. Em vez de depender exclusivamente de programas maliciosos instalados sem interação, a fraude procura convencer a própria vítima a realizar uma ação aparentemente necessária para acessar uma página ou corrigir um suposto erro. A técnica já havia sido objeto de alerta oficial do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, que identificou campanhas ClickFix contra alvos com domínio .gov.br. Para cidadãos e empresas, a principal dúvida passa a ser prática: como reconhecer esse tipo de golpe antes que ele resulte em roubo de credenciais, invasão de contas ou prejuízo financeiro?
Como funciona o golpe que explora a confiança do usuário
A técnica ClickFix é baseada em engenharia social. O criminoso apresenta uma página falsa ou comprometida que imita uma mensagem conhecida, como um alerta de erro, uma verificação de segurança ou outro procedimento aparentemente necessário para continuar a navegação. O objetivo é fazer com que a pessoa acredite que está seguindo uma orientação legítima, quando, na realidade, está sendo induzida a executar uma ação que pode comprometer o computador. O governo federal já recomendou que usuários desconfiem de páginas que peçam procedimentos incomuns para comprovar que são humanos ou corrigir problemas de visualização.
A Operação ClickFix mostra que o problema ultrapassa a esfera individual. De acordo com o Ministério da Justiça, a organização investigada utilizava falsas intimações atribuídas a órgãos policiais e, após as invasões, conseguiu comprometer credenciais de órgãos públicos, sistemas policiais e do Poder Judiciário. As investigações também apontaram acesso a dados sensíveis de empresas relacionadas à cadeia de suprimentos do mercado financeiro, incluindo instituições que trabalham com Banking as a Service.
Isso ajuda a explicar por que crimes digitais passaram a exigir respostas que envolvem tecnologia, investigação policial, proteção de dados e responsabilidade civil. O problema não está apenas no dinheiro eventualmente perdido, mas também no comprometimento de informações, credenciais e sistemas utilizados por outras pessoas e empresas. Para organizações, uma única conta comprometida pode funcionar como porta de entrada para outros ambientes corporativos, ampliando o impacto do incidente e criando possíveis consequências contratuais, regulatórias e jurídicas.
Quais cuidados reduzem o risco de fraude digital
O primeiro sinal de alerta deve ser qualquer página que tente convencer o usuário a executar procedimentos incomuns no próprio computador. Mensagens que exigem comandos, alterações inesperadas ou ações fora do funcionamento normal de um site devem ser tratadas com desconfiança, especialmente quando aparecem depois de clicar em links recebidos por mensagens ou anúncios. A recomendação oficial para ambientes governamentais é justamente orientar usuários a não executar comandos manualmente apenas para supostamente passar por uma verificação ou corrigir uma página.
Empresas precisam adotar uma camada adicional de proteção. Além de treinamento periódico dos funcionários, é importante manter sistemas atualizados, controlar permissões, utilizar mecanismos de proteção de endpoints e monitorar comportamentos incomuns nos equipamentos corporativos. O alerta do CTIR Gov também recomenda políticas de controle de aplicações capazes de restringir a execução indevida de determinados recursos do sistema e medidas para dificultar que navegadores sejam utilizados como ponto de partida para ações maliciosas.
Quando uma pessoa acredita que caiu em um golpe, agir rapidamente pode reduzir danos. O Ministério da Justiça orienta que a vítima entre imediatamente em contato com bancos pelos canais oficiais, conteste operações não reconhecidas, interrompa o contato com o suspeito, registre boletim de ocorrência e preserve informações como mensagens, números utilizados, comprovantes e registros de transações. Também recomenda verificar o dispositivo, alterar senhas utilizando um aparelho seguro e acompanhar movimentações relacionadas ao CPF.
Do ponto de vista jurídico, guardar evidências é especialmente importante. Prints, comprovantes, endereços eletrônicos, horários, mensagens e protocolos de atendimento podem ajudar a demonstrar como o incidente ocorreu e quais providências foram tomadas. Dependendo do caso, a situação pode envolver investigação criminal, discussão sobre responsabilidade civil, proteção de dados pessoais e eventual análise das medidas de segurança adotadas pelas empresas envolvidas.
O que a operação revela sobre o futuro dos crimes digitais
A investigação também evidencia uma mudança importante no combate aos crimes cibernéticos: autoridades estão ampliando a cooperação entre polícias, órgãos públicos e instituições privadas. Na Operação ClickFix, participaram forças policiais de Santa Catarina, São Paulo e Rio Grande do Sul, além do Laboratório de Operações Cibernéticas do Ministério da Justiça. A ação resultou em dois mandados de prisão, 17 de busca e apreensão e apreensão ou sequestro de ativos que, segundo o governo, ultrapassaram R$ 17,7 milhões.
O próprio Superior Tribunal de Justiça promoveu, em 3 de setembro, um fórum dedicado à prevenção de fraudes e segurança digital, reunindo representantes do Judiciário, Executivo, setor financeiro e plataformas digitais. O debate abordou responsabilidade civil, proteção do consumidor, investigação criminal e cooperação institucional, mostrando que a discussão jurídica sobre fraudes digitais está acompanhando a transformação dos métodos utilizados pelos criminosos.
A tendência é que a prevenção deixe de depender apenas da atenção individual e passe a exigir sistemas cada vez mais integrados de segurança, monitoramento e resposta a incidentes. Dados divulgados pela Polícia Federal também mostram que o órgão mantém acompanhamento estatístico específico sobre crimes cibernéticos, com informações atualizadas para o período de janeiro a agosto de 2026.
Para consumidores, o principal aprendizado é que uma página com aparência profissional não garante legitimidade. Para empresas, o desafio envolve combinar tecnologia, treinamento, governança e procedimentos claros para responder rapidamente a incidentes. A Operação ClickFix reforça que golpes digitais já são uma questão de segurança pública e também de segurança jurídica, e a evolução das investigações deverá pressionar organizações a demonstrar maior capacidade de prevenção, proteção de dados e resposta a fraudes.
Fontes utilizadas
