Para saber se uma loja online é falsa, faça sete checagens antes de pagar: o preço, o endereço do site, a forma de pagamento, os dados da empresa, a reputação fora do site, a aparência da página e a data de criação do domínio. Um sinal isolado pede cautela; vários juntos pedem que você desista da compra. O cadeado ao lado do endereço não entra na conta: ele só indica que a conexão é criptografada, não que a loja seja honesta.
Como o golpe da loja falsa funciona
O site imita uma loja conhecida ou inventa uma marca, atrai o cliente com um anúncio ou uma mensagem e oferece um preço difícil de recusar. Segundo a Cartilha de Segurança para Internet, do CERT.br, depois que a pessoa paga, os golpistas somem e o produto não chega. Em outros casos, o objetivo é só coletar os dados do cartão. O Procon-SP descreve o padrão: preços “muito abaixo do que é praticado no mercado” e nomes de lojas conhecidas copiados com o final do endereço trocado.
1. Preço bom demais para ser verdade
Compare o mesmo produto em duas ou três lojas que você já conhece. A Cartilha do CERT.br resume o conselho: “compare preços e desconfie de ofertas boas demais”. Um produto de marca com desconto enorme, ou um console esgotado em todo lugar pela metade do preço, é a isca mais antiga desse golpe. Loja de verdade também faz promoção: o que pesa é a soma dos sinais.
2. Endereço do site
Olhe o domínio com calma. Golpistas registram nomes parecidos com os de marcas famosas, com palavras a mais, final diferente ou uma letra trocada. O domínio de verdade é o trecho que vem antes do final (.com.br, .com): em “marca.ofertas-do-dia.com.br”, o site pertence a “ofertas-do-dia.com.br”, não à marca. O CERT.br recomenda digitar o endereço direto no navegador e, quando você chega por uma busca, conferir se a URL mostrada é a legítima. O Procon-SP orienta a não clicar em links recebidos por WhatsApp, redes sociais ou e-mail e a nunca informar senhas ou códigos.
3. Como pedem que você pague
É o sinal mais importante. Loja legítima aceita meios de pagamento que deixam rastro e permitem contestar. O CERT.br orienta conferir, antes de autorizar, os dados de quem vai receber (nome e CNPJ) no Pix e no boleto, preferir boleto eletrônico registrado e desconfiar de pedido de taxa extra por outro canal.
| Forma de pagamento | O que conferir | Alerta vermelho |
|---|---|---|
| Cartão de crédito | Digite os dados só na página de pagamento e guarde o comprovante. Se algo der errado, a contestação é feita no app ou nos canais do emissor. | Site que não aceita cartão e só oferece pagamento por fora. |
| Pix | Na tela de confirmação, nome e CNPJ do recebedor devem bater com os da loja. | Chave de pessoa física ou recebedor sem relação com o nome da loja. |
| Boleto | Prefira boleto eletrônico registrado e confira se nome e CNPJ de quem recebe são do fornecedor. | Boleto em nome de terceiro ou cobrança de “taxa” por outro canal. |
| Cartão-presente, criptomoeda, depósito para terceiros | Evite com loja que você não conhece: são meios difíceis de reverter. | Loja que exige só esses meios. |
4. Dados da empresa
O Decreto 7.962/2013, que regulamenta o comércio eletrônico, exige que os sites divulguem o nome e o CNPJ da empresa, além do endereço físico e eletrônico, como explicou o Ministério da Justiça quando a norma entrou em vigor. Procure essas informações no rodapé e nas páginas “Quem somos”, “Política de troca” e “Contato”. Sem CNPJ e endereço, ou só com um formulário e um e-mail genérico, é alerta.
Se os dados existirem, confira. Faça uma consulta pública de CNPJ e veja se a empresa existe, está ativa e tem atividade compatível com o que vende. Compare o nome com o do site e com o do recebedor do pagamento: um CNPJ verdadeiro pode ter sido copiado de outra empresa.
5. Reputação fora do site
As avaliações publicadas na própria loja são controladas por quem administra o site. Pesquise o nome da loja e o endereço do site junto com “golpe”, “reclamação” ou “é confiável” e leia o que aparece em fontes independentes. O CERT.br recomenda pesquisar a reputação em redes sociais, sites de reclamações e sites de defesa do consumidor.
O Reclame Aqui, por exemplo, é um site privado de reclamações, não um órgão público: serve como pista (registro da empresa, datas, respostas), não como certificado. O Procon-SP mantém uma lista de endereços com reclamações, chamada “evite estes sites”. Rastro nenhum na internet também é sinal, principalmente em loja que se diz tradicional.
6 e 7. Aparência da página e data de criação do domínio
Aparência e texto
Links quebrados, fotos copiadas de outros sites, política de troca ausente ou copiada de outra loja e fontes desencontradas indicam página montada às pressas. Hoje a inteligência artificial deixa o texto do golpe sem erros de português, então ortografia correta não prova nada. O que pesa é o conjunto. Loja montada em plataforma pronta também não prova nada: qualquer pessoa usa o mesmo modelo.
Data de criação do domínio
Muitas lojas falsas são recentes. Para domínios .br, o Registro.br tem uma consulta Whois; para outros finais, como .com e .net, a ferramenta ICANN Lookup mostra os dados de registro do domínio. Procure a data em que o domínio foi criado. Uma loja que se diz tradicional há anos, com domínio criado há poucas semanas, merece desconfiança. Mas a data é só um indício: existem lojas novas e honestas, e alguns dados de registro podem aparecer ocultos.
O que fazer com o resultado da checagem
| O que você encontrou | O que fazer |
|---|---|
| Tudo confere e o pagamento é por cartão | Pode comprar. Guarde o print da oferta, o pedido e o comprovante. |
| Site novo, mas CNPJ, endereço e reputação conferem | Compare com a loja oficial da marca. Se comprar, use cartão e guarde todos os comprovantes. |
| Pix para pessoa física, recebedor com CNPJ diferente do da loja ou boleto de terceiro | Não pague. Peça outra forma de pagamento ou desista. |
| Preço muito abaixo, site recente e nenhum rastro na internet | Não compre. Se o link veio de anúncio ou mensagem, denuncie na rede social. |
| Você já digitou os dados do cartão ou uma senha | Bloqueie o cartão e troque as senhas agora (passos abaixo). |
O que fazer se você já pagou
O CERT.br reúne a ordem de ação em “Golpes: Caiu? Veja o que fazer”. Aplicada à loja falsa, fica assim:
- Cartão: conteste a compra pelo app ou pelos canais oficiais do emissor e, se informou os dados em um site suspeito, peça o bloqueio do cartão. Resultado esperado: cartão bloqueado e protocolo da contestação.
- Pix: abra a contestação no app do banco, o que aciona o MED. Segundo o CERT.br, quanto antes, maior a chance de reaver o valor. O Guia do MED, do Banco Central inclui golpes de engenharia social e diz que a transação original deve ter ocorrido há no máximo 80 dias. Ele também avisa que o MED não é chargeback: não basta não reconhecer a compra, é preciso provar que o vendedor foi o agente da fraude, do golpe ou do crime. Como o Banco Central atualiza o guia, confira a versão vigente.
- Senhas: se você criou conta na loja ou usa a mesma senha em outros lugares, troque-as, ative a verificação em duas etapas e encerre as sessões em outros dispositivos.
- Boletim de ocorrência: o CERT.br recomenda registrar oficialmente o que aconteceu, em muitos casos pela internet, com as evidências: prints do anúncio e da loja, endereço do site, comprovantes e conversas.
- Denúncia: denuncie o anúncio ou o perfil na rede social em que o link apareceu. O Procon-SP também pede que sites falsos ou que não entregam sejam denunciados ao órgão, para que outras pessoas sejam avisadas.
Se a loja é de verdade, mas não entregou ou não responde, você pode registrar reclamação no consumidor.gov.br, serviço público de solução direta com a empresa; segundo o gov.br, a empresa cadastrada tem até 10 dias para responder. Confira antes se ela está cadastrada. O Procon da sua cidade ou do seu estado também atende.
Os mesmos cuidados valem em outros lugares. Se chegarem mensagens pedindo que você abra um link de pagamento, veja os golpes por SMS e a checagem de 3 segundos. Se você digitou a senha do e-mail em um site suspeito, siga o passo a passo para e-mail hackeado. E se o problema é o contrário, um site copiando a sua loja, leia como derrubar o site falso.
Regras e prazos mudam: confira nas páginas oficiais antes de agir.
Perguntas frequentes
O cadeado ao lado do endereço significa que a loja é segura?
Não. Ele só indica que a conexão é criptografada, e sites de golpe também podem ter cadeado. Avalie a loja pelos dados da empresa, pela forma de pagamento e pela reputação fora do site.
Qual é a forma mais segura de pagar numa loja desconhecida?
Cartão de crédito, porque a compra pode ser contestada pelo app ou pelos canais do emissor. No Pix e no boleto, confira nome e CNPJ do recebedor antes de confirmar e evite chave de pessoa física.
Como ver se um site é novo?
Consulte a data de criação do domínio: no Registro.br para domínios .br ou no ICANN Lookup para outros finais. Data muito recente em loja que se diz tradicional é sinal de alerta, mas não prova golpe por si só.
O Reclame Aqui prova que a loja é confiável?
Não. É um site privado de reclamações, não um órgão público. Use como pista, junto com o CNPJ, a reputação em outras fontes e a forma de pagamento.
Paguei por Pix numa loja falsa. Ainda dá para recuperar o dinheiro?
Abra a contestação pelo app do banco o quanto antes, para acionar o MED. Não há garantia: segundo o Banco Central, é preciso provar que o vendedor foi o agente do golpe, então guarde prints, comprovantes e conversas.
Fontes: CERT.br: Cartilha de Segurança para Internet, fascículo Golpes: Evite Fraudes · CERT.br: Cartilha de Segurança para Internet, fascículo Golpes: Caiu? Veja o que Fazer · Procon-SP: Site de compras falso · Ministério da Justiça e Segurança Pública: Regulamentação de comércio eletrônico entra em vigor · Banco Central do Brasil: Guia de implementação dos procedimentos de devolução no Pix, com ênfase no MED · gov.br: Compras feitas pela internet também podem ser reclamadas (consumidor.gov.br) · Registro.br: ferramenta Whois · ICANN Lookup: dados de registro de domínios
