Se clonaram a sua loja virtual, faça três coisas no mesmo dia: guarde as provas do site falso, denuncie a quem pode sinalizá-lo ou tirá-lo do ar (Google, hospedagem, registrador e, se o domínio for .br, o Registro.br) e avise seus clientes qual é o seu único endereço. Denunciar em vários canais ao mesmo tempo funciona melhor do que esperar a resposta de um só. Nem sempre o site cai em um dia, mas quase sempre dá para sinalizá-lo como enganoso.
Os guias sobre site falso costumam ensinar o comprador a desconfiar. Este é para o outro lado: o dono da loja que foi copiada. As fotos são suas, o nome é parecido com o seu, a vitrine é igual, e o preço é baixo o suficiente para convencer. Leia também como o lojista se protege do golpe do MED no Pix.
Quem compra ali não recebe nada, e a reclamação chega em você.
Como o clone aparece
- Domínio quase igual ao seu, com uma letra trocada, um hífen ou outra terminação.
- Fotos e descrições copiadas da sua loja ou do seu Instagram.
- Descontos muito acima do que você pratica, quase sempre com pagamento só por Pix.
- Anúncios pagos para aparecer antes da sua loja na busca.
- Perfis nas redes sociais e números de WhatsApp que se passam pela sua loja.
Como descobrir antes do cliente
- Busque o seu nome entre aspas, junto com "loja", "promoção" e "oficial". Faça isso toda semana.
- Crie alertas para o nome da loja no Alertas do Google, para receber por e-mail as páginas novas que o citam.
- Faça uma busca reversa de imagens com as fotos dos produtos mais vendidos, por exemplo no Google Lens, para ver que outros sites as usam.
- Leve a sério a primeira reclamação estranha, como pedido que você não encontra no sistema ou cliente com comprovante de Pix para outra chave.
Quem é o dono do domínio falso
A consulta pública de domínios mostra onde o site está registrado e, muitas vezes, qual empresa hospeda. É dessa informação que saem os canais de denúncia.
- Domínio terminado em .br: consulta no whois do Registro.br.
- Outras terminações, como .com ou .shop: consulta na ferramenta de consulta da ICANN.
O dono real costuma estar oculto, e isso é normal. O que importa é o registrador e o contato de abuso. O guia de notificações do CERT.br orienta, no caso de página de phishing com domínio malicioso, a não usar o contato de domínio que aparece na própria URL e a usar o contato da rede responsável pelo IP (a hospedagem) e o do registrador. Se o IP pertencer a um serviço intermediário, como um proxy ou uma rede de distribuição de conteúdo, denuncie também a ele: esses serviços costumam ter formulário de abuso próprio, que você encontra no site deles.
O que reunir antes de denunciar
Monte um único pacote e envie a mesma documentação para todos. Você perde menos tempo, e cada denúncia fica mais difícil de ignorar.
- O endereço do site falso (o link completo).
- Prints da página inicial, de uma página de produto e do carrinho ou pagamento, com a data visível.
- O endereço da sua loja verdadeira, para quem analisa comparar os dois.
- Prints das mensagens de clientes que compraram no site falso.
- O boletim de ocorrência, que documenta que a loja é vítima e serve de anexo.
Escreva a notificação em texto simples e objetivo. O CERT.br recomenda evitar o tom jurídico, acusatório ou retaliativo, porque ele afasta a ação colaborativa. E não responda nem negocie com quem está por trás do clone.
Onde denunciar, em ordem
| Onde | O que acontece |
|---|---|
| Navegação segura do Google | Se o Google confirmar a denúncia, navegadores que usam a lista do Navegação segura podem passar a exibir aviso de página enganosa para quem tenta abrir o site |
| Contato de abuso da hospedagem (rede responsável pelo IP) | É quem pode retirar o conteúdo do ar. Use o contato indicado na consulta do IP |
| Contato de abuso do registrador | Segundo o CERT.br, registradores só aplicam sanção a domínios que descumprem cláusulas contratuais ou por ordem judicial |
| Registro.br, para domínio .br | O CERT.br orienta notificar o Registro.br nos casos de domínio .br usado em fraude, com o CERT.br em cópia |
| Boletim de ocorrência | Documenta que a loja é vítima e serve de anexo para as outras denúncias |
| Perfis falsos nas redes | A central de ajuda do Instagram tem uma página com o caminho para denunciar quem se passa por você ou pela sua marca |
| SACI-Adm | Procedimento de disputa de domínio .br que viola direito sobre nome ou marca (veja a seção abaixo) |
Disputa do domínio .br: SACI-Adm
Se o clone usa um domínio .br parecido com o seu nome ou marca, o SACI-Adm permite pedir o cancelamento ou a transferência do domínio sem processo judicial. Segundo o guia da OMPI, vale para domínios registrados depois de 1º de outubro de 2010.
- Base do pedido: um direito anterior sobre o nome, como marca registrada no INPI, marca notoriamente conhecida ou nome empresarial.
- Má-fé: você precisa demonstrar que o domínio foi registrado ou usado de má-fé, por exemplo para atrair usuários com risco de confusão com a sua marca.
- Quem decide: instituições credenciadas pelo NIC.br (ABPI, CCBC e OMPI). Você paga as custas da instituição escolhida, e os valores estão no site dela.
- Prazo: a decisão de mérito costuma sair em até 3 meses, segundo o guia da OMPI. Durante o procedimento o domínio fica bloqueado para impedir transferência a terceiros.
É um caminho mais lento que a denúncia por fraude, então use as duas coisas ao mesmo tempo.
O comunicado para clientes
Fixe o aviso no Instagram, coloque uma faixa no topo da sua loja durante algumas semanas e publique no Perfil da Empresa no Google.
O que o cliente que já pagou pode fazer
- Falar com o banco ou o emissor do cartão na hora. Se o pagamento foi por Pix, o banco pode abrir o MED, o mecanismo de devolução em caso de fraude. Quanto antes, maior a chance de recuperar o valor.
- Guardar prints do anúncio, do pedido e dos comprovantes e registrar boletim de ocorrência.
- Procurar o Procon. O Consumidor.gov.br só recebe reclamação de empresa cadastrada. Como o site falso não está, a própria página indica Procon, Defensoria Pública ou Juizado Especial Cível.
Você não responde pelo golpista, mas ajude: forneça a documentação do clone e o link da sua loja verdadeira a quem pedir.
O que torna sua loja mais difícil de copiar
- Registre a marca no INPI. A marca registrada é uma das bases do SACI-Adm e de denúncias por violação de marca em redes e plataformas. O processo leva em torno de 18 meses sem oposição, segundo o gov.br, então comece cedo. Há desconto para MEI e microempresa em serviços elegíveis.
- Compre as variações óbvias do seu domínio, como a versão com hífen e as terminações mais usadas. Custa pouco perto de um clone.
- Mostre CNPJ, endereço e canais oficiais no rodapé da loja. O cliente que confere encontra diferença com o falso.
- Deixe a chave Pix oficial pública em todo lugar. É o dado que o golpista não consegue copiar.
Procedimentos, prazos e valores de registro de marca e de disputa de domínio mudam. Confira sempre nas páginas oficiais citadas acima.
Perguntas frequentes
O cadeado no navegador prova que o site é verdadeiro?
Não. O cadeado indica que a conexão é criptografada, e qualquer site falso pode ter um. Ele não diz nada sobre quem é o dono.
Quanto tempo leva para o site falso sair do ar?
Depende de quem recebe a denúncia. O aviso de página enganosa no navegador pode aparecer antes de o site ser removido pela hospedagem. Por isso vale denunciar em todos os canais ao mesmo tempo.
O Registro.br pode derrubar o domínio do site falso?
Não por simples pedido. Segundo o CERT.br, registradores só aplicam sanção a domínios que descumprem cláusulas contratuais ou por ordem judicial. Para domínio .br que usa o seu nome ou marca, existe a disputa pelo SACI-Adm, que pode cancelar ou transferir o domínio.
Posso ser responsabilizado pelo que o site falso vendeu?
A loja é vítima também. Documente tudo e registre boletim de ocorrência. Para avaliar responsabilidades no seu caso, consulte um advogado.
Meu cliente pagou o site falso. O que ele faz?
Deve falar com o banco ou o emissor do cartão imediatamente, guardar os comprovantes e registrar boletim de ocorrência. O Consumidor.gov.br só atende empresas cadastradas, então o caminho é o Procon, a Defensoria Pública ou o Juizado Especial Cível.
Fontes: CERT.br: recomendações para notificação de incidentes de segurança (phishing, domínios, hospedagem) · NIC.br: resolução de conflitos de nomes de domínio .br pelo SACI-Adm · OMPI (WIPO): guia rápido para disputas de nomes de domínio .BR (abril de 2024) · Registro.br: SACI-Adm · Registro.br: consulta Whois de domínios .br · Google: denunciar uma página ao Navegação segura (Safe Browsing) · ICANN Lookup: consulta de dados de registro de domínios · INPI (gov.br): solicitar o registro de marca de produto ou serviço · Consumidor.gov.br: como funciona · Central de ajuda do Instagram: alguém está se passando por mim
