Golpe da central do banco: como verificar o número que ligou antes de confiar

Se a "central do seu banco" ligou pedindo um Pix de segurança, sua senha, o token ou para você instalar um aplicativo, é golpe — desligue. Nenhum banco no Brasil pede senha, código de autenticação ou transferência por telefone, em nenhuma circunstância. Essa é a regra única que derruba quase todo ataque desse tipo.

O problema é que o golpista soa convincente: ele sabe seu nome, às vezes os últimos dígitos do cartão e usa um número que parece oficial (até o 4004 ou o 0800 podem aparecer no visor por spoofing). A defesa não é "reconhecer a voz suspeita" — é ter um procedimento fixo: nunca agir durante a ligação recebida e verificar quem realmente ligou antes de qualquer coisa.

Este guia mostra como confirmar se o número que ligou é mesmo do banco, quais frases denunciam o golpe na hora e o que fazer se você já passou algum dado. É verificação defensiva — proteger seu dinheiro e o de familiares idosos, não vigiar ninguém.

Por que o banco nunca pede Pix, senha ou token por telefone?

Porque o banco não precisa. Ele já tem acesso à sua conta pelos sistemas internos — não há nenhuma operação legítima que exija que você dite a senha, leia o código do SMS ou faça uma transferência "de segurança" para um atendente. Quem pede isso está pedindo justamente o que falta para roubar você.

O golpe da central falsa inverte a lógica da confiança: o criminoso cria uma emergência ("detectamos uma compra suspeita", "sua conta foi clonada") e se oferece para "resolver". A solução proposta sempre transfere o controle para ele — um Pix para uma "conta segura", a instalação de um app de acesso remoto (AnyDesk, TeamViewer) ou o código que chega no seu celular.

• Pix de segurança / conta cofre — não existe. Banco não move seu dinheiro "para protegê-lo".
• Código que chegou por SMS — é o token da SUA conta. Quem pede, vai usar contra você.
• Instalar app para o técnico "verificar" — dá controle remoto do celular ao golpista.
• Senha de 6 dígitos / senha do app — atendente real nunca digita nem ouve sua senha.

Como verificar o número que ligou de verdade?

O visor do telefone não é prova. Golpistas usam spoofing para fazer aparecer o 4004, o 0800 do banco ou até "BANCO" no identificador de chamadas. Aparecer certo não significa que é verdadeiro. Por isso a verificação nunca acontece na ligação que você recebeu — acontece num canal que VOCÊ inicia.

Há dois caminhos práticos. O primeiro, e mais importante: desligue e ligue você mesmo para o número impresso no verso do cartão ou no app oficial. O segundo: antes de retornar uma ligação suspeita, cheque o número numa busca reversa para ver se ele já foi marcado como fraude, em que operadora está e qual nome aparece no WhatsApp.

• Procure o telefone oficial no verso do cartão ou dentro do app — nunca no Google patrocinado nem no que o atendente ditou.
• Desconfie de VoIP e DDDs que não batem com o banco; centrais reais usam 0800 ou 4004 próprios.
• Use uma busca reversa para verificar quem realmente ligou: linha denunciada, nome no WhatsApp e reclamações online são sinais decisivos.

Como a engenharia social desse golpe funciona?

O criminoso não invade nada técnico — ele invade sua emoção. O roteiro é quase sempre o mesmo: cria um susto, estabelece autoridade ("sou do setor de segurança do banco"), exige sigilo ("não comente com ninguém da agência") e impõe pressa ("se você não agir nos próximos minutos, perde tudo"). Sob medo e urgência, o cérebro pula a etapa de verificar.

Muitos têm dados seus obtidos em vazamentos — nome, CPF, banco onde você tem conta, últimos dígitos do cartão. Saber isso não prova que é o banco; prova que seus dados circularam. Esse "conhecimento" é a isca que faz a vítima baixar a guarda.

• Gatilho de medo: "compra suspeita", "conta invadida", "CPF usado em fraude".
• Autoridade falsa: nome de gerente, número de protocolo inventado, jargão bancário.
• Sigilo: pedem para você não desligar nem ligar para a agência — para impedir a verificação.
• Pressa: contagem regressiva artificial; bloqueiam o raciocínio.

Quais frases denunciam o golpe na hora?

Existem frases que praticamente só aparecem em golpe. Decorá-las (e ensinar pais e avós) funciona melhor do que tentar "sentir" se a voz é confiável. Se ouvir qualquer uma destas, desligue sem culpa — atendente legítimo nunca diz nenhuma delas.

• "Vamos fazer um Pix de segurança para uma conta-cofre no seu nome."
• "Me informe o código que chegou agora por SMS para validar."
• "Preciso que você instale um aplicativo para eu verificar seu celular."
• "Digite ou me diga sua senha de 6 dígitos para confirmar a identidade."
• "Não desligue e não ligue para a agência, isso pode comprometer a investigação."

O que fazer se você já passou os dados ou fez o Pix?

Aja rápido, mas sem pânico — as primeiras horas importam. Bloquear o cartão e trocar as senhas reduz o estrago, e bancos têm mecanismos de contestação e o MED (Mecanismo Especial de Devolução) do Pix, que pode reaver valores em fraudes reportadas a tempo.

Faça na ordem: contenha o acesso, registre o ocorrido e acione os canais oficiais. Guarde tudo (número que ligou, horário, prints, comprovantes) — isso ajuda na contestação e no boletim de ocorrência.

• Bloqueie o cartão e, se instalou algum app de acesso remoto, desinstale e desligue os dados/Wi-Fi do celular.
• Troque a senha do app e do internet banking de um aparelho confiável.
• Ligue ao banco (número do verso do cartão) e peça contestação + acione o MED do Pix.
• Registre o B.O. (delegacia eletrônica) e reúna prints, horário e o número que ligou.
• Avise familiares idosos — eles são o alvo preferido desse golpe.

Conclusão

O golpe da central do banco vive de pressa e medo, mas cai por terra com uma regra simples: banco nunca pede senha, token ou Pix por telefone, e o número no visor pode ser falso. Desligue, procure o telefone oficial por conta própria e só então retorne. Na dúvida sobre quem ligou, cheque o número antes de devolver a chamada — trinta segundos de verificação evitam um prejuízo que pode levar meses para reaver.