Se o celular mostra um número que você reconhece como sendo do banco, isso não basta para concluir que a ligação é verdadeira. Golpistas conseguem mascarar o identificador de origem da chamada, técnica conhecida como spoofing, e fazer a tela exibir um número oficial ou parecido com o da instituição. A forma mais segura de decidir não é confiar em um único sinal, mas combinar o tipo de identificação que aparece no visor com o que a pessoa pede durante a conversa.
A regra prática é simples: um número comum no visor é apenas um indício. Um selo de autenticação, quando disponível, é um indício mais forte de procedência. Mesmo assim, nenhuma identificação na tela deve levar você a fornecer senha, token, código de segurança, instalar aplicativo ou movimentar dinheiro para “resolver” um problema. Quando surgir qualquer pedido desse tipo, encerre o contato e procure o banco por um canal que você mesmo iniciou.
O número no visor, sozinho, não prova a origem
O diagnóstico da ENCCLA sobre golpes de falsa central descreve o spoofing telefônico como uma técnica usada para mascarar a origem da ligação e fazer aparecer no identificador um número confiável, inclusive o de uma instituição financeira. A Febraban também alerta, em orientação publicada em julho de 2026, que criminosos simulam números oficiais de bancos para dar credibilidade à abordagem.
Isso muda a pergunta que você deve fazer. Em vez de “o número é do banco?”, pense “há autenticação da chamada ou só um número exibido?”. Se for apenas o identificador tradicional, mesmo que o número seja idêntico ao que aparece no site ou no verso do cartão, trate a ligação como não verificada.
O golpista também pode saber seu nome, agência, parte do cartão, CPF ou dados de uma compra. O diagnóstico da ENCCLA registra que essas abordagens podem usar informações pessoais obtidas previamente para tornar a conversa mais convincente. Portanto, conhecimento sobre você também não funciona como prova de legitimidade.
O que “Número Validado” realmente significa
A Anatel mantém no Brasil um sistema de autenticação e identificação de chamadas baseado em protocolos como STIR/SHAKEN e RCD. Em uma chamada autenticada, as operadoras verificam a origem e podem entregar ao celular dados enriquecidos, como nome da empresa, número, selo visual, logotipo e motivo do contato. Dependendo do aparelho, pode aparecer o texto “Número Validado”.
Esse selo é diferente do simples caller ID. Segundo a Anatel, ele indica que a origem da chamada foi verificada pelas operadoras envolvidas no tráfego e que o número exibido foi realmente utilizado para originar a ligação. Na prática, isso reduz justamente o problema de um criminoso falsificar o número e se fazer passar pelo banco apenas no visor.
Mas o selo não transforma a ligação em uma autorização para ignorar regras básicas de segurança. Autenticar a origem ajuda a saber de onde a chamada veio; não muda o fato de que senha, token, transferência para “conta segura” ou instalação de aplicativo são pedidos incompatíveis com as orientações antifraude do setor. Se o conteúdo da conversa contradiz essas regras, encerre o contato e valide por outro canal.
A aparência também varia. A Anatel informa que a identificação depende de compatibilidade do smartphone, rede 4G ou 5G, VoLTE, sistema atualizado e suporte da rede de voz. Alguns aparelhos exibem mais elementos do que outros.
Sem selo também pode ser uma ligação legítima
Pode. A própria Anatel afirma que a autenticação e a identificação estão em implantação progressiva. Por isso, chamadas legítimas ainda podem chegar sem selo, sem logotipo ou sem a expressão “Número Validado”. A ausência desses elementos não é prova automática de fraude.
Esse ponto evita um erro oposto: achar que toda ligação sem autenticação deve ser descartada como falsa. O que muda é o nível de confiança. Sem selo, você não tem uma confirmação técnica da origem e deve depender ainda mais do segundo filtro: o que estão pedindo e se você consegue validar a situação por um canal independente.
O segundo filtro: o que estão pedindo
A Febraban informa que bancos podem entrar em contato para confirmar transações suspeitas. Isso significa que uma ligação sobre uma compra fora do padrão, por exemplo, não é automaticamente golpe. O divisor de águas é o procedimento exigido do cliente.
O banco pode confirmar uma transação
Um contato legítimo pode ter como objetivo saber se você reconhece determinada compra ou movimentação. O Banco do Brasil, em orientação própria, dá como exemplo uma confirmação simples de “sim” ou “não” para saber se a operação foi feita pelo cliente. O formato exato varia por instituição, mas a ideia é que a confirmação não dependa de você revelar credenciais nem executar uma nova transação.
Se você não se sentir confortável nem mesmo com essa confirmação, não há necessidade de resolver tudo durante a chamada recebida. Você pode desligar e consultar o aplicativo, o cartão ou a central oficial do banco por conta própria.
Senha, token e códigos ficam fora da ligação
Nas orientações da Febraban, bancos não devem ligar pedindo senha, token, chaves de segurança, dados pessoais ou financeiros para resolver uma suspeita. O Itaú e o Banco do Brasil publicam orientações no mesmo sentido em seus canais de segurança.
Há uma diferença importante entre uma ligação que o banco iniciou e um atendimento que você iniciou. Quando você procura a instituição por um canal oficial, pode haver etapas próprias de autenticação no aplicativo, na URA ou no atendimento. Isso não justifica, porém, entregar credenciais a alguém que ligou para você inesperadamente. Se o suposto atendente disser que precisa “validar sua identidade” com senha, token ou código, encerre a chamada e recomece o contato pelo canal oficial.
“Conta segura”, Pix e estorno por telefone
A falsa central costuma transformar uma ameaça inventada em uma ação urgente. O roteiro pode dizer que sua conta foi invadida, que um funcionário está sob investigação ou que seu dinheiro precisa ser transferido para uma “conta segura”. A ENCCLA e a Febraban descrevem essas variações como parte do golpe.
Bancos não orientam o cliente, em uma ligação recebida, a transferir recursos para proteger o saldo. Também não pedem Pix de teste, pagamento, estorno manual ou movimentação para cancelar uma operação suspeita. Se a solução proposta para uma fraude exige que você mova dinheiro, pare imediatamente.
Aplicativo e acesso remoto: encerre o contato
Outra versão comum é o falso técnico. O atendente diz que precisa verificar o celular, fazer uma varredura, atualizar um módulo de segurança ou acessar a conta a distância. A ENCCLA documenta o uso de programas legítimos de acesso remoto nesses golpes, e a Febraban orienta que bancos não pedem instalação ou atualização de aplicativos durante a abordagem.
Não instale aplicativo indicado por quem ligou, não compartilhe tela e não conceda permissão de acesso remoto. Mesmo que o aplicativo exista em uma loja oficial, a ferramenta pode ser legítima e o uso solicitado pelo golpista, não.
Como validar sem depender da ligação recebida
Você não precisa “desmascarar” a pessoa do outro lado nem provar que ela é golpista. O procedimento mais seguro é cortar a dependência daquela chamada.
Desligue. Em seguida, abra o aplicativo bancário pelo ícone que já está no seu aparelho ou digite você mesmo o endereço oficial da instituição. Se preferir telefonar, use o número impresso no cartão ou divulgado dentro do aplicativo e no site oficial. Não use um telefone enviado por SMS, WhatsApp, e-mail ou pelo próprio atendente para “continuar o caso”.
Ao reabrir o contato, descreva o que aconteceu sem partir da premissa de que a primeira ligação era verdadeira. Diga que recebeu um contato sobre determinada compra, acesso ou movimentação e quer verificar se existe algum alerta real na conta. Dessa forma, a nova conversa começa por um canal cuja origem foi escolhida por você.
Se a primeira ligação tinha um selo de autenticação, você ainda pode adotar o mesmo procedimento. O selo aumenta a confiança na procedência, mas você continua tendo o direito de interromper a conversa e confirmar a solicitação por outro canal, especialmente se algo parecer fora do padrão.
Quatro cenários comuns
“Detectamos uma compra suspeita”
Esse é um motivo plausível para um banco entrar em contato. A resposta segura é confirmar apenas o reconhecimento da operação, se você se sentir confortável, sem fornecer credenciais. Se vier qualquer pedido de senha, token, número completo do cartão, código de segurança, Pix ou instalação de aplicativo, pare. Depois, consulte a transação no app ou procure a central oficial.
“Mande para uma conta segura”
Encerre a chamada. A Febraban é explícita ao dizer que bancos não pedem transferências para resolver problemas na conta. A ideia de “proteger” o dinheiro movimentando-o para uma conta indicada pelo atendente é um padrão clássico da falsa central.
“Passe o token para cancelar”
Não informe nem digite códigos sob orientação de quem ligou. Tokens, chaves e códigos temporários existem para autorizar ações sensíveis. Um golpista pode tentar fazer você confirmar, sem perceber, a própria transação que ele quer executar.
“Instale este aplicativo”
Não instale. A falsa central pode usar aplicativos de acesso remoto para assumir o controle do aparelho, acompanhar o que aparece na tela e realizar operações. Desligue e fale com o banco por outro dispositivo ou por um canal oficial se houver qualquer suspeita de comprometimento do celular.
Se você já forneceu dados ou movimentou dinheiro
Se você percebeu o golpe depois de compartilhar dados, instalar aplicativo ou fazer uma transferência, a prioridade muda de verificação para contenção. Entre em contato com o banco o mais rápido possível por um canal oficial e informe exatamente o que foi fornecido e quais operações foram feitas. A Febraban orienta que a instituição seja avisada imediatamente para permitir medidas adicionais de segurança, como bloqueio de acesso ou credenciais.
Se houve uma transferência via Pix relacionada à fraude, peça ao seu banco a contestação pelos mecanismos disponíveis para fraude. O Banco Central mantém o Mecanismo Especial de Devolução, o MED, para casos de fundada suspeita de fraude com Pix. O acionamento rápido aumenta a chance de bloqueio de recursos, mas não deve ser entendido como garantia de recuperação integral do valor.
Se você instalou um aplicativo de acesso remoto, não continue operando a conta no mesmo ambiente até avaliar o risco. Interrompa o acesso à internet do aparelho se necessário, procure o banco por outro dispositivo confiável e considere uma verificação técnica antes de voltar a usar o celular para operações financeiras.
Também é recomendável registrar boletim de ocorrência quando houver efetiva fraude ou perda, preservando comprovantes, números usados, horários, mensagens, recibos e dados das transações. Esses registros ajudam tanto a instituição financeira quanto eventual investigação.
A decisão em 30 segundos
Se apareceu apenas o número do banco, não trate isso como prova: spoofing pode reproduzir o identificador. Se apareceu selo de autenticação ou “Número Validado”, considere isso um sinal técnico mais forte de procedência, lembrando que a tecnologia ainda não aparece em todas as chamadas e aparelhos.
Depois, ignore por um momento o nome no visor e olhe para o pedido. Confirmar se você reconhece uma operação pode fazer parte de um contato legítimo. Fornecer senha, token, código, dados pessoais, fazer Pix, transferir para “conta segura”, realizar estorno, instalar aplicativo ou liberar acesso remoto não deve fazer parte da solução de uma ligação recebida.
Quando qualquer peça não encaixar, a saída mais segura não é continuar investigando com o próprio atendente. Desligue e reabra o contato pelo aplicativo, pelo número do cartão ou pelo site oficial que você acessou por conta própria. Esse passo quebra a principal vantagem da falsa central: controlar ao mesmo tempo a história, o canal e a urgência.
