Publicado originalmente no site da Pardi e Morais: pardimorais.com.br/golpe-sa-fraude-organizada-empresas
Em março de 2026, a Polícia Civil de São Paulo entrou numa casa em Ermelino Matarazzo, na zona leste, e encontrou uma central do golpe do falso advogado funcionando a pleno vapor. Dezesseis pessoas foram presas. Havia notebooks, headsets, dezenas de celulares, cartões bancários e maquininhas. E havia, segundo a polícia, funções bem definidas: quem coletava dados, quem criava os perfis falsos, quem falava com as vítimas e quem cuidava do dinheiro.
Leio esse tipo de notícia e penso sempre a mesma coisa. Aquilo não é um bando. É um organograma.
Esse é o ponto que quero discutir aqui. Muita empresa ainda trata golpe como um evento isolado, quase um azar: o funcionário que caiu, o boleto que veio adulterado, o cliente enganado por alguém usando o nome da marca. Do outro lado, porém, a operação é contínua, especializada e tem meta. Quem enfrenta uma estrutura dessas com improviso perde, e perde de novo no processo.
O que a ONU chama de franquia
Em julho de 2026, o Escritório das Nações Unidas sobre Drogas e Crime (UNODC) publicou a avaliação mais recente sobre o crime organizado no Sudeste Asiático. Os números de perdas com golpes on-line só no leste e sudeste da Ásia, Austrália e Nova Zelândia em 2025 chegam a US$ 114 bilhões na estimativa mais alta. Mas o que mais me chamou atenção foi a descrição do modelo de negócio. Segundo a representante regional do UNODC, Delphine Schantz, a operação se parece com uma franquia corporativa, com departamentos especializados em lavagem de dinheiro, tráfico de pessoas e coleta de dados.
Isso não ficou do outro lado do mundo. Em abril de 2025, o mesmo UNODC já tinha apontado que os centros de golpe em escala industrial geram perto de US$ 40 bilhões de lucro por ano e que o Brasil enfrenta um conjunto crescente de desafios ligados a fraude cibernética, apostas on-line e lavagem, com algumas conexões com grupos que operam no Sudeste Asiático.
A versão brasileira tem sotaque próprio, mas a lógica é a mesma.
Como a Golpe S.A. se organiza
Quando a gente reconstrói um caso por dentro, o desenho se repete. Tem a área que compra ou garimpa dados: vazamentos, cadastros, informações de processos públicos. Tem o marketing: disparo de SMS em massa, anúncio patrocinado, perfil falso com foto e nome de gente real. Tem o atendimento: a central com roteiro, número que parece oficial e gente treinada para criar urgência. Tem a tesouraria: as contas que recebem o dinheiro e o espalham em minutos. E tem a lavagem, que transforma o resultado em patrimônio.
A Operação Linha Fantasma, deflagrada pela Polícia Federal em junho de 2026, mostra bem essa engrenagem. O grupo investigado disparava SMS falsos sobre compras suspeitas, direcionava as vítimas para falsas centrais com número 0800 em nome de bancos e, segundo a PF, usava empresas formalmente constituídas para dar aparência de legitimidade e fracionava as transferências para dificultar o rastreio. A investigação começou porque uma operadora de telefonia identificou o disparo em massa e cresceu dentro do Projeto Tentáculos, a cooperação entre a PF, a Febraban e as instituições financeiras.
Repare no detalhe das empresas formalmente constituídas. A fraude não está só imitando a estética corporativa. Ela está usando a forma jurídica.
A tesouraria: contas laranja
Se eu tivesse que apontar o departamento mais importante da Golpe S.A., seria a tesouraria. Sem conta para receber e pulverizar o dinheiro, não existe golpe em escala.
Um estudo da Serasa Experian divulgado em março de 2026 estimou 2,6 milhões de perfis com sinais de atividade de conta laranja em 2025, um aumento de 62% sobre 2023. Essas contas teriam movimentado cerca de 1,2 bilhão de transações via Pix, perto de 2% do total do país. Segundo o mesmo levantamento, só 3,2% delas foram identificadas pelas instituições financeiras.
A lei reagiu. A Lei nº 15.397, de 30 de abril de 2026, incluiu no art. 171 do Código Penal a conduta de quem cede, gratuita ou onerosamente, conta bancária para que nela transitem recursos destinados a atividade criminosa ou que dela sejam fruto. A mesma lei criou o § 2º-A, com pena de 4 a 8 anos de reclusão para a fraude cometida com informações obtidas da vítima por redes sociais, telefone, e-mail fraudulento, duplicação de dispositivo ou aplicação de internet.
Para a empresa vítima, isso importa por um motivo prático. Quando a conta que recebeu o dinheiro é de laranja, houve falha de conhecimento do cliente e de monitoramento de quem abriu e manteve aquela conta. É nessa falha que, muitas vezes, está a melhor chance de recomposição. Falei disso com mais detalhe no artigo sobre fraude via Pix contra empresas e o MED 2.0.
O que isso muda para quem está do outro lado
Primeiro, o adversário tem processo. A Golpe S.A. testa roteiro, mede conversão e repete o que funciona. Se o pagamento a fornecedor da sua empresa depende da boa vontade de uma pessoa só, sem confirmação por outro canal, você está oferecendo exatamente o que o roteiro deles procura. O caso do boleto verdadeiro com conta errada é isso: o golpe entra pela rotina, não pela tecnologia.
Segundo, a sua marca é matéria-prima. A falsa central usa o nome do banco. O falso advogado usa o nome do escritório e os dados de processos públicos. A loja falsa usa o logotipo da empresa verdadeira. Quando o golpe roda com o seu nome, o prejuízo não é só de quem caiu: é reputacional, comercial e, dependendo do caso, jurídico. Monitorar o uso indevido da marca e derrubar perfis e sites falsos rápido deixou de ser cuidado de marketing e passou a ser gestão de risco.
Terceiro, os seus dados abastecem a fábrica. Cadastro de clientes, lista de fornecedores, dados de funcionários. O que vaza de um lado vira roteiro do outro. E, quando há dado pessoal envolvido num incidente, a LGPD e o regulamento da ANPD impõem deveres de comunicação com prazo.
Quarto, o processo judicial também é disputa de organização. A empresa que guarda logs, preserva e-mails com cabeçalho completo, registra cada protocolo e pede rápido a preservação dos registros do banco chega ao juiz com prova. A que não guardou nada chega com a narrativa. Contra uma estrutura que se organiza como empresa, narrativa não basta.
Por onde começar
Não precisa de um projeto de dois anos. Recomendo começar por quatro coisas: confirmar qualquer alteração de dado bancário de fornecedor por um canal diferente daquele em que o pedido chegou; separar quem cadastra de quem aprova pagamento; ter um protocolo escrito para as primeiras horas depois de um golpe, com quem liga para o banco, quem preserva a prova e quem aciona o jurídico; e monitorar o uso do nome da empresa em redes, anúncios e domínios parecidos.
E vale olhar para o que vem aí. A inteligência artificial está barateando o atendimento da Golpe S.A., com voz clonada e vídeo falso em tempo real. Escrevi sobre isso em o fim da prova sensorial.
A fraude se profissionalizou. A resposta da sua empresa precisa estar no mesmo nível.
Referências
- Polícia Civil de São Paulo. Central do golpe do falso advogado em Ermelino Matarazzo, 16 presos. Noticiado pelo BNews São Paulo, 25/3/2026.
- UNODC. An Interconnected Criminal Ecosystem: Transnational Organized Crime Threat Assessment for South-East Asia, julho de 2026. Cobertura: Jurist e CambojaNews, 21 e 22/7/2026.
- UNODC. Inflection Point: Global Implications of Scam Centers, Underground Banking and Illicit Online Marketplaces in Southeast Asia, abril de 2025.
- Polícia Federal. Operação Linha Fantasma, 2/6/2026. Cobertura: Band Jornalismo.
- Serasa Experian. Estudo sobre contas laranja, março de 2026. Cobertura: Olhar Digital, 18/3/2026.
- Lei nº 15.397, de 30 de abril de 2026 (altera o art. 171 do Código Penal: § 2º, VII, e § 2º-A).
- Lei nº 13.709/2018 (LGPD), arts. 46 e 48. Resolução CD/ANPD nº 15/2024.
- Banco Central do Brasil. Resolução BCB nº 493/2025 (MED 2.0).
Sobre os autores
Danilo Pardi é advogado (OAB/SP 384.895) e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance pelo IBMEC, especialista em Privacidade e Proteção de Dados pelo Data Privacy Brasil, professor do módulo Legal no MBA em Empreendedorismo Digital da IEBS Business School e membro da ANPPD.
Afonso Morais é advogado (OAB/SP 77.133) e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. É criador e apresentador do podcast Falando de Fraudes, com mais de 120 episódios, colunista do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.
A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atendimento em todo o Brasil. Para empresas: pardimorais.com.br/empresas. Alertas diários sobre golpes no portal Falando de Fraudes.
Este artigo tem caráter informativo e não substitui a análise de um caso concreto.
Foto: Martin Laprise / Unsplash
