Golpe da loja falsa: o site clonado que apareceu acima do verdadeiro no Google.

Todos os artigos desta série até aqui foram sobre proteger você de ser a vítima. Este é diferente. No golpe da loja falsa, você não é o alvo. Você é a isca. Nada seu é invadido. Os criminosos copiam o que já é público: o seu nome, a sua marca, as fotos dos seus produtos, o layout da sua página de pagamento, e mandam tudo isso para os seus clientes. Como nada seu foi violado, nada seu dispara um alarme. Normalmente você descobre quando as mensagens de suporte começam a chegar: "Paguei há três dias. Cadê o meu pedido?", vindo de pessoas que nunca compraram de você.

Um caso que acompanhamos de perto

No começo deste ano, acompanhamos um desses golpes contra uma grande empresa de crédito ao consumidor — o tipo de site cujos clientes entram todo mês para baixar o boleto.

Os golpistas não clonaram o site inteiro. Falsificaram a única página que importava: o portal do cliente onde os boletos são baixados. Montaram a página no Google Sites — hospedagem gratuita e legítima do Google, certificado HTTPS válido, nada para o navegador sinalizar. Depois compraram um anúncio de busca no nome da própria empresa. Por pelo menos dez dias, quem pesquisava a marca no Google via o portal falso na primeira posição, acima do verdadeiro. Quem clicava, entrava com as suas credenciais reais e baixava um "boleto" estava entregando o dinheiro e o login aos criminosos. Quando a página saiu do ar, as reclamações de clientes lesados já se acumulavam em sites públicos de avaliação.

Três detalhes desse caso importam mais do que o resto, porque eles são o padrão a ser combatido:

1. Tudo o que os golpistas usaram era legítimo e gratuito. Uma página no Google Sites que qualquer um publica, uma conta de anúncios que qualquer um abre. Não houve exploração de falha, malware nem invasão. Nada que um firewall ou antivírus pudesse ver.
2. O site falso apareceu acima da marca verdadeira no próprio nome dela. A busca paga colocou o golpe acima do resultado legítimo para a exata pesquisa que os clientes digitam. A confiança no buscador fez o resto.
3. Os clientes souberam antes de acabar. As reclamações começaram enquanto o site falso continuava no ar. O sinal de detecção existia; só não estava sendo tratado rápido o suficiente.

Como isso aparece na sua loja

Ali o alvo era um boleto. Para uma loja online, é qualquer página por onde o dinheiro passa. O golpe usa roupas diferentes, mas é o mesmo:

• Uma loja clonada em um endereço parecido — sualoja-ofertas.com — vendendo os seus produtos com 40% de desconto, recebendo por Pix ou cartão e não entregando nada.
• Uma página falsa de "segunda via do boleto" ou de "rastreio do pedido — confirme o seu cartão", anunciada para quem pesquisa a sua marca.
• Uma cópia do seu perfil no Instagram ou do seu WhatsApp Business, anunciando uma "promoção relâmpago" e cobrando direto no chat.

Em todas as versões, a vítima é o seu cliente e o dano colateral é você: mensagens furiosas, chargebacks, pedidos de reembolso por compras que você nunca recebeu, avaliações ruins, reclamações no Reclame Aqui e no Procon com a sua marca nelas, e um nome que, por um tempo, significa "a loja que pegou o meu dinheiro".

O que a gente faria

Como o time de segurança que você não precisa contratar, este é um dos poucos golpes em que a gente avisa logo: não dá para prevenir. Tudo que um criminoso precisa para te clonar é público por definição: é isso que uma loja online é. Este não é um problema de fechar portas. É um problema de achar rápido e derrubar rápido, e o custo de achar devagar só cresce com o tempo. Então é aqui que a gente investiria nosso tempo:

• Fique de olho nas cópias. Domínios parecidos sendo registrados, certificados emitidos para nomes semelhantes ao seu, as fotos dos seus produtos e o layout das suas páginas aparecendo em sites que não são seus. É isso que a gente procura quando analisa a exposição de uma loja, porque esse golpe é invisível de dentro dos seus próprios sistemas.
• Pesquise a sua própria marca de tempos em tempos, incluindo os anúncios. Digite o nome da sua loja no Google do jeito que um cliente digitaria e olhe o que aparece acima de você. Esse hábito simples pode pegar o site falso no primeiro dia.
• Acompanhe os canais de reclamação. Reclame Aqui, as menções nas redes sociais, a sua caixa de suporte. Uma enxurrada repentina de "cadê o meu pedido?" de pessoas que você não encontra no seu sistema é o sinal mais precoce que existe.
• Registre você mesmo os domínios parecidos mais óbvios. As duas ou três variações e erros de digitação mais prováveis do seu domínio custam menos que um chargeback — e ainda levam o cliente que digitou errado para a sua loja de verdade.
• Deixe o seu canal oficial inequívoco. Um único domínio oficial, declarado em todo lugar — site, bio das redes, e-mails de pedido, perfil do WhatsApp — e uma frase fixa para os clientes: nunca pedimos pagamento fora deste site.
• Tenha um roteiro de derrubada pronto. Quando um site falso aparecer: denuncie o anúncio no processo de uso indevido de marca do Google, denuncie o site à hospedagem e ao registrador do domínio, denuncie o perfil à Meta, envie a URL ao Google Safe Browsing e avise os seus clientes, rapidamente, que existe um site falso no ar. Derrubadas funcionam, mas velocidade é o desafio. Ter a lista escrita antes de precisar dela é o que transforma dez dias em um.

O limite honesto

A sua marca é pública. Isso não é uma vulnerabilidade para corrigir; é o que faz de você um negócio online. A única defesa contra alguém usando o seu nome é perceber rápido e responder mais rápido ainda. Não seja quem fica com um site falso cobrando dos seus clientes, com a sua logo, acima do seu próprio site, por vários dias online.

Para o seu time de TI. Monitoramento de logs de Certificate Transparency para hostnames parecidos, varreduras de permutação do seu domínio, buscas reversas de imagem ou por hash de favicon dos seus ativos, e alertas para anúncios nos termos da sua marca. A gente mantém a versão técnica deste manual para quem cuida desse lado da sua operação. Veja o que a gente checaria →

---

Quer saber se alguém já está usando o nome da sua loja? Procurar cópias falsas do seu site faz parte de como a Confidanti avalia a exposição de uma loja. Fale com a gente.