Dois golpes diferentes estão circulando sob o mesmo nome. Num, o QR Code esconde um link e leva a um site falso. No outro, o QR é um pagamento e o destinatário foi trocado. O número que ganhou manchete mede só o primeiro — e a defesa de um não serve para o outro.
A Revolut entregou documentos, selfies de verificação e extratos de clientes a quem escrevia de um endereço legítimo de um órgão de governo. O pedido era falso. No Brasil, a lei deixa a autoridade pedir dado cadastral sem juiz, e a exceção de urgência alarga essa porta. O que a regra brasileira limita, e o que ela não impede.
Um manifesto contra a indústria, um vazamento que prendeu a atenção do mundo e, em cada vídeo, um QR code para comprar a moeda com o nome do manifesto. A ordem dos fatos, toda pública, é o que revela o padrão: o token veio antes da causa.
A fraude de investimento não seleciona vítima por classe social, e sim por base de dados. E o que a base define não é quanto extrair — é quando parar de pagar.
O padrão que classifica autenticadores põe código de SMS e código de aplicativo na mesma categoria: nenhum dos dois resiste a phishing. O ataque que domina hoje não quebra o código — deixa você digitar certo e fica com o resultado.
A operação da Polícia Civil de Pernambuco expõe o que raramente aparece nas cartilhas de prevenção: o falso investimento não é um golpista improvisando. É uma estrutura com escritório, roteiro e meta mensal.
O golpe não convence a vítima de uma vez. Ele a conduz por seis etapas, cada uma desenhada para tornar a seguinte razoável. Entender o funil é o que permite interromper antes da última.