Um SMS avisou: encomenda retida. O morador de Salto, no interior de São Paulo, clicou no link e pagou R$ 74,90 por Pix para liberar o pacote. Não havia encomenda nenhuma.
O mesmo roteiro se repetiu em Joinville, em Santa Catarina, e em Jandira, na Grande São Paulo, segundo o Reclame Aqui — sempre com o nome de uma instituição que o brasileiro reconhece de cor e não quer contrariar: os Correios.
Existe uma segunda versão do mesmo golpe, com outro nome que abre a mesma porta. Em vez de encomenda, o SMS promete restituição do Imposto de Renda, ou avisa de uma pendência que, sem correção, vai bloquear o CPF.
As duas variantes têm o mesmo motor: pressionar a vítima a agir depressa, usando a autoridade de um órgão que ninguém quer ignorar. É esse mecanismo, não a sofisticação técnica, que faz o golpe do SMS continuar funcionando mesmo contra quem já ouviu falar dele.
Nos dois casos, o texto é curto, o link é curto, e a decisão que ele pede também precisa ser curta. De propósito.
Como funciona o golpe da encomenda retida
O texto costuma dizer que uma encomenda está parada na alfândega ou no centro de distribuição, e que falta pagar uma taxa para liberá-la. Segundo o Aos Fatos, mensagens desse tipo circulam desde pelo menos julho de 2024 e cobram valores fixos: em um dos casos analisados, R$ 47,59 via Pix. O link leva a um site que copia a identidade visual dos Correios, pede o CPF para uma falsa “consulta” e, na sequência, o pagamento.
Os Correios confirmaram o golpe em nota nas redes sociais e reforçam, em alerta oficial, que o rastreamento de encomendas deve ser feito exclusivamente pelo aplicativo dos Correios ou pelo site correios.com.br, nunca por um link recebido em mensagem. Transportadoras privadas fazem o mesmo alerta: a Jadlog e a Total Express publicaram avisos no Reclame Aqui informando que não existem cobranças adicionais para entrega de encomendas.
Mesmo assim, o golpe voltou a crescer em setembro de 2025, em relatos que envolveram consumidores no Rio de Janeiro e em São Paulo. Normalmente em datas de alto volume de compras, quando mais gente está mesmo esperando um pacote.
Como funciona o golpe da restituição do Imposto de Renda
Aqui a isca muda de nome, mas não de estrutura. A mensagem afirma que a restituição foi liberada, que há uma pendência no CPF, ou que falta uma taxa para receber o valor. “As mensagens geralmente informam que a pessoa tem direito à restituição”, explica o delegado Luiz Cláudio Martins ao portal Paranaíba Mais, descrevendo a urgência artificial usada para induzir o clique no link malicioso.
O golpe se intensifica perto da liberação dos lotes oficiais: em 2026, segundo o Estado de Minas, o primeiro lote de restituição saiu em 29 de maio, data que os golpistas usaram como gancho para disparar mensagens em massa por SMS, WhatsApp e e-mail. O link imita o layout do site da Receita Federal e pede dados bancários e senha, sob o pretexto de corrigir um “erro na declaração”.
A Receita Federal responde no próprio portal “É Golpe?”: o órgão nunca liga nem envia mensagem cobrando pagamento, nunca aceita pagamento por link, QR Code ou cartão, e qualquer consulta deve passar só pelo Portal gov.br, pelo e-CAC ou pelo aplicativo oficial. Um dos exemplos que o próprio órgão divulga mostra até o endereço de e-mail usado por golpistas em uma dessas campanhas — um domínio que nada tem a ver com o governo.
O problema é que, para quem recebe a mensagem no meio da correria do dia, a versão falsa e a real chegam parecidas, com o mesmo tom de urgência e os mesmos verbos: “regularize”, “libere”, “confirme”.
Os sinais que denunciam o golpe
Alguns detalhes aparecem repetidos nos dois golpes:
- O link não termina em correios.com.br ou em gov.br: costuma ser um domínio parecido, com letras trocadas ou um final diferente (.site, .info, .online).
- Pedem pagamento por Pix, QR Code ou cartão para “liberar” algo que, oficialmente, nunca se libera por SMS.
- O prazo é sempre curto (horas, às vezes minutos) e vem acompanhado de ameaça: bloqueio do CPF, devolução da encomenda, perda do prazo de restituição.
- Pedem senha ou dados bancários completos para uma simples “confirmação de identidade”.
- Domínios desse tipo, segundo o Detector de Site Confiável do Reclame Aqui, aparecem registrados havia só dois dias, fora do Brasil.
Nenhum desses sinais, sozinho, prova o golpe. A combinação prova.
O que Correios e Receita Federal dizem oficialmente
Os dois órgãos convergem no ponto central: nenhum dos dois cobra taxa por link enviado em SMS. Quando existe uma cobrança legítima (caso de imposto de importação em compras internacionais, por exemplo), ela só é gerada e paga dentro do aplicativo ou do site oficial, nunca por um link externo recebido por mensagem.
A Receita Federal vai além: orienta o cidadão a digitar o endereço gov.br/receitafederal diretamente no navegador, em vez de clicar em qualquer link recebido, e a desconfiar mesmo quando os dados exibidos na tela (nome, CPF, valor) parecem corretos. É um detalhe que pega muita gente de surpresa: o site falso pode exibir informação real, coletada de vazamentos anteriores, só para parecer legítimo.
Cliquei no link, mas não paguei nem informei dados: o que fazer
Se o clique não passou de abrir a página, o estrago tende a ser pequeno, mas exige os mesmos cuidados de sempre. Feche a página sem preencher nada. Não baixe nenhum arquivo que ela ofereça. Apague a mensagem e bloqueie o número. No caso de SMS, é possível também encaminhar o texto ao próprio operador de telefonia para denúncia.
Depois, confirme a informação real pelo canal oficial: abra o aplicativo dos Correios para checar se existe mesmo uma encomenda em trânsito, ou entre no e-CAC para ver se há alguma pendência real registrada em seu CPF. Na grande maioria dos casos, não existe nada: nem encomenda parada, nem restituição, nem pendência.
Informei dados bancários ou paguei: os passos seguintes
Aqui o relógio importa. Ligue para o banco ou abra o aplicativo imediatamente para bloquear o cartão ou a conta usada no pagamento. Quanto antes o bloqueio, menor a chance de o golpista repetir a cobrança ou usar os dados em outro lugar. Troque a senha do banco e de qualquer outro serviço em que use a mesma senha, porque esse é justamente o padrão que o golpista tenta explorar em seguida.
Registre um boletim de ocorrência, de preferência em uma delegacia especializada em crimes cibernéticos. O documento formaliza o caso e costuma ser exigido pelo banco em pedidos de contestação. Guarde print da mensagem, do site falso e do comprovante de pagamento antes de fazer qualquer uma dessas etapas: é a prova que sustenta a reclamação depois.
Onde denunciar o golpe
A SaferNet Brasil mantém canal de denúncia de crimes cibernéticos aberto ao público: a central recebeu 87.689 denúncias inéditas em 2025, alta de 28,4% sobre o ano anterior, segundo a Agência Brasil. O número não separa phishing por SMS das demais categorias, mas mostra a escala do problema digital no país.
Os Correios também mantêm canal próprio de denúncia de fraude em seu site, e o Reclame Aqui recebe relatos desse golpe e mantém ferramenta própria para checar a confiabilidade de um domínio antes de clicar. Há ainda um detalhe que vale registrar: bancos e empresas como a Serasa publicam listas fechadas de números curtos que usam para enviar SMS oficial. Correios e Receita Federal não têm equivalente: qualquer SMS desses dois órgãos pedindo pagamento, de qualquer número, já nasce suspeito.
O domínio que enganou o morador de Salto tinha sido registrado dois dias antes, fora do Brasil. R$ 74,90 é pouco perto do que se perde quando a mesma isca pede os dados bancários completos — aí a conta drenada pode levar meses para voltar, se voltar.
Fontes citadas no texto
- Reclame Aqui — “Golpe dos Correios: cuidado com link falso enviado por mensagem” (26/07/2024)
- Aos Fatos — “Aviso de ‘encomenda retida pelos Correios’ é golpe” (05/12/2024)
- Correios — “Mensagens falsas sobre encomendas” (Boletim aos Clientes) (sem data de publicação exibida na página; conteúdo institucional vigente)
- Reclame Aqui — “Golpe da encomenda retida deixa consumidores em alerta” (25/09/2025)
- Paranaíba Mais — “Receita Federal alerta para golpe da restituição do Imposto de Renda; veja como evitar” (03/07/2026)
- Estado de Minas — “Cuidado com o golpe da restituição falsa do Imposto de Renda” (maio/2026)
- Receita Federal — portal “É Golpe?” (sem data de publicação exibida na página; conteúdo institucional vigente)
- Receita Federal — exemplos de golpe por SMS e carta (remessas postal e expressa) (sem data de publicação exibida na página; conteúdo institucional vigente)
- Correios — “Falsos e-mails em nome dos Correios” (canal de denúncia) (sem data de publicação exibida na página; conteúdo institucional vigente)
- Agência Brasil — “Denúncias de crimes cibernéticos crescem 28% em 2025, mostra Safernet”, por Elaine Patrícia Cruz (10/02/2026)
- Serasa — “Serasa alerta: Conheça Smishing, o novo golpe virtual” (sem data de publicação exibida na página)
