A mensagem chega com visual oficial, logotipo azul e linguagem burocrática. Diz que seu CPF foi suspenso, que seu benefício está bloqueado, que há uma pendência urgente no seu cadastro do Gov.br — e que você precisa clicar em um link para regularizar antes de uma data limite. Parece real. Parece urgente. E é exatamente por isso que funciona. Em 2025, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Governo (CTIR Gov) registrou mais de 2,3 milhões de tentativas de phishing usando a identidade visual do portal Gov.br — crescimento de 41% em relação a 2024. A maioria das vítimas não é ingênua. É enganada por mensagens construídas para confundir.
O golpe do Gov.br falso é eficiente porque explora dois gatilhos simultâneos: a autoridade — a mensagem parece vir do governo — e a urgência — há um prazo, uma consequência, algo a perder. Quem recebe esse tipo de mensagem e hesita por um segundo já está no território onde o golpe opera. E o que está em jogo não é pequeno: acesso ao portal Gov.br significa acesso ao Meu INSS, à Carteira de Trabalho Digital, ao Imposto de Renda, ao CadÚnico e a dezenas de outros serviços que movimentam benefícios, dados pessoais e documentos oficiais.
A diferença entre cair no golpe e não cair está em saber — antes que a mensagem chegue — quais são as regras do que o Gov.br real faz e do que ele nunca faz. Essa distinção é simples, pode ser aprendida em minutos e protege permanentemente.
O portal Gov.br, gerido pela Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos, é a plataforma central de identidade digital do governo federal brasileiro. Quando o Gov.br envia comunicações oficiais, ele usa canais específicos e nunca pede determinadas informações por esses canais. Conhecer essas regras é o filtro mais eficaz contra golpes.
O Gov.br nunca envia links por SMS pedindo login ou senha. Notificações legítimas por SMS se limitam a códigos de verificação de dois fatores — aquele número de seis dígitos que você recebe para confirmar que é você quem está acessando a conta. Esses códigos chegam sem link, sem instrução para clicar em nada, e têm validade de poucos minutos. Qualquer SMS que contenha um link e diga ser do Gov.br é, com altíssima probabilidade, uma tentativa de golpe.
O Gov.br não entra em contato por WhatsApp. Não existe canal oficial do portal via aplicativo de mensagens. Qualquer número que se apresente como "suporte Gov.br", "atendimento Gov.br" ou "equipe de regularização Gov.br" no WhatsApp é falso — independentemente do visual do perfil, do nome exibido ou da foto utilizada.
O Gov.br também não liga para pedir senha, código de acesso, número de benefício, dados bancários ou qualquer informação pessoal por telefone. Se receber uma ligação nesse sentido, desligue sem fornecer nada — e registre o número no aplicativo do seu celular como spam.
O e-mail oficial do Gov.br usa exclusivamente o domínio @gov.br — com ponto antes de "gov" e sem variações. Golpistas frequentemente usam endereços como "govbr-suporte@gmail.com", "atendimento.gov.br@outlook.com" ou "gov-br.com.br" — domínios que parecem oficiais mas não são. Antes de clicar em qualquer link de um e-mail que diz ser do governo, verifique o endereço completo do remetente.
Os golpes mais comuns em 2026 — e como cada um funciona
Os golpistas adaptam os roteiros com regularidade, mas os modelos mais usados contra beneficiários do INSS e usuários do Gov.br em 2025 e 2026 seguem padrões identificáveis.
Golpe do CPF suspenso
Uma mensagem de SMS ou WhatsApp informa que seu CPF foi "suspenso" ou "irregular" junto à Receita Federal e que você precisa regularizar acessando um link. O link direciona para uma página que imita o visual do Gov.br ou da Receita Federal e pede login, senha e, em algumas versões, dados do cartão de crédito "para pagamento de taxa de regularização". O CPF não foi suspenso — a Receita Federal não comunica irregularidades por SMS ou WhatsApp.
Golpe do benefício bloqueado
O texto diz que sua aposentadoria, pensão ou BPC (Benefício de Prestação Continuada) foi bloqueado e que você precisa confirmar seus dados para liberar o pagamento. O link falso coleta CPF, data de nascimento, número do benefício e, às vezes, dados bancários. Com essas informações, os golpistas tentam acessar o Meu INSS para alterar a conta de crédito do benefício — redirecionando os pagamentos futuros para uma conta controlada por eles.
Golpe da atualização cadastral obrigatória
Uma mensagem informa que o cadastro do Gov.br precisa ser "atualizado" ou que a conta será "encerrada" em X dias por inatividade. O link pede o login e senha reais, captura as credenciais e dá acesso completo à conta — que pode ser usada para solicitar benefícios, emitir documentos ou alterar dados em dezenas de serviços governamentais.
⚠️ Atenção
Em 2025, uma variante mais sofisticada passou a usar deepfake de voz em ligações telefônicas — a voz gerada por inteligência artificial imita atendentes de call center com sotaque neutro e roteiro convincente. Se uma ligação pedir qualquer dado pessoal ou código recebido por SMS, desligue imediatamente e ligue de volta para o número oficial do serviço (135 para o INSS, 0800 725 0194 para a Receita Federal).
Como verificar se uma mensagem é real em 30 segundos
Existe um protocolo simples que elimina a dúvida antes de qualquer clique:
- Não clique no link da mensagem. Abra o navegador do seu celular e digite manualmente gov.br para acessar o portal. Se houver alguma pendência real, ela aparecerá na sua área logada.
- Verifique o remetente. No SMS, o número ou nome exibido; no e-mail, o endereço completo após o @. Qualquer coisa diferente de @gov.br em e-mails é suspeita.
- Ligue para o canal oficial. Para questões do INSS, o número é o 135. Para Gov.br, o suporte oficial é acessado em gov.br/pt-br/fale-conosco. Nunca ligue para o número que consta na mensagem suspeita — ele pode estar sob controle dos golpistas.
- Compartilhe a mensagem antes de agir. Mostre para um familiar ou amigo de confiança. A pressão de urgência que o golpe cria diminui quando outra pessoa analisa com calma.
💡 Dica
Ative a verificação em duas etapas na sua conta Gov.br agora — antes de qualquer problema. Com ela ativa, mesmo que alguém obtenha sua senha, não consegue acessar sua conta sem o código enviado ao seu celular. O caminho: acesse gov.br → faça login → vá em "Segurança da Conta" → ative "Verificação em duas etapas". Leva menos de três minutos e bloqueia a maioria das tentativas de invasão.
O que fazer se você clicou no link ou forneceu dados
Se você percebeu que caiu em um golpe — clicou no link, inseriu a senha ou forneceu dados —, a velocidade de reação nas primeiras horas é determinante. Siga esta sequência:
- Troque a senha do Gov.br imediatamente em gov.br, acessando diretamente pelo navegador (não pelo link recebido)
- Verifique se houve alteração de dados na sua conta — especialmente conta bancária cadastrada no Meu INSS
- Ligue para o 135 (INSS) e informe que sua conta pode ter sido comprometida — eles podem bloquear preventivamente qualquer alteração em andamento
- Registre um boletim de ocorrência pelo portal da Delegacia Eletrônica do seu estado — necessário para acionar proteções legais e reembolsos bancários
- Notifique seu banco se forneceu dados bancários ou de cartão
❗ Importante
Se golpistas alteraram a conta de crédito do seu benefício no Meu INSS, o INSS tem mecanismo de reversão — mas ele precisa ser acionado antes do próximo pagamento. Não espere até o dia em que o dinheiro não cair para ligar. Ligue para o 135 assim que suspeitar de qualquer acesso não autorizado à sua conta.
A melhor proteção contra o golpe do Gov.br falso é a que você monta agora, antes de receber a próxima mensagem: senha forte, verificação em duas etapas ativa e a regra gravada na memória de que o governo nunca pede dados por link, nunca opera por WhatsApp e nunca cobra taxa para regularizar CPF ou benefício. Abra o Gov.br hoje, verifique se a verificação em duas etapas está ativa — e se não estiver, ative antes de fechar o aplicativo. Esse único passo reduz em mais de 90% o risco de invasão da conta, segundo dados da Secretaria de Governo Digital de março de 2026.
