No fim de outubro, o anúncio apareceu no Google Shopping, entre os resultados patrocinados de uma busca por notebook. Notebook gamer da linha Legion, processador Ultra 9, placa RTX 5060, 32 GB de memória, por pouco mais de R$ 2,2 mil. Um notebook com essa configuração custa várias vezes isso.
O clique levava para dentro de um dos maiores marketplaces do país, com o endereço oficial na barra do navegador, cadeado e tudo. Não era site clonado. E é por isso que eu escolhi esse caso para abrir a temporada: o conselho clássico, "confira se o site é o oficial", não protegia ninguém ali.
Não vou citar o vendedor nem o link. Não dá para afirmar de longe que uma pessoa específica é golpista, e não é isso que importa. Importa que o anúncio tinha todos os sinais de golpe, e que eles aparecem igualzinho em centenas de outros.
Os sinais, com o caso na mão
- Preço impossível. Desconto de Black Friday é de 10%, 20%, às vezes 40%. Produto novo por um terço do preço de mercado não é promoção; é isca. Compare em dois ou três lugares antes de se animar.
- Nome de marca adulterado. O título dizia "Bj Legion", não "Lenovo Legion". Letra a mais, letra trocada ou prefixo estranho servem para escapar do filtro que o marketplace usa para barrar falsificação de marca. Se o nome está esquisito, o produto também está.
- Vendedor novo, com poucas vendas. "+5 vendas" num produto de vários milhares de reais. Loja de verdade com esse estoque tem histórico, reputação e perguntas respondidas.
- Envio internacional para um produto que tem distribuidor aqui. Não é prova sozinho, mas junta com os outros: prazo longo dá tempo ao golpista para sumir antes de você reclamar.
- Chegou por anúncio pago. Patrocinado não quer dizer verificado. Anúncio custa pouco, e quem aplica golpe paga para aparecer primeiro justamente na semana em que todo mundo está buscando.
A taxa que o próprio anúncio desmente
O detalhe que mais me chamou atenção estava no rodapé do anúncio: "Impostos serão pagos com sua compra de acordo com o programa Remessa Conforme", com o imposto de importação e o ICMS já somados ao preço.
Isso importa por causa do golpe que vem depois da compra. Você paga, o produto não chega, e aparece uma mensagem dizendo que a encomenda está "retida na alfândega" e que falta pagar uma taxa por Pix. Só que, segundo a Receita Federal, nas compras em sites certificados no Remessa Conforme os impostos são pagos no fechamento do pedido, e não na chegada. Se o imposto apareceu na tela da compra, ele já foi cobrado.
Para quem quiser os números: desde 12 de maio de 2026, a compra de pessoa física de até US$ 50 em site certificado tem imposto de importação zero; acima disso, a alíquota é de 60%, com desconto de US$ 30, e em todos os casos há ICMS de 17% a 20%, conforme o estado (Receita Federal).
E quando existe imposto de verdade a pagar na chegada (compra fora do Remessa Conforme, entregue pelos Correios), ele é pago num lugar só: o ambiente Minhas Importações, no site ou no aplicativo oficial dos Correios. Um cuidado aqui, porque muita dica na internet erra: os Correios mandam, sim, SMS de aviso para essas compras. Por isso a regra não é "Correios nunca mandam mensagem". A regra é não pagar por link: digite correios.com.br você mesmo, ou abra o aplicativo que já está no seu celular, e confira lá (ESET WeLiveSecurity, Tecnoblog). O golpe já chega com o seu nome, CPF e código de rastreio reais, então dado certo na mensagem não prova nada.
A regra de ouro: o dinheiro não sai da plataforma
A proteção do marketplace só existe enquanto o pagamento acontece dentro dele. O Compra Garantida, por exemplo, cobre o que foi pago pelo Mercado Pago; Pix ou transferência direto para o vendedor fica de fora. Por isso o roteiro do golpe quase sempre tenta te tirar de lá: "chama no WhatsApp que eu faço um preço melhor", "o sistema está com erro, paga por Pix que eu libero", "esse cupom só funciona no meu link".
- Pagou, confira o nome de quem recebe. No Pix, o aplicativo do banco mostra o recebedor antes de confirmar. Loja grande não recebe em nome de pessoa física.
- Caiu? Fale com o seu banco na hora e peça a abertura do Mecanismo Especial de Devolução (MED), criado pelo Banco Central para Pix em caso de golpe. Quanto mais rápido, maior a chance de o dinheiro ainda estar na conta do golpista. Registre o boletim de ocorrência e denuncie o anúncio na plataforma.
Quer treinar o olho antes do dia 27? O Caça ao Golpe, no BPSO Lab, mostra 10 mensagens por dia (WhatsApp, SMS e e-mail) para você decidir o que é golpe, e explica os sinais de cada uma. Vale mandar para a família também.
Quando aparecer um golpe novo, você fica sabendo antes.
Um e-mail quando surgir uma falha ou um golpe que mexe com o seu site, a sua loja ou o seu dinheiro: o que aconteceu, com fonte, e o que fazer. Sem spam, cancele quando quiser.
Se você vende online: a sua loja precisa provar que não é golpe
Agora a outra metade, que quase ninguém escreve. Se o cliente aprendeu a desconfiar de anúncio, de preço bom e de mensagem, ele vai desconfiar da sua loja também. Na Black Friday, loja que parece golpe perde a venda para a que parece segura, mesmo com preço pior. E pior: golpista adora usar o nome de loja conhecida da região para aplicar o golpe nos clientes dela.
O que separa uma coisa da outra é verificável, e dá para resolver antes do dia 27:
- Domínio próprio, com HTTPS. loja.com.br passa mais confiança que um perfil com link na bio. Cadeado no navegador é o mínimo; sem ele, o próprio navegador avisa que o site não é seguro.
- CNPJ, endereço e contato à vista. Não é só boa prática: o Decreto 7.962/2013 (art. 2º) exige que a loja online mostre, em local de destaque, nome empresarial, CNPJ, endereço físico e eletrônico e meios de contato. Loja sem isso parece golpe porque é exatamente o que golpe esconde.
- Política de troca e devolução clara. Na compra online, o cliente tem 7 dias para desistir (art. 49 do Código de Defesa do Consumidor). Escrever isso com clareza tira o medo de comprar.
- Pix e boleto saindo no nome da empresa. Se o cliente vê o nome de uma pessoa física na hora de pagar, você acabou de ensinar a ele que pagar para pessoa física na sua loja é normal, e o golpista agradece.
- E-mail que ninguém consegue falsificar. Com SPF, DKIM e DMARC configurados no seu domínio, os provedores de e-mail passam a recusar ou mandar para o spam a mensagem forjada em seu nome. Sem isso, qualquer um manda "seu pedido foi cancelado, clique aqui" como se fosse você.
- Diga ao cliente quais são os seus canais oficiais. Um aviso fixo no site e no Instagram: "nosso WhatsApp é só este número", "não pedimos pagamento por mensagem". E de vez em quando, busque o nome da sua loja: perfil falso e site com nome parecido aparecem mais nesta época.
- Site atualizado e sem porta aberta. Plugin velho e painel exposto viram vitrine para quem quer colocar uma página de pagamento falsa dentro do seu próprio site. O Audit-X faz de graça a checagem que um invasor faria primeiro.
Nenhum desses itens exige loja grande. Exige alguém que olhe para o seu site com olho de cliente desconfiado, e com olho de golpista, antes que eles olhem.
Eu reviso a sua loja ou o seu site antes do dia 27: domínio e HTTPS, os dados que a lei pede à vista, o e-mail protegido contra falsificação, o pagamento no nome certo e as portas abertas no site. Você recebe o que é urgente e o que pode esperar, com o custo de cada coisa. Comece pelo Audit-X, que é grátis, e me chame para o resto.
Como saber se o seu site está seguro →
Quero revisar minha loja antes da Black Friday
Regras e alíquotas conferidas nas páginas da Receita Federal em 6 de novembro de 2026. O caso do anúncio foi visto em 26 de outubro de 2026; o vendedor não é citado de propósito. Valores e regras podem mudar; na dúvida, confira na fonte linkada.