O telefone toca e, na tela, aparece um contato impossível de ignorar.
“Mãe”.
“Pai”.
“Filho”.
“Banco”.
“Empresa”.
Até o telefone de um órgão público pode aparecer como origem da chamada.
A tendência natural é confiar no que está sendo mostrado pelo celular. Mas criminosos conseguem manipular justamente essa informação para fazer uma ligação parecer legítima quando, na realidade, ela está sendo realizada de outro lugar.
A técnica é conhecida como caller ID spoofing, ou falsificação do identificador de chamadas, e voltou a ganhar atenção no Brasil após novos alertas sobre golpes utilizando números de parentes e instituições conhecidas.
O perigo está justamente na quebra de uma das regras mais intuitivas da telefonia:
o número que aparece na tela não é necessariamente o número que está fazendo a ligação.
A fraude é real, mas a técnica não é nova
Existe uma correção importante em relação a algumas publicações que apresentam o caso como um “novo golpe”.
O spoofing telefônico existe há anos.
O que muda é a maneira como criminosos combinam a técnica com dados vazados, engenharia social, inteligência artificial e informações obtidas em redes sociais para criar abordagens cada vez mais personalizadas.
Em 2026, a própria Anatel mantém medidas específicas de combate à adulteração do número de origem das chamadas.
Portanto, não estamos diante da descoberta de uma nova vulnerabilidade nos celulares.
Estamos diante da evolução de uma fraude conhecida.
Como o número da sua mãe pode aparecer na tela?
Quando alguém recebe uma ligação, a rede telefônica transmite informações utilizadas para identificar a origem.
É a partir desses dados que o aparelho mostra um número.
Se esse telefone estiver salvo na agenda, o sistema consulta os contatos e substitui os dígitos pelo nome correspondente.
Por exemplo:
o aparelho recebe o número (51) 99999-9999.
Na agenda, esse número está salvo como “Mãe”.
O celular então mostra:
Mãe.
O problema aparece quando criminosos conseguem fazer a infraestrutura de telefonia apresentar um número de origem que não corresponde ao verdadeiro chamador.
Se o número falsificado for exatamente aquele salvo como “Mãe”, o telefone poderá exibir o nome normalmente.
O golpista não precisa invadir o celular da sua mãe
Esse detalhe é fundamental.
Ver o número de um familiar em uma ligação fraudulenta não significa automaticamente que o telefone dele foi clonado.
Também não significa necessariamente que:
o WhatsApp foi invadido;
o chip foi duplicado;
o celular está infectado;
ou a operadora transferiu a linha para o criminoso.
No spoofing, o atacante pode simplesmente falsificar a identificação apresentada durante a chamada.
É como enviar uma correspondência colocando no envelope um remetente falso.
O nome escrito do lado de fora não prova quem realmente colocou a carta no correio.
Sistemas VoIP facilitam manipulação do identificador
Uma das tecnologias frequentemente associadas ao problema é o VoIP — Voice over Internet Protocol.
Sistemas VoIP permitem realizar chamadas utilizando infraestrutura baseada em internet.
São tecnologias legítimas e essenciais.
Empresas utilizam VoIP.
Call centers utilizam.
Centrais de atendimento utilizam.
Serviços corporativos utilizam.
O problema aparece quando sistemas mal configurados, fornecedores fraudulentos ou infraestrutura criminosa permitem manipular o identificador enviado junto com a chamada.
O criminoso escolhe um número que aumentará a chance de a vítima atender.
Por que usar o número de um parente?
Porque engenharia social funciona melhor quando começa com confiança.
Uma ligação desconhecida exige que o criminoso conquiste credibilidade.
Uma ligação mostrando:
“Mãe”
já começa com enorme vantagem psicológica.
A vítima pode atender imediatamente.
E o criminoso pode iniciar a conversa com uma situação de emergência.
“Fui assaltada.”
“Estou no hospital.”
“Preciso pagar uma coisa agora.”
“Meu celular está com problema.”
“Faz um Pix para mim.”
O objetivo é impedir que a pessoa tenha tempo para verificar a história.
O número do banco também pode ser falsificado
A mesma técnica pode ser utilizada contra clientes de instituições financeiras.
O criminoso falsifica o identificador para apresentar um telefone aparentemente legítimo do banco.
Depois cria uma narrativa:
“Detectamos uma compra suspeita.”
“Existe uma transferência acontecendo.”
“Seu cartão foi clonado.”
“Precisamos cancelar uma operação.”
A vítima pesquisa o telefone na internet e descobre que aquele número realmente pertence ao banco.
O problema é que isso não prova que aquela chamada específica partiu da instituição.
Delegacias e órgãos públicos também podem ser imitados
O spoofing não está limitado a parentes e bancos.
Um atacante pode tentar apresentar números associados a:
delegacias;
tribunais;
Receita Federal;
INSS;
prefeituras;
empresas;
operadoras;
hospitais;
ou outros serviços conhecidos.
A estratégia permanece a mesma.
Usar uma identidade confiável para diminuir a resistência inicial da vítima.
Depois começa a engenharia social.
Spoofing é diferente de vishing
Os dois conceitos aparecem frequentemente juntos, mas não significam exatamente a mesma coisa.
Spoofing é a falsificação da identidade apresentada.
Vishing é uma fraude de engenharia social realizada por voz, geralmente por ligação telefônica.
Um criminoso pode combinar os dois.
Primeiro utiliza spoofing para fazer o telefone mostrar o número do banco.
Depois realiza vishing durante a conversa para convencer a vítima a entregar dados ou dinheiro.
Essa combinação torna o ataque muito mais convincente.
Dados vazados tornam o golpe ainda mais perigoso
Para falsificar o número de um parente específico, o criminoso precisa primeiro saber qual número utilizar.
Essa informação pode vir de diferentes fontes.
Vazamentos de dados.
Redes sociais.
Cadastros expostos.
Bases comercializadas ilegalmente.
Contas comprometidas.
Informações públicas.
Engenharia social.
Um banco de dados vazado pode conectar nome, CPF, telefone e endereço.
Redes sociais podem revelar relações familiares.
A combinação desses dados permite ataques direcionados.
IA adiciona uma segunda camada de risco
Existe ainda outro componente que merece atenção: clonagem de voz por inteligência artificial.
Spoofing e clonagem de voz são tecnologias diferentes.
O primeiro falsifica quem aparece como autor da ligação.
O segundo tenta falsificar quem parece estar falando.
Quando as duas técnicas são combinadas, o ataque pode ficar muito mais convincente.
O telefone mostra:
“Mãe”.
E a voz do outro lado parece ser da mãe.
Poucos segundos de áudio podem ajudar criminosos
Redes sociais criaram uma enorme quantidade de material público de voz.
Stories.
Reels.
TikTok.
YouTube.
Podcasts.
Vídeos familiares.
Entrevistas.
Com ferramentas modernas de IA, amostras de voz podem ser utilizadas para produzir fala sintética cada vez mais convincente.
Isso não significa que todo golpe de spoofing utilize inteligência artificial.
Na maioria das fraudes, engenharia social tradicional continua suficiente.
Mas a tecnologia aumenta o arsenal disponível aos criminosos.
Imagine o golpe completo
O atacante pesquisa a vítima.
Descobre quem é sua filha.
Encontra o telefone dela em dados vazados.
Obtém vídeos públicos com sua voz.
Falsifica o identificador da chamada.
O celular toca.
Na tela aparece:
“Filha”.
Uma voz semelhante diz:
“Pai, aconteceu uma coisa comigo.”
Depois outra pessoa assume a chamada alegando ser policial, médico ou advogado.
É justamente essa combinação de dados reais + spoofing + urgência + possível voz sintética que torna esse tipo de fraude perigoso.
Uma pergunta simples pode desmontar o golpe
Famílias podem criar uma medida extremamente eficiente:
uma palavra ou pergunta de segurança familiar.
Algo que não esteja publicado nas redes sociais.
Se surgir uma ligação inesperada pedindo dinheiro, faça a pergunta combinada.
Outra estratégia ainda mais simples é desligar.
Depois ligue você mesmo para o familiar utilizando o número salvo na agenda.
Não utilize instruções ou telefones fornecidos durante a chamada suspeita.
Desligar e ligar de volta muda tudo
Essa é uma das melhores defesas contra spoofing.
O criminoso consegue manipular o número mostrado na chamada recebida.
Isso não significa que ele passou a controlar permanentemente aquele telefone.
Quando você encerra a conversa e inicia uma nova chamada para o número verdadeiro do familiar, a ligação normalmente será encaminhada ao verdadeiro titular.
A mesma lógica vale para bancos.
Desligue.
Abra o aplicativo oficial.
Utilize o telefone indicado no próprio app ou no verso do cartão.
E confirme a situação.
Nunca faça Pix durante uma ligação de emergência sem confirmar
Fraudes familiares dependem de velocidade.
O criminoso não quer permitir tempo para investigação.
Por isso, pedidos como:
“faz agora”;
“não desliga”;
“não liga para ninguém”;
“é urgente”;
“depois eu explico”
devem ser tratados como sinais de alerta.
Mesmo que o telefone mostre o contato correto.
Mesmo que a pessoa saiba seu nome.
Mesmo que conheça detalhes familiares.
Confirme por outro canal antes de movimentar dinheiro.
Códigos de SMS nunca devem ser informados
Outra estratégia frequente é pedir códigos recebidos no telefone.
O criminoso pode dizer que o código serve para:
cancelar uma transferência;
bloquear cartão;
confirmar identidade;
proteger a conta;
ou impedir uma fraude.
Na realidade, aquele código pode estar autorizando acesso a uma conta.
Instituições financeiras não precisam que o cliente entregue senhas e códigos secretos a um suposto atendente para “proteger” a conta.
Instalar aplicativo durante ligação é outro grande alerta
Criminosos também podem orientar a vítima a instalar programas de acesso remoto.
Eles alegam que o software servirá para:
“verificar segurança”;
“remover vírus”;
“cancelar transação”;
ou “proteger o celular”.
Na realidade, ferramentas de acesso remoto podem permitir que outra pessoa visualize ou controle partes do dispositivo.
Se alguém ligar inesperadamente pedindo instalação de software, encerre o contato.
Anatel já reconhece spoofing como problema
O problema é suficientemente relevante para ter provocado mudanças na infraestrutura brasileira de telecomunicações.
A Anatel mantém medidas específicas para combater a adulteração do número de origem.
Operadoras precisam adotar controles contra chamadas irregulares e garantir maior rastreabilidade do tráfego.
A agência também pode determinar bloqueios de interconexões relacionadas a práticas irregulares.
STIR/SHAKEN chega para autenticar chamadas
Uma das principais tecnologias utilizadas para enfrentar o problema é conhecida como STIR/SHAKEN.
Em termos simplificados, ela cria uma camada de autenticação para ajudar a verificar se uma chamada realmente está autorizada a utilizar determinado número.
Em vez de simplesmente confiar na informação apresentada como origem, a rede passa a possuir mecanismos criptográficos para verificar sua procedência.
É uma mudança importante.
Origem Verificada acrescenta informações ao visor
No Brasil, a infraestrutura também está associada ao serviço Origem Verificada, implementado pela Autoridade de Identificação e Autenticação por meio da ABR Telecom.
Quando compatível com a rede, aparelho e serviço, uma chamada autenticada pode apresentar informações adicionais.
Nome da empresa.
Logotipo.
Motivo da ligação.
E elementos que ajudam o consumidor a distinguir chamadas verificadas de identificadores simplesmente apresentados pela rede.
Autenticação não elimina todos os golpes
Nenhuma dessas tecnologias significa o fim imediato das fraudes.
A infraestrutura telefônica é gigantesca.
Existem diferentes redes.
Chamadas internacionais.
Sistemas legados.
Operadoras pequenas.
VoIP.
Interconexões.
Além disso, mesmo uma ligação tecnicamente legítima pode envolver engenharia social se uma conta ou estrutura autorizada tiver sido comprometida.
Portanto, autenticação reduz um vetor de fraude, mas não substitui cautela.
Anatel tornou autenticação obrigatória para grandes chamadores
Entre as medidas brasileiras está a exigência de autenticação para grandes chamadores — organizações que realizam mais de 500 mil chamadas por mês.
O objetivo é aumentar a rastreabilidade e dificultar a falsificação de origem em operações de grande escala.
A estratégia faz parte de um esforço maior para reduzir chamadas abusivas e fraudulentas no país.
O volume de chamadas no Brasil ajuda a explicar o problema
O mercado brasileiro de telefonia possui uma escala gigantesca.
Dados divulgados durante o debate sobre chamadas abusivas mostram volumes enormes de chamadas curtas e automatizadas.
Em 2025, foram registradas cerca de 161 bilhões de chamadas de até seis segundos.
Nem todas são golpes.
Muitas estão relacionadas a telemarketing, robôs, cobranças e testes automatizados.
Mas o volume ajuda a demonstrar como identificar chamadas legítimas se tornou um problema estrutural.
Ver o contato salvo não é mais prova suficiente
Durante décadas, a identificação de chamadas criou uma associação mental simples:
se aparece o número da pessoa, é a pessoa.
Essa regra não é segura.
O identificador deve ser tratado como uma informação apresentada pela rede, e não como uma prova absoluta de identidade.
Essa mudança de comportamento é semelhante ao que aconteceu com e-mails.
Um e-mail pode mostrar “Banco X” como remetente.
Isso não significa que veio do banco.
Uma chamada pode mostrar o telefone do Banco X.
Isso também não garante sua origem.
O que fazer se receber uma ligação suspeita?
A principal defesa é interromper o roteiro criado pelo criminoso.
Desligue a chamada.
Entre em contato com a pessoa por outro canal.
Se for um familiar, ligue diretamente para ele.
Se for banco, utilize o aplicativo ou telefone oficial.
Não forneça senhas.
Não informe códigos de autenticação.
Não instale aplicativos.
Não realize Pix sob pressão.
Não permita que o suposto atendente dite todo o processo de verificação.
E, em emergências envolvendo familiares, confirme detalhes que somente pessoas próximas conheçam.
Se transferiu dinheiro, aja rapidamente
Se a vítima realizou um Pix, a velocidade também importa depois da fraude.
Entre imediatamente em contato com o banco pelos canais oficiais e informe que se trata de golpe.
Dependendo da situação, poderá ser utilizado o Mecanismo Especial de Devolução (MED) do Pix para tentar bloquear e recuperar recursos.
O MED não garante devolução.
Mas agir rapidamente aumenta as possibilidades de bloqueio caso ainda existam valores na conta utilizada pelos criminosos.
Também é recomendável registrar boletim de ocorrência e preservar evidências da fraude.
A fraude explora confiança, não necessariamente uma falha no seu celular
Essa talvez seja a informação mais importante do alerta.
Se sua mãe estiver ao seu lado e o telefone tocar mostrando:
“Mãe”
não significa que algo sobrenatural aconteceu.
Nem necessariamente que o aparelho dela foi clonado.
O identificador pode ter sido falsificado.
E se criminosos conseguem fazer isso com um familiar, também podem tentar fazer com bancos, empresas e órgãos públicos.
A tecnologia brasileira de autenticação de chamadas está avançando justamente para reduzir esse problema, mas a defesa mais eficiente ainda depende de comportamento.
Quando uma ligação pedir dinheiro, senha, código ou qualquer ação urgente, o nome que aparece na tela não deve encerrar a verificação — deve ser apenas o começo dela.
