Chegou um e-mail com a nota fiscal de uma compra que você não fez — e o anexo é a armadilha

A mensagem não promete prêmio nem pede socorro. Ela é seca e formal: “Segue nota fiscal referente à sua compra”, com número de pedido, valor e um anexo. Às vezes vem por e-mail, às vezes por SMS.

E é exatamente por ser sem graça que ela funciona. Quem já aprendeu a desconfiar de prêmio e de herança não desconfia de burocracia — e a reação natural, ao ver a cobrança de algo que não se comprou, é abrir o arquivo para entender.

O que o golpista quer que você faça

Três caminhos, todos terminando no mesmo lugar:

• Abrir o anexo. O arquivo não é a nota: é um programa disfarçado que se instala no computador ou no celular e passa a ler o que você digita, inclusive senha de banco.
• Clicar em “cancelar a compra”. O link leva a uma página que imita a loja ou o banco e pede seus dados para “estornar” — dados que vão direto para o golpista.
• Ligar para o telefone informado. Do outro lado, alguém treinado pede senha, código de aplicativo ou uma transferência “para desfazer a cobrança”.

Repare que o valor da compra falsa costuma ser alto o suficiente para assustar, mas não absurdo. É calibrado para gerar reação, não descrença.

Como saber se a cobrança existe de verdade

Sem tocar na mensagem. A conferência é feita por fora, e leva menos de um minuto:

1. Abra o aplicativo do seu banco ou do cartão — digitando você mesmo, pelo ícone do celular, nunca pelo link.
2. Procure a compra no extrato ou na fatura. Se ela não está lá, não existe.
3. Se estiver lá, aí sim conteste pelo próprio aplicativo ou pelo telefone atrás do cartão.

Essa é a regra que vale para toda mensagem de cobrança, seja de loja, banco, órgão público ou operadora: confirme sempre pelo canal que você já usa, nunca pelo canal que a mensagem ofereceu.

Nota fiscal de verdade chega assim?

Nota fiscal eletrônica costuma chegar como PDF ou como arquivo XML, e sempre depois de uma compra que você reconhece.

Alguns sinais que separam a falsa da verdadeira:

• Arquivo com terminação estranha — .exe, .scr, .bat, .zip com programa dentro. Nota fiscal não é programa.
• Remetente com endereço que não bate com a loja citada. Repare no que vem depois do arroba, não no nome exibido.
• Erros de português e formatação torta, misturados a trechos bem escritos copiados de mensagens reais.
• Urgência: “cancele em 24 horas ou será cobrado”. Documento fiscal não impõe prazo por e-mail.

Se você quiser conferir uma nota fiscal legítima, isso se faz nos canais da Receita Federal ou da Secretaria da Fazenda do seu estado, com a chave de acesso digitada por você.

Abri o anexo. E agora?

Abrir nem sempre significa infectar — muitos aparelhos bloqueiam sozinhos. Mas trate como se tivesse acontecido, nesta ordem:

1. Desconecte da internet o aparelho onde o arquivo foi aberto, se for computador.
2. Troque as senhas importantes por outro aparelho — banco, e-mail e gov.br. Trocar pelo aparelho suspeito entrega a senha nova junto.
3. Avise o banco e peça atenção redobrada na conta. Vale conferir o extrato nos dias seguintes.
4. Passe um antivírus ou, no celular, desinstale qualquer aplicativo que você não reconheça e que tenha aparecido depois.

Se algum aplicativo pedir permissão de acessibilidade ou permissão para ver a tela, negue e desinstale. É a permissão que fraudes bancárias usam para operar o aplicativo do banco no lugar da pessoa.

Por que eu recebi isso se não comprei nada?

Porque a mensagem não foi feita para você em particular. Ela é enviada para listas enormes de e-mails e telefones que circulam depois de vazamentos de dados.

Não significa que sua conta foi invadida nem que alguém está te vigiando. Significa apenas que seu endereço estava numa lista — o que hoje vale para quase todo mundo.

Por isso o mais importante não é descobrir como chegou, e sim manter o hábito: não abrir anexo inesperado e conferir cobrança pelo aplicativo.

A variação que chega para quem vende

Existe uma versão do mesmo golpe voltada a pequenos comerciantes e prestadores de serviço: chega um pedido grande, com nota fiscal a ser emitida, e um anexo com o “comprovante de pagamento”.

O comprovante é falso, e às vezes o anexo carrega o mesmo programa. A regra vale igual: pagamento se confirma no extrato da conta, não no comprovante que o cliente mandou. Comprovante é imagem, e imagem se edita.

Vale também para quem vende pela internet: só envie a mercadoria depois de ver o dinheiro no seu próprio aplicativo, com o valor certo e o nome do pagador.