Você recebe um SMS ou uma mensagem no WhatsApp avisando que uma encomenda está “retida na alfândega” ou “aguardando pagamento de taxa de liberação”. O texto vem com um link curto, um tom de urgência e, às vezes, até o seu nome ou um código de rastreio que parece legítimo. Esse é o golpe da encomenda retida, uma das fraudes mais recorrentes no Brasil atualmente, que se aproveita do hábito crescente de compras online para roubar dados de cartão, senhas bancárias ou instalar aplicativos maliciosos no celular da vítima.

O golpe se espalha justamente pelos canais que os brasileiros mais usam no dia a dia. Segundo o relatório “O Estado dos Golpes no Brasil 2026”, da Global Anti-Scam Alliance (GASA), 81% dos adultos brasileiros foram alvo de pelo menos uma tentativa de golpe nos últimos 12 meses, e o WhatsApp aparece como o principal canal de abordagem, usado em 64% dos casos relatados. O mesmo levantamento estima que o país registrou cerca de 34 bilhões de tentativas de golpes digitais em um período de 12 meses, com prejuízo total de R$ 21,2 bilhões e 16,5 milhões de brasileiros lesados financeiramente — um cenário em que fraudes de encomenda e entrega falsa têm papel relevante por explorarem um gatilho emocional simples: o medo de perder uma compra ou de “regularizar” algo rapidamente.

Como funciona o golpe da encomenda retida

O golpe normalmente começa com uma mensagem por SMS, e-mail ou WhatsApp informando que um pacote está parado na alfândega, foi taxado pela Receita Federal ou precisa de uma “taxa de liberação” para ser entregue. A mensagem inclui um link que leva a uma página falsa, muitas vezes uma cópia quase idêntica do site dos Correios ou de transportadoras conhecidas, com o logotipo oficial e até informações que parecem personalizadas. Nessa página, a vítima é induzida a preencher dados pessoais, número completo do cartão de crédito, senha ou código de segurança, ou a pagar um valor pequeno via Pix ou cartão — dinheiro que vai direto para os criminosos e que pode ainda abrir caminho para cobranças recorrentes não autorizadas no cartão.

Uma variação mais perigosa do golpe pede que a vítima baixe um “aplicativo de rastreamento” fora das lojas oficiais (Google Play ou App Store). Esse APK é, na prática, um trojan bancário disfarçado, capaz de capturar senhas, ler mensagens de SMS com códigos de autenticação e até assumir o controle do aparelho remotamente. A Kaspersky tem apontado o crescimento de aplicativos falsos como uma das principais ameaças ao Android em 2026, reforçando que esse tipo de armadilha deixou de ser exceção. Os Correios já confirmaram oficialmente que a empresa não cobra taxas por link enviado via SMS, e-mail ou WhatsApp, e que criminosos vêm usando inteligência artificial, páginas clonadas e até perfis falsos em redes sociais para dar mais credibilidade ao golpe. Reportagens também identificaram picos de mensagens fraudulentas concentradas em determinados DDDs, como o 011 (São Paulo), com vítimas relatando o recebimento de várias mensagens na mesma semana, cada uma cobrando um valor diferente.

Sinais de alerta / Como identificar

• Mensagem inesperada sobre uma encomenda que você não está esperando ou não lembra de ter comprado
• Link encurtado (bit.ly, tinyurl ou similar) ou endereço fora do domínio oficial correios.com.br
• Cobrança de “taxa alfandegária” ou “taxa de liberação” via Pix, cartão ou boleto enviada por SMS ou WhatsApp
• Tom de urgência exagerado, ameaçando devolução do produto ou perda do prazo em poucas horas
• Erros de português, formatação estranha ou remetente com número de celular comum, e não um canal oficial
• Pedido para baixar um aplicativo de rastreamento fora da Google Play ou da App Store
• Código de rastreio em formato diferente do padrão oficial (13 caracteres, como AA123456789BR)

Como se proteger

1. Nunca clique em links recebidos por SMS, e-mail ou WhatsApp sobre encomendas — mesmo que pareçam urgentes
2. Consulte o status de qualquer encomenda apenas no site oficial correios.com.br ou no aplicativo oficial dos Correios
3. Lembre-se de que os Correios não cobram taxas de liberação por link em mensagem; tributos de importação são pagos por canais oficiais
4. Nunca instale aplicativos de rastreamento fora da Google Play ou da App Store
5. Ative a autenticação em duas etapas em contas de e-mail, redes sociais e aplicativos bancários
6. Desconfie de qualquer cobrança via Pix ou cartão para “liberar” um pacote, especialmente com prazo apertado
7. Bloqueie o número suspeito, denuncie como spam e oriente familiares — principalmente idosos, alvo frequente desse golpe

O que fazer se você já caiu no golpe

• Entre em contato imediatamente com o banco ou operadora do cartão para bloquear o cartão e contestar cobranças
• Troque as senhas de e-mail, contas bancárias e redes sociais e ative a autenticação em duas etapas
• Se instalou um aplicativo suspeito, desinstale-o, rode um antivírus confiável e, em caso de dúvida, faça um reset de fábrica no celular
• Registre um Boletim de Ocorrência na Delegacia de Crimes Cibernéticos ou pela delegacia eletrônica do seu estado
• Denuncie a mensagem fraudulenta aos canais oficiais dos Correios (3003-0100 ou 0800 725 7282) e ao Procon do seu estado
• Registre a reclamação também no portal oficial Consumidor.gov.br, canal do governo federal para disputas de consumo.

Perguntas frequentes

Os Correios realmente cobram taxa alfandegária por SMS ou WhatsApp?
Não. Os Correios afirmam oficialmente que não enviam cobranças de taxas por link em mensagens de SMS, e-mail ou WhatsApp. Qualquer tributo de importação deve ser consultado e pago apenas pelos canais oficiais, como o site correios.com.br ou o aplicativo oficial da empresa.

Como sei se o link que recebi é falso?
Desconfie de links encurtados ou que não terminam em correios.com.br. Na dúvida, não clique: acesse diretamente o site oficial em outra aba do navegador e consulte o rastreio pelo código do pedido, sem usar o link recebido na mensagem.

Se eu só cliquei no link mas não informei nenhum dado, corro risco?
Sim, ainda existe risco. Alguns links falsos tentam instalar aplicativos ou scripts maliciosos automaticamente. Por segurança, feche a página, não baixe nenhum arquivo oferecido, rode um antivírus no aparelho e fique atento a qualquer comportamento estranho no celular ou no computador nos dias seguintes.

Este artigo foi produzido com base em informações do alerta oficial dos Correios sobre mensagens falsas de encomendas, no relatório “O Estado dos Golpes no Brasil 2026” da Global Anti-Scam Alliance (GASA), em reportagens da Metrópoles, UAI Notícias e Nord Investimentos sobre o golpe do SMS falso dos Correios, em dados divulgados pela CNN Brasil com base no levantamento da GASA, no blog oficial da Kaspersky sobre ameaças ao Android em 2026 e em orientações do Procon-SP sobre golpes por mensagem.