Janeiro abre o calendário do IPVA e, junto com ele, a temporada de golpes volta a aparecer com força. A Kaspersky informou ter identificado, até agora, pelo menos 13 sites que prometem descontos inexistentes e imitam portais oficiais para induzir contribuintes a pagar uma taxa falsa.
O alerta é reforçado por órgãos públicos. No Rio Grande do Sul, a Secretaria da Fazenda (Sefaz) publicou comunicado sobre relatos de sites e links fraudulentos e lembra que o governo não envia link nem boleto de cobrança do IPVA, orientando o motorista a usar apenas os canais oficiais.
O que a empresa encontrou no levantamento
No mapeamento divulgado, a Karspersky apontou páginas falsas associadas a cinco estados: Rio de Janeiro, Minas Gerais, Rio Grande do Sul, Mato Grosso do Sul e Santa Catarina. A empresa descreve uma estratégia que mistura “oferta tentadora” com aparência de site público, usando endereços que combinam nomes de órgãos e termos do imposto para parecer legítimo.
Como o golpe costuma funcionar
A armadilha costuma ser construída em camadas. Primeiro vem o acesso, que pode acontecer por e-mail, redes sociais, SMS e até anúncios e palavras-chave patrocinadas em buscadores, justamente para o site falso aparecer entre os primeiros resultados, como a própria Sefaz gaúcha também relata no alerta ao contribuinte.
Esse “detalhe” cria confiança, mas não prova que o site seja legítimo. A cartilha do CERT.br, mantida pelo NIC.br, alerta que golpes de phishing usam temas do cotidiano para induzir cliques e capturar dados ou pagamentos.
O caminho mais seguro para emitir e pagar o IPVA
A orientação mais simples é também a mais eficaz: comece sempre pelo endereço oficial digitado no navegador ou pelo app oficial do seu estado, em vez de entrar por link recebido ou anúncio. No RS, a Sefaz recomenda o aplicativo IPVA RS e o portal oficial, e ressalta que os sites verdadeiros do governo estão no domínio rs.gov.br.
Em São Paulo, o próprio governo mantém páginas e serviços de IPVA dentro do portal da Secretaria da Fazenda e Planejamento, além de orientar o pagamento em rede bancária credenciada e canais oficiais.
Antes de confirmar o Pix, o destinatário precisa “bater”
Golpistas gostam de Pix porque é instantâneo, e isso dificulta reverter a transferência quando a vítima percebe tarde demais. Por isso, a checagem decisiva acontece na tela do banco, segundos antes de concluir o pagamento: o nome do recebedor e o CNPJ devem indicar uma conta oficial do governo, não uma pessoa física ou empresa aleatória.
O alerta do governo gaúcho vai na mesma linha e explica que os golpes têm usado “códigos Pix fake” que desviam o pagamento para pessoas físicas ou outras empresas.
Os sinais que mais aparecem nos sites falsos
O primeiro sinal é o caminho por onde você chegou até a página. Quando o acesso vem de mensagem, rede social ou anúncio patrocinado, o risco sobe. Outro ponto é o endereço: páginas fraudulentas costumam misturar palavras como “Detran”, “Sefaz” e siglas de guias para parecerem oficiais, mas com domínio estranho, letras repetidas ou variações sutis.
O CERT.br reforça que a prevenção passa por desconfiar de mensagens que tentam apressar o usuário e por confirmar a origem antes de qualquer transação.
Se você já pagou, o que fazer sem perder tempo
Se a transferência já foi feita e você desconfia que caiu em golpe, o passo mais importante é acionar imediatamente o seu banco pelo app e registrar a contestação. O Banco Central explica que existe o Mecanismo Especial de Devolução (MED), voltado a fraudes e golpes no Pix, e que o pedido deve ser aberto na instituição do pagador dentro de um prazo que pode chegar a 80 dias após a transação.
O BC também detalha que o processo envolve medidas como bloqueios e análise entre as instituições participantes, o que torna a rapidez um fator decisivo para aumentar a chance de recuperação do valor.