Dados de viagem vazaram: o golpe mais convincente usa informações verdadeiras

Dados de viagem vazados podem tornar uma fraude convincente porque a mensagem cita informações verdadeiras. Ainda assim, reserva, destino, placa ou período corretos não autenticam o remetente: não clique, não responda nem use o telefone recebido; abra o aplicativo oficial ou digite você mesmo o endereço da empresa para confirmar o pedido.

Proteja primeiro o e-mail ligado à reserva, troque credenciais expostas ou reutilizadas e ative a autenticação em duas etapas. Se houve pagamento, entrega de código ou envio de dados bancários, contate imediatamente a instituição financeira por um canal oficial; depois, preserve as evidências e monitore as contas relacionadas.

Por que informações corretas não provam a origem

O criminoso não precisa inventar toda a história. Nome, telefone, destino, datas ou parte de uma reserva podem sustentar uma falsa alteração de voo, cobrança de hospedagem, devolução da locadora ou oferta de reembolso. A informação correta cria familiaridade; o risco aparece no pedido seguinte: senha, cartão, código de autenticação, Pix, instalação de aplicativo ou acesso a um link externo.

O canal também não comprova a identidade. O alerta do Ministério das Comunicações informa que o phishing pode chegar por SMS, e-mail, mensageiros, redes sociais, ligações, QR Codes e páginas falsas. Urgência, ameaça de bloqueio, reembolso inesperado, pedido de credenciais e endereço diferente do oficial são sinais de fraude.

Após uma exposição, erros de português e textos genéricos deixam de ser filtros suficientes. A pergunta decisiva não é “como essa pessoa sabe disso?”, mas “esse pedido aparece no aplicativo oficial ou pode ser confirmado por um canal que eu próprio iniciei?”.

O roteiro provável para cada dado vazado

Relacione a abordagem recebida às informações que podem ter sido expostas. Os exemplos a seguir são cenários plausíveis, não a afirmação de que cada dado será necessariamente explorado:

• E-mail: pode alimentar falsos avisos de cancelamento, alteração de bilhete, pontos a expirar ou recuperação de conta. O link tende a conduzir a uma página criada para capturar senha ou cartão.
• Telefone: permite SMS, mensagens e chamadas em que o golpista se apresenta como agência, hotel, companhia aérea, locadora ou banco. A conversa pode terminar com um pedido de código recebido no celular.
• Detalhes da reserva: datas, destino, voo ou estabelecimento tornam mais plausíveis pedidos de pagamento adicional, confirmação de hóspede ou suposto reembolso.
• Placa do veículo: pode contextualizar falsas cobranças de pedágio, estacionamento, multa, seguro ou assistência. A placa correta não demonstra que a dívida existe.
• Código postal: pode personalizar histórias sobre entrega de bagagem, correspondência, cartão ou taxa vinculada ao endereço. Não forneça ao remetente os dados que faltam.

Desconfie sobretudo da combinação entre um fato verdadeiro e uma decisão imediata. Uma reserva real pode mudar, mas a solicitação legítima continuará verificável depois que você fechar a mensagem e consultar os canais da empresa.

O que fazer nos primeiros 15 minutos

1. Interrompa a interação. Não abra anexos, QR Codes ou links e não informe senha, cartão, CPF completo ou código de autenticação.
2. Confirme por outro caminho. Entre no aplicativo já instalado, digite o domínio conhecido ou use o telefone que consta no cartão, contrato ou site oficial.
3. Proteja o e-mail. Se a senha foi exposta, reutilizada ou inserida numa página duvidosa, substitua-a por uma senha exclusiva. Encerre sessões desconhecidas e confira os meios de recuperação.
4. Ative a autenticação em duas etapas. Priorize e-mail, contas de viagem, programas de fidelidade, serviços financeiros e mensageiros.
5. Guarde evidências. Preserve remetente, número, horário, texto, endereço do link e capturas de tela sem reabrir conteúdo perigoso.

O fascículo sobre vazamento hospedado pela Polícia Federal recomenda confirmar o incidente por canais oficiais, identificar os dados atingidos, trocar imediatamente senhas expostas e ativar a verificação em duas etapas. O material também alerta que vazamentos podem aumentar tentativas de phishing direcionado e extorsão, inclusive por mensagens, e-mails e ligações.

Nas próximas 24 horas

Faça um inventário das contas ligadas à viagem: e-mail, agência, companhia aérea, hotel, locadora, programa de pontos, carteira digital e banco. Substitua senhas iguais ou parecidas, revise dispositivos e sessões conectadas e verifique se telefone, e-mail de recuperação ou regras de encaminhamento foram alterados.

Se informou dados bancários, entregou um código de autenticação ou realizou uma transferência, procure imediatamente a instituição financeira. Peça orientação sobre bloqueio de cartão ou conta, conteste movimentações desconhecidas e anote os protocolos. Confirme também com a empresa de viagem se houve alteração indevida na reserva.

Não forneça mais informações a páginas que prometem revelar gratuitamente tudo o que vazou. A orientação da ANPD recomenda não responder a e-mails sobre suposta exposição nem usar sites suspeitos para verificá-la; também indica trocar credenciais afetadas, ativar o segundo fator e acompanhar contas relacionadas.

O que monitorar nos dias seguintes

Acompanhe movimentações bancárias, compras, redefinições de senha, novos dispositivos conectados e alterações na reserva. Verifique também os extratos de programas de fidelidade, pois o comprometimento dessa conta pode não produzir uma movimentação bancária imediata.

Se alguém abrir conta ou linha telefônica em seu nome, criar perfil falso, provocar prejuízo, praticar extorsão ou usar sua identidade, reúna as evidências, avise as instituições envolvidas e registre boletim de ocorrência conforme o caso. Se perder o controle de um mensageiro ou rede social, alerte seus contatos por outro canal para impedir novas abordagens em seu nome.

Mantenha a mesma regra para contatos posteriores: dados verdadeiros contextualizam a mensagem, mas não autenticam quem a enviou. A confirmação só ocorre quando a solicitação aparece no serviço oficial ou é validada por um canal independente iniciado por você.

Leia também:

• Política de IA no trabalho: o documento mínimo para proteger dados e decisões
• Mais de 100 empresas pedem reação global a ataques cibernéticos com IA
• Gemini 3.6 Flash ou Flash-Lite: pague mais só quando o erro custa caro