Por Luciano Poubel · Publicado originalmente no LinkedIn em 6 de setembro de 2026.
“Doutor, sou eu. Troquei de número.”
Falso paciente, falso médico, falso hospital, falso advogado, Pix, boleto, compartilhamento de tela e os golpes que transformam confiança em porta de entrada.
A clínica não precisa ser hackeada para sofrer um ataque. Às vezes, basta alguém convencer um funcionário, paciente ou familiar a abrir a porta.
NESTE ESPECIAL
Este artigo foi organizado para também funcionar como material de consulta. Vamos passar pelo falso paciente que diz ter trocado de número e pede nota fiscal, orçamento, exame ou relatório; pelo falso médico e falso hospital que cobram valores urgentes para exames, anestesia, medicamentos ou cirurgias; pelas formas como criminosos conseguem informações verdadeiras sobre pacientes; pela possibilidade de vazamento interno, acesso indevido de funcionário ou prestador e credenciais comprometidas; pelo controle de acesso a prontuários; pelos golpes do falso dono, falso fornecedor, boleto adulterado e mudança de conta bancária; pelo falso advogado; pelas falsas centrais bancárias, compartilhamento de tela e acesso remoto; e, principalmente, pelo que clínicas, pacientes e familiares podem fazer antes e depois de um golpe.
No final, deixarei um procedimento simples que pode ser usado pela recepção, financeiro, direção, pacientes e familiares: o Protocolo dos 30 Segundos.
10H17.
O WhatsApp da clínica recebe uma mensagem:
— Bom dia. Aqui é a Mariana. Troquei de número. Fiz um procedimento aí no mês passado e preciso da nota fiscal para pedir reembolso. Você consegue me mandar?
A recepcionista pesquisa. Mariana existe e foi atendida recentemente. A pessoa do outro lado informa nome completo, CPF, nome do médico e até a data aproximada do procedimento. Parece convincente.
A recepcionista encontra a nota. Antes de enviar, chega outra mensagem:
— Aproveita e manda também aquele orçamento que o doutor fez para o próximo procedimento.
Agora vale parar alguns segundos.
Quem está do outro lado?
Talvez seja Mariana. Talvez não.
E saber o CPF, o nome do médico e a data do atendimento não responde essa pergunta.
CONHECER OS DADOS DO PACIENTE NÃO PROVA QUE A PESSOA SEJA O PACIENTE
Essa talvez seja a primeira regra deste artigo.
Durante muito tempo, informações como CPF, data de nascimento e endereço foram usadas como se também servissem para provar identidade. O problema é que essas informações circulam. Podem aparecer em vazamentos antigos, bases ilícitas, documentos, redes sociais, processos, cadastros ou serem obtidas por engenharia social.
Portanto, conhecer informações sobre uma pessoa não significa ser aquela pessoa.
Se alguém procura a clínica por um número diferente do cadastrado e solicita documento contendo informações sensíveis, isso merece uma etapa adicional de verificação. Não porque todo número novo seja fraude, mas porque a mudança do canal altera o nível de confiança daquela comunicação.
“MAS É SÓ UMA NOTA FISCAL”
Talvez não seja.
Imagine uma nota que revele uma consulta psiquiátrica, um procedimento de reprodução assistida, um tratamento oncológico, uma cirurgia bariátrica ou um exame genético. Um documento aparentemente financeiro também pode revelar informação de saúde.
O mesmo vale para orçamento, recibo, relatório, pedido médico, resultado de exame ou confirmação de agendamento. Em algumas situações, até responder “sim, fulano é nosso paciente” já confirma uma informação que não deveria ser entregue indiscriminadamente.
A LGPD classifica dados referentes à saúde como dados pessoais sensíveis.
A pergunta da recepção, portanto, não deveria ser apenas “achei o documento, posso enviar?”, mas:
“Tenho segurança suficiente de que estou enviando para a pessoa certa?”
CRIE UMA REGRA PARA O “NÚMERO NOVO”
Esse problema não deveria ser resolvido pela criatividade de cada recepcionista.
A clínica precisa estabelecer antecipadamente como validar pedidos provenientes de contatos diferentes dos cadastrados. Sempre que possível, pode retornar pelo telefone anteriormente registrado ou utilizar outro mecanismo de autenticação previamente definido.
O que não funciona muito bem é o criminoso informar CPF e data de nascimento e a clínica responder:
— Para confirmar sua identidade, informe seu CPF e sua data de nascimento.
A clínica apenas pediu novamente os dados que ele já possuía.
Há outro cuidado importante: não entregue novas informações durante a tentativa de confirmar identidade. Perguntar “é sobre sua consulta com o doutor Paulo?” pode revelar ao fraudador justamente aquilo que ele ainda não sabia.
EM OUTRO LUGAR, O TELEFONE TOCA
Desta vez é a filha de um paciente internado.
— Boa tarde. Aqui é o médico responsável pelo seu pai.
A voz é tranquila. O homem sabe o nome do paciente, o hospital e talvez até o exame realizado. Depois muda o tom:
— Tivemos uma intercorrência. Precisaremos fazer um exame complementar com urgência. O plano não autorizou e não podemos esperar.
A filha entra em pânico:
— O que preciso fazer?
— O hospital consegue viabilizar. Vou mandar a chave Pix.
O criminoso não precisou quebrar uma senha bancária. Explorou algo muito mais poderoso naquele momento: o medo de perder alguém.
O GOLPE DO FALSO MÉDICO E DO FALSO EXAME É REAL
Em 24 de junho de 2026, a Polícia Civil do Paraná cumpriu mandados em investigação sobre uma organização criminosa ligada ao chamado “golpe do falso exame”. Segundo a polícia, criminosos abordavam familiares após exames ou procedimentos, utilizavam informações reais dos pacientes e alegavam necessidade urgente de pagamento para exames, medicamentos ou outros procedimentos. A investigação também buscava esclarecer a origem das informações utilizadas pelos fraudadores.
Um mês depois, em 23 de julho de 2026, o Complexo Hospitalar da UFRJ publicou alerta sobre criminosos que se passavam por médicos ou funcionários para cobrar familiares de pacientes internados. Por se tratar de unidade do SUS, a instituição reforçou que não solicita pagamentos por telefone, WhatsApp, Pix ou transferência.
Esses episódios mostram por que o problema merece atenção especial na saúde. Quanto mais informações verdadeiras o criminoso apresenta, menos a fraude parece fraude.
“ELES SABIAM TUDO. ENTÃO ALGUÉM DA CLÍNICA PASSOU OS DADOS.”
Pode ter acontecido. Mas essa conclusão não pode ser automática.
Quando um golpista conhece informações verdadeiras, precisamos descobrir quais informações exatamente ele conhecia. Nome e CPF são diferentes de saber o hospital, o número do quarto, o médico responsável, o procedimento realizado, um resultado ou determinado medicamento.
Os detalhes importam porque podem apontar para origens diferentes.
COMO O CRIMINOSO PODE CONSEGUIR ESSAS INFORMAÇÕES?
Dados cadastrais podem vir de vazamentos anteriores, bases ilícitas ou documentos. Redes sociais podem revelar que alguém está internado, qual hospital frequenta e até informações presentes em fotografias de pulseiras, crachás ou documentos.
Há também a engenharia social contra a própria vítima. O criminoso diz “é sobre o exame do seu pai” e a pessoa responde “a tomografia?”. Pronto: agora ele sabe qual exame foi feito. A partir daí, começa a incorporar as informações fornecidas pela própria vítima e, poucos minutos depois, parece saber tudo.
Existem ainda situações tecnicamente mais graves: credenciais capturadas por phishing; computadores comprometidos por malware; contas antigas que continuam ativas; prestadores externos com acesso excessivo; usuários compartilhando a mesma senha; sistemas sem registros adequados de acesso; ou pessoas autorizadas utilizando informações de forma indevida.
E, sim, pode haver alguém de dentro fornecendo dados deliberadamente. Essa possibilidade não deve ser ignorada. Também não deve ser presumida sem prova.
SE HÁ SUSPEITA DE ALGUÉM DE DENTRO, INVESTIGUE. NÃO ACUSE.
Imagine que três famílias diferentes relatem golpes nos quais os criminosos conheciam detalhes de procedimentos realizados na clínica. É razoável investigar.
A pergunta não é “qual funcionário fez isso?”. As primeiras perguntas deveriam ser: quem possuía acesso às informações? Quais usuários consultaram esses registros? Em quais horários? Houve consultas incompatíveis com a função? Algum arquivo foi exportado? Existem acessos em massa? Houve login incomum? Prestadores também tinham acesso? Os usuários são individualizados ou todos compartilham a mesma conta?
A ANPD recomenda que contas e senhas não sejam compartilhadas e trabalha com a lógica do menor privilégio: cada usuário deve acessar somente aquilo de que necessita para exercer sua função.
Essa regra reduz riscos e também ajuda na investigação.
A RECEPÇÃO PRECISA VER O PRONTUÁRIO INTEIRO?
Talvez não.
O financeiro precisa conhecer o valor devido pelo paciente, mas precisa necessariamente visualizar o diagnóstico? A recepção precisa confirmar horário, profissional e dados cadastrais, mas precisa acessar toda a evolução clínica? Um estagiário precisa visualizar todos os prontuários existentes desde a abertura da clínica?
Não existe uma resposta idêntica para todas as organizações. O princípio é mais importante:
acesso deveria existir por necessidade funcional, não porque é mais fácil deixar tudo liberado.
Controle de acesso envolve identificar quem entrou, definir o que aquela pessoa pode fazer e registrar as ações relevantes. É nesse ponto que os logs deixam de parecer apenas uma preocupação de TI.
Eles servem para reconstruir fatos.
UM CASO DE AGOSTO DE 2026 MOSTRA O TAMANHO DO PROBLEMA
Em 21 de agosto de 2026, a 2ª Turma Recursal dos Juizados Especiais do Distrito Federal manteve condenação do Hospital Brasília Unidade Águas Claras e da Dasa ao ressarcimento de R$ 10.311,02 perdidos por uma paciente de 83 anos em fraude.
Segundo o TJDFT, os criminosos possuíam informações específicas, como o nome da paciente, o procedimento realizado e a identificação do laboratório. No caso concreto, o colegiado considerou relevante a especificidade dos dados utilizados e destacou que as empresas não demonstraram adequadamente que as informações tinham sido obtidas por fonte alheia aos seus sistemas.
Isso não significa que toda fraude sofrida por paciente gere automaticamente responsabilidade para clínica ou hospital. Seria uma generalização incorreta.
A lição é outra: quando o criminoso conhece informações médicas específicas que estavam sob guarda da instituição, a origem desses dados pode se tornar uma questão central.
SEGURANÇA NÃO É APENAS IMPEDIR QUE ALGUÉM ENTRE
Em julho de 2026, a ANPD instaurou processo sancionador relacionado a ataque cibernético que afetou registros de aproximadamente 500 mil pacientes de unidades de saúde. Segundo a Autoridade, os registros envolviam informações de identificação e dados sensíveis, como prontuários, prescrições, internações, diagnósticos, exames e procedimentos.
O caso ajuda a desmontar uma ideia comum:
— Minha clínica é pequena. Quem iria querer meus dados?
O criminoso talvez não queira “a clínica”. Pode querer credenciais, números de telefone, contas bancárias, dados de pacientes ou simplesmente a confiança associada ao nome daquela instituição.
O FUNCIONÁRIO SAIU. OS ACESSOS SAÍRAM JUNTO?
No último dia de trabalho deveriam ocorrer duas despedidas: da pessoa e das credenciais.
E-mail, sistema clínico, WhatsApp Business, Drive, VPN, pastas compartilhadas, sistemas financeiros e plataformas de fornecedores precisam entrar no procedimento de desligamento.
Revogar acesso não significa considerar o ex-empregado desonesto.
É apenas segurança básica.
O PACIENTE TAMBÉM PRECISA SER PREPARADO
Esse talvez seja um dos pontos mais importantes de prevenção.
Quando uma pessoa realiza cirurgia, internação ou tratamento mais complexo, ela e sua família já poderiam receber uma orientação simples:
“Se alguém usar o nome da clínica, do hospital ou do médico para solicitar um pagamento inesperado, não realize a transferência antes de confirmar a cobrança pelos canais oficiais.”
Também é importante informar como a instituição realiza cobranças, se utiliza Pix, quem pode cobrar valores, se existem honorários separados e qual telefone deve ser utilizado para confirmar um pedido inesperado.
Isso reduz uma matéria-prima importante do golpista: a surpresa.
“HOSPITAL NUNCA COBRA POR WHATSAPP” NÃO É UMA REGRA UNIVERSAL
Em instituições do SUS, pedidos de pagamento por cirurgia, exame ou medicamento devem gerar imediata desconfiança, porque o serviço público não pode cobrar diretamente do paciente pelos procedimentos oferecidos.
No setor privado, porém, a realidade pode envolver honorários separados, anestesista, laboratório, coparticipação, materiais ou serviços não cobertos.
Por isso, a orientação não deveria ser “qualquer cobrança extra é golpe”.
Deveria ser:
“Qualquer cobrança inesperada precisa ser confirmada pelo canal oficial antes do pagamento.”
Se haverá honorário separado de anestesia, por exemplo, informar isso previamente ajuda a reduzir o espaço para fraude.
O GOLPISTA QUER QUE VOCÊ NÃO TENHA TEMPO DE CONFERIR
Observe os golpes: “seu pai precisa do exame agora”, “a cirurgia depende do pagamento”, “sua conta está sendo invadida”, “o boleto vence hoje”, “o diretor está entrando em reunião”, “saiu o dinheiro do processo, mas falta uma taxa”.
A urgência possui uma função: impedir a verificação.
Por isso, uma das melhores regras de segurança parece contraditória:
Quanto mais urgente for um pedido inesperado de dinheiro, documento, senha ou acesso, maior deve ser a necessidade de confirmá-lo.
“DOUTOR, SOU EU. ESSE É MEU NÚMERO NOVO.”
Agora o alvo é o financeiro da clínica.
A fotografia do proprietário aparece no WhatsApp:
— Troquei meu número particular.
Minutos depois:
— Preciso que faça um Pix para um fornecedor. Estou entrando em reunião. Faz agora para mim.
Reconhecer fotografia, nome e forma de escrever não é autenticação.
Com inteligência artificial, até áudio e vídeo podem ser manipulados para imitar pessoas conhecidas. Portanto, mudança de número + pedido financeiro + urgência deve provocar automaticamente uma segunda verificação.
Inclusive quando aparentemente é o dono da clínica quem está pedindo.
O FORNECEDOR “MUDOU A CONTA”
O e-mail parece normal. Fornecedor verdadeiro, número da nota correto, valor esperado e assinatura conhecida.
Há apenas uma novidade:
— Nossos dados bancários foram alterados.
O financeiro atualiza o cadastro e paga.
Dias depois, o fornecedor verdadeiro cobra a fatura.
Uma regra interna bastante simples reduz esse risco:
mudança de dados bancários deve ser confirmada por um canal independente e previamente conhecido.
Recebeu a mudança por e-mail? Telefone para o contato que você já tinha antes da mensagem.
Não utilize justamente o número informado no próprio e-mail suspeito para confirmar a autenticidade do e-mail.
O BOLETO PARECE PERFEITO
Logotipo, valor, descrição e código podem estar corretos.
A conferência, porém, não termina no PDF.
Termina quando o aplicativo bancário informa quem efetivamente receberá o dinheiro.
Confira o beneficiário.
O mesmo cuidado vale para QR Codes. Um documento bonito não transforma automaticamente aquele código em um destino seguro.
“SOU DA SEGURANÇA DO BANCO. NÃO DESLIGUE.”
A falsa central começa com uma ameaça:
— Detectamos movimentação suspeita na conta da clínica.
O funcionário quer proteger o dinheiro. O criminoso oferece ajuda:
— Entre no aplicativo. Vou mandar um link. Instale nossa ferramenta. Compartilhe sua tela. Não desligue.
Nesse momento, a tentativa de impedir o golpe pode entregar justamente o acesso que faltava ao fraudador.
A regra interna deve ser clara:
nenhum funcionário instala aplicativo, concede acesso remoto ou compartilha tela por orientação recebida em uma ligação inesperada.
Desligue. Acesse o aplicativo oficial ou entre em contato com o banco pelo canal previamente conhecido.
COMPARTILHAR A TELA NÃO É “SÓ MOSTRAR UMA COISA”
Pense no telefone do dono da clínica: WhatsApp, e-mail, aplicativo bancário, documentos, sistema clínico, conversas com contador e advogado, autenticações e talvez informações sobre pacientes.
Ao compartilhar a tela, a pessoa pode acreditar que está mostrando apenas uma transação.
Pode estar expondo um ecossistema inteiro.
Por isso, compartilhamento de tela precisa ser tratado como concessão de acesso.
“DOUTOR, SAIU O DINHEIRO DA AÇÃO”
O golpe do falso advogado merece atenção especial.
O criminoso pode possuir o nome verdadeiro do advogado, fotografia, número real do processo, nomes das partes, uma decisão verdadeira e um valor plausível. Depois introduz apenas a informação falsa:
— Precisamos pagar uma taxa para liberar o dinheiro.
A OAB criou o ConfirmADV justamente para auxiliar na verificação da identidade profissional diante da proliferação desses golpes.
Mas existe uma regra ainda mais simples:
não confirme seu advogado pelo número novo que acabou de dizer que é seu advogado.
Use o telefone que já estava salvo, o contato do escritório, o contrato, o site oficial ou outro canal independente.
Informação verdadeira pode estar dentro de uma história falsa.
“SEGUE A NOTA FISCAL”
O arquivo chega à recepção.
Parece apenas mais uma tarefa de trabalho.
E talvez seja exatamente por isso que funcione.
Nota fiscal, currículo, comprovante, orçamento, resultado, documento ou atualização cadastral podem ser utilizados como isca.
Dizer simplesmente “não clique em arquivos suspeitos” ajuda pouco.
O golpe eficiente é justamente aquele que parece fazer parte da rotina.
A equipe precisa aprender a observar origem da mensagem, domínio, extensão do arquivo, mudança de comportamento do remetente, urgência e pedidos fora do padrão.
A CLÍNICA NÃO DEVE INVENTAR SUA POLÍTICA DE SEGURANÇA DURANTE O GOLPE
Voltemos à recepcionista:
— Aqui é Mariana. Troquei de número.
Ela pergunta à colega se pode enviar a nota. A colega diz que acha que sim. A gerente sugere pedir CPF. O médico está atendendo. Ninguém sabe qual é o procedimento.
Essa cena revela uma vulnerabilidade antes mesmo de qualquer vazamento:
a equipe não sabe o que fazer.
Treinamento não serve apenas para ensinar “não faça”.
Precisa ensinar:
“quando acontecer, faça assim.”
SE O GOLPE JÁ ACONTECEU, A PRIORIDADE MUDA
Não desperdice os primeiros minutos discutindo quem teve culpa.
Primeiro tente conter o dano.
Se houve Pix fraudulento, entre imediatamente em contato com a instituição financeira. O Banco Central orienta a solicitação do Mecanismo Especial de Devolução — MED — quando cabível, além do registro de boletim de ocorrência.
O MED não garante recuperação integral, mas pode aumentar as possibilidades de bloqueio e devolução de valores ainda disponíveis.
Preserve prints, números utilizados, horários, áudios, chaves Pix, dados do beneficiário, e-mails, links, arquivos, comprovantes e a sequência dos acontecimentos.
SE HOUVE COMPARTILHAMENTO DE TELA OU ACESSO REMOTO
Encerre o acesso, utilize outro dispositivo confiável quando necessário, altere credenciais potencialmente comprometidas, revogue sessões, verifique operações financeiras e acione a equipe técnica.
Não continue executando instruções daquele interlocutor simplesmente porque ele afirma estar “corrigindo” a situação.
E SE HOUVER SUSPEITA DE VAZAMENTO NA CLÍNICA?
A resposta precisa ocorrer em duas frentes.
Primeiro, conter: bloquear credenciais comprometidas, revogar acessos, preservar logs, isolar tecnicamente equipamentos quando indicado e acionar fornecedores dos sistemas.
Depois, investigar: quais dados foram afetados? Quais pacientes? Houve apenas visualização ou também cópia, exportação ou compartilhamento? Por quanto tempo? Qual credencial foi utilizada? Há indício de phishing, malware, conta compartilhada, acesso interno indevido ou fornecedor comprometido?
Só depois dessas respostas é possível dimensionar corretamente o incidente.
QUANDO A LGPD EXIGE COMUNICAÇÃO?
Nem todo problema de segurança precisa automaticamente ser comunicado à ANPD.
Segundo a regulamentação vigente, a comunicação é necessária quando houver incidente confirmado envolvendo dados pessoais que possa acarretar risco ou dano relevante aos titulares.
Na análise entram fatores como a natureza e a quantidade de dados, perfil das pessoas afetadas, possíveis danos e medidas de mitigação. Dados de saúde e situações envolvendo pessoas vulneráveis merecem atenção especial.
Quando a comunicação for obrigatória, a Resolução CD/ANPD nº 15/2024 estabelece prazo de três dias úteis para comunicação à ANPD e aos titulares, ressalvada legislação específica.
Portanto, detectar uma suspeita não significa disparar automaticamente uma mensagem dizendo que todos os prontuários vazaram.
Significa iniciar imediatamente uma resposta organizada para descobrir o que realmente ocorreu.
AVISAR O PACIENTE TAMBÉM PODE SER UMA MEDIDA DE SEGURANÇA
Imagine que a clínica descubra acesso indevido a nomes, telefones e informações sobre procedimentos.
Esses pacientes podem se tornar alvos de falso médico, falso hospital, falso laboratório ou falsas cobranças.
Quando a comunicação é juridicamente necessária, ela não serve apenas para admitir um incidente.
Permite que o próprio paciente se proteja do golpe seguinte.
O PACIENTE SUSPEITA QUE SEUS DADOS VAZARAM. O QUE FAZER?
Primeiro, preserve a abordagem recebida. Guarde mensagens, números, áudios, chaves Pix e identifique quais informações o criminoso possuía antes de você começar a conversar.
Depois, procure a clínica, hospital ou laboratório pelos canais oficiais. Relate o episódio, peça protocolo e pergunte se há incidente identificado.
Havendo indício de crime ou tentativa de fraude, registre ocorrência policial.
Se houver problema relacionado ao tratamento de dados ou dificuldade para exercer direitos perante o controlador, existem ainda os canais da ANPD.
O importante é não confundir funções: banco, Polícia Civil, clínica e ANPD podem atuar em partes diferentes do mesmo episódio.
ONDE DENUNCIAR?
Se houve fraude financeira, comunique imediatamente o banco.
Se houve Pix, verifique o MED.
Se existe crime ou tentativa de fraude, preserve as provas e procure a Polícia Civil.
Se alguém utilizou indevidamente o nome de uma clínica ou hospital, avise também a instituição verdadeira.
No falso advogado, confirme a identidade com o profissional verdadeiro, preserve as provas e registre ocorrência.
Quando houver questão de proteção de dados, procure inicialmente o controlador e, conforme o caso, utilize os canais da ANPD.
Banco não substitui polícia. Polícia não substitui ANPD. ANPD não substitui a clínica.
Algumas situações exigirão mais de uma providência.
PREPARE O PACIENTE ANTES DE ELE VIRAR ALVO
Uma clínica pode incluir em orientações pré-operatórias, mensagens de confirmação ou documentos algo simples:
ATENÇÃO A FRAUDES
“Caso você ou um familiar receba pedido inesperado de pagamento utilizando o nome da clínica, do hospital, de médico ou de outro profissional, não realize a transferência antes de confirmar a cobrança pelos nossos canais oficiais.”
Também pode informar quais são esses canais, como são realizadas as cobranças, quando pode haver honorários separados e como confirmar um Pix.
Não é preciso assustar o paciente.
É preciso dar a ele um caminho seguro.
FAÇA CINCO TESTES NA SUA CLÍNICA
Na segunda-feira, pergunte à recepção o que faria se alguém pedisse um prontuário usando número novo. Pergunte ao financeiro como reagiria se recebesse uma mensagem sua, de outro telefone, pedindo R$ 8 mil via Pix. Pergunte ao responsável pelo sistema se consegue descobrir quem abriu determinado prontuário ontem às 16h23. Pergunte à administração quem desativa os acessos de uma funcionária que saiu hoje. E pergunte à direção quem coordena a resposta se amanhã houver exposição de dados de cem pacientes.
Se as respostas forem “não sei”, “nunca pensamos nisso” ou “acho que…”, você acabou de encontrar vulnerabilidades sem precisar esperar pelo golpe.
O PROTOCOLO DOS 30 SEGUNDOS
Antes de entregar dinheiro, documento, informação, senha ou acesso, pare por trinta segundos e faça cinco perguntas:
Quem está pedindo? Não quem a pessoa afirma ser, mas quem você conseguiu confirmar que ela é.
Esse pedido faz parte da rotina? Esse médico cobra assim? Esse fornecedor usa essa conta? Esse paciente normalmente recebe documentos por esse canal?
O que mudou? Novo telefone, novo e-mail, nova conta, novo beneficiário, nova chave Pix ou novo aplicativo merecem atenção.
Posso confirmar por um canal independente que eu já conhecia antes desta mensagem? Essa talvez seja a pergunta mais importante.
O que acontece se eu esperar dois minutos para verificar? Se o interlocutor disser que não pode esperar, o nível de atenção deveria aumentar.
NO FINAL DA TARDE
A recepcionista volta à primeira mensagem.
— Aqui é Mariana. Troquei de número.
Desta vez ela não envia a nota.
Segue o procedimento de confirmação.
Pouco depois descobre que Mariana não havia trocado de telefone.
Alguém possuía seu nome, CPF, nome do médico e informações suficientes para saber que havia sido atendida recentemente.
Nenhum documento foi enviado.
Nenhum dinheiro foi perdido.
Mas agora surgiu outra pergunta:
de onde vieram aquelas informações?
A clínica preserva a mensagem, fala com Mariana pelo contato verdadeiro, verifica os sistemas, analisa acessos e procura episódios semelhantes.
Porque evitar o Pix ou impedir o envio de um documento não encerra necessariamente o problema.
Às vezes, a tentativa de golpe é o primeiro sinal de algo maior.
ANTES DE SEGUNDA-FEIRA
Se eu pudesse deixar uma única orientação para clínicas, pacientes e familiares, seria esta:
não permita que a urgência de outra pessoa elimine o seu direito de confirmar.
Disse que é o médico? Confirme. Hospital? Confirme. Paciente? Confirme. Advogado? Confirme. Banco? Confirme. Dono da clínica? Confirme.
Disse que a cirurgia depende daquele Pix?
Confirme ainda mais.
Desconfiar não significa tratar todo mundo como criminoso. Significa reconhecer que nome verdadeiro, fotografia verdadeira, CPF verdadeiro, processo verdadeiro e até uma voz aparentemente verdadeira podem ser utilizados dentro de uma fraude.
O criminoso não precisa destruir a confiança.
Precisa imitá-la.
Talvez a segurança comece justamente aí:
identidade não se prova porque alguém conhece o seu nome.
E, muitas vezes, os trinta segundos gastos dizendo
— Só um instante. Vou confirmar.
são tudo o que separa uma conversa comum de um boletim de ocorrência.
REFERÊNCIAS PRINCIPAIS
Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.
Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança.
ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.
Polícia Civil do Paraná — investigação do “golpe do falso exame”, 24 de junho de 2026.
TJDFT — Processo nº 0722745-27.2025.8.07.0020, decisão divulgada em 21 de agosto de 2026.
Banco Central do Brasil — orientações sobre golpes envolvendo Pix e Mecanismo Especial de Devolução.
OAB — ConfirmADV e medidas de enfrentamento ao golpe do falso advogado.
Anatel — orientações sobre falsa central, engenharia social, acesso ao dispositivo e fraudes com deepfakes.
Aviso: este artigo possui finalidade informativa e preventiva. A existência de dados pessoais ou médicos em poder de criminosos não permite, isoladamente, afirmar a origem das informações ou atribuir responsabilidade a pessoa ou instituição específica. Casos concretos exigem investigação técnica e jurídica das circunstâncias e evidências disponíveis.