Por que Engenharia Social Encontra Terreno Fértil no Brasil

O crime patrimonial brasileiro atravessa uma transformação estrutural sem precedentes. O que antes exigia presença física e exposição ao risco — o assalto a transeuntes, a investida contra agências bancárias — migrou massivamente para o ambiente digital. Não se trata apenas de uma mudança de cenário operacional, mas de uma completa reconfiguração da economia criminosa, na qual a informação tornou-se o ativo mais valioso e a manipulação psicológica, a principal ferramenta de execução. Dados do primeiro semestre de 2025 indicam crescimento de 56% no volume geral de tentativas de fraude em comparação ao mesmo período do ano anterior, com golpes baseados em engenharia social — como a falsa central de atendimento — dobrando de frequência.

O presente artigo propõe uma análise que transcende a descrição operacional dessas fraudes. A tese central é que o ambiente institucional brasileiro, caracterizado pela tensão histórica entre normas universais e relações pessoais, cria vulnerabilidades sistêmicas que o ecossistema criminoso explora com notável eficiência. As mesmas características que produziram o "jeitinho" como mecanismo de navegação social alimentam, por outra via, a eficácia da engenharia social como técnica de fraude.

A cadeia de suprimentos do crime digital

Para compreender a vulnerabilidade institucional, é necessário primeiro mapear a infraestrutura que sustenta as fraudes contemporâneas. O fraudador moderno não opera isoladamente; ele é um elo em uma cadeia produtiva complexa que envolve vendedores de dados, desenvolvedores de malware, falsificadores de documentos e recrutadores de contas bancárias intermediárias.

A matéria-prima dessa cadeia são os dados pessoais. O aplicativo Telegram consolidou-se como principal marketplace para o comércio ilegal dessas informações no Brasil. Investigações de segurança digital revelam grupos com milhares de membros onde dados pessoais e bancários de brasileiros são comercializados abertamente. O funcionamento é trivial: o criminoso adquire créditos ou paga assinatura mensal e ganha acesso a um robô automatizado que, mediante a inserção de um CPF, retorna um dossiê completo da vítima — nome, filiação, endereço, histórico de telefones, score de crédito, renda presumida e, em casos mais graves, até a agência e conta bancária onde o alvo recebe salário. O custo de acesso a essas informações varia entre R$ 20 e R$ 40 por pacotes de consultas, ou é oferecido gratuitamente em troca de novos membros convidados para o grupo, criando efeito viral de disseminação.

A persistência desses painéis sugere que são alimentados por vazamentos contínuos de instituições públicas e privadas. Brechas em gateways de pagamento, sistemas de telecomunicações e bases governamentais contribuem para esse repositório criminoso. A venda de credenciais de acesso corporativo na Dark Web também facilita que criminosos acessem infraestruturas internas de empresas para exfiltrar novos dados, mantendo os painéis atualizados.

Paralelamente aos dados estáticos, os trojans bancários fornecem acesso dinâmico e credenciais de transação em tempo real. O Brasil destaca-se no cenário global como desenvolvedor e exportador dessas ferramentas, com famílias de malware como Grandoreiro e Mekotio que evoluíram ao longo de décadas para atacar especificamente os sistemas de segurança dos bancos locais. Operações policiais internacionais, com apoio da Interpol, estimam que apenas o Grandoreiro tenha causado prejuízos superiores a 3,5 milhões de euros, com potencial para centenas de milhões — evidenciando a escala transnacional do cibercrime brasileiro, que agora exporta ataques para Portugal, Espanha e México.

O dilema institucional como vetor de vulnerabilidade

A posse dos dados, contudo, não garante o sucesso financeiro do crime. É necessário convencer a vítima a entregar o dinheiro ou autorizar a transação. É neste ponto que o contexto institucional brasileiro se torna analiticamente relevante.

O antropólogo Roberto DaMatta, em sua análise do dilema brasileiro, identificou uma tensão estrutural entre dois sistemas que coexistem de forma conflituosa: de um lado, um esqueleto nacional feito de leis universais cujo sujeito é o indivíduo; de outro, situações onde cada qual se resolve como pode, utilizando seu sistema de relações pessoais. O resultado é uma sociedade dividida entre o indivíduo — sujeito das leis universais que modernizam a sociedade — e a pessoa — sujeito das relações sociais que conduz ao polo tradicional do sistema. Entre os dois, o "jeitinho" e outros mecanismos de mediação surgem como modos de enfrentar essas contradições.

Essa configuração institucional produz consequências específicas para a segurança digital. A primeira é uma desconfiança estrutural nas instituições formais. Quando a lei é percebida como instrumento que "raramente é vista como lei, isto é, como regra imparcial", conforme observou DaMatta, a credibilidade de comunicações institucionais genuínas é corroída. O cidadão brasileiro desenvolveu, historicamente, ceticismo em relação a canais oficiais — mas, paradoxalmente, esse mesmo ceticismo não se aplica quando o contato assume características pessoais.

A segunda consequência é a eficácia desproporcional da autoridade pessoalizada. O golpe da falsa central de atendimento ilustra esse mecanismo com precisão. O criminoso não se apresenta como sistema automatizado impessoal, mas como atendente que conhece dados íntimos da vítima — CPF, nome completo, últimos dígitos do cartão. Essa confirmação de dados reais serve para desarmar a desconfiança, técnica conhecida como pretexting. O falso atendente opera na lógica das relações pessoais: ele "conhece" a vítima, demonstra preocupação individualizada, oferece solução personalizada. O viés de autoridade — tão explorado pela engenharia social em qualquer contexto — encontra no Brasil um terreno particularmente receptivo porque a autoridade pessoalizada sempre teve mais peso que a norma impessoal.

A terceira consequência diz respeito à racionalização. Estudos sobre comportamento fraudulento identificam três elementos clássicos que permitem a fraude ocupacional: pressão, oportunidade e racionalização. No contexto brasileiro, a racionalização encontra apoio em um ambiente onde contornar regras formais é, em alguma medida, normalizado. Se o "jeitinho" é socialmente aceito como forma de resolver impasses entre a norma e a realidade, a fronteira entre adaptação legítima e transgressão torna-se difusa — tanto para quem comete fraudes internas quanto para quem, inadvertidamente, colabora com fraudadores externos por acreditar estar "resolvendo um problema" fora dos canais burocráticos.

Implicações para a gestão de riscos corporativos

A análise institucional não é mero exercício acadêmico; ela tem consequências práticas para o desenho de controles antifraude. Se as defesas tecnológicas — biometria, autenticação multifator, inteligência artificial para detecção de anomalias — são necessárias, elas são insuficientes quando o vetor de ataque explora características culturais que a tecnologia não alcança.

A primeira implicação é que programas de conscientização precisam ir além da cartilha genérica de segurança cibernética. Treinamentos eficazes devem abordar especificamente os gatilhos psicológicos que funcionam no contexto brasileiro: a tendência a confiar em quem demonstra conhecimento pessoal, a dificuldade de recusar "ajuda" oferecida por figuras de autoridade, a inclinação a resolver problemas por vias informais quando os canais oficiais parecem burocráticos ou ineficientes. A educação deve criar o hábito de "desligar e retornar para o canal oficial" como mantra de segurança, reconhecendo que essa prática contraria impulsos culturalmente arraigados.

A segunda implicação concerne aos controles internos. Pesquisas sobre fraude ocupacional demonstram que a oportunidade — definida como fraqueza no sistema onde o colaborador tem chance, poder e capacidade para explorar — possui relação inversa com a eficácia dos controles. Controles fracos significam que o risco de cometer fraude e ser detectado é baixo. Todavia, em ambientes onde relações pessoais podem contornar procedimentos formais, mesmo controles bem desenhados podem ser neutralizados. A segregação de funções, por exemplo, perde eficácia quando a confiança interpessoal substitui a verificação documental. A consequência é que organizações brasileiras precisam calibrar seus controles considerando não apenas riscos técnicos, mas também a propensão cultural a resolver questões "entre pessoas" em vez de "entre processos".

A terceira implicação refere-se ao monitoramento de contas e transações. O Pix, sistema de pagamentos instantâneos do Banco Central, atuou como catalisador para a velocidade das fraudes. Se antes o estelionatário dependia de boletos com compensação em dias ou TEDs restritas a horários comerciais, o Pix permitiu a liquidação financeira em segundos, 24 horas por dia. Criminosos utilizam softwares de automação para pulverizar recursos por cadeias de contas intermediárias antes que qualquer bloqueio cautelar possa ser processado. Ferramentas como o Registrato — que permite ao cidadão consultar todas as chaves Pix e contas bancárias abertas em seu CPF — e o BC Protege+ -serviço onde o cidadão comunica ao sistema financeiro que não pretende abrir contas nem ser incluído como titular em contas de terceiros — tornam-se essenciais para detecção precoce de contas abertas fraudulentamente com dados roubados.

Considerações finais

A análise desenvolvida neste artigo não pretende sugerir que brasileiros são mais suscetíveis a fraudes por razões culturais essencializadas. Essa seria uma leitura equivocada. O argumento é institucional, não culturalista: determinadas configurações entre normas formais e práticas sociais criam vulnerabilidades específicas que podem ser identificadas, compreendidas e, dentro de certos limites, mitigadas.

O ecossistema criminoso brasileiro alcançou escala industrial precisamente porque explora, com sofisticação, as fissuras entre o sistema legal formal e as práticas sociais efetivas. Compreender essa dinâmica é condição para desenvolver defesas que não sejam apenas tecnicamente robustas, mas institucionalmente calibradas. O desafio para profissionais de gestão de riscos, compliance e investigação corporativa é incorporar essa dimensão analítica em seus diagnósticos e intervenções — notadamente em treinamentos corporativos -, reconhecendo que a prevenção de fraudes no Brasil exige algo além da importação de manuais desenvolvidos para contextos institucionais distintos.

Afinal, se o fraudador brasileiro aprendeu a navegar entre a lei e a relação pessoal, a defesa eficaz também precisará operar nessa zona de mediação — não para reproduzir suas ambiguidades, mas para neutralizá-las.

Referências

AGÊNCIA BRASIL. BC aumenta combate a contas laranjas para reforçar segurança do Pix. Disponível em: https://agenciabrasil.ebc.com.br. Acesso em: jan. 2026.

AARB. Dados bancários de brasileiros são vendidos em grupo no Telegram. Disponível em: https://aarb.org.br. Acesso em: jan. 2026.

CNN BRASIL. Fraudes bancárias crescem 220% no 1º semestre, diz relatório. Disponível em: https://www.cnnbrasil.com.br. Acesso em: jan. 2026.

DAMATTA, Roberto. Carnavais, malandros e heróis: para uma sociologia do dilema brasileiro. Rio de Janeiro: Rocco, 1997.

DAMATTA, Roberto. O que faz o brasil, Brasil? Rio de Janeiro: Rocco, 1986.

FEBRABAN. Golpe da Falsa Venda é o mais aplicado contra clientes bancários no 1º semestre do ano. Disponível em: https://portal.febraban.org.br. Acesso em: jan. 2026.

FÓRUM BRASILEIRO DE SEGURANÇA PÚBLICA. Anuário Brasileiro de Segurança Pública, 19ª edição, 2025. Disponível em: https://forumseguranca.org.br. Acesso em: jan. 2026.

INTERPOL. Disrupting a Grandoreiro malware operation. Disponível em: https://www.interpol.int. Acesso em: jan. 2026.

KASPERSKY. Kaspersky reveals the dark web threats targeting Brazilian businesses. Disponível em: https://www.kaspersky.com. Acesso em: jan. 2026.

NÚCLEA. Conta laranja: entenda sobre esse tipo de fraude. Disponível em: https://www.nuclea.com.br. Acesso em: jan. 2026.

SENADO FEDERAL. Aumentam casos de estelionato digital. Disponível em: https://www12.senado.leg.br. Acesso em: jan. 2026.

Adriel Santana é sócio fundador do escritório ASM. Esse artigo foi publicado originalmente em seu perfil no Linkedin.