Na última Black Friday, a Redbelt Security contou 5.125 páginas fraudulentas novas no Brasil entre 1º e 24 de novembro. Na semana de 15 a 21, foram 2.423, uma página nova a cada quatro minutos. No dia 10 de novembro, o pico chegou a 286 domínios novos. As páginas copiavam o visual de grandes varejistas, companhias aéreas, marketplaces e plataformas de viagem.
Às vésperas da data, a ESET apontou lojas falsas imitando Havan e Shopee, com descontos de até 70% e pagamento só por Pix. Um mês antes, a Check Point tinha registrado 1.519 domínios novos imitando grandes marketplaces.
A Black Friday de 2026 cai em 27 de novembro. Daqui a sete semanas, a fábrica estará funcionando de novo. E a pergunta que quero discutir aqui não é a do consumidor. É a da empresa: o que fazer quando o golpe roda com o seu nome?
O prejuízo não fica só com quem pagou
A empresa costuma tratar a loja falsa como problema do cliente enganado. Ele que conferisse o endereço do site. Na prática, a conta chega para a marca por vários caminhos.
O primeiro é o atendimento. Quem pagou por um produto que nunca chegou liga para o SAC verdadeiro, abre reclamação no Reclame Aqui com o nome verdadeiro e, às vezes, vai ao Procon. O segundo é a reputação: na busca pelo nome da empresa aparecem relatos de golpe, e boa parte de quem lê não distingue o site falso do oficial. O terceiro é comercial. Cada venda que o golpista faz com o seu nome é uma venda a menos para você e um cliente a menos na próxima campanha.
Há ainda um risco menos visível. A loja falsa costuma coletar nome, CPF, endereço e telefone. Esses dados alimentam o golpe seguinte, que frequentemente volta a usar a sua marca: a falsa central de atendimento, o falso rastreio de pedido, o falso reembolso.
O que mudou com o STF
Até 2025, a regra do art. 19 do Marco Civil da Internet era clara e confortável para as plataformas: elas só respondiam por conteúdo de terceiros se descumprissem ordem judicial de remoção.
Em 26 de junho de 2025, o Supremo Tribunal Federal julgou os Temas 533 e 987 da repercussão geral e declarou o art. 19 parcialmente inconstitucional. Em 17 de junho de 2026, concluiu o julgamento dos embargos de declaração e declarou o trânsito em julgado. Três pontos da tese interessam diretamente a quem tem a marca usada em golpe.
- a regra geral passou a ser a do art. 21: a plataforma pode responder depois de notificada, sem precisar de ordem judicial, enquanto não houver nova lei; a mesma lógica vale para contas denunciadas como inautênticas;
- em anúncios pagos e conteúdo impulsionado, há presunção relativa de culpa: a plataforma pode responder mesmo sem notificação, e só se livra se provar que agiu com diligência e em tempo razoável para tirar o conteúdo do ar;
- marketplaces respondem conforme o Código de Defesa do Consumidor.
Na prática, isso muda a conversa. A notificação extrajudicial bem feita deixou de ser um pedido de favor e passou a ser um marco de responsabilidade. E o anúncio patrocinado que usa a sua marca para levar o cliente a uma loja falsa é justamente o tipo de conteúdo em que a plataforma tem o ônus de mostrar que foi diligente.
Já existe decisão nesse sentido?
Existe. Em junho de 2025, a 15ª Vara Cível de São Paulo concedeu liminar no processo 1072006-08.2025.8.26.0100 contra o Google. Uma empresa teve nome, nome empresarial e identidade visual usados em links patrocinados que levavam a sites de emissão de boletos falsos. O juiz determinou a retirada de todos os anúncios com a marca em 72 horas e proibiu a venda de anúncios com o nome da empresa quando comprados por terceiros.
O que sustentou a decisão foi a prova. A empresa juntou boletins de ocorrência de consumidores lesados, registros de domínio, prints dos anúncios e comunicações com clientes. O juiz considerou plausível o risco de confusão entre o conteúdo oficial e os anúncios patrocinados e reconheceu o perigo de dano: perda de clientes, desgaste de imagem e mais ações individuais.
É uma liminar, não um entendimento consolidado. Mas mostra o caminho: quem chega com prova organizada consegue medida rápida.
O que a empresa pode exigir, e de quem
Cada canal do golpe tem uma porta de saída diferente.
- anúncios patrocinados: notificação à plataforma, com a marca registrada, o anúncio identificado e a demonstração do risco de confusão; se não houver retirada, ação com pedido de liminar;
- perfis e páginas falsas em redes sociais: denúncia como conta inautêntica e notificação formal, guardando o protocolo e a data;
- domínios .br: o SACI-Adm, procedimento administrativo do Registro.br para conflitos sobre nomes de domínio, decidido por instituições credenciadas, como o Centro de Arbitragem e Mediação da OMPI, que pode resultar na transferência ou no cancelamento do domínio;
- hospedagem e domínios estrangeiros: notificação ao provedor de hospedagem e ao registrador, que costumam ter canal próprio para abuso e fraude;
- identificação de quem está por trás: o art. 22 do Marco Civil permite pedir ao juiz que o provedor forneça os registros de conexão e de acesso, o primeiro passo para chegar ao responsável e ao dinheiro.
No plano do direito material, a base é sólida. A Lei de Propriedade Industrial tipifica como crime reproduzir ou imitar marca registrada (arts. 189 e 190) e como concorrência desleal o emprego de meio fraudulento para desviar clientela (art. 195, III), e garante perdas e danos ao titular (art. 209). Quem tem a marca registrada no INPI parte de uma posição muito mais forte. Quem não tem deveria resolver isso antes de novembro.
Por que tudo depende da preparação
O golpe de Black Friday tem vida curta. A loja falsa fica no ar alguns dias, fatura e some. Se a empresa leva duas semanas para decidir quem cuida do problema, a remoção chega quando o site já morreu e o dinheiro já foi pulverizado em contas laranja. Escrevi sobre essa engrenagem em Golpe S.A.: a fraude virou empresa.
Por isso, o trabalho que importa é feito antes. O que recomendo para as próximas semanas:
- conferir se a marca e as variações relevantes estão registradas no INPI nas classes certas;
- monitorar domínios parecidos com o da empresa, anúncios com o nome da marca e perfis novos com o logotipo;
- deixar prontos os modelos de notificação para as principais plataformas, com a documentação da marca anexada;
- definir quem decide, quem notifica e quem preserva a prova, com um prazo de resposta em horas, não em dias;
- publicar no site oficial uma página com os canais verdadeiros da empresa, para o cliente conferir e para servir de prova do esforço de orientação;
- preparar o SAC para registrar os relatos de clientes enganados, com print, link e data, porque esses relatos viram a prova do risco de confusão.
Para o consumidor que está do outro lado, criamos no portal Falando de Fraudes o Teste da loja, um checklist gratuito que aponta sinais de golpe antes do pagamento. Vale indicá-lo nos seus próprios canais de atendimento.
A pergunta para a sua empresa não é se a marca vai aparecer numa loja falsa nesta Black Friday. É quantas horas o seu time vai levar para derrubá-la. Para quem quer estruturar essa resposta, temos uma frente dedicada a empresas, e falei da proteção do caixa em fraude via Pix contra empresas e o MED 2.0.
Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.
Foto: Oleksii S / Unsplash
Referências
- Redbelt Security. Levantamento de páginas fraudulentas na Black Friday, 1º a 24/11/2025. Cobertura: ComputerWeekly Brasil, 1/12/2025.
- ESET. Lojas falsas imitando Havan e Shopee na Black Friday. Check Point Research. Domínios imitando marketplaces, outubro de 2025. Cobertura: Olhar Digital, 21/11/2025.
- STF, Temas 533 e 987 da repercussão geral (RE 1.037.396 e RE 1.057.258), j. 26/6/2025; embargos de declaração julgados em 17/6/2026.
- Lei nº 12.965/2014 (Marco Civil da Internet), arts. 19, 21 e 22.
- TJSP, 15ª Vara Cível do Foro Central, processo 1072006-08.2025.8.26.0100 (liminar contra o Google). Cobertura: Conjur, 13/6/2025.
- Lei nº 9.279/1996 (Lei de Propriedade Industrial), arts. 189, 190, 195, III, e 209.
- Registro.br. SACI-Adm, Sistema Administrativo de Conflitos de Internet relativos a nomes de domínio sob .br.
- Lei nº 8.078/1990 (Código de Defesa do Consumidor).
Sobre os autores
Danilo Pardi é advogado (OAB/SP 384.895) e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance pelo IBMEC, especialista em Privacidade e Proteção de Dados pelo Data Privacy Brasil, professor do módulo Legal no MBA em Empreendedorismo Digital da IEBS Business School e membro da ANPPD.
Afonso Morais é advogado (OAB/SP 77.133) e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. É criador e apresentador do podcast Falando de Fraudes, com mais de 120 episódios, colunista do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.
A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atendimento em todo o Brasil. Para empresas: pardimorais.com.br/empresas. Alertas diários sobre golpes no portal Falando de Fraudes.
Este artigo tem caráter informativo e não substitui a análise de um caso concreto.
