Detecte propostas falsas de marcas e de embaixador verificando o remetente por um canal independente, além de contrato, pagamento, links e anexos.
Avalie uma proposta suspeita de parceria com uma marca verificando-a por um canal que você encontrou por conta própria — não por um link, número ou contato fornecido na mensagem. Confira o domínio completo do remetente e considere como sinais de alerta a pressão por urgência, cobranças antecipadas, pedidos de cartões-presente ou criptomoedas, solicitações de senha ou código de verificação, downloads desconhecidos e promessas de alta remuneração sem contrato. Até concluir a verificação, não clique, abra anexos, faça pagamentos nem compartilhe dados.
Golpistas não se passam apenas por empresas pequenas ou desconhecidas. Eles podem copiar o logotipo, a foto de um funcionário, a linguagem da campanha e um domínio parecido com o de uma empresa conhecida. Também podem enviar mensagens de uma conta real de rede social que tenha sido comprometida. Portanto, um selo de verificação, um design profissional ou uma saudação personalizada não são provas por si só.
A Federal Trade Commission (FTC) dos EUA alerta especificamente os criadores sobre falsas propostas de “gerente de embaixadores da marca”, que usam uma marca conhecida, produtos grátis e pagamentos elevados para obter informações pessoais ou bancárias. A principal recomendação é pesquisar a proposta e entrar em contato com a empresa usando informações que você sabe, por conta própria, serem legítimas.
Sinais de alerta comuns
| Sinal | Por que é arriscado | Resposta mais segura |
|---|---|---|
| O nome exibido é de uma marca, mas o endereço completo usa um e-mail gratuito ou parecido | É fácil copiar nomes exibidos | Confira cada caractere e verifique pelo site oficial da marca |
| Pressão do tipo “responda hoje ou perca a oportunidade” | Impede que você pesquise | Peça mais tempo e não avance até concluir uma verificação independente |
| Você precisa pagar primeiro por frete, seguro, associação ou ativação | Em geral, o criador não deveria pagar para receber um trabalho | Não pague nada e pergunte à empresa por um canal oficial |
| Cartão-presente, criptomoeda, transferência bancária ou devolução de parte de um cheque | São práticas comuns em golpes com pagamentos irreversíveis e cheques falsos | Encerre a conversa e preserve as evidências |
| Pedido de senha, código de recuperação, código de autenticação de dois fatores ou aprovação de login | Tentativa de assumir o controle da conta | Nunca compartilhe dados de autenticação com um parceiro |
| Arquivo compactado protegido por senha, executável, documento com macros ou aplicativo desconhecido | Pode instalar malware ou roubar uma sessão | Não abra; peça uma página verificada ou um PDF padrão |
| Renda extraordinária, mas sem trabalho definido | A empolgação substitui os detalhes comerciais | Peça por escrito as entregas, os direitos, as revisões e o cronograma de pagamento |
| Mudança imediata para uma conversa fora da plataforma | Pode evitar registros e controles | Faça a verificação por e-mail corporativo e por um canal oficial |
Um único sinal de alerta nem sempre comprova que se trata de fraude. Uma empresa muito pequena, por exemplo, pode usar um serviço de e-mail gratuito. Vários sinais devem aumentar sua avaliação de risco, e uma proposta que não possa ser verificada de forma independente deve ser recusada. O medo de perder uma oportunidade é menos importante do que proteger sua conta e seu dinheiro.
1. Confira o remetente completo, não apenas o nome exibido
Ver “GlobalBrand Partnerships” na tela não significa que a GlobalBrand enviou o e-mail. Leia o endereço completo depois do símbolo @. Procure letras substituídas, um hífen a mais, uma extensão incomum ou um endereço longo criado para colocar o nome real da marca antes do domínio de outra pessoa. Em brand.example-security.com, o domínio principal é example-security.com; “brand” no início não prova nada.
O Google recomenda verificar se o nome e o endereço do remetente correspondem, passar o cursor sobre os links para comparar as URLs exibidas com as URLs de destino e prestar atenção aos avisos de mensagens suspeitas. Mesmo um domínio corporativo não é prova definitiva, porque uma caixa de e-mail legítima pode ter sido comprometida. Digite você mesmo no navegador o endereço conhecido do site da marca e use os meios de contato publicados nele.
2. Verifique por um canal independente da marca
Não use o número de telefone, o link ou a suposta página do gerente incluídos na abordagem. Anúncios de busca e resultados clonados também podem enganar, então prefira um site oficial conhecido ou um perfil verificado da empresa. Uma mensagem curta é suficiente:
“Recebi uma proposta para [campanha] de [nome/endereço]. Estou verificando a pessoa e a campanha de forma independente antes de abrir qualquer link.”
Se a empresa disser que não enviou a proposta, pare. Se ninguém responder, a proposta continua sem verificação. Se houver uma agência envolvida, confirme a relação da agência com a marca ou verifique o funcionário pelo canal corporativo da agência, encontrado de forma independente.
3. Peça detalhes concretos do trabalho
Uma proposta legítima vai além de elogios e de um valor de pagamento. Deve ser possível definir:
- Objetivo da campanha, marca e produto,
- Número e formato das entregas,
- Canal de publicação e cronograma,
- Limite de revisões e processo de aprovação,
- Reutilização orgânica, direitos para mídia paga, duração e território,
- Exclusividade por categoria,
- Valor, nota fiscal ou comprovante de pagamento, moeda e cronograma,
- Divulgação publicitária e contato responsável,
- Condições de cancelamento, atraso e resolução de disputas.
Esses detalhes não comprovam automaticamente a legitimidade, mas pedir informações de identidade ou bancárias antes de definir o escopo é um grande risco. Consulte nosso guia de briefing para parcerias com marcas para definir o escopo e nosso guia de pagamentos seguros e impostos para entender o fluxo de pagamento.
4. Trate links e anexos como uma decisão de segurança à parte
Um arquivo chamado “brief”, “visualizador de mídia kit”, “codec de vídeo”, “materiais da marca” ou “contrato” pode ser malicioso, mesmo que a mensagem pareça convincente. Não execute arquivos, instale extensões desconhecidas para o navegador, habilite macros em documentos nem abra arquivos compactados protegidos por senha enviados por um remetente não verificado. Feche qualquer página que peça para você entrar nas redes sociais apenas para ler um contrato.
Peça um formato mais seguro: uma página no domínio corporativo verificado, um PDF padrão ou um sistema de contratos reconhecido. Uma página legítima de documento na nuvem ainda pode conter um link externo malicioso. Não tente resolver a dúvida pedindo a um colega que clique; encaminhe a URL como texto ou captura de tela à pessoa responsável pela segurança.
5. Recuse acordos de pagamento que invertam a lógica do trabalho
Em uma parceria, o criador realiza o trabalho acordado e recebe o pagamento conforme o contrato. Pare se a suposta marca pedir que você pague primeiro por “liberação do frete”, “associação de embaixador”, um produto com desconto, ativação de imposto ou seguro. Em um golpe com cheque falso, podem enviar um valor acima do combinado e pedir que você transfira a diferença; o banco pode mostrar fundos provisórios antes de o cheque ser recusado posteriormente.
A FTC afirma que um possível empregador honesto não enviará um cheque e instruirá você a devolver parte do valor ou comprar cartões-presente. Obrigações fiscais e de emissão de nota fiscal legítimas não são cumpridas pelo envio de dinheiro de ativação para uma carteira pessoal.
6. Nunca aceite que o acesso à sua conta seja uma condição da parceria
Uma marca pode solicitar dados agregados do Insights; não precisa da sua senha. Use uma captura de tela datada, uma ferramenta oficial de parcerias ou acesso com escopo apropriado. Nunca compartilhe senha, código por SMS, código de autenticação, código de recuperação, link de recuperação ou aprovação no dispositivo.
A Meta informa que o Instagram não envia mensagens diretas no aplicativo sobre problemas com a conta e permite consultar nas configurações os e-mails oficiais do Instagram recebidos nos últimos 14 dias. Se uma “campanha de marca” disser que você precisa resolver um problema de direitos autorais, abra as configurações da plataforma por conta própria em vez de seguir o link.
7. Use uma pontuação de risco simples e consistente
Essa pontuação não comprova legalmente uma fraude; ela ajuda um criador ou uma equipe a tomar decisões consistentes.
| Verificação | 0 pontos | 1 ponto | 3 pontos |
|---|---|---|---|
| Remetente | Verificado por canal oficial | Agência ou domínio ainda não verificado | Domínio parecido ou conflito de identidade |
| Pressão | Prazo razoável para análise | Urgência desnecessária | Ameaça ou exigência de ação imediata |
| Dinheiro | Pagamento contratado a você | Cronograma pouco claro | Taxa antecipada, cartão-presente, criptomoeda ou transferência de devolução |
| Acesso | Nenhum pedido de senha | Pedido excessivo de dados | Senha, código 2FA ou link de login |
| Arquivo | Documento padrão verificado | Link desconhecido para a nuvem | Executável, arquivo criptografado ou extensão |
- 0–2: Só avance após analisar o escopo e o contrato.
- 3–5: Pause e verifique a marca de forma independente.
- 6+ ou qualquer item crítico com 3 pontos: Não clique, pague nem compartilhe dados; recuse e denuncie.
Uma pontuação baixa não é garantia, sobretudo se a própria marca ainda não tiver confirmado a abordagem.
Avalie seu fluxo de segurança
| Indicador mensal | Cálculo | Objetivo |
|---|---|---|
| Taxa de verificação independente | Propostas confirmadas de forma independente / propostas que avançaram | Reduzir decisões apressadas |
| Taxa de interrupção antes de prejuízos | Propostas suspeitas interrompidas antes do compartilhamento de dados/pagamento / propostas suspeitas | Verificar se os controles entram em ação a tempo |
| Tempo para denunciar incidentes | Da primeira suspeita até a denúncia à plataforma/autoridade | Melhorar o fluxo de resposta |
| Cobertura de autenticação de dois fatores | Contas críticas com 2FA / todas as contas críticas | Reduzir o impacto da invasão de contas |
| Integridade das evidências | Incidentes com cabeçalho, remetente, URL, data e captura de tela preservados / todos os incidentes | Melhorar a qualidade das denúncias |
Todo mês, inclua exemplos anônimos de domínios, tipos de arquivo e linguagem de pressão em uma lista de alertas da equipe. Não divulgue dados pessoais nem compartilhe URLs maliciosas como links clicáveis.
Lista de verificação da proposta em dez pontos
- Conferi o endereço de e-mail e o domínio completos, não apenas o nome exibido.
- Entrei em contato com a marca sem usar o link da mensagem.
- Um canal corporativo independente confirmou a pessoa e a campanha.
- As entregas, os direitos, as revisões e o pagamento estão por escrito.
- Não há taxa antecipada, cartão-presente, criptomoeda nem transferência de devolução.
- Não compartilhei senha, código 2FA, código de recuperação nem aprovação no dispositivo.
- Não abri anexos, extensões ou páginas de login desconhecidos.
- A entidade contratante e a responsável pelo pagamento são compatíveis.
- A responsabilidade pela divulgação publicitária consta no briefing.
- Guardei as mensagens, os cabeçalhos, o contrato e os registros de verificação.
E se você já clicou?
Feche a página, não execute nenhum arquivo baixado e verifique as sessões ativas nas configurações de segurança da conta, mesmo que não tenha digitado uma senha. Se você forneceu uma senha ou um código, altere a senha usando um dispositivo confiável, encerre as outras sessões, restaure a autenticação de dois fatores e atualize qualquer outra conta que use a mesma senha. Proteja primeiro o e-mail, pois ele costuma ser a chave de recuperação das contas de redes sociais.
Se você forneceu dinheiro ou informações bancárias, entre em contato prontamente com seu banco pelo número oficial. Antes de apagar qualquer coisa, guarde capturas de tela, o endereço completo do remetente, a URL, a data/hora e as informações de pagamento; denuncie a conta à plataforma. Em caso de prejuízo concreto na Türkiye, siga os canais de solicitação vigentes publicados pelo Departamento de Combate a Crimes Cibernéticos da Polícia Nacional da Turquia e pelas autoridades competentes. Essas medidas gerais não substituem orientação jurídica ou pericial específica para cada incidente.
Observação jurídica e ética
Acusar publicamente uma pessoa ou empresa antes de verificar os fatos pode prejudicar um funcionário inocente ou o titular de uma conta comprometida. Preserve as evidências, informe a marca de forma independente e denuncie à plataforma ou à autoridade competente. Não publique dados de identificação, informações bancárias nem dados pessoais contidos em um contrato. Se a proposta for legítima, a relação comercial ainda exige divulgação transparente; nosso guia de identificação de publicidade de influenciadores de agosto de 2026 explica a verificação atual para publicações.
Perguntas frequentes
Um e-mail corporativo comprova que a proposta é legítima?
Não. Um domínio parecido pode parecer corporativo, e uma caixa de e-mail legítima pode ter sido comprometida. Confirme a proposta separadamente pelo canal oficial da empresa.
A marca quer que eu pague o frete primeiro. Isso é normal?
Considere isso um sinal de alerta sério. Nunca envie dinheiro para uma conta pessoal, cartão-presente ou endereço de criptomoeda, nem pague uma taxa de “ativação” antes de uma verificação independente.
É seguro enviar um mídia kit?
Você pode compartilhar um e-mail comercial público e dados agregados de desempenho. Na etapa inicial, não envie endereço residencial, documento de identidade, senha, código 2FA nem informações bancárias desnecessárias.