Um novo golpe está circulando no Brasil e já assustou milhares de usuários de cartão: o chamado golpe do toque fantasma. Diferente das fraudes tradicionais de clonagem, ele acontece sem que você perceba — e pode esvaziar o limite do seu cartão em segundos. A boa notícia é que o cartão virtual segue como a melhor defesa. Entenda como o golpe funciona, como se proteger e o que fazer se for vítima.
O que é o golpe do toque fantasma?
O golpe do toque fantasma explora a tecnologia NFC (Near Field Communication), usada em pagamentos por aproximação. O golpista induz a vítima a instalar um aplicativo aparentemente legítimo — disfarçado de ferramenta de acessibilidade, leitor de documento ou até app de banco falso. Uma vez instalado, o app roda em segundo plano e, quando a vítima aproxima o celular ou o cartão de uma máquina, o malware captura o token de pagamento em tempo real e o envia ao dispositivo do criminoso. Com o token em mãos, o golpista faz compras remotamente, sem precisar do cartão físico.
O Estadão e outras publicações já documentaram casos em 2026, e o Banco Central emitiu alerta sobre o avanço desse tipo de ataque. O mais preocupante: a fraude não exige que o criminoso esteja perto de você. O token capturado pode ser usado em outro estado ou até em outro país.
Por que o cartão virtual é sua primeira linha de defesa
O cartão virtual resolve boa parte do problema porque gera um número temporário com prazo de validade curto — em regra, uma transação ou algumas horas. Mesmo que o número seja capturado por malware ou vazamento de dados, ele deixa de servir quando o criminoso tenta usá-lo. A maioria dos bancos digitais oferece o cartão virtual gratuitamente no próprio app:
- Nubank: cria cartão virtual com validade por tempo determinado ou por transação única
- Inter: gera cartão virtual no app, com limite separado e controle individual
- C6 Bank: permite criar múltiplos cartões virtuais para compras recorrentes
- Itaú e Bradesco: disponibilizam cartão virtual temporário direto no app ou no internet banking
Para compras online, a regra é simples: nunca use o número do cartão físico se o banco oferece virtual. Isso vale para e-commerce, assinaturas e qualquer site que armazene dados do cartão.
CVV dinâmico: a proteção que está chegando
Além do cartão virtual, cresce no Brasil a adoção do CVV dinâmico — um código de segurança que muda a cada intervalo de tempo (em geral de 30 minutos a 4 horas). Com o CVV dinâmico, mesmo que o criminoso consiga seu número de cartão e a validade, o código de três dígitos já terá mudado quando ele tentar usar. Alguns bancos já implementaram o recurso e a tendência é se tornar padrão até 2027.
Outras fraudes que cresceram em 2026
Além do toque fantasma, vale ficar atento a outras modalidades que dispararam neste ano:
- Phishing por WhatsApp: criminosos enviam links simulando faturas, promoções ou alertas de segurança do banco. O link leva a um site idêntico ao original e rouba login, senha e dados do cartão.
- Deepfake de atendimento: golpistas usam IA para replicar a voz de atendentes de banco e convencer a vítima a confirmar dados ou autorizar transferências.
- Fraude em maquininhas: ainda presente em postos de gasolina e estabelecimentos menos controlados, onde máquinas adulteradas capturam a tarja magnética.
Regra geral: banco não pede senha por telefone, e-mail ou mensagem. Se receber esse tipo de contato, desligue e ligue direto no número gravado no verso do cartão.
Como ativar a proteção máxima no seu cartão
Cinco ações práticas que qualquer usuário pode fazer hoje:
- Ative notificações em tempo real — todo banco digital permite alertas por push para cada transação. Se aparecer uma compra que você não fez, descobre na hora.
- Desative a função de aproximação quando não for usar — no app do banco ou nas configurações do cartão, dá para bloquear o NFC temporariamente.
- Use cartão virtual em compras online — crie um número novo para cada compra ou assinatura importante.
- Revise apps instalados no celular — apague aplicativos que você não lembra de ter instalado, sobretudo os que pedem permissão de acessibilidade.
- Mantenha o sistema operacional atualizado — patches de segurança do Android e iOS corrigem vulnerabilidades exploradas por malwares como o do toque fantasma.
Fui vítima de fraude. E agora?
Se identificar uma compra não reconhecida na fatura, você tem direito ao chargeback — o mecanismo de contestação do cartão de crédito. O prazo para acionar varia entre 90 e 180 dias a partir da transação. O processo é simples:
- Acesse o app do banco e localize a transação suspeita
- Clique em “contestar” ou “não reconheço esta compra”
- O banco bloqueia o valor enquanto investiga (em geral de 7 a 30 dias)
- Se a fraude for confirmada, o estorno é feito na fatura
Diferente do Pix, o cartão de crédito tem esse mecanismo de proteção. É mais um motivo para preferir o cartão em compras com risco de fraude ou de não entrega do produto.
Vale usar cartão por aproximação?
Sim — desde que com atenção. O pagamento por aproximação em si não é o problema; o golpe do toque fantasma depende de um app malicioso instalado no celular da vítima. Se o seu celular está limpo e você usa cartão virtual em compras de risco, o NFC continua sendo seguro e conveniente. O risco maior está em apps de fontes desconhecidas e na negligência com permissões de acessibilidade.
A tecnologia de pagamento avança rápido no Brasil, e os golpistas evoluem junto. Mas com cartão virtual, notificações ativas e atenção aos apps instalados, você fecha a maior parte das brechas disponíveis hoje. Revise agora mesmo quais apps no seu celular têm permissão de acessibilidade — esse é o passo mais importante que dá para dar neste minuto.