Um e-mail avisa que a sua empresa tem um título protestado em cartório e traz um link com o seu CNPJ para "visualizar o protesto". Quem clica instala um programa espião que procura aplicativos de banco no computador. A campanha foi descrita em 22 de outubro de 2026 pela empresa de segurança WatchGuard e noticiada pelo Canaltech em 27 de outubro. Ela está ativa no Brasil, com vítimas observadas no país.
Por que importa para você: o golpe foi feito sob medida para empresa. Protesto em cartório mexe com crédito, e qualquer dono de MEI ou PME abre um e-mail desses sem pensar duas vezes. O programa mira bancos digitais muito usados por pequenos negócios.
Como o golpe funciona
Segundo a pesquisa da WatchGuard, assinada pelo pesquisador Euler Neto:
- O e-mail imita cartórios de protesto de vários estados. Os domínios falsos identificados incluem 1protestorecife[.]com, 2protestodesalvador[.]com, 3protestobelem[.]com, cartorioquintela[.]com, cartoriosdeprotestogo[.]com, protestobh[.]com, protestocampinas[.]com e tabelionatojoinville[.]com. Um cartório legítimo de Goiás chegou a publicar alerta sobre o golpe.
- O link carrega um CNPJ válido, no padrão ".../visualizar-protesto.pdf/cnpj=" seguido do número. Isso dá cara de documento oficial e personalizado.
- O arquivo baixado é um script (VBScript), apesar do nome de PDF. Ao rodar, ele cria exceções no Microsoft Defender para não ser barrado e agenda tarefas com o nome "Windows Error Reporting", que parece coisa do próprio Windows.
- Programas legítimos fazem o trabalho sujo. O golpe usa o ngentask.exe, do .NET, e o vlc.exe, do tocador VLC, para carregar arquivos maliciosos. Como esses programas são conhecidos e assinados, o antivírus tende a confiar neles.
- O alvo é o banco. O código do Overlord RAT, o programa de acesso remoto instalado no fim, menciona C6 Bank, PicPay, Banco Pan, Banco Inter, Banco Original, Caixa e Modalmais. Os servidores de comando ficam em provedores brasileiros.
Como reconhecer
Protesto em cartório existe e pode chegar por intimação, mas alguns sinais entregam o golpe:
- domínio estranho, com número na frente ou nome de cidade colado, em vez do endereço oficial do cartório;
- link para "visualizar" um PDF que, ao baixar, vem com extensão diferente de .pdf ou pede para ser executado;
- urgência e ameaça de restrição de crédito, sem número de título, valor ou credor que você reconheça;
- remetente que você nunca viu, mesmo com o seu CNPJ certinho no texto. CNPJ é dado público e fácil de conseguir.
O que fazer agora
- Não clique no link do e-mail. Se ficou em dúvida, procure o cartório por conta própria, pelo telefone ou pelo site que você mesmo digitar, e pergunte se existe protesto no seu CNPJ.
- Avise a equipe, principalmente quem cuida do financeiro e quem abre os e-mails da empresa. Mostre o modelo do golpe.
- Mostre as extensões dos arquivos no Windows (Explorador de Arquivos, Exibir, Extensões de nomes de arquivos). Assim um ".vbs" disfarçado de PDF fica visível.
- Use um computador só para o banco, se puder, sem e-mail e sem navegação geral. É a forma mais simples de tirar o alvo do caminho.
- Confira as exceções do Defender em Segurança do Windows. Exceção que ninguém criou é sinal de alerta.
- Se alguém clicou, desconecte a máquina da internet, ligue para o banco, troque as senhas a partir de outro aparelho e chame quem cuida da sua TI. Registre boletim de ocorrência se houver prejuízo.
- Ative alertas de transação e limites de Pix no aplicativo do banco. Se algo escapar, você fica sabendo na hora.
O que ainda não se sabe
- Quantas empresas foram atingidas e se houve prejuízo financeiro. Segundo o Canaltech, não há evidência de invasão de dados de clientes dos bancos.
- De onde vêm os CNPJs dos links e se são das próprias empresas que recebem o e-mail. A WatchGuard diz que não sabe a finalidade.
- Não encontramos alerta oficial da Febraban, da polícia ou de entidade de cartórios sobre esta campanha.
Onde a Oneck entra
Golpe bem feito passa pelo antivírus e cai na mão de quem está com pressa. A frente de Software & Sistemas da Oneck Creative ajuda a sua empresa a separar o computador do banco, revisar permissões e montar regras simples para a equipe reconhecer e-mail falso. Se você recebeu uma mensagem dessas e quer saber o que fazer, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Na hora de trocar as senhas, um gerenciador ajuda a não repetir nenhuma. O OneckPass, gerenciador de senhas brasileiro com criptografia de ponta a ponta, tem opção gratuita para começar.
Fontes: WatchGuard: malware em VBScript se esconde atrás de ferramentas confiáveis (22/10/2026); Canaltech: vírus no Brasil usa ferramentas autênticas do Windows e o VLC para invadir conta bancária (27/10/2026).