Uma rede de sites falsos de apostas está usando promessas de ganho rápido para aplicar golpes por Pix, segundo apuração da empresa de cibersegurança ZenoX. O esquema foi identificado em páginas com os nomes MAXXBET7K, MAXBTT7K e NEWWBET7K, divulgadas em anúncios no TikTok, Instagram e Telegram.
Nas publicações, os golpistas prometem transformar depósitos de R$ 20 ou R$ 30 em prêmios de R$ 2.000 a R$ 3.000. Depois que a pessoa deposita, o dinheiro fica retido na plataforma. Para tentar sacar o suposto prêmio, o usuário é informado de que precisa pagar uma taxa extra de R$ 30.
Segundo o relatório, quando o sistema das páginas falhava na comunicação com o intermediador de pagamentos PixUp, o próprio site gerava um QR Code genérico no navegador da vítima. Mesmo com o pagamento da taxa, a confirmação da transação nunca era concluída e o saldo continuava bloqueado.
"O padrão é inequívoco: entra muito depósito pequeno, e quase nada sai. O estado 'pendente' não é fila de processamento, é o destino final do dinheiro da vítima", afirma a ZenoX no relatório.
A investigação aponta que senhas e chaves de acesso às áreas administrativas dos sites estavam expostas no próprio código entregue aos visitantes, o que permitiu o acesso aos bancos de dados das páginas. Na base do NEWWBET7K, foram encontradas informações de mais de 3,6 mil pessoas, com nomes completos, e-mails, telefones, saldos fictícios e histórico de operações por Pix.
Outra base, ligada aos domínios MAXXBET7K e MAXBTT7K, reunia R$ 107.519,00 em saldo acumulado entre 415 contas. De acordo com o levantamento, 92% dos depósitos eram de valores baixos e 68% das transações continuavam com status pendente, sem devolução aos usuários.
"A malícia desta operação não é malware clássico: é econômica e de engenharia. O próprio código da aplicação implementa o bloqueio do pagamento, a taxa falsa e a confirmação impossível de saque", diz Gabriel Alves, pesquisador de ameaças da ZenoX e autor do relatório.
O estudo destaca que a fraude não depende de vírus para comprometer os aparelhos das vítimas. Quando um domínio é identificado e derrubado, os responsáveis costumam registrar outro com nome parecido para manter o golpe funcionando.
A recomendação para quem cair no golpe é avisar o banco imediatamente e pedir a contestação pelo Mecanismo Especial de Devolução, o MED 2.0. Segundo o Banco Central, o mecanismo permite rastrear o dinheiro além da primeira conta que recebeu o valor, mas a devolução depende de haver saldo disponível nas contas intermediárias e da análise das instituições recebedoras, que têm até sete dias para isso. Em 2025, o índice médio de recuperação de valores contestados pelo sistema foi de 9,3%, segundo dado oficial do Banco Central.
Para notificar o golpe, a vítima deve reunir comprovantes do Pix e conversas relacionadas à fraude. Especialistas alertam ainda que criminosos podem procurar as vítimas oferecendo serviços falsos de recuperação do saldo, mediante nova taxa. A orientação é ignorar esse tipo de abordagem, guardar as provas e registrar ocorrência na Polícia Civil.
Em nível nacional, o Ministério da Justiça e Segurança Pública e o Ministério da Fazenda têm atuado contra apostas irregulares. Segundo a Agência Gov, os órgãos solicitaram a derrubada de 5.209 domínios ligados a bets ilegais, e a Anatel determinou a remoção de 2.387 deles. A ação também retirou 300 páginas do Facebook e 90 perfis do Instagram usados para divulgar apostas irregulares, além de alcançar mais de 1 milhão de contas em canais e grupos do Telegram. Não há, até o momento, confirmação de que essa ofensiva nacional esteja diretamente ligada à rede de sites identificada pela ZenoX.
