Golpes contra advogados e clientes: como proteger o escritório

A cliente recebe uma mensagem de um número desconhecido, com a foto do advogado dela, o número do processo certo e a notícia que ela esperava há anos: o dinheiro foi liberado. Falta só pagar uma taxa de R$ 1.800 por Pix para "liberar o alvará". Ela paga. O número some.

Esse é o chamado golpe do falso advogado, e ele funciona porque usa informações verdadeiras, do processo, do escritório e do cliente. Para o escritório, o prejuízo vai além do dinheiro do cliente: abala a confiança, gera cobranças injustas ao advogado real e, dependendo do caso, pode envolver vazamento de dados.

Este artigo trata de segurança do ponto de vista do escritório: como os golpes funcionam, como reduzir o risco e o que fazer quando algo acontece. Ele complementa o artigo sobre LGPD para escritórios de advocacia, que trata da conformidade, e a política de uso de IA no escritório.

Os golpes mais comuns

1. Falso advogado (ou falso escritório)

O golpista identifica uma pessoa com processo em andamento, geralmente a partir de dados públicos de consulta processual. Entra em contato por WhatsApp ou telefone, muitas vezes com a foto e o nome do advogado real ou o logotipo do escritório. Afirma que há valores a sacar e pede pagamento antecipado de custas, taxas ou honorários por Pix, ou solicita dados bancários, foto de documento, selfie ou vídeo, sob o pretexto de cadastro no sistema do tribunal ou liberação de alvará. Depois do pagamento, some, ou usa os dados para abrir contas, pedir empréstimos ou refazer senhas.

É o golpe que mais afeta a imagem do advogado, porque a vítima associa a fraude ao nome dele.

2. WhatsApp clonado ou sequestrado

O criminoso convence o advogado (ou alguém da equipe) a informar um código de verificação recebido por SMS, ou explora senha e verificação fraca. Com o número em mãos, pede dinheiro aos contatos, inclusive clientes, em nome do advogado. Esse golpe também expõe conversas com clientes, o que gera problema de sigilo.

3. E-mail comprometido e troca de conta bancária

O invasor acessa (ou imita) o e-mail do escritório e envia ao cliente, ou a um parceiro, instruções de pagamento com dados bancários trocados. O pagamento de honorários, de acordo ou de levantamento vai parar na conta do golpista.

4. Falso cliente e pagamento "a maior"

Alguém procura o escritório, contrata e envia um comprovante (muitas vezes falso) ou um cheque de valor superior ao combinado, e pede a devolução da diferença por Pix. Quando se descobre que o comprovante não era real, o dinheiro devolvido já saiu.

5. Phishing com falsa intimação, falso tribunal ou falso certificado

E-mails e mensagens que imitam tribunais, órgãos ou prestadores de certificado digital, com links ou anexos maliciosos. O objetivo é capturar senhas, instalar programas maliciosos ou roubar o certificado digital.

6. Ransomware

Sequestro de dados do escritório por programa malicioso, com pedido de resgate. Quem não tem cópia de segurança fora do sistema perde o acesso a prazos, documentos e histórico.

7. Perfis e sites falsos

Perfis em redes sociais, páginas e domínios parecidos com o do escritório, usados para enganar clientes e potenciais clientes.

Esses padrões mudam e se misturam, mas o princípio é o mesmo: urgência, informação verdadeira e pedido de dinheiro ou de dados.

Prevenção em quatro camadas

Camada 1: comunicação com o cliente

A defesa mais barata é um cliente informado.

• Defina um canal oficial e comunique ao cliente, por escrito, logo no início. O onboarding é o melhor momento.
• Diga explicitamente o que o escritório nunca faz: pedir Pix para "liberar valores", pedir senhas, códigos ou selfies, mudar dados bancários por mensagem.
• Inclua cláusula no contrato de honorários com esse alerta e com a lista de canais e contas oficiais.
• Mande um comunicado periódico a quem tem processo em andamento, em tom sóbrio e informativo (e sem teor promocional, para respeitar as regras de publicidade).
• Combine uma regra de confirmação: qualquer pedido de pagamento ou de dado sensível deve ser confirmado por uma ligação ao número conhecido do escritório.

Modelo de aviso (adapte):

"Aviso de segurança: o escritório [Nome] não solicita pagamento por Pix, taxa ou depósito para liberar valores de processos, nem pede senhas, códigos de verificação, fotos de documento ou selfies por mensagem. Nossos canais oficiais são: [telefone], [e-mail], [site]. Se receber qualquer contato diferente, não responda e fale conosco por um desses canais."

Camada 2: contas e acessos

• Verificação em duas etapas ativada no WhatsApp, no e-mail, nas redes sociais, no banco e em sistemas jurídicos. Nunca informe a ninguém o código recebido por SMS.
• Senhas únicas e fortes, guardadas em gerenciador de senhas, nunca repetidas entre serviços.
• Acessos individuais por pessoa, com remoção imediata ao fim do vínculo.
• Domínio próprio e e-mail profissional, em vez de contas gratuitas, com proteção contra falsificação de remetente (configurada com o provedor).
• Certificado digital guardado com cuidado, com senha forte e sem compartilhamento.
• Dispositivos com atualização em dia, antivírus, bloqueio de tela e criptografia.

Camada 3: processos financeiros

• Dupla conferência de dados bancários. Antes de qualquer pagamento ou repasse, confirme a conta por telefone com um contato conhecido, nunca pelo número que veio na mensagem.
• Separação de funções: quem solicita pagamento não é quem aprova.
• Comprovantes verificados na própria conta bancária, não apenas pela imagem recebida.
• Devolução de valor "a maior": só depois da compensação confirmada.
• Valores de clientes em conta segregada, conforme a boa prática de gestão financeira (veja fluxo de caixa no escritório).

Camada 4: dados e continuidade

• Backup automático, com ao menos uma cópia fora da rede do escritório e teste periódico de restauração.
• Menos dados, menos risco: colete e guarde apenas o necessário e apague o que não precisa mais ser mantido.
• Treinamento da equipe de poucos minutos, com exemplos reais, a cada semestre.
• Política de uso de ferramentas, inclusive de IA, para evitar envio de dados a serviços sem garantias.
• Canais de atendimento com controle, como o WhatsApp Business com API oficial e histórico centralizado (veja WhatsApp Business ou API oficial).

Se o golpe acontecer: protocolo de resposta

Ter um roteiro escrito evita decisões ruins sob pressão.

1. 1

   Contenha.

   Troque senhas, encerre sessões, desconecte dispositivos comprometidos, solicite a recuperação do número de WhatsApp e avise a equipe.

2. 2

   Registre.

   Guarde capturas de tela, números, links, comprovantes e horários. Não apague as conversas.

3. 3

   Comunique o cliente atingido (ou potencialmente atingido).

   Por canal oficial, em linguagem clara, orientando a não fazer novos pagamentos; registrar boletim de ocorrência; avisar o banco o quanto antes, para tentar o bloqueio e a devolução pelo Mecanismo Especial de Devolução (MED), quando aplicável; e trocar senhas e ativar alertas antifraude, se tiver passado dados.

4. 4

   Registre ocorrência e informe a OAB.

   Boletim de ocorrência pelo escritório (sobre o uso indevido do nome e da identidade) e comunicação à Seccional, que em alguns estados mantém canal específico para esses casos.

5. 5

   Informe o juízo, se couber.

   Em casos que envolvem processos em andamento, o advogado pode avaliar peticionar nos autos informando o golpe, para prevenir novos contatos indevidos com o cliente.

6. 6

   Avalie a obrigação de comunicar o incidente de dados.

   Quando o incidente envolve dados pessoais e pode causar risco ou dano relevante aos titulares, a LGPD exige comunicação. A Resolução CD/ANPD nº 15/2024 estabelece, como regra geral, o prazo de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, e prevê prazo dobrado para agentes de tratamento de pequeno porte. Os titulares também devem ser avisados quando houver risco ou dano relevante. Confirme o enquadramento do escritório e os prazos com um especialista em proteção de dados, e registre internamente a avaliação mesmo quando concluir que não há obrigação de comunicar.

7. 7

   Revise.

   Depois de resolvido, analise como entrou e ajuste o processo.

Sobre responsabilidade: há análises e decisões no sentido de que o advogado não responde, em regra, por golpe praticado por terceiros que usam o seu nome, mas isso depende do caso e não é garantia. Um escritório que mantém canal oficial, avisa os clientes e age rápido ao tomar conhecimento está em melhor posição para demonstrar diligência.

Sigilo e imagem: o que cuidar na resposta

• Não exponha o cliente vítima do golpe em redes ou materiais de divulgação.
• Não use o golpe como peça de marketing nem como pretexto para oferecer serviços.
• Ao comunicar, evite incluir detalhes do processo em canais abertos.
• Comunicados de alerta devem ser informativos e sóbrios, no padrão do que as regras de publicidade admitem (veja o que o advogado pode postar).

Checklist de segurança (para imprimir)

• Canal oficial comunicado a todos os clientes.
• Aviso "o escritório não pede Pix para liberar valores" no contrato e no onboarding.
• Verificação em duas etapas no WhatsApp, e-mail, redes e banco.
• Gerenciador de senhas e senhas únicas.
• Acessos individuais e remoção ao fim do vínculo.
• E-mail profissional com domínio próprio.
• Certificado digital protegido.
• Backup automático com cópia externa e teste de restauração.
• Dupla conferência de dados bancários por telefone.
• Valores de clientes em conta separada.
• Treinamento semestral da equipe.
• Monitoramento de perfis e domínios falsos.
• Roteiro de resposta a incidente escrito e conhecido.
• Contato de um especialista em segurança e em proteção de dados à mão.
• Revisão do checklist a cada seis meses.

Conclusão

Os golpes contra advogados e seus clientes prosperam porque são plausíveis: usam dados verdadeiros e exploram a urgência e a confiança. O escritório não consegue impedir que o criminoso tenha acesso a dados públicos de processo, mas consegue tornar o golpe menos eficaz: com clientes informados, contas bem protegidas, pagamentos conferidos e um roteiro de resposta.

O primeiro passo prático: escreva o aviso de segurança acima e envie ainda esta semana aos clientes com processo ativo. É a medida mais barata e com melhor relação entre esforço e proteção.

Para manter o atendimento centralizado, com histórico e canal oficial, conheça o atendimento com IA para advogados e o CRM jurídico do AdvogaHub.

Perguntas frequentes