Por que bloquear números não te protege mais (e o que realmente funciona contra golpes em 2026)

Você bloqueou o número. Denunciou como spam. Instalou o Truecaller. E no dia seguinte veio outro golpe, de outro número.

Familiar? Então tá na hora de reconhecer que bloquear números não funciona mais contra os golpes de 2026. O problema não é você, sério mesmo.

O problema dos números descartáveis

Dez anos atrás golpista era previsível: operava com dois ou três números fixos. Bloqueava, problema resolvido. Nasceram aí apps como Truecaller e Whoscall que fizeram muito sentido na época.

Só que aquela era terminou.

Hoje um número descartável custa literalmente centavos. VoIP, chips virtuais, spoofing—um único golpista lança centenas de números por dia. A agência reguladora alemã desativa em média 25,8 números por dia só por SMS spam, o triplo de 2024. Mas pra cada número que derrubam, dezenas brotam.

Listas de bloqueio são sempre reativas. Só bloqueiam número que alguém já denunciou. Quando entra na base, o golpista tá usando outro há muito tempo. As ferramentas comerciais de bloqueio só pegam entre 25% e 35% dos ataques.

Traduzindo: dois em cada três golpes por mensagem passam ileso.

Por que apps de identificação não dão conta

O Truecaller tem 400 milhões de usuários. Whoscall domina a Ásia. Mas todos têm as mesmas três limitações:

A base está sempre defasada. Um número precisa ser usado, denunciado, verificado, distribuído. Esse ciclo inteiro leva horas ou dias. O golpe que chega às 9 da manhã de um número novo já passou por toda lista existente.

Números falsificados quebram o jogo. Golpista faz a mensagem parecer que vem do número real do seu banco, de um órgão de governo, até do seu próprio número. Se o número é falso, uma lista de "números ruins" não funciona.

Email fica de fora. Golpes por email usam domínios descartáveis que são ainda mais fáceis de montar. Um domínio tipo "banco-do-brasil-verificacao.com" se registra em minutos, dispara milhares de phishing, e desaparece antes de qualquer denúncia. Apps de chamada não olham pra email.

Emails descartáveis: o real problema que ninguém discute

Se números descartáveis são ruins, domínios de email descartáveis são pesadelo. Golpista registra domínio que parece legítimo, configura autenticação certinho (SPF, DKIM, DMARC), manda de endereço clean. Dados da indústria: 89% dos emails maliciosos passam direto pelas verificações padrão.

Gmail e Outlook pegam bastante coisa, é verdade. Mas os emails mais sofisticados—aqueles que IA generativa faz parecer idêntico a uma mensagem real do seu banco—esses passam. E é exatamente esses que fazem o estrago.

O que funciona de verdade: analisar a mensagem, não quem mandou

A única tática que funciona contra números e domínios descartáveis é parar de tentar identificar quem mandou e começar a investigar o que a mensagem diz.

É tipo diferença entre porteiro que checa documento na entrada e detetive que nota comportamento suspeito. Porteiro pega quem já tá na lista. Detetive detecta golpe independente de identidade.

Análise de conteúdo procura pelos padrões reais dentro de cada mensagem:

Linguagem de manipulação. A mensagem faz pressão com urgência ("transfira agora"), medo ("sua conta vai ser bloqueada"), autoridade ("aqui é da central de segurança do banco"), ou aperto financeiro ("faça o Pix já")? Esses gatilhos emocionais aparecem em praticamente todo golpe, não importa de qual número saiu.

Links suspeitos. Não só se tá em lista negra, mas se o domínio é novo, se usa typosquatting (tipo "banc0dobrasil.com" em vez de "bb.com.br"), se redireciona por um monte de site pra esconder destino.

Inconsistências geográficas. Mensagem que diz ser do teu banco brasileiro mas vem de código de país das Filipinas. Email que se apresenta como governo federal mas tem padrão de escrita que não é português brasileiro.

Reconhecimento de padrão entre idiomas. O mesmo golpe que fala "seu pedido está a caminho" em português aparece como "your package could not be delivered" em inglês e "お荷物のお届けにあがりました" em japonês. Análise de conteúdo reconhece o padrão subjacente do golpe independente da língua.

Templates de golpes que se repetem. Enquanto quem mandou muda toda hora, o conteúdo segue padrões previsíveis. Golpe da falsa central tem estrutura específica. Phishing de banco segue fluxo reconhecível. "Filho com número novo" usa linguagem característica. Esses padrões persistem mesmo quando números e domínios mudam.

Por que a proteção precisa ser tempo real

Lista de bloqueio funciona depois dos fatos. Alguém cai primeiro, denuncia, espera base atualizar. Análise de conteúdo funciona no momento que a mensagem chega, mesmo que seja a primeira vez que esse golpe específico vem daquele número.

Golpista moderno manda lotes pequenos de números que mudam constantemente com variações geradas por IA no texto. Cada mensagem é um pouco diferente. Cada número é novo. Lista de bloqueio nunca acompanha.

Análise de conteúdo não precisa ter visto aquela mensagem exata antes. Reconhece os padrões, as táticas de manipulação, os elementos estruturais que fazem daquilo um golpe, no primeiro contato mesmo.

Por que as defesas têm que ser contínuas

Golpista muda de tática constantemente. Aquele golpe do empréstimo falso por app que explodiu no Brasil em 2025 praticamente não existia um ano antes. Golpes de entrega mudam de transportadora conforme época. Deepfakes de voz no WhatsApp surgiram em meses.

Sistema que atualiza seus padrões uma vez por semana ou com atualização do app fica pra trás rápido. Proteção precisa aprender com padrões novos em tempo real, globalmente, em todos os idiomas.

Quando um template novo de golpe bancário começa a circular no Brasil, quem recebe padrão similar no México deveria tá protegido em horas, não em semanas.

É exatamente o que a gente construiu no Rampart

Rampart não depende de listas de bloqueio. Não verifica número contra banco de dados. Em vez disso, analisa o conteúdo real de cada mensagem de remetente desconhecido, em tempo real, quando chega no seu celular.

Examina padrões de linguagem, estrutura de links, táticas de manipulação emocional, sinais geográficos que indicam golpe. Funciona com SMS e email. Funciona em português, espanhol, inglês, japonês, alemão, coreano e árabe. Os padrões de detecção se atualizam continuamente conforme tipos novos de golpe surgem em qualquer lugar do mundo.

Resultado: proteção contra números novos, domínios novos, variações novas de golpes. Não só contra aqueles que alguém já denunciou.

Em 2015, bloquear número era a solução certa. Em 2026, é análise de conteúdo.

Quer saber mais? Vai em rmprt.app.