Golpe do Free Flow: 480 sites falsos de pedágio

A Kaspersky identificou 480 sites falsos de pedágio Free Flow, com pico de 80 domínios. Entenda como o golpe funciona e o que empresas podem fazer pelos seus clientes.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 4 min de leitura

Sites falsos de pedágio Free Flow mostram débito baixo com dados reais do carro e pedem Pix. Arte: Eleven Host

O golpe do Free Flow já reúne 480 sites falsos de pedágio identificados pela Kaspersky. As páginas cobram um débito de valor baixo e levam o pagamento por Pix a contas de laranjas. Para quem tem negócio, vale pensar em um endereço oficial fácil de reconhecer pelos clientes.

O que aconteceu

Em 30 de setembro de 2026, o Mobilidade Rio publicou o alerta da Kaspersky sobre sites falsos que imitam a cobrança de pedágio Free Flow. A empresa de segurança identificou 480 sites falsos. O número "quase 500" usado em um título é um arredondamento.

O Correio 24 Horas confirma o total de 480 e registra um pico de 80 domínios criados em uma semana de agosto. O Mobilidade Rio fala em 80 domínios "nas últimas semanas". As duas reportagens divergem sobre o período em que os sites surgiram.

Como o golpe funciona

Segundo as reportagens, o caminho da vítima tem estes passos:

1. A pessoa busca como pagar o pedágio e clica em um anúncio patrocinado ou em um link de rede social.
2. Ela cai em uma página falsa e digita a placa do veículo.
3. A página mostra um débito de valor baixo, com dados reais do carro. O Correio 24 Horas cita cerca de R$ 25.
4. O pagamento é feito por Pix para contas de laranjas em fintechs, e o nome do recebedor muda o tempo todo.

Fabio Assolini, pesquisador líder da Kaspersky, afirma que a operação passou de dezenas para centenas de domínios em poucos meses e que ela provavelmente é automatizada.

O que a Kaspersky recomenda

• Consultar as passagens no aplicativo CNH do Brasil. A Kaspersky elogia essa consulta.
• Digitar o endereço da concessionária direto no navegador.
• Baixar aplicativos somente na loja oficial.
• Conferir o nome do recebedor antes de confirmar o Pix.
• Ignorar SMS e mensagens de cobrança, inclusive as que chegam por aplicativo de mensagens.
• Usar uma solução de segurança.

Quer um endereço próprio, fácil de reconhecer pelos seus clientes? Busque o domínio do seu negócio. Buscar domínio

O que o caso ensina para quem tem uma empresa

Uma empresa que cobra online pode ensinar o cliente a reconhecer a cobrança verdadeira. As lições abaixo são boas práticas gerais, não recomendações da Kaspersky.

Escolha e divulgue um endereço oficial

Use um endereço curto, fácil de soletrar e igual em todos os canais: site, perfis, assinatura de e-mail, fatura. Um domínio próprio ajuda o cliente a reconhecer o endereço oficial. Não impede que alguém monte uma cópia em outro endereço. Para entender como o registro funciona, leia O que é registro de domínio e como funciona.

Defina uma regra de cobrança e conte para o cliente

Imagine uma clínica que cobra por boleto e Pix. Ela pode escrever, na confirmação da consulta, que não envia cobrança por link em mensagem e que o pagamento só é feito pelo site oficial ou na recepção. Quando chega uma cobrança fora desse padrão, o cliente já sabe que deve desconfiar. Para ver mais cuidados, leia Segurança de sites: guia para quem tem e para quem visita.

Ensine a conferir o recebedor

A Kaspersky orienta conferir o nome do recebedor antes do Pix. Uma loja pode reforçar isso na página de pagamento, informando o nome da empresa que aparecerá na tela de confirmação do banco. Se o nome divergir, o cliente interrompe a compra e fala com a loja por um canal que ele já conhece.

Tenha um canal de aviso

Se você descobrir uma página falsa usando o seu nome, avise seus clientes pelos perfis e pelo e-mail oficiais, com o endereço correto. Guarde prints com data e hora para registrar o caso.

Dúvida sobre os serviços da Eleven Host para o seu domínio? Fale com a equipe. Falar com a equipe

Perguntas frequentes

Quantos sites falsos do Free Flow a Kaspersky identificou?

480, segundo o Mobilidade Rio e o Correio 24 Horas. O "quase 500" usado em um título é arredondamento.

Qual o valor cobrado nas páginas falsas?

O Correio 24 Horas cita cerca de R$ 25. As páginas mostram um débito de valor baixo, com dados reais do carro.

Como conferir passagens sem cair no golpe?

A Kaspersky recomenda consultar no aplicativo CNH do Brasil ou digitar o endereço da concessionária direto no navegador.

Ter domínio próprio evita que copiem a minha marca?

Não. O domínio próprio ajuda o cliente a reconhecer o endereço oficial, mas não impede cópias em outros endereços.