O golpe não começa com um link.
Começa com um presente. Um skin raro, “só para você”, de um jogador que seu filho conheceu na semana passada. Depois, um item inédito, que nem os amigos dele têm. Depois, uma “troca justa” e um convite para continuar em outro aplicativo, onde “é mais seguro”. Você, na sala, acha que ele só está jogando.
Só no fim chega o link: o ID e o código que acabou de chegar. A essa altura, não parece golpe, parece amizade, e dizer não parece ingratidão. Quando a conta não abre mais, o que pesa é a vergonha de ter confiado e o medo de contar para você.
Isso é engenharia social: a confiança vem antes do pedido. Em uma única semana, a NordVPN encontrou 196 endereços falsos do Roblox, alguns pedindo até o código da verificação em duas etapas [1]. Este texto mostra, com fontes, como essa escalada funciona, o que está documentado e o que é incerto, e o que fazer antes, nas primeiras horas e depois, para que o susto não vire castigo nem silêncio.
A Isca e o Caminho: Como a Promessa Vira Acesso
As fontes consultadas descrevem uma sequência parecida em jogos diferentes. Primeiro vem a isca: uma skin, moeda do jogo, diamantes, uma “recompensa” por colaboração com uma marca famosa. Depois, um caminho para fora do ambiente oficial: um link, um site, um aplicativo. No fim, um pedido que cresce por etapas, do ID à senha, ao código de verificação, ao cartão ou a um pagamento. Cada etapa isolada parece razoável, e é a soma delas que dá acesso à conta, ao dinheiro ou ao aparelho. A cena da abertura é um roteiro composto a partir desses padrões, e não um caso real. Três caminhos aparecem nos relatos.
A página falsa de login
A empresa de segurança NordVPN descreve páginas que imitam o login do Roblox e que, em alguns casos, pedem também o código de seis dígitos da verificação em duas etapas, os códigos de reserva e o PIN da conta. Segundo a empresa, essas páginas podem ser compradas prontas, com sites reserva e links disfarçados, e existem ferramentas para testar se as credenciais roubadas ainda funcionam [1]. O levantamento foi noticiado pela Folha de S.Paulo [2]. A própria Roblox afirma que não existe oferta oficial de Robux grátis e que a verificação em duas etapas e as chaves de acesso ajudam a evitar a tomada de conta [3]. No Fortnite, a Malwarebytes descreve páginas que prometem uma recompensa de colaboração ou uma ferramenta que calcula o valor do “armário” de itens e que levam a uma falsa tela de login da Epic Games. Contas roubadas podem ser vendidas, e as mesmas credenciais podem ser testadas em outros serviços [4]. A Epic orienta a nunca entrar em sites externos com as credenciais da conta [5].
A oferta que chega ao cartão ou ao Pix
Um comunicado de dezembro de 2025 voltado a pais de jogadores de Roblox e Free Fire descreve ofertas de skins, Robux e diamantes que levam a páginas externas, pedem login e senha e, depois, os dados do cartão do responsável sob o pretexto de “verificação” [6]. Para o Free Fire, o Diário da Mídia explica que o gerador de diamantes “pelo ID” pode evoluir para pedido de senha, códigos de autenticação, instalação de aplicativos ou pagamento de supostas taxas por Pix, e que o ID do jogador, sozinho, não equivale à senha [7].
Há também o golpe que não depende de página falsa. Em Colatina (ES), a Polícia Civil informou que a Deic cumpriu, em 16 de abril de 2026, mandado de prisão contra um homem de 38 anos, suspeito de obter vantagens ilícitas de um adolescente, com prejuízo de cerca de R$ 100 mil. Segundo a reportagem do g1, o adolescente, de 12 anos, usou dinheiro em espécie guardado, em diversas transações, e a negociação ocorreu por aplicativos de mensagens e redes sociais. A reportagem não cita Pix, e o delegado recomendou que os responsáveis monitorem as conversas nesses aplicativos [8]. Reportagens identificam o jogo como Roblox e a oferta como venda de itens virtuais por valores muito altos [9]. É investigação, não condenação, e o caso mostra a mesma lógica: uma vantagem no jogo em troca do dinheiro da casa.
O arquivo que parece vantagem
A Kaspersky descreve criminosos que exploram o interesse por modificações, vantagens e recompensas para levar jogadores a baixar arquivos maliciosos ou a entregar credenciais e dados de pagamento [10]. No caso das contas de Roblox revendidas na Ucrânia, descrito mais adiante, a Procuradoria-Geral do país aponta o uso de cookies de sessão roubados [11], e a Malwarebytes fala em programas disfarçados de “melhorias” para jogos [12]. O Diário da Mídia cita ainda a instalação de APKs, os arquivos de instalação de aplicativos Android [7].
O Que os Números Mostram — e Seus Limites
Cinco conjuntos de dados dão ordem de grandeza. Todos têm limites, e eles estão descritos aqui porque mudam o que se pode concluir.
Páginas falsas de Roblox. Em uma investigação de sete dias encerrada em 29 de julho de 2026, a NordVPN identificou 196 endereços de phishing do Roblox ativos, depois de testar quase 4.000 combinações de endereços, e confirmou como falsos 22 dos 24 sites revisados à mão [1]. A Folha noticiou o levantamento em 29 de outubro de 2026 e informou cerca de 105 mil visitas aos endereços. Esse número aparece na Folha, mas não foi confirmado no texto da NordVPN [2]. O dado descreve endereços encontrados por uma empresa de segurança, e não crianças prejudicadas nem prejuízos no Brasil.
Jogos populares como isca. Entre julho de 2023 e junho de 2024, as soluções da Kaspersky detectaram cerca de 6,6 milhões de tentativas de ataque que usavam jogos populares entre jovens como isca. Os maiores volumes foram de Minecraft (3.094.057), Roblox (1.649.745), Among Us (945.571) e Brawl Stars (309.554) [13]. São tentativas detectadas por um fornecedor, e não vítimas. Os números não permitem estimar o risco no Brasil nem dizer qual jogo é mais perigoso, porque jogos com mais jogadores tendem a somar mais tentativas.
Revenda de contas. A Procuradoria-Geral da Ucrânia informa que mais de 610 mil contas do Roblox foram verificadas, de outubro de 2025 a janeiro de 2026, com cookies de sessão roubados, e que o grupo lucrou quase 10 milhões de hryvnias, a moeda ucraniana, vendendo o acesso em sites russos, com pagamento em criptomoedas [11]. O texto oficial diz “verificadas”, e não “roubadas”, e as reportagens divergem sobre o método. A imprensa ucraniana cita ainda um período maior na fase da denúncia, de maio de 2025 a abril de 2026 [14]. A cifra mostra que existe um mercado de contas, mas não permite afirmar que a mesma técnica funcione contra qualquer família.
Gastos em jogos entre jovens brasileiros. Na pesquisa TIC Kids Online Brasil 2025, do Cetic, 21% dos usuários de internet de 11 a 17 anos disseram ter feito compra ou gasto para avançar de fase ou ganhar itens em jogos: 16% entre 11 e 12 anos, 22% entre 13 e 14 e 24% entre 15 e 17. A coleta foi de março a setembro de 2025, com amostra de 2.370 jovens e respostas dos próprios jovens [15]. O dado não mede golpes, mas mostra que dinheiro e itens de jogo já fazem parte da rotina de muitas famílias.
Golpes de troca de itens entre jovens dinamarqueses. Em um estudo revisado por pares com 1.026 jovens dinamarqueses de 9 a 18 anos, 36% dos que negociaram itens ou contas de jogos disseram ter sofrido golpe em 12 meses [16]. É pesquisa de outro país, com respostas dos próprios jovens, e trata de golpe em troca de itens, e não de roubo de conta.
O Que a Lei Diz — e o Que Não Diz
Quem aplica o golpe pode responder por crime. A Lei 14.155/2021 criou a fraude eletrônica no Código Penal [17]. No art. 171, § 2º-A, quando a fraude usa informações fornecidas pela vítima, ou por terceiro induzido a erro, por meio de redes sociais, contatos telefônicos ou e-mail fraudulento, a pena é de reclusão de 4 a 8 anos e multa. O texto compilado prevê ainda aumento de pena se o crime usa servidor mantido fora do país (§ 2º-B) e se é cometido contra pessoa vulnerável (§ 4º) [18]. A redação atual do § 2º-A foi dada pela Lei 15.397/2026, que incluiu a duplicação de dispositivo eletrônico ou de aplicação de internet [19]. A lei não define “vulnerável” nesse ponto, e aplicar o termo a crianças é interpretação, e não regra expressa. Tudo isso vale para quem engana, nunca para quem cai: a criança ou o adolescente que entregou a senha é vítima.
O ECA Digital (Lei 15.211/2025, em vigor desde 17 de março de 2026) prevê que os pais possam restringir compras e transações financeiras (art. 18, II) e que as contas de crianças e adolescentes de até 16 anos estejam vinculadas a um responsável (art. 24) [20].
O que a lei, sozinha, não resolve é a parte prática. Nenhuma das fontes consultadas diz que a empresa do jogo opere ou tolere os golpes, e usar a marca como isca não prova envolvimento da empresa. A recuperação também não é garantida: a Roblox informa que enviar as informações de recuperação não garante a devolução da conta [21], e a Malwarebytes relata que as regras da empresa, salvo exigência legal, não a obrigam a restaurar itens perdidos [12]. Esta apuração não localizou comunicado oficial da Garena (Free Fire) sobre geradores de diamantes, e por isso o texto cita apenas a orientação de veículos brasileiros.
O Que a Evidência Permite Afirmar — e o Que Não Permite
O que está documentado:
- Existem páginas falsas que imitam o login de jogos e, em alguns casos, pedem também o código da verificação em duas etapas [1].
- Há kits de phishing à venda e ferramentas que testam se credenciais roubadas ainda funcionam [1].
- A Roblox e a Epic orientam a não entregar credenciais fora dos canais oficiais, e a Roblox afirma que não há oferta oficial de Robux grátis [3][5].
- Ofertas de item grátis, como skins, Robux, diamantes e recompensas de colaboração, são usadas como isca em relatos de empresas de segurança e de veículos brasileiros [4][6][7].
- Contas de jogos são revendidas: a Procuradoria-Geral da Ucrânia relata a venda de acesso a mais de 610 mil contas verificadas do Roblox [11].
- Jogos populares entre jovens são usados como isca em grande escala, segundo a telemetria da Kaspersky [13].
- Um pré-print de 2026, ainda sem revisão por pares, aponta o roubo de itens e de contas como motivação central do cibercrime em jogos e relata que a verificação em duas etapas pode ser contornada. O estudo não foca em crianças [22].
- Um alerta do Santander, noticiado pelo Canaltech, descreve conversas em jogos e redes sociais usadas para conquistar a confiança de crianças e chegar aos pais, com presentes e benefícios virtuais como possível isca [23].
- A Polícia Civil do Espírito Santo prendeu um suspeito de obter cerca de R$ 100 mil de um adolescente em um jogo online [8].
- A fraude eletrônica tem pena de 4 a 8 anos de reclusão no Código Penal [18].
O que NÃO está comprovado:
- Quantas crianças brasileiras já perderam contas ou dinheiro em golpes de jogos. Esta apuração não encontrou dado brasileiro sobre golpe ou roubo de conta em jogos nas bases do Cetic e da SaferNet: 196 endereços não são vítimas, e 6,6 milhões de tentativas não são pessoas afetadas.
- Que algum jogo seja mais perigoso que outro. Contagens brutas dependem do tamanho da base de jogadores.
- Que as empresas dos jogos operem ou tolerem os golpes. Usar a marca como isca não demonstra envolvimento.
- Que apenas conhecer o ID do jogador permita invadir a conta. A orientação consultada diz que o ID não equivale à senha [7].
- Que as 610 mil contas ucranianas tenham sido todas roubadas por phishing. A fonte oficial fala em contas verificadas com cookies de sessão roubados [11].
- O desfecho do caso de Colatina. A reportagem consultada não diz qual crime foi imputado, e a investigação segue em curso [8].
- Que haja comunicado oficial da Garena contra o “gerador de diamantes”. Não foi localizado.
- Que a sequência exata da abertura (item inédito, troca, mudança de aplicativo) seja a mais frequente. Ela descreve um padrão conhecido por especialistas, e não foi medida.
- Estatísticas muito repetidas sobre “golpes em jogos” sem fonte primária. Não foram verificadas e ficaram de fora.
Reconhecer esses limites não enfraquece a prevenção. A defesa se apoia no que é comum a todos os relatos: o golpe depende de a vítima entregar algo, e entregar menos é sempre possível.
O Que Fazer na Prática
As medidas abaixo são boas práticas de segurança extraídas das orientações das fontes. Não são resultado de estudo que prove redução de golpes, e cada família ajusta ao que funciona em casa.
Antes: reduzir a chance
- Combine a regra do item: skin, moeda e diamantes só se ganham ou se compram dentro do jogo ou em loja oficial. “Gerador”, “pelo ID” e “grátis” fora disso são sinais de golpe [7][3].
- Ensine que senha e códigos (SMS, aplicativo, reserva) não se entregam a página nenhuma, nem para “verificar a conta” [1]. Entre pelo aplicativo ou digitando o endereço oficial, e não por link recebido no chat [4][5].
- Ative a verificação em duas etapas no jogo e no e-mail da conta. Ela ajuda, mas não protege quando o próprio código é entregue [1]. Os passos da Roblox em português estão na página de ajuda sobre verificação em duas etapas [24], e o Guia de segurança das contas do site traz os passos oficiais por serviço.
- Use uma senha diferente para cada serviço: credenciais vazadas em um lugar são testadas em outros [4].
- Desconfie de programas “turbinadores”, mods e arquivos de instalação fora das lojas oficiais [10].
- Retire cartão salvo da loja do jogo e ative os controles de compra. Na Roblox, é possível definir um limite mensal de gastos, que não vale para resgate de cartões-presente e pode não valer em alguns consoles [25]. Combine que qualquer compra ou pagamento passa pela autorização de um adulto [6].
- Converse sem punição. A criança que se sente ouvida avisa cedo, e a orientação consultada recomenda diálogo sem castigo [6].
Se a criança já entregou dados
- Siga os passos oficiais. Na Roblox, eles incluem remover malware, trocar a senha, ativar a verificação em duas etapas e contatar o suporte, mas enviar as informações não garante a recuperação da conta [21]. No Free Fire, o suporte da Garena oferece um formulário de ticket, com opção de recuperar a conta [26].
- Troque também a senha do e-mail ligado à conta e de qualquer serviço que use a mesma senha [4].
- Se foi instalado algum arquivo, desinstale-o e passe um antivírus antes de trocar as senhas, para não entregá-las de novo.
- Não conte com restauração garantida da conta nem dos itens [21].
Se houve pagamento
- Chame o banco imediatamente e peça a devolução pelo Mecanismo Especial de Devolução (MED) do Pix. Segundo o Banco Central, a vítima de fraude, golpe ou crime deve registrar o pedido na própria instituição em até 80 dias da data do Pix, e o MED não cobre desacordo comercial [27].
- Registre ocorrência e guarde conversas, links, perfis e comprovantes.
- Não pague “taxa” para liberar item ou recuperar conta: é um estágio comum do golpe [7].
Para educadores e escolas
- Inclua a lista de sinais (item grátis, pedido de senha ou código, link fora do jogo) na educação digital dos alunos.
- Avise as famílias quando um golpe estiver circulando entre os alunos, sem expor quem caiu.
Conclusão: A Promessa Grátis Sempre Cobra Algo
O golpe funciona porque a recompensa é pequena e o pedido parece normal. Ninguém precisa entender de tecnologia para quebrar o ciclo: basta que a criança aprenda a perguntar “por que preciso entregar isso?” antes de clicar, e que saiba que pode contar em casa sem medo de castigo.
Para as organizações, o recado é que educação digital inclui o que se faz depois do erro: quem sabe o que fazer nas primeiras horas reduz o dano e a vergonha. A proteção é responsabilidade compartilhada entre família, escola e plataforma, e nenhum desses três faz sozinho.
Em 3 pontos:
- O golpe começa na conversa e termina no link: desconfie do presente que pede algo em troca.
- Senha e código não saem do aplicativo oficial, para ninguém.
- Se alguém já caiu, aja nas primeiras horas e converse sem castigo.
Leia também
- Seus Filhos Estão Conectados. Você Sabe Com Quem?
- Proteja Seus Filhos Contra Predadores Digitais: Conheça os Riscos e Saiba Como Agir
- Como Jogos Online Engajam e Podem Viciar Crianças: Entendendo os Mecanismos Psicológicos
- Ferramenta: Guia de segurança das contas — passos oficiais por serviço
Referências
[1] NordVPN. (2026). Fake Roblox login pages put kids at risk. https://nordvpn.com/blog/roblox-phishing-scams/ ↩
[2] Folha de S.Paulo (Painel S.A.). (29 de outubro de 2026). Roblox tem 196 sites falsos ativos em sete dias, diz NordVPN. https://www1.folha.uol.com.br/colunas/painelsa/2026/10/roblox-tem-196-sites-falsos-ativos-em-sete-dias-diz-nordvpn.shtml ↩
[3] Roblox. Avoiding Frauds & Scams. https://about.roblox.com/frauds-and-scams ↩
[4] Malwarebytes. (31 de julho de 2026). Fake Fortnite rewards are stealing players’ accounts. https://www.malwarebytes.com/blog/scams/2026/07/fake-fortnite-rewards-are-stealing-players-accounts ↩
[5] Epic Games. Account Security. https://safety.epicgames.com/en-US/policies/account-security ↩
[6] Cardoso, R. (14 de dezembro de 2025). Comunicado para pais de jogadores de Roblox e Free Fire, o golpe da skin grátis está fazendo vítimas. Monitor do Mercado. https://monitordomercado.com.br/noticias/economia/334793-comunicado-para-pais-de-jogadores-de-roblox-e-free-fire-o-golpe-da-skin-gratis-esta-fazendo-vitimas/ ↩
[7] Maria, G. (10 de outubro de 2026). Free Fire: gerador de diamantes pelo ID é golpe e expõe sua conta. Diário da Mídia. https://diariodamidia.com.br/free-fire-gerador-de-diamantes-pelo-id-e-golpe-e-expoe-sua-conta ↩
[8] g1 Espírito Santo. (17 de abril de 2026). Homem é preso por tirar R$ 100 mil de adolescente com venda de itens em jogo online no ES. g1. https://g1.globo.com/es/espirito-santo/norte-noroeste-es/noticia/2026/04/17/homem-e-preso-por-tirar-r-100-mil-de-adolescente-com-venda-de-itens-em-jogo-online-no-es.ghtml ↩
[9] Tribuna Online. (17 de abril de 2026). Homem é preso após dar golpe de R$100 mil em adolescente em jogo online no ES. https://tribunaonline.com.br/_/299320 ↩
[10] Kaspersky. (6 de setembro de 2024). How scammers attack young gamers. https://www.kaspersky.com/blog/how-scammers-attack-young-gamers-2024/52099/ ↩
[11] Procuradoria-Geral da Ucrânia. (27 de abril de 2026). A hacker group was detained in Lviv Oblast, which hacked game accounts and received almost 10 million UAH in profit from selling them in Russia. https://gp.gov.ua/en/posts/na-lvivshhini-zatrimano-xakersku-grupu-yaka-zlamuvala-igrovi-akaunti-i-otrimala-maize-10-mln-grn-pributku-vid-yix-prodazu-v-rosiyu ↩
[12] Malwarebytes. (30 de abril de 2026). Hackers stole hundreds of thousands of Roblox accounts: Here’s what to do. https://www.malwarebytes.com/blog/news/2026/04/hackers-stole-hundreds-of-thousands-of-roblox-accounts-heres-what-to-do ↩
[13] Kaspersky. (2024). Threats behind the screen: how cybercriminals target young gamers. https://www.kaspersky.com/blog/young-gamers-report-2024/ ↩
[14] SUD (Ukraine). (2026). In Drohobych, ‘hackers’ stole over 610 thousand Roblox accounts and sold them through Russian online resources. https://sud.ua/en/news/ukraine/372356-u-drohobychi-khakery-vykraly-ponad-610-tysiach-akauntiv-roblox-i-prodaly-cherez-rosiiski-onlain-resursy ↩
[15] Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação (Cetic). (2026). TIC Kids Online Brasil 2025: principais resultados. https://cetic.br/media/analises/tic_kids_online_brasil_2025_principais_resultados.pdf ↩
[16] Kristiansen e Jensen. (2023). Victimization in online gaming-related trade scams: A study among young Danes. Nordic Journal of Criminology. https://doi.org/10.18261/njc.24.2.6 ↩
[17] Brasil. (27 de maio de 2021). Lei nº 14.155, de 27 de maio de 2021. Presidência da República. https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/l14155.htm ↩
[18] Brasil. Decreto-Lei nº 2.848, de 7 de dezembro de 1940 (Código Penal), texto compilado. Presidência da República. https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm ↩
[19] Brasil. (30 de abril de 2026). Lei nº 15.397, de 30 de abril de 2026. Diário Oficial da União. https://www.in.gov.br/web/dou/-/lei-n-15.397-de-30-de-abril-de-2026-702822674 ↩
[20] Brasil. (17 de setembro de 2025). Lei nº 15.211, de 17 de setembro de 2025 (ECA Digital). Presidência da República. https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2025/lei/l15211.htm ↩
[21] Roblox. My account was hacked - What do I do? https://en.help.roblox.com/hc/pt-br/articles/203313390-My-account-was-hacked-What-do-I-do ↩
[22] Schneider et al. (2026). Achievement Unlocked: Let’s Get Hacked! Pré-print, sem revisão por pares. arXiv:2608.17754. https://arxiv.org/html/2608.17754 ↩
[23] Canaltech. (27 de outubro de 2026). Golpes contra crianças: 5 sinais de alerta em jogos e redes sociais. https://canaltech.com.br/seguranca/golpes-contra-criancas-5-sinais-de-alerta-em-jogos-e-redes-sociais/ ↩
[24] Roblox. Adicione a Verificação em 2 Passos à Sua Conta. https://en.help.roblox.com/hc/pt-br/articles/212459863-Adicione-a-Verifica%C3%A7%C3%A3o-em-2-Passos-%C3%A0-Sua-Conta ↩
[25] Roblox. Restrições de Gastos Mensais. https://en.help.roblox.com/hc/pt-br/articles/4409125091348-Restri%C3%A7%C3%B5es-de-Gastos-Mensais ↩
[26] Garena Free Fire. Enviar um ticket. https://ffsuporte.garena.com/support/tickets/new ↩
[27] Banco Central do Brasil. O que é e como funciona o Mecanismo Especial de Devolução (MED). https://www.bcb.gov.br/meubc/faqs/p/o-que-e-e-como-funciona-o-mecanismo-especial-de-devolucao-med ↩