Golpe do Imposto de Renda 2026 está roubando o acesso ao Gov.br

A cada ano, milhões de brasileiros enfrentam o ritual obrigatório de declarar o Imposto de Renda. E a cada ano, junto com o prazo da Receita Federal, surge também uma outra temporada: a dos golpistas digitais. 

Em 2026, o problema atingiu uma escala alarmante. Somente no mês de março, o laboratório de cibersegurança Kaspersky identificou pelo menos 61 domínios fraudulentos criados especificamente para enganar contribuintes, sites que copiam a aparência oficial da Receita Federal para roubar dados, senhas e dinheiro.

Mas desta vez, o problema é ainda maior, já que esses sites podem roubar acessos das contas GOV.br das vítimas, podendo causar grandes prejuízos.

A anatomia do golpe

O esquema funciona a partir de uma técnica clássica chamada phishing: os criminosos se disfarçam de entidades confiáveis,  neste caso, o próprio fisco brasileiro, para induzir a vítima a entregar informações sensíveis ou realizar pagamentos indevidos.

Os sites falsos registram domínios com variações de palavras-chave do período, como "IRPF", "regularização", "modelo de declaração" e "Receita Federal". Quem cai nesses endereços se depara com páginas que imitam fielmente o visual do portal oficial do governo, inclusive com elementos de checkout, termos como "chave de acesso" e até o selo do Gov.br.

A partir daí, o golpe pode seguir dois caminhos principais:

Roubo de credenciais: páginas falsas de login do Gov.br capturam o usuário e a senha da vítima. Com essas informações, os criminosos podem acessar dados pessoais, financeiros e serviços públicos vinculados ao CPF.

Leia também: O que os criminosos fazem com dados vazados?

Extorsão financeira direta: a vítima recebe um e-mail ou mensagem alertando sobre uma suposta "pendência no IRPF" vinculada ao seu CPF. A mensagem usa linguagem alarmante, ameaças de malha fina, inclusão na Dívida Ativa da União, bloqueio de Pix, e oferece um "desconto de até 100% nos juros" para quem pagar rapidamente via boleto ou chave Pix. O prazo costuma ser de apenas dois dias. O dinheiro vai direto para contas de laranjas e é rapidamente convertido em criptomoedas.

Ninguém está completamente seguro

Um detalhe perturbador: mesmo quem já entregou a declaração pode ser alvo. Os golpistas não fazem distinção, disparam mensagens em massa e depois personalizam as cobranças conforme a resposta de cada vítima. Em ataques mais sofisticados, chegam a incluir o nome completo e o CPF real do destinatário para aumentar a credibilidade da fraude.

Empresas, autônomos e aposentados estão igualmente na mira. A simulação de uma "malha fina antecipada" é o gancho mais comum para quem já declarou: a mensagem sugere que irregularidades foram detectadas e precisam ser corrigidas com urgência.

Os sinais de alerta

A Receita Federal aponta os principais indicadores de fraude:

• Domínio fora do gov.br: todo site oficial do governo termina em .gov.br. Qualquer endereço diferente disso é imediatamente suspeito.
• Tom de urgência extrema: prazos de horas ou dias para "regularização", ameaças de bloqueio financeiro e suspensão de CPF são táticas de pressão psicológica típicas de golpes.
• Pedido de pagamento via Pix ou boleto: a Receita Federal não solicita pagamentos por esses meios e não envia links para quitação de débitos.
• Links encurtados ou domínios genéricos: endereços que não terminam em .gov.br e links encurtados por serviços de terceiros devem ser ignorados.
• Chave Pix associada à pessoa física ou CNPJ desconhecido: nenhum órgão público cobra tributos por Pix para contas de pessoas físicas.

Como se proteger do golpe 

Acesse apenas os canais oficiais, digitando o endereço manualmente no navegador.

Os canais legítimos para declarar e verificar pendências do IR são:

• Site da Receita Federal: www.gov.br/receitafederal (digitado diretamente na barra do navegador)
• Portal e-CAC: para acompanhar declarações, pendências reais e restituições
• Aplicativo Meu Imposto de Renda: disponível gratuitamente na App Store e na Google Play Store ( atenção a apps falsos com nomes semelhantes)
• Programa IRPF: baixado exclusivamente pelo site oficial da Receita

Além disso, recomendamos que você ative a autenticação em dois fatores no Gov.br,  o nível Ouro oferece proteção extra, e manter antivírus atualizado. Nunca forneça senha, dados bancários ou credenciais do Gov.br fora dos portais oficiais.

Se você suspeitar de uma mensagem ou já tiver clicado em um link fraudulento, a orientação é registrar um boletim de ocorrência e comunicar imediatamente sua instituição bancária. O prazo final para entrega da declaração do IR 2026 é 29 de maio.

O tamanho do problema

O levantamento da Kaspersky é um retrato de uma tendência que só cresce. A sofisticação dos ataques aumentou consideravelmente em relação a anos anteriores: os sites falsos não são mais páginas genéricas e mal acabadas, hoje replicam com precisão o layout, a linguagem e até os elementos de segurança visual do portal oficial. Quanto mais convincente a fraude, menor a desconfiança da vítima.

"É fundamental que os contribuintes estejam vigilantes, utilizem apenas canais oficiais e apliquem medidas de segurança robustas para proteger suas informações financeiras e evitar cair em armadilhas digitais", alertou Fábio Assolini, pesquisador sênior da Kaspersky.