Imposto de Renda 2025: golpes por e-mail, apps falsos e até boletos ameaçam sua restituição

O ciclo de declaração do Imposto de Renda 2025, referente ao ano-base 2024, concentra, historicamente, um pico de ataques cibernéticos com foco em identidade fiscal e movimentações bancárias.

Em 2024, a Kaspersky identificou crescimento de mais de 25% nas tentativas de phishing com temática tributária, enquanto a FEBRABAN reportou prejuízos superiores a R$ 10 bilhões em fraudes digitais no Brasil, especialmente em períodos de grande exposição financeira como o IR.

Em março de 2025, a própria Receita Federal confirmou o retorno de fraudes por correspondência física, em que criminosos simulam cobranças fiscais com boletos falsos enviados por carta, visando contribuintes menos digitais e vulneráveis à estética institucional.

Principais vetores de fraude na declaração do IR

A seguir, os mecanismos de ataque mais recorrentes, segundo fontes oficiais e análise técnica:

• Portais clonados da Receita Federal, com campos para CPF, contas e credenciais do gov.br;
• Aplicativos paralelos ao programa oficial, oferecidos via APK e hospedagens obscuras;
• Arquivos maliciosos disfarçados de informes de rendimento, disseminados via e-mail;
• Mensagens de “pendência fiscal” com links falsos, enviadas por SMS ou WhatsApp;
• Malwares como o “Coyote”, especializados na captura silenciosa de dados bancários e credenciais digitais.

Caso documentado: Em 2024, golpistas simularam comprovantes de restituição enviados via e-mail e Erro na Declaração do Imposto de Renda. Ao clicar, a vítima instalava um malware com acesso total a contas bancárias e sistemas declaratórios.

Perfil de risco: quem está mais exposto?

• Contribuintes que operam sem assessoria tributária formal;
• Profissionais seniores e aposentados, alvos preferenciais de ataques por correspondência;
• Empresários e autônomos, que concentram dados sensíveis fiscais e financeiros no mesmo dispositivo;
• Pessoas físicas com alto volume de transações e pouca vigilância digital.

Fraudes físicas e reputação institucional: o desafio da aparência legítima

A Receita Federal esclarece que não realiza cobranças via boleto físico, mas confirma o envio de comunicações por carta — como no Projeto Cartas 2024, voltado a contribuintes retidos na malha fina.

Enquanto isso, criminosos vêm utilizando:

• Papel timbrado falsificado com logotipia da Receita;
• Linguagem técnica jurídica e códigos de rastreio;
• QR Codes e datas de vencimento falsas.

O risco, portanto, não está apenas na tecnologia, mas na semelhança com a autoridade legítima.

Projeções e riscos emergentes no ecossistema tributário digital

De acordo com relatórios recentes de cibersegurança:

Tendências observadas:

• Engenharia social com dados reais do contribuinte;
• Sites e aplicativos com aparência idêntica à da Receita;
• Ataques físicos e híbridos com boletos e correspondência;
• Exploração do comportamento emocional do contribuinte.

Projeções para 2025 e além:

• Uso crescente de inteligência artificial para simular interações oficiais;
• Deepfakes, vishing e ataques por voz simulando órgãos públicos;
• Fraudes distribuídas em pequena escala, com baixo rastreio unitário.

Estratégias de mitigação para o contribuinte

A seguir, práticas essenciais para redução de risco:

Infraestrutura e acesso

• Utilize apenas o portal oficial da receita;
• Ative autenticação de dois fatores (2FA) no gov.br, bancos e e-mail;
• Use dispositivos próprios, com antivírus atualizado e conexão privada.

Comunicação

• Não clique em links enviados por SMS, WhatsApp ou e-mails não verificados;
• A Receita não envia links nem solicita dados por esses meios.

Compartilhamento de dados

• Compartilhe documentos fiscais apenas por meios digitais confiáveis.

Monitoramento

• Utilize o Registrato do Banco Central para identificar movimentações suspeitas
• Acesse periodicamente o e-CAC para verificar pendências legítimas.

Conclusão

A cada novo ciclo de Imposto de Renda, os criminosos sofisticam seus métodos, adaptando linguagem, aparência institucional e canais de ataque.

O problema não é a Receita. É o que se parece com ela.

Seja por meio de um boleto, um e-mail convincente ou um aplicativo com design institucional, o ataque começa com a quebra da atenção e termina no comprometimento da identidade tributária.

Em tempos de alta exposição digital, segurança é parte do planejamento fiscal.

Fontes e Referências

• Kaspersky – Blog oficial
• Receita Federal – Portal oficial
• Receita Federal – Projeto Cartas 2024
• Receita Federal – Alerta sobre boletos falsos (2025)
• FEBRABAN – Relatório de Segurança 2024
• Receita Federal  "Erro na Declaração do Imposto de Renda" Golpe
• Banco Central – Registrato