Números falsos de apoio ao cliente nas respostas de IA da Google: o que a sua empresa deve fazer

Procurar no Google o número de apoio ao cliente de uma empresa parece a coisa mais segura do mundo. Nas últimas semanas, duas investigações mostraram que nem sempre é. Burlões estão a publicar documentos com números falsos de apoio ao cliente em sites de terceiros, incluindo universidades e organismos públicos, e esses números acabam por aparecer nos resultados de pesquisa e nas respostas geradas por inteligência artificial (IA), como as Vistas gerais de IA (AI Overviews) e o Modo IA da Google.

Os casos documentados envolvem sobretudo companhias aéreas e marcas de viagens, mas o problema interessa a qualquer empresa com site. Por dois motivos: o seu site pode ser usado, sem que dê por isso, para alojar estes documentos; e a sua marca pode ser a próxima a ver clientes desviados para um número falso. Resumimos o que se sabe e o que vale a pena fazer já.

O que descobriu a Check Point

A 21 de outubro de 2026, a empresa de cibersegurança Check Point publicou uma investigação sobre uma campanha que faz passar números de burlões por linhas de apoio de mais de 20 marcas de viagens, incluindo companhias aéreas, agências e empresas de transportes. Em Portugal, o alerta foi noticiado no mesmo dia pelo Jornal de Notícias.

Segundo a Check Point, os burlões geram em massa guias do tipo «como contactar [marca]», cheios de palavras-chave, e espalham-nos por sites e plataformas que aceitam conteúdo do público. Os motores de pesquisa e os assistentes de IA recolhem esse conteúdo, que beneficia da credibilidade do domínio onde está alojado. Quando alguém com um voo cancelado ou um reembolso atrasado procura ajuda e liga para o número, do outro lado pedem-lhe taxas falsas ou dados da reserva e de pagamento, por vezes através de cartões-oferta, transferências ou criptomoedas.

O ponto que mais interessa a quem gere um site é a forma de entrada. A Check Point encontrou estes PDF em formulários públicos de universidades, portais de candidaturas de emprego e sistemas de submissão de documentos de entidades públicas: formulários que aceitam ficheiros e os deixam depois acessíveis num endereço público. Os investigadores identificaram caminhos de carregamento associados a formulários do Drupal, a plugins de formulários do WordPress, ao Optimizely e a portais feitos à medida. Como o PDF é um tipo de ficheiro esperado nestes formulários, passa nas validações habituais.

Há outro detalhe importante: os ficheiros confirmados foram analisados com 61 a 64 motores antivírus e nenhum os detetou. Não têm código malicioso. O perigo está na informação falsa e na confiança que o domínio lhe empresta.

Os mesmos números apareceram em anúncios do Instagram, em páginas do Facebook e em resumos gerados pela Meta AI, por exemplo em pesquisas sobre o apoio ao cliente da Booking.com.

O que viu a The Points Guy nas respostas da Google

A 27 de outubro, a provedora do leitor da The Points Guy, Michelle Couch-Friedman, publicou um teste às pesquisas da Google. Segundo o artigo, o Modo IA recomendou, numa pesquisa sobre a Swiss, um número de burlões, e a fonte citada era uma página pirateada do site da Universidade da Califórnia em Merced. Noutra pesquisa, apresentou outro número como linha de «escalonamento» da companhia, com base no site pirateado de uma clínica de fertilidade.

A autora relata ainda que PDF alojados no site da Universidade de Rutgers apareciam em dezenas de pesquisas sobre reembolsos e alterações de voos, até a universidade os apagar, e que o único número mostrado para o apoio da Expedia vinha de uma página de spam alojada no próprio domínio google.com.

O caso que deu origem à investigação mostra o custo: uma viajante ligou para um número que a Google lhe mostrou, assinou uma «autorização» enviada com o logótipo da companhia e recebeu logo uma cobrança de 4500 dólares, que a American Express bloqueou antes de ser processada.

Uma porta-voz da Google respondeu que as proteções contra spam são «altamente eficazes» e que a empresa continua a reforçá-las, e pediu aos utilizadores que denunciem resultados suspeitos no menu de três pontos de cada resultado. A autora nota que, retiradas as páginas denunciadas, os burlões voltaram com ficheiros alojados noutros sites.

O problema não é novo: no final de 2025, a Aurascape já tinha descrito uma campanha semelhante que usava sites WordPress, universitários e governamentais comprometidos.

Porque é que isto toca a sua empresa

O seu site pode ser o anfitrião. Os burlões procuram sites com boa reputação e uma porta aberta: um formulário que aceita anexos, uma pasta de uploads pública ou um WordPress desatualizado. Se um PDF carregado por um desconhecido fica num endereço público e indexável, pode passar a trabalhar para eles. Além do risco para terceiros, a Google trata o conteúdo pirateado e o spam de utilizadores como violações das suas políticas, o que pode prejudicar a visibilidade do seu site. Já falámos das novas recomendações da Google sobre spam criado por utilizadores e páginas partilhadas.

A sua marca pode ser imitada. Os casos documentados são de viagens, mas a técnica serve para qualquer setor em que um cliente aflito procura um telefone. Se o seu contacto oficial for difícil de encontrar, quem procura ajuda fica mais exposto ao primeiro número que lhe aparecer.

O que fazer já

1. Reveja os formulários que aceitam ficheiros. Confirme onde ficam guardados os anexos e se são acessíveis por um endereço público. O ideal é que fiquem numa área privada, fora do alcance dos motores de pesquisa, e que só a equipa os consiga abrir. A Check Point recomenda também autenticação e moderação nos carregamentos.
2. Procure ficheiros estranhos no seu domínio. Uma pesquisa como site:oseudominio.pt filetype:pdf mostra os PDF que a Google conhece no seu site. Se aparecerem documentos sobre companhias aéreas, reembolsos ou «apoio ao cliente» de outras marcas, o site foi usado. A Search Console também avisa quando deteta conteúdo pirateado.
3. Mantenha o site e os plugins atualizados. Além dos formulários abertos, as investigações apontam para sites comprometidos, e um site desatualizado é mais fácil de comprometer. Veja o nosso artigo sobre as falhas de segurança corrigidas no WordPress e, se encontrar sinais de intrusão, siga os passos de o que fazer nas primeiras horas depois de um site ser pirateado.
4. Torne os seus contactos oficiais inequívocos. Tenha uma página de contactos clara, com o mesmo número no site, no Perfil da Empresa no Google, nas redes sociais e nos emails de confirmação. Os dados estruturados de organização permitem indicar à Google os contactos oficiais. Não garantem o que a IA mostra, mas ajudam a dar-lhe a informação certa. Explicamos mais em como aparecer nas respostas do ChatGPT e do Modo IA da Google.
5. Vigie o que a IA diz sobre a sua marca. Pesquise de vez em quando «[a sua marca] contacto» ou «[a sua marca] apoio ao cliente» na Google, no Modo IA e noutros assistentes. Se aparecer um número que não é seu, denuncie o resultado e avise os clientes nos seus canais.
6. Avise os clientes. Diga claramente que a empresa nunca pede pagamentos por telefone para «desbloquear» um reembolso, nem cartões-oferta ou programas de acesso remoto. Como lembrou ao JN Rui Duro, responsável da Check Point em Portugal, antes de ligar ou dar dados de reserva e pagamento «é essencial confirmar o contacto no site, na aplicação da marca ou na confirmação da reserva». O mesmo vale para as burlas por mensagem, como as que a PJ descreve no nosso artigo sobre burlas no WhatsApp.

Se não sabe se o seu site tem formulários expostos, pastas públicas ou software desatualizado, a auditoria gratuita da MarcaWeb dá-lhe um primeiro diagnóstico em poucos minutos.

Em resumo

Os burlões já não precisam de criar sites falsos: usam a reputação de sites verdadeiros para pôr números falsos nas respostas da Google e de outros assistentes de IA. Para uma empresa, isto pede duas coisas: fechar as portas por onde estes ficheiros entram no seu site e deixar os contactos oficiais tão claros que seja difícil confundi-los. E, para todos, a regra mais simples continua a valer: o número de apoio procura-se no site ou na aplicação oficial da marca, não na resposta de um motor de pesquisa.