Golpes contra restaurantes no iFood e nos apps: como se proteger

Os golpes descritos pelos guias do iFood incluem tentativas que exploram pressa e confiança: alguém pede um código por telefone, um entregador leva o pedido de outra pessoa, um "consultor" recebe a senha do dono. A proteção, então, é mais rotina do que tecnologia. Senha individual, verificação em duas etapas, conferência do código de coleta e uma regra clara para a equipe sobre o que nunca se passa adiante.

Abaixo estão modalidades de golpe descritas nas fontes, como reconhecer cada um e um protocolo de bloqueio para aplicar hoje.

Os golpes mais comuns contra restaurantes

Ligação pedindo código de acesso

Alguém liga dizendo ser do iFood, fala em "atualização cadastral" ou "problema no repasse" e pede o código que acabou de chegar no seu celular. Com esse código, a pessoa entra no Portal do Parceiro. O iFood é direto sobre isso na página de dicas contra fraudes: a empresa nunca solicita códigos por telefone.

O golpe funciona porque chega na hora do movimento. O atendente quer resolver logo e lê o código em voz alta. Por isso a regra precisa estar treinada antes.

Falso consultor com acesso ao portal

É o golpe mais elegante. Alguém oferece "subir a loja no ranking" ou "liberar destaque" e pede login e senha para trabalhar. O iFood alerta que esses consultores não são homologados e que, com o acesso, podem alterar dados cadastrais até o dono perder a conta. Na nossa leitura, qualquer prestador sério trabalha com um usuário próprio, criado por você, com o perfil de acesso mínimo para a tarefa. Quem insiste na sua senha está pedindo outra coisa.

Entregador que não é o entregador do pedido

Na coleta, a pessoa chega, fala o nome do cliente e leva a sacola. Depois aparece o entregador certo. Para fechar essa brecha, o iFood criou o fluxo de segurança na coleta: o entregador recebe um código no app dele, informa na loja, e você confere se é o mesmo que aparece no Gestor de Pedidos ou na comanda. Só então libera.

O ponto fraco é humano. Em dia cheio, o balcão pula a conferência. Se a conferência não for regra, ela não existe.

Golpe do campo de observação

O cliente usa o campo de observação para escrever textos longos, com valores, pedindo troca de itens, "acréscimo pago na entrega" ou algo que muda o pedido fora do sistema. O iFood orienta que esse campo deve conter só variações e opções do pedido e que texto muito longo ou com preços de itens é sinal de alerta. Tudo o que muda valor tem que passar pelo app.

Pix falso e WhatsApp clonado

Esse aparece mais no canal próprio e nas compras com fornecedor. O blog de parceiros do iFood descreve o comprovante falso de Pix e a mensagem de suposto fornecedor que leva o dono a entregar o código do WhatsApp. No delivery próprio, comprovante em imagem não prova nada. Confirme o crédito no extrato ou no app do banco antes de despachar.

Pedido simulado

Às vezes a fraude vem de dentro: pedido falso para inflar venda ou gerar avaliação. O iFood lembra que a simulação de pedidos pode resultar em sanções para a loja. Se alguém da equipe ou um parceiro sugerir isso, a resposta é não.

Como reconhecer um golpe em andamento

Alguns sinais se repetem em quase todos os casos:

• Urgência. "Precisa ser agora ou a loja fica fechada."
• Canal estranho. Pedido de código por ligação, link por SMS, contato de número desconhecido no WhatsApp.
• Pedido para sair do sistema. Pagamento por fora, troca combinada no chat, valor extra na entrega.
• Interesse em senha ou código. Qualquer pessoa que precise da sua credencial para "ajudar".
• Pressa do entregador. Recusa em mostrar o código de coleta ou insistência para levar sem conferência.

Um pedido de senha ou código de login já é motivo para interromper o contato. Os outros sinais também exigem conferência; não espere acumular dois para procurar o canal oficial. Endereço conhecido e fluxo autenticado são referências melhores que aparência do perfil ou urgência da mensagem.

Protocolo de bloqueio em 8 passos

Este é o protocolo que recomendo implantar em qualquer operação, do quiosque à rede.

1. Senha única por pessoa. O iFood diz que senhas do Portal e do Gestor de Pedidos não devem ser compartilhadas. Cada funcionário com o seu usuário.
2. Perfil mínimo para cada função. O Portal tem perfis de acesso diferentes: dono, gerente, marketing, financeiro, operador de caixa. No conjunto de perfis descrito nesse guia, o dono edita dados bancários e gerencia usuários; grandes redes podem ter perfis adicionais ou diferentes. Gerente não precisa disso. Caixa menos ainda.
3. Verificação em duas etapas ligada. O iFood recomenda receber o código por WhatsApp ou telefone. Se usar e-mail, tenha senha diferente da senha do iFood.
4. Regra de ouro do código. Escreva e cole perto do computador do balcão: "Código de login ou recuperação que chega por SMS, e-mail ou WhatsApp não se compartilha." Apague a mensagem depois de usar.
5. Conferência de coleta sem exceção. Nos fluxos com código de coleta, confira-o antes de liberar. Se o código não aparecer ou a tela falhar, consulte o procedimento oficial do serviço; o nome do cliente não substitui a validação.
6. Saída da conta. Faça logout do Portal ao terminar, principalmente em computador usado por mais de uma pessoa.
7. Revisão mensal de acessos. Uma vez por mês, abra Minha loja > Gestão de acessos e remova quem saiu da empresa ou não precisa mais.
8. Pagamento confirmado no banco. No canal próprio, pedido pago por Pix só é despachado depois de ver o valor no extrato.

Distinga os códigos antes de treinar a equipe

Código de login ou recuperação concede acesso à conta e não deve ser informado a quem liga. Código de coleta é usado no fluxo operacional para conferir quem retira um pedido. Código de confirmação de entrega registra o recebimento pelo cliente. Não reúna todos sob a regra vaga de "nunca usar código": a equipe precisa conferir o código correto no lugar correto sem revelar credenciais de acesso.

O guia de coleta descreve validação visual para restaurantes e outro fluxo por digitação. Confira o que a sua loja utiliza e não informe o código da comanda para a pessoa responder por repetição. Solicite que ela apresente o código do aplicativo e compare os dados do pedido antes de entregar. Registre uma divergência e procure o suporte se a verificação não fechar. Uma divergência também pode ser erro de seleção do pedido; investigue antes de acusar a pessoa de fraude.

O que fazer se você já caiu

Agir rápido limita o estrago. A ordem que sugiro:

1. Troque as senhas do Portal do Parceiro e do e-mail cadastrado. Se o e-mail estiver comprometido, troque primeiro o e-mail.
2. Revise usuários em Gestão de acessos e apague qualquer um que você não reconhece.
3. Confira dados bancários e cadastrais. Golpe de acesso costuma mirar a conta de repasse.
4. Abra um chamado pelo Portal do Parceiro, em Chamados e ajuda, como o iFood orienta. Descreva data, horário e o que aconteceu.
5. Registre boletim de ocorrência se houve prejuízo financeiro. Ajuda em contestação e no banco.
6. Avise a equipe sobre o golpe usado. Golpista que funcionou uma vez tenta de novo.

Se a conta ficou bloqueada no processo, o caminho é o mesmo que descrevemos em recuperar a conta e falar com o suporte do iFood. E se o golpe gerou cancelamento ou cobrança indevida, veja como contestar cancelamento no iFood.

Treinamento da equipe: o que realmente funciona

Golpe em restaurante quase sempre passa por quem está no balcão ou no telefone. Três coisas costumam funcionar melhor que um manual longo:

• Uma frase pronta. "Não passo código por telefone. Vou abrir chamado no portal." Decorada, ela tira o peso da decisão do atendente.
• Autorização para dizer não. O funcionário precisa saber que não leva bronca por recusar um pedido suspeito. Leva bronca por liberar sem conferir.
• Revisão de casos. Quando aparecer uma tentativa, conte para a equipe na reunião da semana. É o treinamento mais barato que existe.

Vale também revisar as configurações do Gestor de Pedidos junto com a equipe, porque é ali que acontece a conferência do código de coleta.

Outros aplicativos seguem a mesma lógica

Rappi, 99Food, aiqfome e o seu próprio site têm regras e telas diferentes, mas os golpes são parecidos: credencial, código, coleta e pagamento por fora. O protocolo vale para todos. Usuário individual, permissão mínima, verificação em duas etapas, conferência na entrega e nenhum acerto fora do sistema. Confira na central de cada plataforma quais recursos existem, quais dados cada perfil permite acessar e quais procedimentos são exigidos. Não presuma que os nomes de telas e códigos do iFood valem para todos os serviços.