O iPhone 18 chegou. E as lojas falsas também

O site está em português, os preços estão em reais, a página é bonita e tem a foto do aparelho.

E oferece uma coisa que a Apple não oferece: pagar só o sinal agora, o resto depois.

Foi assim que a Kaspersky descreveu, em 24 de setembro, a leva de lojas falsas que apareceu no Brasil na semana em que o iPhone 18 Pro chegou às prateleiras.

Primeiro, o que existe de verdade

Fui à loja oficial da Apple Brasil conferir cada linha. Esses são os preços de 25 de setembro de 2026.

iPhone 18 Pro, tela de 6,3 polegadas, à venda desde 18 de setembro:

iPhone 18 Pro Max, tela de 6,9 polegadas, à venda desde 18 de setembro:

Cores oficiais dos dois modelos: prateado, preto, glacial e bordô. Quatro, nenhuma a mais.

E o que ainda não existe

Aqui eu corrijo um número que circulou nesta semana.

Rodou por aí que o dobrável iPhone Duo estaria à venda a R$ 21.999 desde 18 de setembro. Não está.

Na página do próprio Duo na loja da Apple Brasil, consultada nesta sexta-feira, a pré-venda começa em 16 de outubro, às 9h, e a entrega começa em 23 de outubro. Ele custa de R$ 21.999 (256 GB) a R$ 30.999 (2 TB), e vem em duas cores: branco-estelar e céu noturno.

A confusão tem origem: R$ 21.999 aparece duas vezes na tabela da Apple. É o preço do iPhone 18 Pro Max de 2 TB, que já está nas lojas, e é o preço de entrada do Duo, que só chega em outubro.

Também não existe ainda o iPhone 18 comum, o 18e e o Air 2. A expectativa é que cheguem no começo de 2027.

O que isso vale na prática: em setembro de 2026, qualquer anúncio de "iPhone 18" sem o "Pro" no nome está vendendo um aparelho que não está no varejo.

Como o golpe funciona

O pesquisador Fabio Marenghi, da Kaspersky, resumiu o padrão:

"Há anos, observamos golpistas aproveitando o lançamento de novos aparelhos para divulgar ofertas fraudulentas."

O roteiro que ele descreveu tem quatro etapas.

1. O site se apresenta como pré-venda do iPhone 18 Pro, com várias opções de armazenamento e cor.
2. Para derrubar a resistência, promete que não é preciso pagar tudo agora: basta um sinal.
3. Promete devolução integral se o comprador desistir.
4. Coleta os dados em duas rodadas. Primeiro os pessoais: nome, telefone, e-mail, cidade, WhatsApp. Depois os bancários.

O produto não interessa. O que interessa é o par de dados pessoais mais dados bancários.

A pista que a Kaspersky destacou: a cor

Os sites falsos ofereciam o iPhone 18 em laranja, roxo, café, vinho e branco.

O iPhone 18 Pro e o Pro Max só existem em prateado, preto, glacial e bordô. Um iPhone 18 Pro laranja não existe em lugar nenhum do mundo.

Marenghi:

"Preços bons demais para ser verdade e opções de cores ou modelos que não fazem parte do catálogo anunciado pela fabricante são sinais de alerta."

Os sete testes, em ordem de utilidade

Junto o que Kaspersky, Reclame Aqui e Mercado Pago recomendam, e testei as ferramentas.

1. A idade do domínio

Esse é o teste mais decisivo e quase ninguém faz.

Todo domínio .com.br tem data de registro pública e gratuita no Registro.br. A consulta fica em registro.br/tecnologia/ferramentas/whois.

Fiz o teste com magazineluiza.com.br nesta sexta-feira. Registro em 6 de outubro de 1997, última alteração em 29 de setembro de 2020, expiração em 6 de outubro de 2030.

Vinte e nove anos de idade. Se o site que te ofereceu o desconto foi registrado há nove dias, você já tem sua resposta.

2. A extensão e a grafia

Loja brasileira séria usa .com.br. Domínio de golpe usa .shop, .xyz, .live, .info.

E golpista registra endereço quase idêntico ao original: troca "i" por "l", dobra uma letra, acrescenta uma palavra. Leia a barra de endereços letra por letra antes de digitar qualquer coisa.

3. O CNPJ

Toda loja virtual registrada no Brasil é obrigada a mostrar razão social, CNPJ, endereço físico e telefone. A ausência disso já responde.

Se tiver, copie o número e consulte de graça na Receita Federal, em solucoes.receita.fazenda.gov.br. Testei o serviço nesta sexta e ele respondeu. Confira três coisas: se o CNPJ existe, se a razão social bate com o nome da loja, e há quanto tempo foi aberto.

CNPJ escrito na página é só texto. Texto se digita.

4. A forma de pagamento

Loja séria oferece cartão de crédito como opção principal.

Site que só aceita Pix, transferência ou boleto sem identificação é sinal de alerta, porque estorno fica difícil ou impossível. Se o recebedor do Pix for pessoa física, ou um CNPJ diferente do da loja, é golpe.

5. O "pagamento parcial"

Esse é o padrão específico deste golpe, e é o mais fácil de checar.

Nenhuma das quatro configurações do iPhone 18 Pro na loja da Apple Brasil tem sinal, entrada parcial ou reserva com depósito. A única facilidade é parcelamento em até 12 vezes no cartão.

Qualquer site que ofereça "pague só o sinal para reservar o seu" está oferecendo uma condição que a fabricante não oferece.

6. O desconto fora da curva

A referência é R$ 11.999 no modelo de entrada. Revendedor autorizado trabalha perto disso, variando na forma de pagamento.

Desconto de 40% ou 50% num aparelho lançado há uma semana não existe em revenda autorizada. A margem não comporta.

7. O selo e o cadeado

Selo de segurança colado na página não prova nada. É imagem, e imagem se copia. Selo de verdade é clicável e leva ao site de quem certificou.

O cadeado do HTTPS também não prova nada sobre honestidade. Certificado gratuito se emite em minutos. O cadeado diz que a conexão é criptografada, não que o dono da loja é confiável.

O teste que fecha a conta

A Apple mantém um localizador oficial de lojas e provedores autorizados no Brasil, em locate.apple.com/br/pt. Se a loja não está lá, ela não é autorizada, por mais que o site diga que é.

O tamanho disso no Brasil

Os números do Mapa da Fraude da Serasa Experian, primeiro semestre de 2026:

A divisão: anúncio falso responde por 62% das ameaças, perfil falso por 19% e página falsa por 18%. A Serasa também mapeou 2.100 grupos dedicados a distribuir material fraudulento em aplicativos de mensagem.

Rodrigo Sanchez, diretor de autenticação e prevenção a fraude da empresa, resume que a fraude digital não cresce só em volume: cresce em pontos de contato com o consumidor.

Se você já pagou

Desde 1º de setembro de 2026, a Instrução Normativa 766 do Banco Central mexeu nos prazos do MED, o Mecanismo Especial de Devolução do Pix.

Quem enviou o Pix e foi vítima de fraude tem até 80 dias, contados da transferência, para pedir o MED. Esse prazo já existia. O que mudou foi o outro lado: quem recebeu um Pix legítimo e sofreu devolução indevida agora tem 80 dias, em vez de 30, para contestar. O alvo da mudança é o golpe do duplo estorno.

Dois avisos honestos. O MED só alcança Pix, e pedir não garante receber de volta. Compra no cartão de crédito tem outro caminho, o da contestação junto à administradora.

O que joga contra, e entra

"Ninguém cai nisso." A Serasa Experian registrou 20.840 ocorrências de anúncio, perfil e página falsa só no primeiro semestre de 2026, alta de 27,2% sobre o ano anterior.

"Eu olho o cadeado." O cadeado atesta a criptografia da conexão, não a honestidade do dono. Certificado gratuito sai em minutos.

"Se eu pagar no cartão, o banco cobre." No cartão existe caminho de contestação. No Pix existe o MED, com prazo e sem garantia.

"O site tinha CNPJ." CNPJ escrito na página é texto. Conferir na Receita Federal leva um minuto.

"Comprei mais barato uma vez e deu certo." Pode ter dado. O objetivo deste golpe não é entregar produto ruim: é coletar dado pessoal e bancário. O prejuízo pode aparecer semanas depois, em outra transação.

"A Apple é cara, por isso procuro alternativa." É cara mesmo. Justamente por isso o desconto de 40% funciona como isca.

O que a revista não publica

Nenhuma das fontes que consultei informou quantos sites falsos existem, nem nomeou um único domínio. Registro isso porque é o tipo de lacuna que costuma ser preenchida com chute.

E, mesmo que tivesse a lista, a revista não publicaria endereço de site de golpe. Vira vitrine.

A resposta

O golpe do iPhone 18 não é sofisticado. Ele funciona porque o aparelho custa R$ 11.999 e a pessoa quer muito acreditar que achou por R$ 6 mil.

Os três testes que resolvem quase tudo levam menos de dois minutos. A idade do domínio, no Registro.br. O CNPJ, na Receita Federal. E a pergunta simples: a fabricante oferece essa condição de pagamento?

A Apple não vende iPhone por sinal. Não vende iPhone 18 Pro laranja. E não vendia o Duo em setembro.

Quem oferece as três coisas está vendendo outra coisa.