Kaspersky identifica 480 sites falsos para pedágio free flow

Um estudo divulgado pela consultoria de tecnologia Kaspersky identificou 480 sites fraudulentos que ofertam serviços de pagamento e regularização relacionados ao modelo de pedágio "free flow". A constatação, tornada pública em 3 de setembro de 2026, expõe uma interseção sensível entre infraestrutura de mobilidade, pagamentos digitais e crimes cibernéticos, com implicações imediatas para a proteção de dados, responsabilidade civil e repressão penal.

Contexto

O pedágio "free flow" consiste em sistemas eletrônicos que permitem a passagem por praças sem portas físicas, com cobrança baseada em leitura de placas, tags e processamento pós-viagem. A expansão dessa modalidade aumenta a demanda por canais eletrônicos de pagamento e regularização, que por sua vez são alvo atrativo para criminosos. Fraudes em sites que simulam serviços oficiais ou de concessionárias inserem-se num quadro maior de golpes digitais: páginas clonadas, phishing, cobrança indevida e captura de dados financeiros e pessoais.

A importância da controvérsia transcende perdas imediatas de dinheiro. Está em jogo a responsabilização dos provedores de hospedagem e plataformas, a obrigação de proteção de dados pessoais coletados nesses formulários, o dever das concessionárias de trânsito em comunicar procedimentos oficiais, e a necessidade de respostas regulatórias e de policiamento mais rápidas. Divergências jurisprudenciais anteriores sobre responsabilidade de provedores e moderação de conteúdo no ambiente digital mostram que a questão exige ajuste fino entre direitos dos consumidores, direitos fundamentais e a dinâmica técnica das redes.

O que foi decidido

Embora o levantamento seja de natureza técnica e não constitua decisão judicial, sua divulgação impõe efeitos práticos e jurídicos: aumenta a urgência para medidas administrativas e judiciais. O estudo serve como evidência técnica para: (i) embasar notificações extrajudiciais e pedidos de remoção de conteúdo junto a provedores de hospedagem; (ii) fundamentar ações civis públicas ou individuais por dano material e moral; (iii) subsidiar investigações criminais por estelionato e crimes informáticos.

Em termos práticos, provedores de serviços de internet e plataformas que hospedam páginas fraudulentas passam a ser alvos prioritários de pedidos de retirada (take-down). Concessionárias e órgãos públicos devem intensificar campanhas de comunicação para informar usuários sobre canais oficiais de pagamento e regularização. Por fim, autoridades policiais e fiscais recebem elemento probatório para abrir inquéritos, ainda que a efetividade dependa da cooperação internacional e da identificação dos responsáveis técnicos.

Base normativa e precedentes

• Art. 5º, CF/88 — proteção à intimidade, à vida privada e aos dados pessoais, fundamentos para exigência de sigilo e tratamento adequado.
• Lei 13.709/2018 (LGPD) — estabelece regras sobre tratamento de dados pessoais, obrigações de segurança, responsabilidade e dever de comunicação de incidentes ao titular e à Autoridade Nacional de Proteção de Dados (ANPD).
• Lei 12.965/2014 (Marco Civil da Internet) — direitos e deveres na rede, obrigação de provedor de manter registros e procedimento de remoção de conteúdo mediante ordem judicial ou solicitação fundamentada.
• Lei 12.737/2012 — tipifica delitos contra a inviolabilidade de dispositivos informáticos, subsidiária para crimes relacionados a invasão e fraude digital.
• Art. 171, Código Penal (Decreto-Lei 2.848/1940) — estelionato, aplicável quando há obtenção de vantagem patrimonial mediante artifício enganoso pelo site falso.
• Jurisprudência consolidada dos tribunais superiores sobre responsabilidade de provedores em casos de páginas fraudulentas: decisões que equacionam dever de colaboração técnica com garantia de liberdade de expressão e necessidade de ordem judicial para remoção em alguns casos.

Impacto prático

• Para usuários e motoristas: risco direto de prejuízo patrimonial e vazamento de dados financeiros e pessoais. Recomendação prática: confirmar canais oficiais das concessionárias antes de qualquer pagamento e preferir sistemas de cobrança integrados às operadoras ou aplicativos reconhecidos.

• Para concessionárias e administradoras de rodovias: necessidade de reforçar protocolos de comunicação institucional, disponibilizar meios claros de consulta de débitos e formalizar canais oficiais para denúncias de fraudes. Transparência ativa reduz a eficácia das páginas clonadas.

• Para provedores e plataformas de hospedagem: aumento do volume de notificações e possíveis ordens judiciais para remoção de conteúdo. Deve-se observar o procedimento do Marco Civil e criar fluxo de resposta técnica capaz de identificar e derrubar páginas maliciosas, bem como conservar logs para cooperação com investigação policial.

• Para advogados e escritórios: oportunidade para litígios de massa (ações civis públicas, juizados especiais e ações individuais), além de atuação consultiva em compliance e privacidade para clientes do setor de mobilidade.

• Para autoridades de proteção de dados (ANPD): indícios de tratamento indevido e vazamento de dados podem ensejar abertura de procedimentos administrativos e aplicação de sanções previstas na LGPD.

O que observar

• Provas técnicas: investigações dependerão de preservação de logs, registros WHOIS, captura de tráfego e cooperação com provedores estrangeiros quando domínios estiverem fora do Brasil.

• Modulação de responsabilidades: questões futuras poderão envolver pedidos de indenização em larga escala; tribunais terão que modular responsabilidade entre criador do site, registrador de domínios, provedor de hospedagem e mecanismos de pagamento.

• Procedimentos de emergência: necessidade de alinhamento entre órgãos reguladores, concessionárias e plataformas de pagamento para criar fluxos de bloqueio preventivo.

• Recursos e precedentes: decisões anteriores sobre remoção de conteúdo e responsabilidade de intermediários servirão de guia, mas há espaço para inovação jurisprudencial diante do aumento de fraudes em serviços públicos digitais.

• Recomendações práticas legais: ao representar vítimas, priorizar medidas cautelares para indisponibilização das páginas e preservação de provas; ao assessorar empresas, implementar políticas de privacidade robustas, logs de auditoria e canais verificáveis de atendimento.

Em síntese, o levantamento que detectou 480 sites falsos para pagamento de pedágio "free flow" é sinal de alerta: evidencia risco sistêmico que exige respostas coordenadas — administrativa, civil e penal — e reforça a centralidade da LGPD, do Marco Civil e das normas penais informáticas na proteção de usuários e na busca de responsabilização dos agentes envolvidos.