O telefone da recepção toca e uma paciente pergunta por que a consulta dela foi cancelada depois que ela pagou o sinal por Pix. Ninguém na clínica cobrou sinal nenhum. Em algum lugar existe um perfil com o nome do consultório, a mesma foto de fachada, a mesma biografia, e uma chave Pix que não é sua. Esse tipo de fraude cresceu junto com o agendamento digital e atinge consultório de qualquer tamanho, porque o que o golpista está usando não é a sua tecnologia, é a confiança que o seu nome já construiu.
Os quatro golpes que mais aparecem em consultório
O primeiro é o perfil clonado nas redes sociais. O golpista copia foto, nome, biografia e algumas publicações, monta uma conta quase idêntica e responde às mensagens de quem procura agendamento, abordando justamente quem comentou em uma publicação sua pedindo informação.
O segundo é a clonagem do WhatsApp da recepção, quase sempre por engenharia social. Alguém liga para a secretária dizendo ser do suporte de alguma plataforma, ou envia uma mensagem pedindo a confirmação de um código de seis dígitos, e com aquele código assume a conta. Em minutos os contatos salvos recebem mensagem pedindo dinheiro em nome da clínica.
O terceiro é o site falso. Um domínio parecido com o seu, com uma letra trocada ou um sufixo a mais, hospeda uma cópia do seu site com um formulário de agendamento que pede dados pessoais e pagamento antecipado. Como o visual é idêntico, o paciente não desconfia.
O quarto é o mais silencioso: alguém reivindica ou edita o seu Perfil da Empresa no Google e troca o telefone. O cartão continua sendo o seu, com as suas avaliações e o seu endereço, mas o número que aparece leva para outra pessoa. A clínica só percebe quando o volume de ligações cai sem explicação.
Por que a clínica é um alvo fácil
Três características do setor explicam o interesse do fraudador. A primeira é a urgência do paciente, que reduz a desconfiança: quem está com dor ou esperando um resultado tende a seguir instruções sem questionar. A segunda é a normalização do pagamento antecipado, já que muita clínica realmente cobra sinal para reduzir falta, e o paciente não estranha o pedido. A terceira é a superfície digital espalhada, porque a mesma clínica costuma ter site, perfil em duas redes, cartão no Google, cadastro em plataformas de agendamento e mais de um número de WhatsApp, cada um criado por uma pessoa diferente ao longo dos anos e nenhum deles com dono claro hoje.
É um problema de segurança que chega vestido de problema de marketing. Quem sofre o prejuízo imediato é o paciente, mas quem carrega o dano de reputação é a clínica.
O que fazer nas primeiras horas
Ordem importa mais do que velocidade. Comece por conter, depois denuncie, depois comunique.
Conter significa recuperar o que ainda está sob seu controle. Ative a verificação em duas etapas em todas as contas da clínica, troque as senhas dos perfis e do e-mail que serve de recuperação, encerre as sessões abertas em outros aparelhos e confira quem continua com acesso de administrador nas páginas e no cartão do Google. É comum encontrar ali um estagiário que saiu há dois anos ou uma agência antiga.
Denunciar significa usar os canais formais de cada plataforma, que têm fluxo próprio para conta que se passa por outra pessoa ou por uma empresa. Reúna antes as provas: capturas de tela com data visível, o número usado, os links e o comprovante que o paciente recebeu. Se a clínica tem marca registrada, cite o número do registro, porque isso acelera a análise. Registre também boletim de ocorrência, que é o que sustenta pedidos de remoção mais firmes depois, e oriente o paciente lesado a registrar o dele. Para notificação extrajudicial, consulte um advogado.
Comunicar vem por último, e só depois de decidir qual informação prática o paciente precisa ter.
Como avisar o paciente sem virar alarme
O aviso que funciona é curto, factual e repetido nos canais onde o paciente já está. Diga quais são os canais oficiais, com o número e o endereço do site escritos por extenso. Diga como a clínica cobra de verdade, se cobra sinal, por qual meio e em nome de quem a conta está. Diga o que a clínica nunca pede por mensagem, como código de verificação, senha, foto de documento ou pagamento para chave pessoal. E dê um caminho para quem estiver em dúvida confirmar, que é ligar para o telefone fixo da recepção.
Três cuidados de compliance. Não transforme o aviso em espetáculo, porque sensacionalismo é vedado na publicidade médica e ainda amplia a sensação de insegurança. Não exponha o paciente que foi vítima, nem em publicação nem em resposta a comentário, e jamais confirme publicamente que determinada pessoa é paciente da clínica. E não acuse nominalmente ninguém antes de apuração, porque a acusação errada transforma a vítima em ré.
Depois que o caso passa, o aviso vira estrutura. Uma linha discreta no rodapé do site e na descrição dos perfis, informando quais são os canais oficiais e como a clínica cobra, resolve boa parte das dúvidas futuras sem nenhum tom de alerta.
A prevenção que cabe na rotina
Nada aqui exige equipe de tecnologia. Exige decidir uma vez e revisar.
- Verificação em duas etapas ativa em tudo, incluindo o PIN de seis dígitos do WhatsApp, que é justamente o que impede a clonagem por código.
- Contas da clínica no e-mail institucional, nunca no e-mail pessoal de quem trabalha ali hoje. Se a pessoa sair, a conta fica.
- Uma lista escrita de quem tem acesso a quê, revisada a cada seis meses e sempre que alguém deixa a equipe.
- Domínio próprio com renovação automática e vencimento anotado, porque domínio expirado é o presente perfeito para quem quer se passar por você.
- Perfis verificados onde a plataforma permitir, e cartão do Google com a propriedade confirmada por quem realmente responde pela clínica.
- Marca registrada quando a clínica tiver nome próprio, porque sem registro a remoção de conta falsa depende de boa vontade.
- Uma regra combinada com a recepção, escrita e treinada: nenhum código de verificação é repassado por telefone, nunca, nem para quem diz ser do suporte.
- Uma busca rápida a cada mês pelo nome da clínica e do profissional nas redes e no Google, que leva cinco minutos e encontra o perfil clonado antes do paciente.
Presença digital consolidada também é defesa
Existe uma relação direta entre presença bem cuidada e resistência a esse tipo de fraude, e ela costuma passar despercebida. A conta falsa se apoia na dúvida, e a dúvida só existe quando o paciente não sabe qual é a versão verdadeira.
Quando a clínica tem site próprio no ar, cartão do Google completo e perfis que publicam com constância apontando todos para o mesmo endereço, o paciente tem referência para comparar, e o perfil clonado, com histórico curto e sem nenhuma ligação com o site oficial, fica evidente. Já a clínica que existe apenas em um perfil abandonado não tem como provar qual das duas contas é a dela.
O que a comunicação da clínica não pode fazer
A Resolução CFM 2.336 de 2023 continua valendo no meio de uma crise. Nada de sensacionalismo, de promessa de resultado ou de preço usado como chamariz, inclusive no aviso sobre o golpe. Não se publica conversa de paciente, nem em captura de tela com o nome borrado, porque o sigilo alcança a própria existência do vínculo. Não se pede ao paciente que publique defesa em nome da clínica, já que depoimento é vedado. E não se aproveita o episódio para insinuar que a concorrência está por trás, porque acusação sem prova cria um problema maior do que o original.
São 20 anos no mercado digital e o padrão se repete em todos os casos que chegam até nós: a clínica que sofre o golpe raramente foi escolhida por descuido técnico, foi escolhida porque o nome dela vale alguma coisa. O trabalho é fazer com que esse nome tenha um endereço oficial tão claro que ninguém consiga ocupar o lugar dele. A Doutor Multimídia cuida da presença digital de clínicas e consultórios com a Resolução CFM 2.336 de 2023 como régua do que vai ao ar, do Perfil da Empresa no Google ao site que recebe o agendamento. Se hoje a sua clínica vive em perfis criados por pessoas que já saíram da equipe, esse é o primeiro ponto a resolver.