A loja era uma cópia da Leroy Merlin, o carrinho funcionava e o endereço trocava o n do final por um m
Sites falsos copiam a Leroy Merlin, trocam uma letra do endereço e pedem CPF no Pix e dados do cartão. A ESET achou a cópia numa busca simples no Google.
Sites falsos que copiam a loja virtual da Leroy Merlin usam endereços quase iguais ao verdadeiro, com uma letra trocada, deixam a pessoa escolher o produto e ir até o pagamento sem login e, no fim, pedem o CPF para gerar o QR Code do Pix ou os dados completos do cartão. A campanha foi descrita pela empresa de segurança ESET em 8 de outubro de 2026, e uma das páginas, segundo a empresa, foi encontrada numa busca simples no Google.
O relatório foi publicado no blog da própria ESET, o WeLiveSecurity, e repercutido no mesmo dia pelo TI Inside, com falas do pesquisador Jonathan Ramos. A ESET ressalta que a Leroy Merlin não tem qualquer responsabilidade sobre o golpe e que os criminosos usam o nome e a identidade visual da marca sem autorização.
Como funciona o site falso da Leroy Merlin?
A página reproduz a loja oficial com logotipo, cores e estrutura de navegação, e o TI Inside acrescenta categorias, produtos, preços e carrinho de compras. O consumidor escolhe o produto, põe no carrinho e vai direto para a finalização, sem precisar criar conta.
Na etapa seguinte, o site pede nome completo, telefone, endereço e e-mail, mas não o CPF. A ESET aponta que isso pode ser uma tentativa de reduzir a desconfiança, já que a falta desse dado costuma ser associada, de forma errada, a formulários mais seguros. O CPF aparece depois, quando a pessoa escolhe o Pix e o site exige o número para gerar o QR Code. No cartão de crédito, o formulário pede número completo, nome impresso, validade e código de segurança.
Há ainda um botão de suporte que leva aos canais oficiais de atendimento da Leroy Merlin. Para a ESET, isso faz a vítima associar o resto da página à confiabilidade dos canais reais, embora a compra aconteça num ambiente falso.
Como o endereço engana até quem confere?
A técnica tem nome, typosquatting, e consiste em registrar endereços parecidos com o da marca, com pequenas mudanças de grafia. Num dos sites analisados, o nome aparece com a última letra trocada, terminando em m em vez de n, e como as duas letras soam parecido em português, a ESET diz que a diferença pode passar despercebida até por quem olha o endereço antes de comprar.
O pesquisador Jonathan Ramos, ao TI Inside, resume o ponto: quando a página reproduz a marca e toda a jornada da compra, a desconfiança tende a cair, e por isso é preciso conferir o endereço acessado e os dados de quem recebe o pagamento.
Quantos sites foram encontrados e eles ainda estão no ar?
As duas fontes trazem números e datas que não coincidem por inteiro. Segundo o TI Inside, a ESET identificou quatro domínios ligados à campanha, as páginas foram encontradas em 23 de setembro e todas permaneciam ativas até a conclusão da análise, e um dos domínios foi registrado em 21 de setembro de 2026. No relatório da ESET, o primeiro site falso foi criado em 21 de setembro, um dia antes da análise, e o segundo em 22 de setembro.
O relatório da ESET acrescenta um aviso: as URLs falsas identificadas já estão fora do ar, o que não significa que o perigo passou, porque páginas desse tipo costumam ser derrubadas em horas ou dias e os golpistas voltam com novos endereços e o mesmo funcionamento. Os dois sites descritos tinham o mesmo layout e domínios diferentes, o que permite sustentar o golpe mesmo quando um endereço cai.
Por que isso importa para quem tem loja virtual?
Porque a cópia usa o nome de uma marca conhecida sem autorização, e a ESET descreve o nome e a identidade visual da marca como a isca para ganhar a confiança das vítimas. O caso da Leroy Merlin envolve uma grande rede, mas o mesmo desenho já apareceu aqui com negócios menores, como o golpe que usa o nome da marca no Facebook e o anúncio falso feito com o vídeo de uma pousada.
Para a marca copiada, procurar o próprio nome no Google de tempos em tempos pode ajudar a encontrar cópias. A Leroy Merlin, segundo a ESET, mantém uma página de cibersegurança e um canal de denúncia de fraudes chamado Leroy Merlin Sem Fraude.
O que fazer agora
Antes de comprar numa loja que apareceu na busca ou num anúncio:
- Digite você mesmo o endereço oficial ou use o aplicativo da loja, como recomenda a ESET.
- Confira o endereço letra por letra, procurando troca de letras, palavras a mais ou terminações estranhas.
- Confira o nome e o CPF ou CNPJ de quem recebe o Pix antes de pagar, e interrompa o pagamento se não for a empresa que vende.
- Desconfie de domínio criado há poucos dias, o que pode ser conferido em serviços de consulta como o WHOIS.
- Não informe CPF, cartão ou código de segurança em página que você não tem certeza de ser a oficial.
Se você já pagou ou digitou os dados do cartão:
- Ligue para o banco ou o emissor do cartão e peça o bloqueio do cartão e a contestação da compra.
- Se foi Pix, avise o banco no mesmo dia e peça a abertura do mecanismo de devolução.
- Registre boletim de ocorrência com o endereço do site, prints e o comprovante.
Se a compra foi feita em loja de verdade e chegou outra coisa no lugar, o caminho é diferente, como mostramos no caso de quem comprou pela internet e recebeu pedra na caixa. Cada caso depende de como o pagamento foi feito, e isso pede análise individual.
Perguntas frequentes
Como saber se o site da Leroy Merlin é verdadeiro?
Segundo a ESET, a própria Leroy Merlin orienta conferir se o endereço começa com https://leroymerlin.com.br, não compartilhar senhas ou códigos recebidos por SMS e conferir o CNPJ do beneficiário antes de pagar boleto ou Pix.
Site falso pode aparecer no Google?
Pode. A ESET registrou que uma das páginas falsas foi encontrada numa busca simples no Google.
O que é typosquatting?
É registrar um endereço parecido com o de uma marca, com pequena alteração na grafia. Num dos sites falsos da Leroy Merlin, o nome terminava em m em vez de n.
Comprei em site falso com Pix. O que faço?
Avise o banco no mesmo dia e peça a abertura do mecanismo de devolução do Pix, guarde o comprovante e registre boletim de ocorrência com o endereço do site.
A Leroy Merlin responde pelo golpe?
A ESET afirma que a Leroy Merlin não tem qualquer responsabilidade sobre esse golpe e que o nome e a identidade visual foram usados sem autorização. Cada situação concreta depende de análise individual.
