Você procura a versão demo de um jogo popular, digita o nome no buscador e recebe dezenas de resultados prontos para atender: sites com o visual da plataforma que você conhece, canais que prometem a “versão liberada”, arquivos de aplicativo enviados por mensagem. Uma parte considerável disso é site falso de demo — páginas e aplicativos montados para parecer uma demo gratuita e que, na prática, coletam dados, pedem dinheiro ou instalam algo no seu aparelho.

A regra que separa uma coisa da outra cabe em uma frase: uma demo de verdade usa saldo virtual, não movimenta dinheiro real e nunca pede pagamento, cartão, Pix ou “taxa de liberação”. Se o pedido aparecer, aquilo deixou de ser demo.

O tamanho do problema é público: no primeiro ano de mercado regulado, entre outubro de 2024 e dezembro de 2025, a Secretaria de Prêmios e Apostas do Ministério da Fazenda (SPA/MF) informou o bloqueio de mais de 25 mil endereços de sites de apostas ilegais, com execução da Anatel. A seguir: cinco tipos de golpe, sete sinais de alerta, uma regra simples e um plano de ação para quem já baixou, já se cadastrou ou já pagou.

Índice

Por que as demos atraem golpes

O modo demo é a porta de entrada do público iniciante. É onde a pessoa vai antes de decidir qualquer coisa, e é por isso que as buscas por conta demo, modo demo e por promessas do tipo “dinheiro infinito” somam centenas de milhares de consultas por mês no Brasil. Nenhum outro tema do nicho reúne tanta gente sem experiência no mesmo lugar ao mesmo tempo.

A palavra “grátis” faz um trabalho silencioso na cabeça de quem procura. Se não há dinheiro em jogo, parece não haver risco — e a vigilância cai. O detalhe é que o fraudador não precisa do seu depósito para lucrar. O produto que ele vende é outro: o seu dado (CPF, telefone, e-mail, senha, credencial bancária) ou o acesso ao seu aparelho, obtido pelas permissões que um aplicativo pede na instalação. Quando o pedido de depósito aparece, ele é o bônus da operação, não o objetivo dela.

Some a isso a escala do mercado — 25,2 milhões de brasileiros apostaram em 2025, segundo os dados reportados pelas empresas então autorizadas — e o custo quase zero de montar a armadilha. Clonar o visual de um site é barato, o domínio é descartável e o mesmo modelo é replicado dezenas de vezes por semana. É a combinação de público grande, guarda baixa e produção barata que mantém o golpe rodando.

Onde a isca costuma aparecer

Raramente a pessoa vai atrás do golpe; o golpe é que chega até ela. Os pontos de contato mais frequentes são anúncios pagos no topo dos resultados de busca, vídeos curtos em redes sociais com a promessa de “versão liberada”, perfis que respondem comentários com link no privado e, principalmente, grupos de WhatsApp e Telegram, onde o arquivo de instalação circula de mão em mão com a recomendação de alguém conhecido. Esse último detalhe é o que mais desarma: você não recebeu de um estranho, recebeu do seu primo — que também recebeu de alguém.

Os cinco tipos de golpe

Os formatos se repetem com pouca variação. Reconhecer o padrão é mais útil do que decorar nomes, porque os nomes mudam toda semana e o padrão não.

1. Site clonado que imita uma plataforma

É a cópia visual de uma plataforma conhecida: mesmo logotipo, mesmas cores, mesma disposição de botões. O que muda é o endereço — troca de um caractere, sufixo diferente, um subdomínio que coloca o nome da marca antes de um domínio qualquer. O objetivo é o formulário: você digita seus dados achando que está no lugar certo. Às vezes a página apenas empurra você para um depósito em uma conta que não pertence a operador nenhum.

2. Aplicativo ou APK fora da loja oficial

Um arquivo .apk distribuído por link direto, site de download ou mensagem. Aqui houve uma mudança importante: desde meados de 2025, operadores autorizados têm aplicativos publicados nas lojas oficiais, Google Play e App Store. Quando a única forma de instalar é um APK avulso, isso deixou de ser normalidade do setor e passou a ser sinal de alerta. O risco típico não é o jogo em si, e sim o que o aplicativo pede para funcionar: leitura de SMS, acesso a contatos, localização precisa, gravação de áudio e, o mais grave, o serviço de acessibilidade — o mesmo conjunto de permissões que trojans bancários usam para ler a tela e capturar o que você digita.

3. “Demo” que depois pede depósito

Começa gratuita e convincente. Saldo virtual alto, sequência de ganhos, número subindo na tela. Em determinado ponto, quando o valor acumulado já parece grande demais para abandonar, surge a exigência: depositar para “liberar”, “validar a conta” ou “sacar o prêmio”. Não existe saque em modo demo, porque não existe dinheiro real ali. O saldo que subiu é um número em uma página.

O grupo promete sinais, horários certos, robôs ou a versão liberada de um jogo. O link para a “demo” é apenas o funil de entrada — serve para levar você a um dos formatos anteriores e, ao mesmo tempo, para criar a sensação de comunidade que sustenta a fraude. Se um grupo cobra pela entrada ou pede depósito em plataforma indicada por ele, a monetização já começou antes de qualquer jogo.

5. Página de phishing disfarçada de demo

Uma página que não opera nada: apenas um formulário de cadastro pedindo CPF, e-mail, telefone e senha, com a promessa de acesso à demo logo depois. Os dados são reutilizados em outras contas suas, sobretudo se você repete senha. O tema tem tratamento próprio no nosso material sobre phishing em cassinos online — aqui basta a regra: modo demo real não pede cadastro.

Sete sinais de um site falso de demo

Cada item abaixo vem com o motivo. Saber por que o sinal existe é o que permite aplicar o critério a um caso novo, que você nunca viu.

  1. O domínio não termina em .bet.br e mesmo assim oferece jogo a dinheiro para brasileiros. Desde janeiro de 2025, esse domínio é obrigatório para quem tem autorização no país; fora dele, não há operador regular.
  2. Pedem login ou cadastro para acessar o modo demo. A demo existe justamente para ser testada sem conta — exigir cadastro só faz sentido para quem quer os seus dados.
  3. Pedem dados de pagamento — cartão, chave Pix, dados bancários — em qualquer momento da demo. Saldo virtual não conversa com meio de pagamento.
  4. A instalação é por APK fora da loja oficial, com aquele aviso do sistema sobre “fonte desconhecida”. O aviso não é burocracia: ele informa que ninguém verificou aquele arquivo.
  5. O aplicativo pede permissões demais — SMS, contatos, localização precisa, microfone, acessibilidade. Um jogo não precisa ler suas mensagens para girar um rolo na tela.
  6. O contato é só por WhatsApp, sem e-mail corporativo, sem central de atendimento, sem endereço. Canal único e descartável é escolha de quem planeja sumir.
  7. Não há identificação do operador: nenhuma razão social, nenhum CNPJ, nenhum rodapé com dados da autorização. Quem opera de forma regular precisa se identificar e faz questão disso.

Um sinal isolado pede cautela e uma segunda checagem. Dois ou mais, feche a página. Não vale a pena investigar por conta própria.

Uma demo nunca pede dinheiro

Se você guardar uma única frase deste guia, que seja esta. O modo demo funciona com saldo virtual: um número que o próprio jogo distribui, sem lastro, sem conversão e sem qualquer relação com a sua conta bancária. Por isso a demo não tem saque, não tem liberação, não tem verificação paga, não pede cartão e não pede chave Pix.

Daí decorre um critério prático que dispensa análise técnica: qualquer pedido de pagamento dentro de uma demo encerra a conversa. Não importa quão bem feita seja a página, quão alto esteja o saldo na tela ou quão convincente seja a explicação sobre “taxa de liberação”. Não existe taxa para liberar dinheiro que não existe.

Como conferir a origem oficial

Quatro passos, em ordem. Levam menos de cinco minutos e resolvem a maioria dos casos.

Passo 1 — Site do desenvolvedor do jogo

A demo de um título vem de quem o produziu. Procure o estúdio responsável pelo jogo e veja se ele disponibiliza a versão de demonstração no próprio site. É o caminho mais curto e o mais difícil de falsificar, porque o estúdio não tem interesse em manter um endereço parecido com o dele no ar.

Passo 2 — Modo demo em plataforma autorizada

Se a demo estiver dentro de uma plataforma, confira duas coisas: se o domínio termina em .bet.br e se a marca consta na lista oficial de plataformas autorizadas pela SPA/MF — em agosto de 2026 são cerca de 188 plataformas com autorização, sob a Lei nº 14.790/2023. A consulta é pública e fica no portal do Ministério da Fazenda, na área da Secretaria de Prêmios e Apostas (SIGAP, em Consultas Públicas).

Passo 3 — Lojas oficiais de aplicativos

Na Google Play e na App Store, olhe o nome do desenvolvedor, o número de instalações, a data da última atualização e as avaliações mais recentes — não só a nota. Um aplicativo legítimo de uma marca autorizada aparece publicado pela empresa correspondente. E vale a regra que não tem exceção: nunca instale por link recebido em mensagem, mesmo de alguém conhecido.

Passo 4 — Checagem cruzada

Com o endereço oficial em mãos, compare caractere por caractere com o endereço em que você está. É aqui que aparecem as trocas sutis: uma letra a mais, um hífen deslocado, um “br” que virou outra coisa. Se os dois não forem idênticos, você não está no site oficial — e não há meio-termo nessa comparação.

Se você já baixou ou já se cadastrou

Acontece, e não é sinal de descuido: o golpe é feito para funcionar. A ordem abaixo segue a urgência real, do que protege mais para o que protege depois.

  1. Desinstale o aplicativo e revogue as permissões que ele tinha. No Android, revogue antes de remover sempre que possível, para que nada continue ativo durante o processo.
  2. Troque as senhas repetidas, começando pelo e-mail principal e pelo banco. Ative a verificação em duas etapas nessas contas antes de seguir para as demais.
  3. Revise sessões ativas e dispositivos conectados nas contas que mais importam: e-mail, banco, redes sociais e WhatsApp. Encerre tudo que você não reconhecer.
  4. Confira permissões de acessibilidade e administradores de dispositivo no Android. É nesse par de configurações que o acesso indevido costuma persistir mesmo depois de o aplicativo sumir da tela inicial.
  5. Acompanhe extratos e faturas por pelo menos 30 dias. Registre contestação no primeiro lançamento estranho, por menor que seja o valor — testes com quantias pequenas costumam anteceder o resto.
  6. Denuncie. Crimes cibernéticos podem ser comunicados pela central nacional de denúncias da SaferNet Brasil e pelo canal de denúncias da Polícia Federal; delegacias especializadas em crimes cibernéticos existem em vários estados, e na ausência delas vale a delegacia mais próxima. Na dimensão de consumo, use o Procon do seu estado e o portal consumidor.gov.br. Para plataforma de apostas sem autorização, o canal de denúncias da SPA/MF, no Ministério da Fazenda, é o que encaminha endereços à Anatel para bloqueio. Aplicativos também podem ser denunciados dentro da própria loja.

Se você já pagou

Aqui o relógio conta. Faça na ordem: pare qualquer pagamento adicional — inclusive o “último” que promete destravar o anterior, que é a etapa mais lucrativa do golpe. Em seguida, documente tudo: capturas de tela das conversas e da página, comprovante da transferência, data, horário e dados da conta de destino.

Com isso em mãos, acione o banco imediatamente. Se o pagamento foi por Pix, pergunte expressamente pelo Mecanismo Especial de Devolução (MED), o procedimento do Banco Central para contestar transferências ligadas a fraude. Depois, registre boletim de ocorrência e abra reclamação no Procon estadual e no consumidor.gov.br.

Uma palavra honesta sobre expectativa: agir rápido aumenta a chance de recuperar, mas não garante. Em 2025, o MED devolveu pouco mais de 9% dos valores contestados — o número explica por que a prevenção vale mais do que qualquer procedimento posterior. E se o prejuízo mexeu com você além do bolso, procurar apoio faz parte do cuidado: o SOS Jogador (sosjogador.com.br) atende quem enfrenta problemas com jogo, e o CVV atende pelo 188, 24 horas por dia.

Checklist para baixar

Dez pontos, na ordem em que você vai encontrá-los. Salve, imprima ou tire um print — funciona sozinho, sem o resto do texto.

Ponto de checagemO que confirmar antes de instalar ou se cadastrar
1. Regra únicaA demo pediu dinheiro, cartão, Pix ou "taxa"? Encerre. Demo não movimenta dinheiro real.
2. DomínioTermina em .bet.br? Fora disso, não há autorização no Brasil.
3. Lista oficialA marca está entre as cerca de 188 plataformas autorizadas pela SPA/MF? Consulte no portal do Ministério da Fazenda.
4. DesenvolvedorO estúdio do jogo oferece a demo no site dele? Esse é o caminho menos falsificável.
5. Loja oficialO aplicativo está na Google Play ou App Store, publicado pela empresa correspondente?
6. APK avulsoA única forma de instalar é um arquivo por link ou mensagem? Não instale.
7. PermissõesPede SMS, contatos, localização precisa, microfone ou acessibilidade? Recuse.
8. CadastroExige login ou CPF para acessar o modo demo? Demo real dispensa conta.
9. ContatoSó WhatsApp, sem e-mail corporativo nem central de atendimento? Sinal ruim.
10. IdentificaçãoTem razão social, CNPJ e dados da autorização no rodapé? Se não tem, feche.

Dois itens marcados em vermelho já bastam para desistir. Nenhuma demo é boa o suficiente para justificar o risco de descobrir o resto na prática.

Conclusão

Reconhecer um site falso de demo é menos uma questão técnica do que de sequência: conferir a origem antes de clicar, olhar o domínio antes de digitar qualquer dado e desconfiar de todo pedido de pagamento onde não deveria existir pagamento nenhum. Os quatro passos de verificação — desenvolvedor, lista oficial da SPA/MF, loja de aplicativos e comparação do endereço — resolvem quase tudo em poucos minutos.

E se a memória falhar na hora, volte à regra única, que é a que não depende de nada: uma demo nunca pede dinheiro. Se pediu, não era demo. Quem já pagou ou já instalou tem caminho — agir rápido, documentar, acionar banco e denunciar — e quem sentiu o baque além do prejuízo financeiro pode procurar o SOS Jogador ou o CVV, pelo 188, 24 horas por dia.

Ministério da Fazenda adverte: Aposta não é investimento.