Checklist contra intimação falsa no celular corporativo

• [ ] Favoritos de consulta salvos: consultar processo, CPF, CNPJ, página de consultas
• [ ] Separação clara: WhatsApp pessoal ≠ Business corporativo (quando possível)
• [ ] 2FA ativo; sem senhas no app de notas sem cofre
• [ ] Política escrita: zero Pix de intimação; zero senha gov.br por chat
• [ ] Treino de 15 minutos no onboarding do aparelho
• [ ] Contato do counsel/segurança no discador favorito

Quem só treina depois do Pix treina tarde.

• [ ] Não clicar no link
• [ ] Não abrir APK/PDF em sessão bancária
• [ ] Não responder senha/código
• [ ] Anotar CNJ/documento/valor/canal
• [ ] Validar CNJ fora do app de mensagem
• [ ] Inventariar CNPJ da empresa / CPF citado
• [ ] Avisar o canal interno (segurança/financeiro) sem reencaminhar QR ao time inteiro
• [ ] Registrar ticket com prints

Se teatro: bloquear, denunciar, preservar evidências, reforçar treino, arquivar ticket. Se continente real: counsel; ainda assim zero pagamento ao chip. Se híbrido: duas mesas — processo oficial e fraude — no mesmo relatório.

• [ ] MDM/remoto: não entregar “código de pareamento” a suporte frio
• [ ] E-mail corporativo: desligar preview de imagem de remetentes desconhecidos se a política permitir
• [ ] WhatsApp Business: verificação de mensagem de “tribunal” com o checklist, não com o estômago
• [ ] VPN corporativa: não é sinal de legitimidade do remetente
• [ ] Backup de evidências no drive corporativo com ACL restrita

Não cobre estratégia processual. Não autoriza vigilância indevida de colaboradores. Não substitui antivírus/MDM. É protocolo humano para o segundo em que a intimação falsa aparece no bolso.

TI/segurança cria um exemplo óbvio de intimação falsa em ambiente controlado e pede para o time aplicar o checklist em voz alta. Sem dados reais de processos. Sem QR ativo. Objetivo: memória muscular.

Número de incidentes reportados; número de Pix evitados; tempo médio até validação; % de colaboradores com favoritos instalados. Soft CTA: favoritos do portal de consulta são baratos; prejuízo de boleto falso não é.

Roaming + cansaço + mensagem de “bloqueio Sisbajud”. O checklist cabe num PDF offline de uma página no telefone. Diretor também segue: zero exceção VIP para Pix de intimação.

Se o colaborador usa o mesmo telefone para vida pessoal e trabalho, o checklist precisa ser ainda mais explícito: qual WhatsApp recebe o quê; onde estão os favoritos; quem paga o Pix do susto (spoiler: ninguém). BYOD sem política é buraco. Política sem treino também.

O golpe migra do SMS para o chat corporativo com conta falsa ou e-mail convidado. O checklist vale: não clicar, anotar CNJ, validar fora, avisar segurança. Admin do workspace deve ter fluxo de denúncia de app convidado suspeito.

Imprima uma versão cartão (frente: não clicar / não pagar / anotar CNJ; verso: URLs). Cole no monitor. O digital no telefone falha se a bateria morreu de nervoso; o cartão no desk permanece.

Blameless postmortem: o que o checklist não cobriu? Onde o preview do PDF vazou? Quem precisa de retreino? Documente. Transformar colaborador em piada no coffee é como treinar o time a esconder o próximo incidente.

• [ ] Favoritos de consulta ainda no lugar
• [ ] Nenhum perfil de “tribunal” salvo nos contatos
• [ ] 2FA ok
• [ ] Atualizações de SO/app em dia
• [ ] Ticket de incidente pendente? fechar com lição

“Não tratamos intimação por este chat. Envie o CNJ. Validaremos fora.” Automática, humana, repetível. Cole na resposta rápida do WhatsApp Business se a ferramenta permitir — sem virar atendimento jurídico automatizado, só contenção.

“Intimação no celular da empresa: não clico, não pago, anoto CNJ, valido no favorito, abro ticket.” Se o colaborador repetir essa linha na entrega do handset, o checklist já começou.

Alinhe o checklist ao playbook de phishing já existente: classifique “intimação falsa” como subtipo. Assim o SOC/TI não trata como caso exótico. Mesmos severidades, mesmos tempos de resposta, mesmo pós-incidente — com o acréscimo da validação de CNJ na consulta pública.

Checklist contra intimação falsa no celular corporativo é pausa embutida no bolso. Favoritos, zero Pix, validação em consultar processo e inventários por CNPJ/CPF, ticket interno — nessa ordem. O aparelho da empresa não precisa ser herói; precisa ser previsível.

• CNJ
• Portal Comunica / DJEN