Criminosos estão usando páginas falsas do Roblox para roubar contas de crianças e adolescentes, em um esquema que transformou o phishing em um serviço comercializado pela internet. Uma investigação da equipe de inteligência de ameaças da NordVPN identificou ferramentas prontas que permitem criar cópias praticamente idênticas ao site oficial da plataforma de jogos, sem exigir conhecimentos de programação.

O levantamento encontrou 196 endereços fraudulentos ativos em apenas sete dias, além de ferramentas capazes de capturar senhas, códigos de autenticação de dois fatores e códigos de recuperação das contas. A descoberta também serve de alerta para famílias brasileiras, embora a NordVPN não tenha divulgado dados específicos sobre vítimas ou sites fraudulentos no Brasil.

Além disso, um relatório global de cibersegurança da NordVPN, divulgado em setembro de 2026, identificou o Roblox como a segunda marca mais utilizada em tentativas de phishing analisadas pela empresa, respondendo por 12,32% dos casos, atrás apenas da Microsoft.

A dimensão do problema também aparece em reclamações registradas na Comissão Federal de Comércio dos Estados Unidos (FTC). Segundo os dados apresentados pela NordVPN, 61% das reclamações relacionadas ao Roblox envolvem crianças de 8 a 12 anos, enquanto outros 18% dizem respeito a crianças de 4 a 7 anos. “Esses percentuais se referem a reclamações nos Estados Unidos e não representam estatísticas do mercado brasileiro”, apresenta Marijus Briedis, diretor de tecnologia da NordVPN.

No Brasil, o alerta ganha importância diante do grande número de crianças e adolescentes conectados. Segundo dados apresentados em uma publicação da TIC Kids Online Brasil, cerca de 25 milhões de brasileiros entre 9 e 17 anos utilizam a internet, o equivalente a 93% dessa faixa etária. Entre eles, 98% acessam a rede pelo celular.

Os pesquisadores identificaram reproduções de páginas de jogos populares, como Steal a Brainrot, Grow a Garden, Blox Fruits e PLS DONATE. Os sites fraudulentos copiam elementos visuais, fontes, menus e até a quantidade de jogadores, criando uma experiência praticamente idêntica à plataforma original. Algumas páginas também imitam o RoVer, serviço legítimo utilizado para conectar contas do Roblox e do Discord.

Os criminosos conseguem contratar serviços que oferecem toda a estrutura necessária para aplicar os golpes. Basta realizar um cadastro com uma conta do Discord para obter uma página falsa do Roblox, hospedagem, endereço eletrônico e ferramentas que registram as informações digitadas pelas vítimas.

“Essas páginas copiam o jogo que seu filho estava jogando cinco minutos antes, até mesmo a contagem de jogadores. Muitas vezes, não existe nada visualmente errado com elas. E o link geralmente chega de um amigo, porque a conta desse amigo foi comprometida uma hora antes e agora está enviando o endereço para todos os contatos”, explicou Briedis.

Criminosos conseguem roubar contas mesmo com autenticação de dois fatores

A investigação mostrou que os sites fraudulentos utilizam diferentes estratégias para confundir os usuários. Entre os endereços encontrados estão roblox[.]com[.]ug, roblox[.]com[.]py e roblox[.]com[.]kz, que podem parecer legítimos em uma leitura rápida. Outros substituem letras por caracteres visualmente semelhantes, como robiox[.]com[.]ps, que utiliza a letra “i” no lugar do “l”.

A NordVPN testou quase 4 mil combinações de variações da palavra Roblox e domínios de países. Os pesquisadores encontraram 123 endereços fraudulentos ativos, que acumulavam mais de 105 mil visitas. A investigação também identificou um grupo de pelo menos 521 endereços que combinavam o nome da plataforma com expressões como “login-roblox” e “roblox-verify”. Os conjuntos analisados apresentam sobreposições, portanto seus totais não devem ser somados.

O aspecto mais preocupante envolve a capacidade de contornar a proteção por autenticação de dois fatores. Os pesquisadores descobriram que algumas páginas falsas solicitam primeiro a senha, depois o código de seis dígitos, o código de recuperação de nove dígitos e, finalmente, o PIN da conta. Enquanto a criança digita as informações, o criminoso utiliza os dados para realizar o acesso à conta verdadeira antes que os códigos expirem.

Depois de capturar as informações, a página falsa pode redirecionar a vítima para o Roblox oficial, criando a impressão de que o acesso ocorreu normalmente. Segundo a NordVPN, algumas famílias só descobrem o comprometimento semanas depois, quando os Robux já foram gastos e itens raros foram transferidos. Os pesquisadores também encontraram páginas fraudulentas com certificados HTTPS válidos, demonstrando que o símbolo de cadeado no navegador, isoladamente, não garante que um site seja legítimo.

Como pais brasileiros podem proteger os filhos dos golpes no Roblox

Diante dos resultados, a NordVPN recomenda que pais e responsáveis orientem crianças a acessar o Roblox exclusivamente pelo aplicativo oficial ou digitando diretamente o endereço roblox.com no navegador. A recomendação também vale para links enviados por amigos, já que contas comprometidas podem ser utilizadas para distribuir novas mensagens fraudulentas.

Outra orientação é desconfiar de páginas que prometem gerar Robux gratuitamente. Segundo Marijus Briedis, sites que oferecem ferramentas para criar a moeda virtual do Roblox são fraudulentos. O executivo também recomenda manter a autenticação de dois fatores ativada e ensinar às crianças que códigos de verificação, códigos de recuperação e PINs devem ser inseridos somente no ambiente oficial.

A NordVPN alerta ainda para os riscos de programas apresentados como modificações ou ferramentas para melhorar o desempenho dos jogos. Executores de scripts, programas para aumentar a taxa de quadros por segundo (FPS) e menus de modificações baixados por links suspeitos podem conter softwares maliciosos capazes de capturar senhas armazenadas no navegador, inclusive de outros integrantes da família que utilizem o mesmo computador.

Por fim, a empresa recomenda que os responsáveis prestem atenção aos ambientes nos quais as crianças encontram links relacionados aos jogos. De acordo com a investigação, muitos desses golpes começam em servidores do Discord, descrições de vídeos no YouTube ou comentários no TikTok.

A pesquisa analisou a infraestrutura de golpes direcionados a usuários do Roblox durante julho de 2026. Na medição de sete dias encerrada em 29 de julho, a NordVPN identificou os 196 endereços fraudulentos. Uma verificação manual adicional confirmou que 22 dos 24 sites selecionados aleatoriamente continuavam ativos e reproduziam de maneira convincente páginas da plataforma.