Como reconhecer comunicações legítimas do Konto

Esta página existe para você poder, em 30 segundos, distinguir um email/mensagem real do Konto de uma tentativa de golpe (phishing). Atualizada em 2026-05-01.

1. De quais endereços enviamos email

Todo email do Konto vem destes domínios:

• @kontoai.com.br (ex.: relatorio@kontoai.com.br, noreply@kontoai.com.br, security@kontoai.com.br)
• Bounces (devoluções) podem aparecer com send.kontoai.com.br no header — isso também é nosso.

Se receber email de qualquer outro domínio dizendo ser "do Konto" — é golpe. Variações comuns que tentam te enganar: konto-ai.com, kontoai.net, kontoai-suporte.com, kontoai.com (sem o .br). Não clique em nada.

2. O que o Konto realmente envia

• Relatório semanal financeiro — toda segunda-feira de manhã, com o resumo da semana. Tem PDF anexado, gráficos e o nome do destinatário.
• Recuperação de senha — só se você pediu para redefinir, com link que expira em 1 hora.
• Mudança de email/senha confirmada — notificação após você fazer a mudança em Configurações.
• Confirmação de assinatura — Mercado Pago envia, em nome do Konto, quando você assina ou cancela um plano.

Pronto. Não enviamos newsletters de produto, nem ofertas, nem "alertas urgentes" sobre sua conta bancária.

3. O que o Konto NUNCA vai pedir

• Nunca vai pedir sua senha do Konto, nem por email, nem por WhatsApp, nem por telefone, nem dentro do app.
• Nunca vai pedir senha do seu banco. A conexão de banco é via Open Finance Brasil (Pluggy), feita sempre dentro do site oficial.
• Nunca vai pedir número de cartão de crédito por email/WhatsApp. O cartão só é digitado uma vez, dentro do formulário do Mercado Pago no nosso site.
• Nunca vai pedir código SMS, código de banco, ou código do app autenticador "para confirmar sua identidade".
• Nunca vai te ligar pedindo que você instale um app, faça uma transferência "para sua segurança", ou compartilhe sua tela.

4. Como conferir um email suspeito

1. Olhe o remetente completo, não só o nome. "Konto" <relatorio@kontoai.com.br> ✓   vs. "Konto" <atendimento@konto-suporte-online.com> ✗
2. Passe o mouse sobre os links antes de clicar. O destino real aparece embaixo. Se não começa com https://kontoai.com.br/ ou https://www.mercadopago.com.br/ ou https://connect.pluggy.ai/, não clique.
3. Desconfie de urgência. "Sua conta será encerrada em 24h" / "Atualize seus dados agora ou perderá acesso" / "Pix bloqueado, clique para liberar" são padrões clássicos de golpe.
4. Na dúvida, vá direto pelo navegador. Digite kontoai.com.br na barra do navegador — nunca pelo link do email — e veja se realmente há algo precisando da sua atenção em Configurações ou Notificações.

5. WhatsApp

O bot oficial do Konto só responde se você primeiro o adicionar em Configurações → WhatsApp e enviar a mensagem de ativação. Ele:

• Só registra movimentações financeiras (receitas / despesas).
• Responde aos comandos saldo, extrato, ajuda.
• Nunca pede senha. Nunca envia link clicável "para confirmar conta".
• Nunca te aborda primeiro — o bot só responde a mensagens que você inicia.

Se receber WhatsApp "do Konto" pedindo qualquer outra coisa, é golpe.

6. Achou que viu um golpe?

Encaminhe o email/mensagem suspeita para security@kontoai.com.br. Inclua o cabeçalho completo do email se for por email (no Gmail: três pontinhos → "Mostrar original"). A gente:

• Confirma para você se é golpe ou se é nosso (em até 2 dias úteis).
• Se for golpe, denuncia para os provedores envolvidos (Google Safe Browsing, registrar do domínio falso, etc.).
• Se for um problema real do nosso lado, abre um incidente seguindo nosso runbook.

7. Para pesquisadores de segurança

Se você encontrou uma vulnerabilidade real no Konto, veja a política de divulgação responsável e o /.well-known/security.txt. Janela padrão de divulgação coordenada: 90 dias.

Última atualização: 2026-05-01. Esta página é mantida no repositório do Konto e atualizada sempre que mudamos como nos comunicamos com você.