Nunca compartilhe seu código de verificação: como funcionam os golpes de OTP

Nunca compartilhe seu código de verificação: essa única frase é a defesa mais importante contra golpes de OTP (senha de uso único, em inglês one-time password). Um código de seis dígitos que chega por SMS é a chave para entrar em uma conta ou aprovar uma transação. Por isso, golpistas não se dão o trabalho de quebrar a sua senha; eles tentam convencer você a ler o código para eles. Neste artigo, explicamos como funcionam os golpes de OTP e como se proteger.

O que é um OTP e por que ele é tão valioso?

Um OTP, ou senha de uso único, é um código de curta duração enviado durante um login ou uma transação para confirmar que a conta realmente pertence a você. Ele chega por SMS, e-mail ou notificação de app.

O código é valioso porque é a segunda etapa: mesmo quem conhece a sua senha não consegue entrar sem ele. Mas, se o código for passado para outra pessoa, essa proteção desaparece. Por isso, nenhuma organização real, funcionário ou amigo vai pedir que você leia um código por telefone, em uma mensagem ou por qualquer outro canal.

A regra de ouro: um código chega apenas para uma ação que você mesmo iniciou, e ele é digitado apenas na tela do app ou site correspondente. Nunca é passado para ninguém, em nenhum outro lugar.

Como funciona um golpe de OTP?

O golpista tenta entrar em uma conta ou iniciar uma transação, e, nesse momento, o serviço envia um código para o seu número. Em seguida, ele tenta convencer você a lhe contar esse código. Para isso, cria um "motivo" para você. Padrões comuns incluem:

• Uma falsa ligação do banco ou de um órgão: "Há atividade suspeita na sua conta; leia o código que chegou ao seu celular para confirmar."
• Um comprador em um anúncio de item usado: "Enviei o pagamento; encaminhe para mim o código que você recebeu para confirmar."
• Uma mensagem fingindo ser alguém que você conhece: "Digitei seu número por engano, pode me enviar o código que você recebeu?"
• Uma transportadora ou entregador: "Me diga o código para a entrega."
• Falso suporte técnico: "Compartilhe o código para recuperarmos a sua conta."
• Um sorteio ou prêmio: "Precisamos verificar sua identidade para liberar seu presente."

Todos chegam ao mesmo ponto: o código faz o papel da sua aprovação. Ao ler o código, você autoriza, com as próprias mãos, a ação do golpista.

Sinais de alerta: como identificar o golpista

1. Urgência e pressão: "Me diga agora, senão sua conta será encerrada / seu dinheiro vai sumir."
2. Um código que você não esperava: se um código chega sem qualquer ação sua, alguém pode estar tentando entrar na sua conta. Não compartilhe com ninguém.
3. Qualquer pessoa que peça que você leia um código: seja qual for o motivo, quem pede o código é falso.
4. Parecer conhecer os detalhes da organização: um golpista pode saber seu nome, seu banco ou sua última transação; isso não prova que ele é legítimo.
5. Não deixar você desligar: mantê-lo na linha ou dizer "não consulte ninguém" é um alerta grave.
6. Criar um clima de confiança: um tom simpático ou muito profissional não é prova de honestidade.

Códigos em mensagens costumam trazer o aviso "Não compartilhe este código com ninguém". Leve isso a sério.

O que fazer se você compartilhou o código?

Aja rápido, sem pânico:

1. Encerre a conversa imediatamente e pare de falar com a outra pessoa.
2. De um dispositivo seguro, troque a senha da conta em questão e encerre todas as sessões.
3. Revise as configurações de verificação em duas etapas e os dados de recuperação (e-mail, telefone) e remova os dispositivos que você não reconhece.
4. Se você compartilhou um código bancário ou de pagamento, ligue imediatamente para o seu banco e peça que o seu cartão ou conta sejam colocados sob proteção.
5. Se você reutilizou a senha em outros lugares, troque-a também.
6. Registre o incidente no serviço, no seu banco e nas autoridades competentes, e guarde os registros de mensagens e ligações.

Não se sinta constrangido: esses métodos são feitos para ser muito convincentes, e até usuários cuidadosos caem neles. O que importa é denunciar rápido.

Hábitos de proteção

• Grave a regra na cabeça: "Código = não é para ninguém." Converse sobre isso com sua família também.
• Não confie em ligações que você não iniciou. Mesmo que quem liga diga ser de uma organização, desligue e ligue você mesmo para o número oficial.
• Confira para qual ação o código serve. A mensagem costuma indicar o serviço; se você não iniciou nada nele, não digite o código.
• Use um método mais forte que o SMS. Apps autenticadores e passkeys reduzem o risco de ler um código em voz alta. Para uma comparação, veja nosso artigo sobre verificação em duas etapas.
• Mantenha as notificações de conta ativas. Reaja imediatamente quando chegar um alerta de login em novo dispositivo.
• Oculte a prévia de mensagens na tela de bloqueio. Um código visível na tela bloqueada é um risco se alguém estiver por perto.

O outro lado: limitar onde os seus códigos podem chegar

Outra forma de se proteger de golpes com códigos é limitar os lugares que guardam o seu número. Quando você entrega seu número real a todo site, aumenta a chance de o site e seus parceiros entrarem em contato por ligação e mensagem, e também a chance de receber mensagens de golpe. Tratamos disso em por que você não deve compartilhar seu número de telefone em todo lugar.

Para cadastros triviais ou temporários, você pode usar um número virtual de uso único em vez do seu número real. O código chega apenas ao seu painel, e não há ninguém com quem você precise compartilhá-lo. Você pode ver as opções na página de preços. Números virtuais não são permanentes e algumas plataformas podem restringi-los; por isso, nas suas contas valiosas, use o seu próprio número e métodos de verificação fortes.

Quando um código não chega, mantenha a calma e não peça o código a ninguém; para possíveis causas, leia por que o seu código SMS não está chegando.

Erros comuns

Alguns hábitos facilitam o trabalho dos golpistas:

• Digitar ou ler o código sem pensar, dizendo "vou resolver isso rapidinho".
• Aprovar sem ler para qual ação o código serve.
• Ligar para o número informado na mensagem ou pelo interlocutor para "confirmar".
• Denunciar tarde por constrangimento; denúncias feitas cedo costumam reduzir o prejuízo.
• Nunca contar essas coisas aos familiares.

Quando chegar um pedido de código, parar por um minuto para perguntar "fui eu que iniciei isso?" já basta para impedir a maioria dos ataques.

Perguntas frequentes

Meu banco pode pedir que eu leia um código por telefone?

Não. Um funcionário real do banco não vai pedir seu OTP, senha ou código de verificação do cartão. Se esse pedido chegar, desligue e ligue você mesmo para o número oficial do banco.

Um código chegou mesmo sem eu ter feito nada. O que devo fazer?

Não compartilhe nem digite o código com ninguém. Alguém pode estar tentando entrar na sua conta; troque sua senha e revise a verificação em duas etapas.

Posso compartilhar o código se uma pessoa que conheço pedir?

Não, porque quem está enviando a mensagem pode ter invadido a conta do seu conhecido e usar o seu código para outra ação. Confirme com essa pessoa por outro canal, como uma ligação de voz, e mesmo assim não leia o código.

Eu li um código por engano, mas nada aconteceu com a conta. Posso ficar tranquilo?

Não; tome as precauções mesmo assim. Troque a senha, encerre as sessões e fique atento a alertas. Para mais informações, veja nossa página de perguntas frequentes.