Smishing: como identificar e evitar mensagens de golpe por SMS

Smishing, uma junção de "SMS" e "phishing", é uma fraude praticada por meio de mensagens de texto falsas. A mensagem costuma parecer vir de uma transportadora, banco, órgão público ou serviço de pagamento e pressiona você a clicar em um link ou a fornecer informações com pressa. Neste artigo, explicamos como reconhecer mensagens de smishing e como se proteger.

Como funciona o smishing?

O objetivo do golpista é fazer você agir sem pensar. A mensagem provoca pânico, curiosidade ou a emoção de um prêmio e leva você a uma página falsa. Lá, pedem sua senha, dados do cartão ou um código de verificação. Tudo o que você digitar vai para o golpista.

As mensagens são enviadas, em sua maioria, em massa, então o remetente não precisa saber quem você é. Se o seu número aparece em um vazamento ou em uma lista, uma mensagem pode chegar até você. Algumas mensagens são mais personalizadas e podem trazer seu nome ou dados que parecem um pedido real. Por isso, "tem meu nome" não é sinal de confiança.

Cenários comuns de smishing

Os temas mudam com o tempo, mas o padrão continua o mesmo. Fique atento a estes:

• Aviso de entrega: "Não foi possível entregar sua encomenda, atualize seu endereço."
• Alerta bancário: "Há atividade suspeita na sua conta, verifique agora."
• Dívida de pagamento ou imposto: "Você tem um saldo em aberto e uma multa será aplicada."
• Prêmios e sorteios: "Você ganhou um presente, toque para resgatar."
• Aviso de encerramento de conta: "Sua conta será suspensa, faça login agora."
• Mensagem de "número errado" de um desconhecido: o objetivo é começar uma conversa e criar confiança.

O que todos têm em comum: urgência, ameaças ou uma grande recompensa, e um empurrão para abrir o link dentro da mensagem.

Dicas para identificar uma mensagem de smishing

Um único sinal pode não bastar; quanto mais sinais você vir, maior o risco:

1. Uma mensagem inesperada: desconfie se uma encomenda que você não pediu ou um banco que você não usa entrar em contato.
2. Linguagem urgente ou ameaçadora: expressões de pressão como "em até 24 horas", "imediatamente" ou "sua conta será encerrada".
3. Um link estranho: links encurtados ou nomes de domínio parecidos com um endereço oficial, mas com letras um pouco diferentes.
4. Um pedido de informações: organizações reais não pedem senhas, números de cartão ou códigos de verificação por SMS.
5. Erros de idioma e ortografia: nem sempre, mas frases quebradas são uma pista.
6. Um remetente estranho: um número aleatório ou um nome de remetente que imita um órgão oficial. Nomes de remetente também podem ser falsificados, então não são prova de confiança por si só.

Se tiver dúvida, não responda e não clique no link. Verifique a situação pelo aplicativo oficial da organização ou por um endereço que você mesmo digite.

E se você clicou ou forneceu informações?

Qualquer pessoa pode cometer um erro; o que importa é agir rápido:

1. Não informe mais nada e feche a página.
2. Se você forneceu uma senha, troque-a imediatamente por um canal seguro. Se a reutilizou em outros lugares, troque-a também.
3. Se informou dados do cartão, ligue para o seu banco e peça o bloqueio do cartão.
4. Se compartilhou um código de verificação, encerre as sessões da conta e revise as configurações de verificação em duas etapas.
5. Se instalou algum app no celular, remova-o e verifique o aparelho com uma ferramenta confiável.
6. Denuncie a mensagem ao seu banco, à operadora ou à organização correspondente e, em seguida, apague-a.

Hábitos diários que protegem contra o smishing

• Abra o app em vez de tocar em links de SMS. Confira avisos de entrega ou do banco no aplicativo oficial.
• Use um gerenciador de senhas. Ele não preenche sua senha salva em uma página falsa, e isso já é um sinal de alerta.
• Use uma passkey ou um app autenticador nas contas críticas. Mesmo que a senha seja roubada, a conta não será aberta. Para uma comparação de métodos, veja nosso artigo sobre verificação em duas etapas.
• Filtre números desconhecidos e spam. Ative no seu celular os recursos de "filtrar remetentes desconhecidos" e de denúncia de spam.
• Converse com as pessoas ao seu redor. Familiares mais velhos são alvos frequentes; analisar mensagens de exemplo juntos ajuda muito.
• Confirme a mensagem. Entre em contato com a organização por um número oficial que você já conhece; não ligue para o número que está na mensagem.

Não informe seu número em qualquer lugar

Um dos motivos pelos quais mensagens de smishing chegam até você é que seu número está em muitas listas e bases de dados. Digitar seu número real em todo formulário de cadastro facilita o recebimento de spam e de mensagens de phishing. Tratamos disso com mais profundidade em por que você não deve compartilhar seu número de telefone em todo lugar.

Para testes rápidos, uma segunda conta ou cadastros de teste, você pode usar um número virtual de uso único em vez do seu número real, para que o número principal não acabe em uma lista de marketing. Você pode conferir os serviços e países disponíveis na página de preços. Lembre-se de que um número virtual não é permanente e algumas plataformas podem restringi-lo, então siga os termos do serviço que você usa. Isso não é uma solução completa para o smishing por si só; a verdadeira proteção são comportamentos cuidadosos e métodos de verificação fortes.

Protegendo sua família e seu círculo

O smishing funciona melhor em momentos de descuido: em um dia corrido, ao verificar o celular com pressa ou com alguém que está começando a usar tecnologia. Por isso, a proteção não é só sua preocupação, mas também a do seu círculo.

• Combine uma regra simples com a família, como "me mostre antes de tocar em um link recebido por SMS".
• Mostre a parentes mais velhos exemplos de mensagens falsas e explique que um banco não pede códigos, senhas ou dados de cartão por SMS.
• Ative a filtragem de remetentes desconhecidos e as restrições de instalação de apps nos celulares das crianças.
• Ao receber uma mensagem suspeita, envie uma captura de tela às pessoas próximas para que a mesma mensagem não pegue outra pessoa.

Quando tiver dúvida sobre uma mensagem, esperar cinco minutos não custa nada; um aviso verdadeiro geralmente também aparece no aplicativo oficial.

Perguntas frequentes

Qual é a diferença entre smishing e phishing?

Phishing é o termo geral e pode acontecer por e-mail, telefone, redes sociais e outros meios. Smishing é a versão que acontece por SMS (mensagens de texto).

Só cliquei no link e não digitei nada. Estou em perigo?

Na maioria das vezes, apenas tocar no link causa pouco dano, mas existem riscos raros, como vulnerabilidades do dispositivo ou do navegador. Feche a página imediatamente, apague o que tiver baixado e mantenha o seu dispositivo atualizado.

A mensagem parece ter vindo do número de uma organização real. Ainda pode ser falsa?

Sim. Nomes de remetente podem ser imitados e, às vezes, uma mensagem falsa chega até dentro de uma conversa verdadeira. Analise o conteúdo e o que está sendo pedido, e confie no aplicativo oficial, não no link.

Onde posso denunciar mensagens de smishing?

Você pode denunciá-las ao número ou ao aplicativo de denúncia de spam da sua operadora, à organização envolvida e ao seu banco. A opção "denunciar como spam" no seu celular também ajuda. Para mais informações, veja nossa página de perguntas frequentes.