Smishing: o golpe por SMS e chamadas que engana qualquer um
Smishing é o golpe que chega ao celular por SMS ou aplicativo de mensagem: o criminoso finge ser um banco, uma transportadora ou um fornecedor conhecido e induz a vítima a clicar em um link, pagar uma taxa inexistente ou entregar um código de verificação. Golpes por SMS e chamadas seguem o mesmo padrão do phishing: mensagens falsas com links para sites maliciosos criados para roubar senhas, transferir dinheiro ou instalar malware. O que muda é o canal — o celular está sempre à mão, a mensagem pede ação imediata e a tela pequena esconde sinais de fraude que seriam evidentes em um computador.
A defesa não exige tecnologia cara. Este guia explica como o golpe funciona, quais sinais revelam uma fraude, o que fazer ao receber a mensagem e como montar um procedimento curto de resposta para a organização. O texto não cobre perícia em aparelhos, disputas judiciais nem regras específicas de cada operadora.
Como o smishing funciona
O ponto de partida é sempre a engenharia social. O atacante explora autoridade e urgência — "seu acesso expira hoje", "entrega retida na alfândega", "compra suspeita no seu cartão" — para vencer a desconfiança antes que a vítima tenha tempo de pensar. O link leva a uma página que imita o site real e captura o que é digitado, ou o golpe pede diretamente o código de verificação que acabou de chegar por SMS, entregando a conta protegida por duas etapas ao criminoso.
O SMS goza de uma confiança que o e-mail perdeu. A mensagem é curta, chega identificada e o remetente pode ser falsificado com relativa facilidade, fazendo o texto parecer vir do banco com quem a vítima realmente negocia. Em golpes de entrega, o nome da transportadora é real; o que muda é o link e o pedido de "taxa de redespacho". Em golpes bancários, o criminoso menciona uma compra que de fato aconteceu em outra conta comprometida, transformando dados reais em isca convincente.
A escala do problema é medida pelo canal clássico, o e-mail. O FBI registrou 193.407 queixas de phishing no Internet Crime Report de 2024, o topo da lista dos crimes cibernéticos mais reportados. A página do CISA para pequenos negócios resume o encadeamento típico: a maioria dos ataques começa com um clique único, e o phishing serve para roubar credenciais, acessar contas corporativas ou instalar ransomware que trava sistemas e exige pagamento — o mesmo destino que espera quem responde a um SMS fraudulento.
A versão por voz, o vishing, fecha o ciclo: depois do SMS, vem uma ligação de alguém que se apresenta como atendente do banco ou do "setor de segurança" e usa os dados já coletados para soar confiável. Juntas, as duas técnicas convergem para o mesmo objetivo: um código, uma senha ou um pagamento rápido. Quem já estudou o phishing por e-mail vai reconhecer a anatomia do ataque, tratada em detalhe neste guia sobre phishing por e-mail.
Sinais de uma mensagem suspeita
Nenhum sinal isolado condena uma mensagem, mas combinações devem disparar alerta. A tabela abaixo resume os padrões mais comuns em golpes por SMS e chamadas:
| Sinal | Como aparece | Leitura correta |
|---|---|---|
| Urgência artificial | "Bloqueamos sua conta em 2 horas" | Bancos não resolvem nada sob pressa; confira no aplicativo oficial |
| Remetente estranho | Número estrangeiro, alfanumérico ou diferente a cada mensagem | Canais oficiais são estáveis; variação é indício de falsificação |
| Link encurtado | Domínio que não corresponde à empresa citada | Abra o site digitando o endereço conhecido, nunca pelo link |
| Pedido de código | "Informe o código que enviamos para liberar" | Código de acesso é pessoal; instituição legítima não o solicita |
| Pagamento pequeno | Taxa de entrega de uma encomenda que não existe | Cobrança baixa serve para validar o cartão antes da fraude alta |
O que fazer ao receber
O procedimento abaixo vale para qualquer colaborador e não exige ferramenta paga; segue a lógica de verificação por canal independente recomendada por agências de cibersegurança.
- Não interaja. Não responda, não clique e não ligue de volta para o número que apareceu na mensagem.
- Verifique por canal independente. Abra o aplicativo oficial do banco ou da transportadora, ou procure o telefone da empresa em um buscador — nunca pelo contato recebido.
- Nunca compartilhe códigos de verificação. Qualquer pedido desse tipo, por SMS ou por telefone, é golpe por definição.
- Reporte e apague. Encaminhe a captura de tela ao responsável interno e delete a mensagem para evitar cliques acidentais.
- Se clicou ou pagou, aja em minutos. Troque as senhas afetadas, ative a verificação em duas etapas onde faltava, avise o banco e comunique o incidente internamente.
Quando o golpe abre caminho para malware, a prioridade vira contenção: desconectar o aparelho da rede e seguir o plano de resposta descrito no nosso material sobre ransomware na PME.
Treinamento que muda o comportamento
Ferramenta nenhuma substitui hábito. Na Europa, a ENISA conduz campanhas de conscientização centradas em cyber hygiene (em tradução livre, higiene cibernética), dando a pessoas e organizações conhecimento e hábitos para identificar e mitigar riscos cibernéticos cotidianos. O foco não é decorar listas, e sim transformar a checagem por canal oficial em reflexo diário, inclusive no celular pessoal usado para trabalho.
A orientação do NCSC britânico reforça um ponto que muita empresa erra: punir quem clicou não reduz o risco, apenas silencia. Pessoas com medo escondem incidentes; pessoas apoiadas reportam cedo — e o relato rápido é o sistema de alerta mais barato que existe. Reportar deve ser fácil, sem culpa e reconhecido quando evita dano maior. Para um negócio enxuto, o caminho prático é curto: trinta minutos de conversa por mês, exemplos reais de SMS recebidos pelos próprios funcionários e um canal único — um grupo, um e-mail — para enviar dúvidas.
Um cronograma mínimo funciona melhor do que um treinamento anual longo. Na primeira semana, apresente a tabela de sinais deste guia; no fim do mês, peça que cada setor traga dois exemplos de mensagens suspeitas recebidas; no trimestre, revise com todos o procedimento de resposta. Registrar os exemplos em um arquivo interno simples cria uma base própria de golpes que já circularam — referência mais útil do que qualquer lista genérica, porque cita os fornecedores e clientes da casa.
Se sua organização quer avaliar quão exposta está a golpes por SMS, chamadas e e-mail, a AtalaiaSec faz um diagnóstico inicial de segurança para apontar as lacunas e priorizar correções.
Revisão: 25 de outubro de 2026 · Editorial AtalaiaSec