Golpe do SMS (smishing): como identificar e se proteger

"Sua compra de R$ 1.890,00 foi aprovada. Se não reconhece, ligue agora." Se você já recebeu uma mensagem assim, você foi alvo de smishing, o golpe aplicado por SMS. O nome vem da junção de SMS com phishing (a "pescaria" de dados pessoais), e ele é um dos golpes mais comuns no Brasil.

Neste guia você vai aprender a reconhecer um SMS golpista em segundos, ver exemplos reais dos modelos mais usados e saber exatamente o que fazer se tiver clicado, respondido ou pago.

Como o golpe do SMS funciona

O roteiro quase sempre tem três etapas:

1. A isca: uma mensagem que provoca medo ("compra não reconhecida"), urgência ("seu CPF será bloqueado hoje") ou cobiça ("você ganhou um prêmio").
2. O gancho: um link ou um número de telefone para "resolver o problema".
3. A coleta: um site falso que imita o banco, ou uma central falsa, pede senha, código de verificação, dados do cartão ou um Pix.

O objetivo é fazer você agir antes de pensar. Por isso, a melhor defesa é justamente desacelerar.

Os modelos mais comuns no Brasil

Falsa compra no cartão

4002Mensagem de texto

1. BANCO: Compra aprovada R$1.890,00 em MAGAZINE SP. Nao reconhece? Ligue 0800 XXX XXXX
2. Exemplo de golpe · não responda

A "central" que atende é dos golpistas. Eles pedem dados do cartão, senha ou que você faça uma "transferência de segurança".

Encomenda retida

"Sua encomenda está retida. Pague a taxa de R$ 8,90 para liberar a entrega: link." O site imita Correios ou transportadoras e captura os dados do cartão.

Pontos ou cashback expirando

"Seus 12.450 pontos expiram hoje. Resgate agora." O link leva a uma página de "resgate" que pede login e senha do banco.

Multa ou débito em atraso

"Constam débitos em seu CPF. Regularize para evitar bloqueio." Usa nomes de órgãos públicos para dar credibilidade.

Prêmio ou sorteio

"Parabéns! Seu número foi sorteado." Para receber, você precisa pagar uma "taxa de liberação".

9 sinais de que o SMS é golpe

1. Urgência exagerada: "hoje", "agora", "em até 2 horas".
2. Link encurtado ou estranho: domínios que não são o do banco ou da empresa.
3. Pedido de senha, código ou token: nenhuma empresa séria pede isso por SMS.
4. Erros de português e falta de acentos.
5. Valores quebrados e assustadores, pensados para gerar medo.
6. Você nem é cliente daquela empresa.
7. Tratamento genérico: "Prezado cliente" em vez do seu nome.
8. Pedido de pagamento para liberar algo (prêmio, encomenda, desbloqueio).
9. Número de retorno que não é o oficial (confira sempre no verso do cartão ou no app).

A regra de ouro: nunca resolva pelo canal que chegou

Recebeu um alerta e ficou em dúvida? Ignore o link e o telefone da mensagem. Abra o aplicativo oficial do banco, ou ligue para o número impresso no seu cartão, e confira lá. Se o problema for real, ele estará no app.

Caí no golpe. E agora?

Agir rápido faz diferença. Siga esta ordem:

1. Bloqueie o cartão pelo aplicativo do banco ou pela central oficial.
2. Troque as senhas que você digitou no site falso, começando pelo banco e pelo e-mail.
3. Se fez um Pix, peça ao seu banco a abertura do MED (Mecanismo Especial de Devolução), criado pelo Banco Central para casos de fraude. Quanto antes, maiores as chances de recuperar o valor.
4. Registre um boletim de ocorrência, que na maioria dos estados pode ser feito online.
5. Avise contatos próximos se os golpistas tiveram acesso ao seu WhatsApp ou e-mail.

Como reduzir as chances de ser alvo

• Ative a verificação em duas etapas no WhatsApp, no e-mail e nas redes sociais.
• Não publique o seu número em lugares abertos. Veja como mandar mensagem sem mostrar o número.
• Desconfie de qualquer pedido de código, mesmo vindo de alguém conhecido.
• Mantenha o sistema do celular e os apps atualizados.

Quer treinar o olho? No artigo como saber se um SMS é verdadeiro mostramos um checklist rápido para conferir qualquer mensagem.

Uma palavra sobre SMS anônimo e golpes

Plataformas de SMS anônimo existem para proteger a privacidade de quem envia, não para enganar quem recebe. No Envio Anônimo, golpes, fraude e tentativas de se passar por empresas ou pessoas são proibidos e podem levar à suspensão e ao envio de registros para as autoridades, quando exigido por lei.

Perguntas frequentes

Só clicar no link já é perigoso?

Abrir o link, por si só, raramente rouba dados; o perigo está no que você digita na página falsa ou no que você instala. Ainda assim, o mais seguro é não clicar.

O banco manda SMS com link?

Alguns bancos enviam mensagens informativas, mas nenhum pede senha, código ou dados do cartão por SMS. Na dúvida, confira sempre pelo aplicativo oficial.

Responder "PARE" ou "SAIR" ajuda?

Em mensagens de golpe, não. Responder só confirma que o número está ativo. Apague a mensagem e, se o seu celular permitir, marque como spam.