Smishing é um tipo de phishing realizado por SMS ou mensagem de texto. O criminoso se passa por banco, órgão público, loja ou serviço conhecido para provocar um clique, obter dados ou induzir um pagamento. Mensagens sobre encomenda, bloqueio de conta, dívida e prêmio são iscas frequentes, mas o tema pode variar.
Como reconhecer smishing?
Smishing é a combinação de SMS com phishing: uma fraude em que a mensagem tenta convencer o destinatário a executar uma ação prejudicial. O texto pode conter um link falso, telefone de uma suposta central, pedido de resposta ou instrução para pagar uma taxa. O golpe explora confiança, medo, curiosidade ou urgência.
O termo descreve o canal usado na abordagem, não um único roteiro. A mesma técnica pode imitar:
- banco ou operadora de cartão;
- Receita Federal, INSS ou outro órgão;
- Correios ou transportadora;
- loja, marketplace ou serviço de assinatura;
- programa de pontos ou promoção;
- contato conhecido usando número diferente.
Em alerta atualizado em 14 de janeiro de 2025, o INSS definiu smishing como phishing realizado por SMS e citou falsas entregas, bloqueios bancários e prêmios como exemplos.
Como funciona um golpe de smishing?
O golpe começa com uma mensagem que apresenta um problema ou benefício e reduz o tempo de análise. Em seguida, conduz a vítima para um destino controlado pelo criminoso: página falsa, telefone, conversa ou chave de pagamento. A fraude se completa quando a pessoa entrega dados, códigos, credenciais ou dinheiro.
O roteiro costuma seguir estas etapas:
- identidade imitada: a mensagem usa nome ou aparência de uma instituição conhecida;
- pressão: existe ameaça de bloqueio, prazo curto ou oportunidade exclusiva;
- ação: o SMS pede clique, ligação, resposta ou pagamento;
- captura: a página ou o falso atendente solicita informações;
- uso indevido: os dados são usados para acessar contas ou realizar transações.
Dados verdadeiros na mensagem não comprovam a origem. Nome, CPF, endereço ou número de pedido podem ter sido obtidos em vazamentos ou outras fontes.
Quais sinais indicam smishing?
Os principais sinais são urgência inesperada, link recebido sem solicitação e pedido de informação que deveria ser tratada dentro do aplicativo oficial. Erros de escrita podem aparecer, mas mensagens bem redigidas também podem ser falsas. O ponto decisivo é a incoerência entre remetente, contexto, endereço e ação exigida.
Observe:
- remetente identificado apenas por número comum ou nome fácil de imitar;
- link encurtado ou domínio diferente do oficial;
- aviso sobre compra, entrega ou conta que você não reconhece;
- ameaça de multa, bloqueio de CPF ou perda de benefício;
- cobrança de pequeno valor para liberar encomenda;
- pedido de senha, código, cartão ou Pix;
- telefone enviado no próprio SMS para “resolver” o problema;
- mensagem que impede você de confirmar por outro canal.
A Receita Federal orienta acessar diretamente o site ou aplicativo oficial para verificar cobranças relacionadas a encomendas.
Qual é a diferença entre smishing e phishing?
Phishing é a categoria ampla de fraude que imita identidades para capturar dados ou induzir ações. Smishing é a variação realizada por SMS ou mensagem de texto. O objetivo pode ser igual, mas o canal muda a forma como o endereço, o remetente e a urgência são apresentados ao usuário.
Compare:
- phishing: pode chegar por e-mail, site, anúncio ou outros canais;
- smishing: chega principalmente por SMS ou mensagem de texto;
- vishing: usa chamada telefônica ou mensagem de voz;
- golpe no WhatsApp: explora conta invadida, perfil falso ou conversa no aplicativo.
Uma campanha pode combinar canais. O SMS pode enviar um telefone para uma falsa central; durante a ligação, o criminoso pode encaminhar um link por WhatsApp. O nome da técnica importa menos do que reconhecer a sequência inteira.
O que fazer ao receber um SMS suspeito?
Não clique, não responda e não ligue para o número informado na mensagem. Abra separadamente o aplicativo oficial ou digite o endereço conhecido da instituição. Se ainda houver dúvida, use um telefone obtido no verso do cartão, no site oficial ou em documento legítimo anterior.
Siga esta ordem:
- interrompa a interação com o SMS;
- copie o link sem abri-lo apenas se puder fazer isso com segurança;
- analise o endereço com o Detector de Links Perigosos;
- confira a suposta pendência no canal oficial;
- bloqueie e denuncie o remetente quando o celular oferecer essa opção;
- apague a mensagem depois de preservar provas, se forem necessárias.
Uma análise técnica do link não confirma a história do SMS. A pendência precisa existir também dentro do ambiente oficial.
O que fazer se cliquei ou informei dados?
Se apenas abriu a página, feche-a, não faça downloads e observe o celular. Se informou senha, troque-a no serviço oficial e encerre sessões desconhecidas. Para cartão, banco, código de autenticação ou Pix, contate imediatamente a instituição e acompanhe as movimentações.
As medidas dependem da ação:
- digitou senha: altere a credencial e todas as contas que reutilizam a mesma senha;
- informou cartão: peça orientação ao emissor e monitore compras;
- compartilhou código: recupere a conta e revise dispositivos conectados;
- instalou aplicativo: desconecte o aparelho da rede e faça uma análise com o Antivirus Completo;
- fez pagamento: conteste pelo aplicativo do banco e preserve os comprovantes;
- enviou documentos: monitore uso do CPF e tentativas de abertura de contas.
O procedimento detalhado está em o que fazer se cliquei em link falso.
Qual é a análise da PSafe sobre smishing?
Nossa análise considera que o smishing explora a aparente simplicidade do SMS. Como o canal exibe pouco contexto, o usuário tende a completar as lacunas com a reputação da marca mencionada. A defesa mais eficaz é separar a mensagem recebida da verificação da informação.
Use três perguntas:
- a situação existe? Consulte a conta ou pedido no aplicativo oficial.
- o canal faz sentido? Verifique como a instituição costuma se comunicar.
- a ação é proporcional? Uma pendência real não exige senha ou Pix por link inesperado.
O SMS deve ser tratado como aviso não verificado. Somente o canal acessado de forma independente pode confirmar o conteúdo.
Perguntas frequentes sobre smishing
Smishing acontece apenas por SMS?
O termo é associado a phishing por SMS ou mensagem de texto. Técnicas semelhantes também aparecem em aplicativos de mensagem. O cuidado é o mesmo: não use o link, telefone ou chave enviados como prova de autenticidade.
Um SMS com meu nome e CPF pode ser verdadeiro?
Pode, mas esses dados não confirmam o remetente. Informações pessoais podem ter sido expostas ou obtidas de outras fontes. Verifique a situação diretamente no aplicativo ou site oficial da instituição citada.
Banco envia link por SMS?
Instituições podem enviar comunicações por SMS, mas uma mensagem legítima não torna seguro fornecer senha, código ou cartão em página inesperada. Abra o aplicativo bancário separadamente ou ligue para o número oficial obtido fora do SMS.
Posso responder “SAIR” para uma mensagem suspeita?
Não responda a um SMS que já apresenta sinais de fraude. A resposta pode confirmar que o número está ativo. Use as opções de bloqueio e denúncia do celular ou da operadora, sem continuar a conversa.
O Detector de Links Perigosos confirma se o SMS é verdadeiro?
Não. Ele analisa o endereço inserido, mas não confirma quem enviou a mensagem nem se a dívida, entrega ou promoção existe. Combine o resultado com a consulta ao canal oficial.
Smishing pode instalar vírus no celular?
O SMS por si só geralmente funciona como isca. O risco aumenta ao abrir páginas, baixar arquivos ou instalar aplicativos. Mesmo sem instalação, uma página falsa pode capturar credenciais e dados informados voluntariamente.
Proteção complementar: antes de abrir um endereço recebido por SMS, analise-o com o Detector de Links Perigosos do dfndr security. Use o resultado junto com a confirmação do remetente em um canal oficial.