Vishing é um tipo de phishing realizado por ligação telefônica ou mensagem de voz. O criminoso se passa por banco, órgão público, suporte ou empresa conhecida para obter senhas, códigos, transferências ou acesso ao celular. O número exibido, o conhecimento de dados pessoais e a fala profissional não comprovam a identidade do atendente.
Entenda como funciona o vishing
Vishing combina voz com phishing. A fraude usa chamadas telefônicas, áudios ou centrais falsas para manipular a vítima e fazê-la revelar dados ou executar procedimentos. O contato pode começar por ligação, SMS ou WhatsApp e continuar em outro canal para parecer mais organizado e legítimo.
O falso atendente pode alegar:
- compra ou Pix não reconhecido;
- invasão da conta bancária;
- atualização cadastral obrigatória;
- problema com benefício ou imposto;
- suporte técnico urgente;
- prêmio, restituição ou estorno;
- investigação sigilosa em andamento.
O objetivo é manter a pessoa sob pressão. Frases como “não desligue”, “não fale com ninguém” e “faça agora” impedem uma confirmação independente.
Como funciona o golpe de vishing?
O vishing cria uma falsa autoridade e conduz a vítima por etapas que parecem procedimentos de segurança. O criminoso pode conhecer nome, banco ou transações para ganhar confiança. Em seguida, pede senha, código, instalação de acesso remoto ou transferência para uma suposta conta protegida.
O roteiro comum é:
- contato sobre um risco urgente;
- validação com dados pessoais que o criminoso já possui;
- instrução para abrir o banco, instalar aplicativo ou compartilhar tela;
- pedido de código, senha ou movimentação financeira;
- tentativa de impedir que a vítima encerre a ligação;
- uso dos dados ou do acesso para realizar operações.
O CTIR Gov, em recomendação atualizada em 21 de maio de 2026, orienta interromper a ligação suspeita, não fornecer credenciais e confirmar a solicitação por canais oficiais obtidos de forma independente.
Quais sinais indicam uma ligação falsa?
Uma ligação pode ser falsa quando combina urgência, sigilo e instruções que entregam controle ao atendente. Bancos e órgãos podem fazer contatos legítimos, mas a pessoa deve interromper a chamada e retornar por um canal oficial sempre que houver pedido de dado sensível, instalação ou movimentação.
Sinais importantes:
- pedido de senha completa ou código de autenticação;
- orientação para fazer Pix de “teste” ou “segurança”;
- solicitação para instalar AnyDesk, RustDesk ou outro acesso remoto;
- instrução para compartilhar a tela do celular;
- ameaça de perda imediata de dinheiro ou benefício;
- exigência de manter a chamada ativa durante o procedimento;
- número que parece oficial, mas foi recebido sem solicitação;
- tentativa de transferir a ligação para vários falsos setores;
- conhecimento de dados usado como prova de identidade.
O LNCC alerta que instituições confiáveis não solicitam Pix nem instalação de acesso remoto por telefone.
O número exibido na tela confirma quem está ligando?
Não. O identificador de chamadas pode ser falsificado, e números semelhantes aos de instituições podem ser usados para aumentar a confiança. Mesmo quando o visor mostra um nome conhecido, a ligação recebida não deve ser usada para validar pedidos de senha, código, transferência ou instalação.
A verificação correta é independente:
- encerre a chamada;
- aguarde alguns instantes;
- abra o aplicativo oficial ou use o número do verso do cartão;
- conte o que ocorreu sem seguir as instruções anteriores;
- confirme se existe alerta ou movimentação real;
- bloqueie cartões e acessos se houver risco identificado.
Não retorne para o número informado pelo próprio atendente. Procure o contato em uma fonte oficial já conhecida.
O que fazer durante uma ligação suspeita?
Encerre a chamada sem discutir e não execute nenhum procedimento. Não abra o aplicativo bancário, não compartilhe a tela e não instale programas. Se o contato enviar um link ou chave Pix durante a conversa, não os use. A urgência alegada pode ser verificada depois no canal oficial.
Durante a abordagem:
- não confirme dados além do necessário;
- não digite códigos no teclado do telefone;
- não transfira dinheiro para “cancelar” operação;
- não entregue cartão a suposto motoboy;
- não permita acesso remoto ao aparelho;
- não mantenha a ligação enquanto abre o banco;
- preserve o número, horário e mensagens recebidas.
Se a ligação incluir um endereço, o Detector de Links Perigosos pode avaliar o link, mas a instituição ainda precisa ser confirmada separadamente.
O que fazer se compartilhei dados ou dinheiro?
Contate imediatamente o banco ou serviço pelo canal oficial, altere credenciais e informe exatamente o que foi compartilhado. Se instalou acesso remoto, desconecte o celular da internet e remova o aplicativo após registrar as evidências. Para movimentações financeiras, conteste as operações sem esperar novo contato.
Prioridades:
- bloquear cartões, conta ou dispositivo quando indicado pela instituição;
- trocar senhas a partir de um aparelho confiável;
- encerrar sessões e remover dispositivos desconhecidos;
- revogar permissões de acesso remoto e acessibilidade;
- revisar Pix, empréstimos, boletos e compras;
- registrar boletim de ocorrência com números, horários e comprovantes;
- monitorar novas tentativas de contato.
O Ministério da Justiça e Segurança Pública orienta procurar imediatamente os bancos, alterar senhas e registrar a ocorrência.
Qual é a análise da PSafe sobre vishing?
Nossa análise considera que o vishing tenta transformar instrução em autenticação: o criminoso parece legítimo porque sabe orientar, transferir setores e citar dados. Porém, competência aparente não prova identidade. O teste decisivo é permitir que o usuário interrompa o contato e confirme por conta própria.
Três limites tornam a ligação mais segura:
- controle do canal: o usuário escolhe por onde retornar;
- controle do aparelho: ninguém recebe tela, código ou acesso remoto;
- controle da operação: nenhuma transferência é feita para corrigir outra.
Se o atendente tenta retirar qualquer um desses controles, a ligação deve ser tratada como suspeita.
Perguntas frequentes sobre vishing
Vishing acontece apenas por ligação?
O elemento central é o uso da voz, por ligação ou áudio, para manipular a vítima. A abordagem pode começar por SMS, e-mail ou WhatsApp e depois migrar para uma falsa central telefônica.
Banco pode ligar sobre compra suspeita?
Pode haver contato legítimo, mas não é seguro fornecer senha, código ou executar transferências na chamada recebida. Encerre e confirme pelo aplicativo oficial, número do cartão ou agência.
Atendente pode pedir para instalar aplicativo?
Não instale acesso remoto ou ferramenta desconhecida a pedido de quem ligou. Esse tipo de programa pode permitir que terceiros vejam a tela e controlem o aparelho. Confirme qualquer suporte pelo canal oficial iniciado por você.
É seguro digitar a senha no teclado durante a chamada?
Não siga instruções de uma ligação não confirmada para digitar senha ou código. Tons do teclado, sistemas falsos ou o próprio procedimento podem ser usados para capturar informações. Use apenas o aplicativo oficial aberto por iniciativa própria.
O que é uma “conta segura” para transferência?
Não existe necessidade de enviar Pix para outra conta para proteger o saldo. Essa instrução é um sinal de golpe. Encerre a chamada e consulte o banco pelo canal oficial.
Como denunciar uma ligação falsa?
Bloqueie o número, informe a instituição imitada e registre ocorrência se houve tentativa relevante, perda ou compartilhamento de dados. Preserve horários, gravações disponíveis, mensagens, chaves e comprovantes.
Proteção complementar: se a ligação enviar um endereço, encerre o contato e verifique-o com o Detector de Links Perigosos do dfndr security antes de qualquer acesso. A análise do link não substitui a confirmação da instituição.