Exemplo de vishing: o golpe da falsa central do banco
Primeiro chega um SMS sobre uma compra que você não fez. Minutos depois liga alguém da “central de segurança” que já sabe o seu nome, acalma você e guia o “cancelamento” da compra. No caminho pede um código, uma senha ou que você transfira o dinheiro para uma “conta segura”.
BANCO: Compra de R$ 2.489,90 em ELETRO-ONLINE. (Sinal 1) Se não reconhece, não responda: a Central de Segurança vai ligar em minutos.
- Ligação
Falo com a Carla Gomes? Aqui é da Central de Segurança, sobre a compra de R$ 2.489,90 que acabamos de bloquear. Estou vendo o seu cartão com final 4417 (Sinal 3).
- Você
Eu não fiz essa compra.
- Ligação
Fique tranquila, vamos cancelar agora, mas tem que ser nos próximos minutos (Sinal 4). Vai chegar um código por SMS: me passe para confirmar que é você (Sinal 5).
- Ligação
E por segurança vamos transferir o seu saldo via Pix para uma conta protegida (Sinal 6) até o fim da investigação.
Seis sinais que denunciam a falsa central
O SMS prepara a ligação
O aviso de uma compra alta gera medo e diz para você esperar uma ligação. Quando o telefone toca, você já está disposto a acreditar.
Um número que não prova nada
O número e o nome que aparecem na tela podem ser falsificados. Desligue e ligue você para o número do verso do cartão ou o que está no app.
Dados parciais que dão confiança
O seu nome e os últimos dígitos do cartão circulam em vazamentos de dados e em comprovantes de compra. Saber isso não faz de ninguém funcionário do banco.
Minutos para agir
A contagem regressiva existe para que você não desligue e confira. Um bloqueio real não cai porque você desligou e ligou de volta.
Pedem o código
O código que chega por SMS autoriza uma operação ou um acesso. Quem pede esse código numa ligação quer usá-lo naquele mesmo momento.
A “conta segura”
Nenhum banco protege o seu dinheiro transferindo-o para outra conta. Esse pedido é a transferência do golpe.
O que fazer se ligarem para você
- Desligue. Você não precisa ser educado nem terminar a conversa.
- Ligue você para o banco no número do verso do cartão ou pelo app e pergunte se há algum alerta real.
- Nunca passe códigos, senhas ou dados do cartão numa ligação que você não iniciou.
- Se envolve uma conta ou um cartão da empresa, avise o financeiro e a segurança.
Se você já passou dados ou transferiu
- Ligue para o banco imediatamente pelo canal oficial, peça o bloqueio de contas e cartões e conteste as operações; se transferiu por Pix, peça a abertura do MED.
- Troque as senhas do internet banking pelo app oficial e confira se nenhum dispositivo novo foi cadastrado.
- Registre um boletim de ocorrência e guarde o SMS e o número da ligação como evidência.
A mesma armadilha em outros canais
Pelo WhatsApp
Uma conta com o logo do banco escreve sobre a “compra suspeita” e oferece um atendente. Nome e foto de perfil qualquer um coloca.
Com acesso remoto
A ligação pede que você instale um app “de segurança” para ajudar. É uma ferramenta de acesso remoto: com ela veem a sua tela e os códigos que chegam.
Contra o help desk
A mesma técnica funciona ao contrário: alguém liga para o help desk da empresa fingindo ser um funcionário que perdeu o celular, para conseguir um reset de senha ou de MFA.
Perguntas sobre vishing
Outros golpes para reconhecer
A sua equipe desligaria e ligaria para o número oficial?
Na Whalemate o vishing roda como serviço profissional: a nossa equipe monta o papel —banco, help desk, fornecedor—, faz as ligações numa janela combinada e mede quem entregou o quê e quem desligou para conferir. O fechamento treina exatamente esse hábito: desligar e ligar para o número oficial.