Exemplo de smishing: o SMS da encomenda taxada
Um SMS diz que a sua encomenda foi taxada e será devolvida se a taxa não for paga hoje. O valor é baixo, para que pagar pareça mais fácil do que perguntar. O link leva a uma página que pede o cartão ou um Pix.
Hoje 10:23
ENTREGAS: sua encomenda foi taxada (Sinal 2) e está retida no centro de distribuição. Pague a taxa de R$ 37,90 (Sinal 3) até hoje (Sinal 4) em rastreio-encomendas.example/br (Sinal 5) ou ela será devolvida ao remetente.
Cinco sinais que denunciam o SMS falso
Um celular qualquer como remetente
Empresas de entrega costumam escrever de um nome ou de um número curto. Um celular comum que você não reconhece é um sinal forte.
Uma encomenda sem dados
A mensagem não diz que encomenda é nem quem enviou. Funciona com qualquer pessoa esperando uma compra; se você não tem um código de rastreio, não há nada a pagar.
Um valor baixo
Uma taxa pequena faz pagar parecer mais rápido do que reclamar. O que buscam não é esse valor: é o cartão completo ou um Pix sem volta.
O prazo é hoje
A ameaça de devolução com prazo curto existe para que você não entre pelo app ou pelo site que já conhece.
Um link que não é o oficial
O domínio não é o de nenhuma empresa de entregas que você conheça. Para rastrear, digite você mesmo o endereço oficial ou use o código de rastreio da compra.
O que fazer se chegar até você
- Não toque no link nem responda à mensagem.
- Se você espera uma entrega, procure o código de rastreio no e-mail da compra e consulte no site oficial.
- Bloqueie o número e denuncie a mensagem como spam pelo celular.
- Se chegou a um celular que você usa para o trabalho, avise a segurança.
Se você já digitou dados
- Se digitou o cartão, ligue para o banco pelo número oficial e peça o bloqueio.
- Se pagou por Pix, avise o banco na hora e peça a abertura do MED, o Mecanismo Especial de Devolução do Banco Central.
- Se instalou algo pelo link, desinstale e peça ajuda à TI antes de voltar a usar esse celular para o trabalho.
A mesma armadilha em outros canais
Pelo WhatsApp
O mesmo aviso chega de uma conta com o nome de uma empresa de entregas. Nome e foto de perfil qualquer um escolhe.
Por e-mail
Um e-mail de “entrega não realizada” traz um botão para reagendar. Às vezes pede um pagamento; outras, só os dados para “confirmar o endereço”.
Com uma ligação
Depois do SMS liga alguém “do centro de distribuição” que guia o pagamento passo a passo e pede o código que chega no celular.
Perguntas sobre smishing
Outros golpes para reconhecer
A sua equipe pagaria “a taxa”?
Na Whalemate o smishing roda como serviço profissional: a nossa equipe monta a mensagem com um pretexto local como este, envia só para números com autorização explícita e mede quem abre, quem toca no link e quem entrega dados, com um relatório por área.