Como identificar SMS falso? O que é smishing e 7 sinais

Chega um SMS: "Seu pacote está retido, pague a taxa de R$ 7,90 para liberar a entrega". O remetente parece legítimo, o texto tem pressa e o link é curto. Dez segundos depois, alguém digitou número de cartão num site que imita os Correios. Isso é smishing — phishing por SMS — e continua funcionando porque a mensagem chega no mesmo lugar onde você recebe código de verificação do banco.

O que é smishing

O que é smishing?

Smishing é um golpe de phishing aplicado por mensagem de texto (SMS): o golpista se passa por banco, transportadora, operadora ou órgão público e tenta fazer você clicar num link falso ou entregar dados.

O nome vem de "SMS" + "phishing". A lógica é a mesma do phishing por e-mail, mas o canal muda o jogo: o SMS não tem filtro antispam decente no celular, a tela é pequena (o endereço completo do link fica escondido) e as pessoas ainda tratam SMS como canal "oficial".

Como o golpe funciona por dentro

O fluxo típico tem quatro etapas:

1. Disparo em massa: o golpista envia milhares de mensagens, muitas vezes por sistemas de disparo ou até por antenas clandestinas. Segundo o Tecnoblog, a polícia e a Anatel já apreenderam antenas falsas usadas para isso.
2. Isca com urgência: encomenda retida, conta bloqueada, pontos prestes a expirar, multa, "movimentação suspeita".
3. Página clonada: o link leva a um site parecido com o original, hospedado num domínio recém-registrado ou escondido atrás de um encurtador.
4. Coleta: você digita CPF, senha, dados do cartão ou o código recebido por SMS — e o golpista usa na hora, no app verdadeiro.

Um detalhe técnico importante: o nome que aparece como remetente pode ser forjado. Em muitos casos a mensagem falsa cai na mesma conversa das mensagens legítimas do banco, o que dá uma falsa sensação de confiança. Ver o histórico do contato não prova que a mensagem é real.

7 sinais de que o SMS é falso

1. Urgência com prazo curto ("regularize em 24 horas").
2. Cobrança de taxa pequena para liberar encomenda. Segundo o Estado de Minas, os Correios não cobram taxa para liberar encomendas por SMS.
3. Link encurtado ou domínio estranho (letras trocadas, sufixos esquisitos, nome da marca no meio de um endereço longo). Veja também o golpe da letra trocada.
4. Pedido de dados ou pagamento por mensagem. Banco não pede atualização cadastral nem pagamento por SMS.
5. Pedido de código de verificação ("responda com o código que enviamos"). Esse código é a chave da sua conta.
6. Mensagem genérica, sem seu nome e sem dado que só a empresa teria.
7. Número de celular comum no lugar de canal oficial, ou pedido pra chamar num WhatsApp desconhecido (variante do golpe do "Oi, mãe").

O que fazer ao receber um SMS suspeito

Posso abrir o link só pra ver o que é?

O ideal é não abrir. Só tocar no link já pode confirmar ao golpista que seu número está ativo e, dependendo do aparelho e do site, expor você a páginas de roubo de dados ou download de app malicioso. Se você precisa verificar a informação, saia da mensagem e vá direto ao app oficial ou digite o endereço do site no navegador.

• Não responda nem mande "PARAR": isso confirma que o número existe.
• Confirme por canal oficial: app do banco, site digitado à mão, telefone impresso no cartão.
• Bloqueie o remetente e apague a mensagem. Denuncie à sua operadora pelos canais dela.
• Ative autenticação forte: com 2FA por aplicativo (TOTP) ou passkeys, um código roubado por SMS vale bem menos.

E se eu já cliquei ou digitei dados?

Aja nos primeiros minutos:

1. Se digitou senha, troque-a no site/app verdadeiro e em qualquer outro lugar onde ela se repete.
2. Se informou cartão, bloqueie-o pelo app do banco e peça um novo.
3. Se passou código de verificação, encerre as sessões ativas da conta e revise acessos recentes.
4. Se houve Pix, ligue para o banco imediatamente e peça o acionamento do MED (Mecanismo Especial de Devolução).
5. Se instalou algum app a partir do link, desinstale e siga o roteiro de como saber se o celular tem spyware.

A nova regra da Anatel ajuda?

Em 4 de novembro de 2026, a Anatel publicou no Diário Oficial regras para que as operadoras bloqueiem SMS corporativos enviados por códigos curtos não cadastrados. A norma prevê um cadastro público de remetentes, com cada código vinculado a uma empresa, e monitoramento automático de atividade suspeita, com prazos de 60 a 90 dias (prorrogáveis), segundo o Tecnoblog.

É um avanço, mas não resolve tudo: o próprio texto reconhece que o smishing continua possível e que antenas clandestinas podem enviar mensagens sem passar pelos sistemas das operadoras. Estar no cadastro também não garante que uma mensagem é segura. A defesa continua sendo o hábito de não clicar e conferir por conta própria.

A lição maior

Nenhuma mensagem legítima precisa que você decida em 30 segundos, pelo próprio link dela. Regra prática: SMS com link e urgência = confirmar por fora, sempre. Se quiser aprofundar, leia como funciona o ataque de engenharia social que nenhum antivírus bloqueia — é a base de todo golpe por mensagem — e compartilhe este post com quem ainda clica em "taxa de liberação".