Exemplos de vishing e smishing: 12 ligações e mensagens de texto que os funcionários realmente recebem

Em resumo: “Vishing” é o phishing por meio de ligação telefônica ou mensagem de voz. “Smishing” é o phishing por SMS ou aplicativo de bate-papo. Ambos funcionam porque o telefone transmite uma sensação de intimidade: não há link para passar o cursor, não há filtro de spam e há pouco tempo para pensar. Abaixo estão seis ligações e seis mensagens de texto, cada uma com um exemplo de texto, o método utilizado e os sinais de alerta. O padrão nunca muda: alguém com quem você não entrou em contato quer um código, um login ou um pagamento, agora mesmo.

Não conhece esses termos? Comece aprendendo o que é vishing e o que é smishing. Cada roteiro abaixo é um exemplo que elaboramos, com nomes fictícios e espaços reservados, como [seu banco].

Por que o phishing por telefone continua crescendo

O APWG observou um aumento de 20% no vishing e de 40% no smishing no segundo trimestre de 2026. A CrowdStrike registrou um aumento de 442% no vishing entre o primeiro e o segundo semestre de 2024. No Relatório de Investigações sobre Vazamentos de Dados de 2026 da Verizon, a taxa mediana de cliques foi de 2% em simulações por telefone, contra 1,4% por e-mail.

Os 12 exemplos em resumo

6 exemplos de vishing

1. O suporte técnico de TI que precisa do seu código de autenticação multifatorial (MFA)

O que você ouve: “Aqui é o Daniel, do suporte de TI. Detectamos tentativas de login malsucedidas na sua conta. Estou enviando um código. Você poderia repeti-lo?”

Como funciona: quem liga tem sua senha e precisa do segundo fator de autenticação. A Retool sofreu um ataque dessa forma em 27 de agosto de 2023: um código, lido por uma voz de “suporte de TI” gerada por deepfake, abriu 27 contas de clientes. Em 2025, o Google descreveu um grupo que ligava para funcionários se passando por suporte de TI para acessar dados do Salesforce e acabou sendo vítima desse mesmo ataque.

Identifique e interrompa: uma chamada que você não solicitou. Desligue e ligue para o suporte técnico pelo número interno.

2. O departamento de fraudes do banco

O que você ouve: “Aqui é o departamento de fraudes do [seu banco]. Bloqueamos um pagamento de € 1.950. Vou ajudá-lo a transferir o saldo para uma conta segura.”

Como funciona: o número exibido na tela é falsificado. Os serviços de suporte falso foram o tipo de fraude mais denunciado pelos consumidores ao Fraudehelpdesk holandês em 2025: 17.264 denúncias, contra 9.492 em 2024.

Identifique e interrompa: uma “conta segura” ou um software de acesso remoto. Desligue e ligue para o número que consta no seu cartão.

3. A mensagem de voz do “CEO”

O que você ouve: “É o Mark. Estou prestes a embarcar. Vamos fechar uma aquisição hoje e preciso que você cuide de um pagamento confidencial. Isso fica entre nós.”

Como funciona: a IA clona uma voz a partir de um webinar ou podcast. Em julho de 2024, um executivo da Ferrari recebeu uma ligação com a voz do CEO Benedetto Vigna sobre um acordo secreto, segundo reportagem da Bloomberg. Ele perguntou qual livro Vigna havia acabado de recomendar. A pessoa que ligou desligou. Confira nossos exemplos de fraudes envolvendo CEOs e nosso treinamento de conscientização sobre deepfakes.

Identifique e interrompa: um número desconhecido e sigilo. Faça uma pergunta que só a pessoa real possa responder.

4. O fornecedor com uma nova conta bancária

O que você ouve: “Aqui é a Sophie, da [fornecedora]. Mudamos de banco. Vou enviar o novo número da conta por e-mail. Você poderia atualizá-lo antes do processamento dos pagamentos deste mês?”

Como funciona: a ligação faz com que o e-mail de acompanhamento pareça algo esperado. Sua próxima fatura é paga ao invasor, e ninguém percebe nada até que chegue o lembrete do fornecedor.

Identifique e interrompa: dados bancários alterados por telefone. Ligue para o contato que consta em seus próprios registros e peça que uma segunda pessoa aprove a alteração.

5. A ligação para o suporte técnico

O que você ouve: “Estou ligando da equipe de segurança da [empresa de software]. Seu computador foi infectado. Por favor, sente-se diante do teclado.”

Como funciona: você abre um arquivo de log do sistema inofensivo como “prova” e, em seguida, instala um software de acesso remoto. A partir daí, a pessoa que está ligando tem acesso às suas senhas e à rede da empresa.

Identifique e bloqueie: os fornecedores não ligam para os usuários para informar sobre infecções. Desligue o telefone e avise a equipe de TI.

6. O número para retorno de chamada em um e-mail de fatura

O que você lê e ouve: “Sua assinatura foi renovada por €389,99. Não foi você? Ligue para [número].” Ao telefone: “Só preciso acessar a tela do seu computador para fazer o reembolso.”

Como funciona: sem link, sem anexo; por isso, os filtros deixam o e-mail passar. Você mesmo toma a decisão, o que faz com que baixe a guarda. A parte relacionada ao e-mail está em nossa visão geral dos tipos de ataques de phishing.

Atenção e alerta: um número de telefone como única opção. Não ligue. Verifique a conta no próprio site do fornecedor.

6 exemplos de smishing

7. A encomenda que não pôde ser entregue

O que você leu: “[Transportadora]: sua encomenda não pôde ser entregue porque há €1,45 em custos de frete pendentes. Efetue o pagamento em até 24 horas: [link]”

Como funciona: todo mundo está esperando receber um pacote. A pequena taxa é a isca; o site quer os dados do seu cartão.

Identifique e bloqueie: uma taxa cobrada após o envio, um link fora do domínio da transportadora. Rastreie a encomenda no aplicativo da transportadora.

8. O banco ou o aplicativo de pagamentos

O que você leu: “[Seu banco]: o cadastro no seu aplicativo bancário expira hoje. Renove agora: [link]”

Como funciona: o link abre uma cópia da página de login. Com seus dados de login e um código, o invasor cadastra seu próprio celular como seu aplicativo bancário. O exemplo 2 costuma vir em seguida.

Identifique e bloqueie: um link em um texto enviado por um banco. Abra o aplicativo por conta própria.

9. A autoridade tributária ou o portal do governo

O que você leu: “[Autoridade tributária]: sua dívida de € 1.277 não foi paga. Para evitar a apreensão, pague hoje pelo [link]”

Como funciona: o medo de receber uma multa é o que faz a diferença. As variantes imitam o login do governo ou prometem um reembolso.

Identifique e bloqueie: uma ameaça e um link de pagamento em uma única mensagem. Faça você mesmo o login no portal oficial.

10. “Oi, mamãe, oi, papai”

O que você leu: “Oi, mãe, meu celular quebrou. Esse é o meu novo número. Preciso pagar uma conta hoje, mas meu aplicativo bancário ainda não está funcionando.”

Como funciona: o golpe tem como alvo funcionários que são pais, geralmente por meio de um aplicativo de bate-papo. É o mesmo truque do exemplo 12: quem já conhece a mensagem de casa a reconhece no trabalho.

Identifique e interrompa: um novo número e um motivo pelo qual não é possível ligar. Ligue para o número antigo.

11. O MFA ou o alerta de conta

O que você leu: “[Empresa] TI: sua senha expira hoje. Faça login para manter seu acesso: [empresa]-sso.example”

Como funciona: em 2022, os funcionários da Twilio receberam mensagens de texto como essa. Alguns fizeram login, e os dados de 209 clientes foram acessados. Na Cloudflare, 76 funcionários receberam a mensagem e três digitaram sua senha. O ataque falhou porque a Cloudflare utiliza chaves de segurança de hardware.

Identifique e bloqueie: um domínio que contenha o nome da empresa seguido de “sso” ou “login”. Use seus favoritos e denuncie o texto.

12. O chefe que precisa de cartões-presente

O que você leu: “Aqui é a Laura, número novo. Estou em uma reunião. Você poderia comprar cinco cartões-presente de €100 para um cliente e me enviar os códigos?”

Como funciona: os códigos dos cartões-presente têm o mesmo valor que dinheiro e não podem ser estornados.

Identifique e interrompa: um novo número, sigilo, cartões-presente. Ligue para o seu gerente ou vá até lá.

Smishing x vishing x phishing

A variante do código QR é chamada de “quishing”.

Como verificar quem está ligando

1. Alivie a pressão. Diga que vai ligar de volta.
2. Ligue de volta para um número que você já tenha. O identificador de chamadas não prova nada: os números podem ser falsificados.
3. Nunca forneça um código, uma senha ou acesso remoto a alguém que tenha entrado em contato com você.
4. Designe uma segunda pessoa para cuidar das finanças. Toda alteração na conta bancária precisa da aprovação de um colega.

Seu próprio centro de atendimento precisa seguir as mesmas regras, pois os invasores também ligam para lá. Os invasores da MGM Resorts alegaram, em 2023, que ligaram para o suporte técnico se passando por um funcionário encontrado no LinkedIn; a MGM estimou o prejuízo em cerca de US$ 100 milhões. A Marks & Spencer foi invadida em abril de 2025 por meio de uma “falsificação sofisticada” da identidade de um usuário terceirizado, conforme relatou o presidente Archie Norman aos deputados, com um custo estimado de cerca de £ 300 milhões. Em fevereiro de 2026, o órgão regulador financeiro de Nova York alertou sobre pessoas que ligavam se passando por funcionários do suporte técnico de TI e, em abril de 2026, a ADT confirmou uma violação que, segundo os invasores, começou com uma ligação de vishing. Uma regra que ninguém colocou em prática não resiste a um interlocutor confiante. É para isso que serve o treinamento.

Como as empresas simulam ataques de vishing e smishing

A maioria das organizações testa apenas e-mails e nada mais. Aquelas que vão além enviam mensagens de texto de teste para os telefones do trabalho e fazem ligações com roteiros pré-definidos para a central de atendimento, o departamento financeiro e o RH. Três regras garantem a imparcialidade: divulgar o programa, nunca punir ninguém e levar em conta tanto os relatórios quanto as falhas. A Guardey inclui simulações de phishing e um desafio semanal com competição entre equipes, para que os funcionários continuem praticando entre os testes.

Perguntas frequentes

Qual é a diferença entre smishing e vishing?

O canal. O “smishing” é uma mensagem de texto ou de chat. O “vishing” é uma ligação telefônica ou mensagem de voz. O objetivo é o mesmo: seu código, seu login ou seu dinheiro.

Qual é um exemplo de vishing?

Uma ligação de alguém que se identifica como “TI” e pede que você leia em voz alta o código que acabou de chegar no seu celular. Os exemplos de 1 a 6 são casos de vishing; os de 7 a 12, de smishing.

Posso confiar no identificador de chamadas ou no nome do remetente de uma mensagem de texto?

Não. Ambos podem ser falsificados. Verifique por meio de um canal de sua escolha.

O que devo fazer se tiver fornecido um código ou feito um pagamento?

Informe imediatamente o departamento de TI e altere sua senha. Se você tiver efetuado algum pagamento, ligue para o banco pelo número oficial. Denuncie também as mensagens que você apenas recebeu.