O que é smishing? Como funciona o phishing por SMS e como evitá-lo

Smishing é o phishing por mensagem de texto. Em vez de um e-mail, o invasor envia um SMS ou uma mensagem por meio de um aplicativo de bate-papo, na esperança de que você clique em um link, forneça suas credenciais de login ou aprove um pagamento. O nome é uma contração de SMS e phishing e, tirando o canal de comunicação, o golpe é exatamente o mesmo: alguém se faz passar por alguém em quem você confia e conta com o fato de você agir antes de pensar.

O canal é o que torna isso perigoso. Uma mensagem de texto chega no aparelho que você verifica dezenas de vezes por dia, geralmente enquanto está fazendo outra coisa. A seguir, vamos ver por que o celular é um terreno tão propício para isso, como reconhecer uma tentativa de smishing, o que fazer quando você já clicou no link e como as organizações preparam seus funcionários para lidar com isso.

Por que uma mensagem de texto é uma isca tão eficaz

O e-mail conta com trinta anos de medidas de proteção. Filtros de spam, verificadores de links, avisos indicando que uma mensagem veio de fora da organização: quando um e-mail de phishing chega à caixa de entrada, ele já passou por vários pontos de verificação. Uma mensagem de texto não passa por quase nenhum deles e vai parar na mesma conversa que as mensagens do seu dentista e do entregador.

Há também um aspecto psicológico. As telas são pequenas, então o remetente aparece como um número e o link é encurtado a ponto de ficar irreconhecível. As pessoas leem as mensagens em pé, na fila ou entre duas reuniões, e respondem rapidamente porque é para isso que servem as mensagens de texto. Os invasores se valem dessa mesma rapidez com uma variante da chamada de voz conhecida como “vishing” e, cada vez mais, combinam as duas coisas: uma mensagem de texto que anuncia uma ligação ou uma ligação que pede para você verificar suas mensagens.

Por fim, é no celular que ficam os códigos importantes. Um código de uso único para fazer login, uma confirmação bancária, uma notificação de aprovação: se um invasor conseguir fazer com que você leia um desses códigos em voz alta ou o digite em uma página falsa, o segundo fator que deveria protegê-lo se torna a porta de entrada.

Como reconhecer uma mensagem de smishing

A maioria dos golpes de smishing segue um número reduzido de padrões. Depois que você os reconhece, fica difícil não percebê-los, e é exatamente por isso que ensinar as pessoas a identificar esses padrões funciona melhor do que ensiná-las a reconhecer golpes específicos.

• Urgência inesperada. Um pacote não pode ser entregue, uma conta será encerrada, uma multa vence hoje. A mensagem quer que você tome uma atitude antes mesmo de poder verificar qualquer coisa.
• Um link que não corresponde ao remetente. Organizações reais utilizam seu próprio domínio. Links encurtados, domínios semelhantes com uma palavra a mais ou um endereço que termine com um código de país desconhecido são motivos para não clicar.
• Um pedido de algo que nenhuma empresa solicita por mensagem de texto. Dados de login, o número completo do cartão ou o código de uso único que você acabou de receber. Um banco nunca pedirá que você forneça essas informações, nem o seu departamento de TI.
• Um pequeno pagamento para liberar algo maior. Alguns euros de taxas alfandegárias por um pacote, uma taxa mínima para remarcar uma entrega. O valor é pequeno de propósito, porque parece inofensivo o suficiente para simplesmente resolver a questão de uma vez.
• Um número em vez de um nome, ou um nome que está um pouco errado. Mensagens de um número de celular aleatório que alega ser de uma empresa, ou o nome de uma marca conhecida com grafia ou espaçamento estranhos.
• Um código QR na mensagem ou na página vinculada. Isso se assemelha ao “quishing”, em que o destino malicioso fica oculto dentro do código, de modo que nenhum filtro consiga identificá-lo.
• Um novo colega de trabalho ou um gerente com pressa. O caso clássico é uma mensagem que diz ser de um diretor, enviada de um número novo, pedindo cartões-presente, uma transferência rápida ou um favor que não pode ser divulgado.

Uma regra útil para as equipes: o próprio pedido é o sinal, não o remetente. Qualquer mensagem solicitando credenciais, códigos ou pagamentos deve ser verificada por meio de um canal escolhido por você mesmo, mesmo que o remetente pareça confiável. Mais variantes desse padrão estão reunidas em nossa visão geral dos tipos de ataques de phishing.

O que fazer se você já tiver clicado

Clicar em um link não é o fim do mundo, e tratar isso dessa forma é exatamente o que faz com que as pessoas fiquem caladas. O que importa é o que acontece nos próximos minutos.

1. Não insira mais nada. Se uma página solicitar um login, um código ou dados de cartão, feche-a. Um link por si só é muito menos prejudicial do que um formulário que você preencheu.
2. Altere a senha, caso tenha definido uma. Faça isso em um dispositivo em que você confie e altere-a em todos os outros lugares onde você a tenha reutilizado. Essa reutilização costuma ser o verdadeiro problema.
3. Verifique sua autenticação de dois fatores. Se você aprovou uma solicitação de login ou forneceu um código único, é possível que alguém esteja acessando sua conta neste momento. Saia de todas as sessões e verifique se há novos dispositivos ou regras de redirecionamento.
4. Denuncie o caso internamente, imediatamente. Sua equipe de TI ou de segurança pode bloquear o domínio, alertar os colegas que receberam a mesma mensagem e verificar se algo foi movimentado. Denunciar rapidamente é a coisa mais importante que um funcionário pode fazer.
5. Guarde a mensagem. Uma captura de tela com o remetente e o link ajuda muito a avaliar o alcance da campanha. Só a apague depois de repassá-la.

Observe o que está faltando nessa lista: a atribuição de culpa. As organizações em que um clique errado leva a uma conversa constrangedora são aquelas em que a próxima pessoa fica em silêncio, e é esse silêncio que transforma um clique em um incidente.

Como as organizações reduzem o risco

As medidas técnicas ajudam, mas têm um alcance menor do que no caso do e-mail. As operadoras de celular filtram algumas das piores campanhas, e a autenticação multifatorial (MFA) que utiliza uma chave de hardware ou uma solicitação de aplicativo vinculada ao site reduz significativamente o valor de um código roubado. Além disso, a maior parte da defesa depende das pessoas.

A abordagem prática consiste em tornar o reconhecimento e a denúncia um hábito, em vez de uma política. Exercícios curtos e recorrentes funcionam melhor nesse caso do que uma única sessão anual, pois os golpes mudam a cada poucos meses. Realizar uma simulação de phishing mostra onde você realmente está, em vez de onde você imagina estar, e oferece às pessoas um ambiente seguro para cometerem erros. Defina um canal claro de denúncia, torne o processo tão simples quanto um único toque e agradeça às pessoas que o utilizarem, inclusive àquelas que, no fim das contas, tiveram apenas encaminhado algo inofensivo.

Como o Guardey ajuda sua equipe a identificar o smishing

O treinamento de conscientização em segurança da Guardey apresenta aos seus colegas desafios semanais de cerca de três minutos, com conteúdo baseado nas ameaças que realmente estão em circulação. Smishing, avisos falsos de entrega e códigos solicitados por chat são exatamente o tipo de cenário que aparece nesses desafios, e a gamificação com tabelas de classificação e sequências de conquistas faz com que as pessoas continuem participando mesmo após a primeira semana.

Como os funcionários realizam o treinamento no aplicativo móvel para iOS e Android, eles praticam no mesmo dispositivo em que essas mensagens chegam, o que torna a lição mais concreta. Simulações integradas de phishing mostram se o reconhecimento se traduz em comportamento, e relatórios prontos para auditoria transformam tudo isso em evidências para normas como a NIS2 e a ISO 27001. A configuração leva apenas alguns minutos, e mais de 500 organizações já trabalham dessa forma, incluindo o Parlamento Europeu.

Perguntas frequentes sobre smishing

Qual é a diferença entre phishing, smishing e vishing?

O objetivo é o mesmo; a única diferença está no canal de comunicação. O phishing ocorre por e-mail, o smishing por mensagem de texto ou de chat e o vishing por ligação telefônica. Os invasores costumam combinar esses métodos em uma única campanha, pois uma mensagem confirmada por uma ligação telefônica parece mais confiável do que qualquer uma delas isoladamente.

É possível ser hackeado só por abrir uma mensagem de texto?

Abrir uma mensagem, por si só, quase nunca é suficiente. O risco começa quando você clica no link e, em seguida, digita algo na página que aparece, ou quando instala um aplicativo que é oferecido a você. É por isso que o conselho é parar no link, em vez de entrar em pânico por ter lido a mensagem.

Os funcionários devem denunciar uma mensagem de smishing recebida em seus celulares particulares?

Sim, se estiver relacionado ao trabalho de alguma forma: uma mensagem que afirme ser de um colega, de um fornecedor ou do departamento de TI deve ser encaminhada para a fila de denúncias, independentemente do dispositivo em que tenha sido recebida. Deixe claro que a denúncia diz respeito à mensagem, e não à inspeção do celular particular de ninguém; caso contrário, as pessoas hesitarão em fazer a denúncia.

A autenticação multifatorial (MFA) protege contra o smishing?

Isso ajuda, mas nem todas as formas são iguais. Um código enviado por mensagem de texto pode ser alvo de phishing com a mesma facilidade que uma senha, já que o invasor só precisa solicitá-lo. Métodos vinculados ao site legítimo, como uma chave de hardware ou uma solicitação por meio de um aplicativo, são consideravelmente mais difíceis de serem explorados dessa forma.

O smishing funciona porque pega as pessoas de surpresa, o que significa que a defesa não é um filtro mais inteligente, mas sim um momento de hesitação na hora certa. As equipes que praticam essa pausa e que facilitam a denúncia, sem atribuir culpa, transformam o celular de um canal vulnerável em um meio onde uma mensagem suspeita é sinalizada em questão de minutos.