12 de novembro de 2026 • Phishing
Resumindo: o «vishing» é o phishing por chamada telefónica ou mensagem de voz. O «smishing» é o phishing por SMS ou aplicação de chat. Ambos funcionam porque o telemóvel dá uma sensação de intimidade: não há nenhum link para passar o cursor por cima, não há filtro de spam e há pouco tempo para pensar. Abaixo estão seis chamadas e seis mensagens, cada uma com exemplos de texto, o método e os sinais de alerta. O padrão nunca muda: alguém a quem não ligaste quer um código, um login ou um pagamento, agora mesmo.
Não conheces estes termos? Começa por saber o que é o vishing e o que é o smishing. Cada script abaixo é um exemplo que criámos, com nomes inventados e espaços reservados, como [o teu banco].
Por que é que o phishing por telefone continua a crescer
A APWG registou um aumento de 20% no vishing e de 40% no smishing no segundo trimestre de 2026. A CrowdStrike registou um aumento de 442% no vishing entre o primeiro e o segundo semestre de 2024. No Relatório de Investigações sobre Violações de Dados de 2026 da Verizon, a taxa mediana de cliques foi de 2% nas simulações por telefone, contra 1,4% no e-mail.
Os 12 exemplos num relance
| # | Exemplo | Imita | Quer | Sinal de alerta importante | O que fazer |
|---|---|---|---|---|---|
| 1 | Chamada para o serviço de apoio | O teu apoio informático | O teu código MFA | Pede-te para leres um código em voz alta | Liga tu mesmo para o serviço de assistência |
| 2 | Chamada para o serviço de fraude | [O teu banco] | Uma transferência | Uma «conta segura» | Liga para o número que está no teu cartão |
| 3 | Mensagem de voz do CEO | O teu diretor | Um pagamento secreto | Confidencialidade, número desconhecido | Faz uma pergunta que só ele possa responder |
| 4 | Chamada ao fornecedor | Um fornecedor conhecido | O teu próximo pagamento | Abrir uma nova conta bancária por telefone | Liga para o contacto que tens nos teus registos |
| 5 | Chamada para o apoio técnico | Um fornecedor de software | Acesso remoto | Chamam-te | Desliga e avisa o departamento de TI |
| 6 | Fatura de reembolso | Um serviço de assinatura | Que lhes ligues | Só um número de telefone | Verifica tu mesmo a conta |
| 7 | Texto da encomenda | Uma transportadora | Detalhes do cartão | Uma pequena taxa, um link estranho | Usa a aplicação da operadora |
| 8 | Texto do banco | [O teu banco] | Os teus dados de acesso à banca | Um link para «renovar» | Abre tu mesmo a aplicação bancária |
| 9 | Texto sobre impostos | O governo | Um pagamento ou um login | Risco de apreensão | Entra no portal oficial |
| 10 | «Olá, mãe» | O teu filho | Uma transferência urgente | Número novo, não consigo ligar | Liga para o número antigo |
| 11 | Aviso sobre a conta | As TI da tua empresa | Palavra-passe e código de autenticação multifator | Domínio semelhante | Usa o teu marcador |
| 12 | Texto do cartão-presente | O teu chefe | Códigos de cartões-presente | Sigilo, novo número | Liga ao teu chefe |
6 exemplos de vishing
1. O serviço de assistência informática que precisa do teu código de autenticação multifatorial (MFA)
O que ouves: «Daqui fala o Daniel, do serviço de assistência informática. Detetámos tentativas de início de sessão falhadas na tua conta. Vou enviar-te um código. Podes repeti-lo?»
Como funciona: quem liga tem a tua palavra-passe e precisa do segundo fator de autenticação. A Retool foi alvo de um ataque desta forma a 27 de agosto de 2023: um código, lido por uma voz de «TI» criada com deepfake, permitiu aceder a 27 contas de clientes. Em 2025, a Google descreveu um grupo que ligava aos funcionários fingindo ser o suporte de TI para aceder a dados da Salesforce, e acabou por ser ela própria alvo de um ataque.
Identifica e interrompe: é uma chamada que não pediste. Desliga e liga para o serviço de assistência através do número interno.
2. O departamento de fraude do banco
O que ouves: «Estás a falar com o departamento de fraude do [teu banco]. Bloqueámos um pagamento de 1 950 €. Vou ajudar-te a transferir o saldo para uma conta segura.»
Como funciona: o número que aparece no teu ecrã é falsificado. Os serviços de assistência falsos foram o tipo de fraude mais denunciado pelos consumidores ao Fraudehelpdesk holandês em 2025: 17 264 denúncias, contra 9 492 em 2024.
Identifica e bloqueia: uma «conta segura» ou um software de acesso remoto. Desliga e liga para o número que está no teu cartão.
3. A mensagem de voz do «CEO»
O que ouves: «É o Mark. Estou prestes a embarcar. Hoje vamos fechar uma aquisição e preciso que trates de um pagamento confidencial. Que isto fique só entre nós.»
Como funciona: a IA clona uma voz a partir de um webinar ou podcast. Em julho de 2024, um executivo da Ferrari recebeu uma chamada com a voz do CEO Benedetto Vigna sobre um negócio secreto, segundo noticiou a Bloomberg. Ele perguntou qual era o livro que o Vigna tinha acabado de recomendar. Quem ligou desligou. Vê os nossos exemplos de fraudes envolvendo CEOs e a nossa formação sobre deepfakes.
Identifica e interrompe: um número desconhecido e sigilo. Faz uma pergunta a que só a pessoa em questão consiga responder.
4. O fornecedor com uma nova conta bancária
O que ouves: «Daqui fala a Sophie, da [fornecedor]. Mudámos de banco. Vou enviar-te o novo número de conta por e-mail. Podes atualizá-lo antes do processamento dos pagamentos deste mês?»
Como funciona: a chamada faz com que o e-mail de acompanhamento pareça algo esperado. A tua próxima fatura é paga ao atacante e ninguém dá por isso até chegar o aviso de pagamento do fornecedor.
Deteta e impede: dados bancários alterados por telefone. Liga para o contacto que tens nos teus registos e pede a aprovação de uma segunda pessoa.
5. A chamada para o apoio técnico
O que ouves: «Estou a ligar da equipa de segurança da [empresa de software]. O teu computador foi infetado. Por favor, senta-te em frente ao teclado.»
Como funciona: abres um registo de sistema inofensivo como «prova» e, depois, instalas um software de acesso remoto. A partir daí, quem está ao telefone vê as tuas palavras-passe e a rede da empresa.
Identifica e bloqueia: os fornecedores não ligam aos utilizadores para falar de infeções. Desliga e avisa o departamento de TI.
6. O número para contacto que consta num e-mail de fatura
O que lês e ouves: «A tua assinatura foi renovada por 389,99 €. Não foste tu? Liga para o [número].» Ao telefone: «Só preciso de me ligar ao teu ecrã para fazer o reembolso.»
Como funciona: sem link, sem anexo, por isso os filtros deixam o e-mail passar. És tu próprio que tomas a decisão, o que te faz baixar a guarda. A parte do e-mail está na nossa visão geral dos tipos de ataques de phishing.
Atenção e cuidado: um número de telefone é a única opção. Não ligues. Verifica a conta no próprio site do fornecedor.
6 exemplos de smishing
7. A encomenda que não foi possível entregar
O que leste: «[Transportadora]: a tua encomenda não pôde ser entregue porque faltam pagar 1,45 € de custos de envio. Paga dentro de 24 horas: [link]»
Como funciona: toda a gente está à espera de uma encomenda. A pequena taxa é o isco; o site quer os dados do teu cartão.
Identifica e bloqueia: uma taxa após o envio, um link fora do domínio da transportadora. Acompanha a encomenda na aplicação da transportadora.
8. O banco ou a aplicação de pagamentos
O que leste: «[O teu banco]: o teu registo na aplicação bancária expira hoje. Renova já: [link]»
Como funciona: o link abre uma cópia da página de início de sessão. Com o teu nome de utilizador e um código, o atacante regista o próprio telemóvel como a tua aplicação bancária. Segue-se frequentemente o Exemplo 2.
Identifica e bloqueia: um link num texto enviado por um banco. Abre a aplicação por ti próprio.
9. A autoridade fiscal ou o portal do governo
O que leste: «[Autoridade fiscal]: a tua dívida de 1 277 € ainda não foi paga. Para evitar a penhora, paga hoje através do [link]»
Como funciona: o medo de levar uma multa é que faz o truque. Há variantes que imitam o login do governo ou prometem um reembolso.
Identifica e bloqueia: uma ameaça e um link de pagamento numa única mensagem. Entra tu mesmo no portal oficial.
10. «Olá, mãe, olá, pai»
O que leste: «Olá, mãe, o meu telemóvel avariou-se, este é o meu novo número. Tenho de pagar uma conta hoje e a minha aplicação bancária ainda não funciona.»
Como funciona: tem como alvo os funcionários que são pais, normalmente numa aplicação de chat. É o mesmo truque do exemplo 12: quem já conhece isso de casa reconhece-o no trabalho.
Identifica e interrompe: um novo número e uma razão pela qual não é possível ligar. Liga para o número antigo.
11. O MFA ou o alerta da conta
O que leste: «TI da [Empresa]: a tua palavra-passe expira hoje. Inicia sessão para manteres o teu acesso: [empresa]-sso.example»
Como funciona: em 2022, os funcionários da Twilio receberam mensagens de texto como esta. Alguns iniciaram sessão e os dados de 209 clientes foram acedidos. Na Cloudflare, 76 funcionários receberam a mensagem e três introduziram a sua palavra-passe. O ataque falhou porque a Cloudflare usa chaves de segurança de hardware.
Identifica e bloqueia: um domínio com o nome da empresa mais «sso» ou «login». Usa os teus favoritos e denuncia o texto.
12. O chefe que precisa de cartões-presente
O que leste: «É a Laura, do novo número. Estou numa reunião. Podes comprar cinco cartões-presente de 100 € para um cliente e enviar-me os códigos?»
Como funciona: os códigos dos cartões-presente têm o mesmo valor que dinheiro e não podem ser anulados.
Identifica e interrompe: um novo número, sigilo, cartões-presente. Liga ao teu gestor ou vai até lá.
Smishing vs. vishing vs. phishing
| Phishing | Pesca | Vishing | |
|---|---|---|---|
| Canal | Correio eletrónico | SMS e aplicações de chat | Chamada ou mensagem de voz |
| O que se pede | Clica, abre, inicia sessão | Toca num link, responde, paga | Lê o código, paga e instala o software |
| Primeira defesa | Verifica quem é o remetente e o link | Abre tu mesmo a aplicação | Desliga e volta a ligar |
A variante do código QR chama-se «quishing».
Como verificar quem está a ligar
- Relaxa um pouco. Diz que vais ligar de volta.
- Liga de volta para um número que já tenhas. O identificador de chamadas não prova nada: os números podem ser falsificados.
- Nunca dês um código, uma palavra-passe ou acesso remoto a alguém que te tenha contactado.
- Põe mais uma pessoa a tratar das finanças. Qualquer alteração na conta bancária precisa da aprovação de um colega.
O teu próprio serviço de assistência precisa das mesmas regras, porque os atacantes também ligam. Os atacantes da MGM Resorts afirmaram, em 2023, que ligaram para o serviço de assistência fingindo ser um funcionário que encontraram no LinkedIn; a MGM estimou os prejuízos em cerca de 100 milhões de dólares. A Marks & Spencer foi invadida em abril de 2025 através de uma «falsificação de identidade sofisticada» de um utilizador externo, disse o presidente Archie Norman aos deputados, com um custo estimado de cerca de 300 milhões de libras. Em fevereiro de 2026, a entidade reguladora financeira de Nova Iorque alertou para a existência de pessoas que ligavam a fazer-se passar por funcionários do serviço de assistência informática e, em abril de 2026, a ADT confirmou uma violação que, segundo os atacantes, começou com uma chamada de vishing. Uma regra que ninguém praticou não resiste a quem liga com confiança. É para isso que serve a formação.
Os teus colegas desligariam o telefone ou leriam o código em voz alta?
A Guardey dá formação a todos os colaboradores através de um desafio gamificado semanal que dura cerca de três minutos, para que identificar pedidos estranhos se torne um hábito.
Descobre a formação em sensibilização para a segurançaComo é que as empresas simulam o vishing e o smishing
A maioria das organizações testa apenas o e-mail e nada mais. As que vão mais longe enviam mensagens de texto de teste para os telemóveis de trabalho e fazem chamadas com guiões pré-definidos para o serviço de assistência, o departamento financeiro e os RH. Três regras garantem que tudo seja justo: anuncia o programa, nunca castigas ninguém e conta tanto os relatórios como as falhas. A Guardey inclui simulações de phishing e um desafio semanal com competição entre equipas, para que os colaboradores continuem a praticar entre os testes.
Perguntas mais frequentes
Qual é a diferença entre smishing e vishing?
O canal. O «smishing» é uma mensagem de texto ou de chat. O «vishing» é uma chamada telefónica ou uma mensagem de voz. O objetivo é o mesmo: o teu código, o teu nome de utilizador ou o teu dinheiro.
Qual é um exemplo de vishing?
Uma chamada de alguém do «Departamento de TI» que te pede para leres em voz alta o código que acabou de chegar ao teu telemóvel. Os exemplos 1 a 6 são casos de vishing, e os exemplos 7 a 12 são casos de smishing.
Posso confiar no identificador de chamadas ou no nome do remetente de uma mensagem de texto?
Não. Ambos podem ser falsificados. Verifica através de um canal à tua escolha.
O que devo fazer se tiver dado um código ou pago?
Avisa o serviço de TI imediatamente e muda a tua palavra-passe. Se fizeste algum pagamento, liga para o teu banco através do número oficial. Denuncia também as mensagens que apenas recebeste.
Tens curiosidade em saber quem da tua equipa cairia no exemplo 1?
Experimenta o Guardey com os teus próprios colegas: desafios semanais de três minutos, simulações de phishing e relatórios por equipa.
Experimenta o Guardey gratuitamente durante 14 dias
