O que é o «smishing»? Como funciona o phishing por SMS e como o impedir

O smishing é o phishing por mensagem de texto. Em vez de um e-mail, o atacante envia um SMS ou uma mensagem através de uma aplicação de chat, na esperança de que cliques num link, reveles os teus dados de acesso ou aprove um pagamento. O nome é uma contração de SMS e phishing e, tirando o canal, o esquema é exatamente o mesmo: alguém finge ser alguém em quem confias e conta com o facto de agires antes de pensares.

É o canal que torna isto perigoso. Recebes uma mensagem de texto no dispositivo que verificas dezenas de vezes por dia, normalmente enquanto estás a fazer outra coisa. A seguir, vamos ver porque é que o telemóvel é um terreno tão fértil, como reconhecer uma tentativa de smishing, o que fazer se já tiveres clicado no link e como as organizações preparam os seus colaboradores para esta situação.

Porque é que uma mensagem de texto é um isco tão eficaz?

O e-mail conta com trinta anos de medidas de proteção. Filtros de spam, verificadores de links, avisos a indicar que uma mensagem veio de fora da organização: quando um e-mail de phishing chega à caixa de entrada, já passou por vários pontos de controlo. Uma mensagem de texto não passa por quase nenhum deles e vai parar à mesma conversa que as do teu dentista e do teu estafeta.

Há também uma vertente psicológica. Os ecrãs são pequenos, por isso quem envia aparece como um número e o link é encurtado até ficar irreconhecível. As pessoas lêem as mensagens de pé, numa fila ou entre duas reuniões, e respondem depressa porque é para isso que servem as mensagens de texto. Os atacantes aproveitam-se dessa mesma rapidez com uma variante das chamadas de voz conhecida como «vishing» e, cada vez mais, combinam as duas coisas: uma mensagem de texto que avisa de uma chamada ou uma chamada que te pede para verificares as tuas mensagens.

Por fim, é no telemóvel que estão os códigos importantes. Um código único para iniciar sessão, uma confirmação bancária, uma notificação de aprovação: se um atacante conseguir que leias um desses códigos em voz alta ou que o introduzas numa página falsa, o segundo fator que devia proteger-te torna-se a porta de entrada.

Como reconhecer uma mensagem de smishing

A maioria dos casos de smishing segue um número reduzido de padrões. Quando já os conheces, é difícil não os reconheceres, e é exatamente por isso que ensinar as pessoas a identificar esses padrões funciona melhor do que ensiná-las a reconhecer golpes específicos.

• Uma urgência inesperada. Uma encomenda não pode ser entregue, uma conta vai ser encerrada, uma multa vence hoje. A mensagem quer que te apresses antes mesmo de teres tempo de verificar alguma coisa.
• Um link que não corresponde ao remetente. As organizações a sério usam o seu próprio domínio. Links encurtados, domínios parecidos com uma palavra a mais ou um endereço que termine num código de país desconhecido são todos motivos para teres cuidado.
• Um pedido de algo que nenhuma empresa pede por mensagem. Dados de acesso, o número completo do cartão ou o código único que acabaste de receber. Um banco nunca te vai pedir para partilhares isso, nem o teu departamento de TI.
• Um pequeno pagamento para desbloquear algo maior. Alguns euros de taxas alfandegárias por uma encomenda, uma taxa minúscula para remarcar uma entrega. O valor é pequeno de propósito, porque parece inofensivo o suficiente para simplesmente resolver a questão.
• Um número em vez de um nome, ou um nome que não bate certo. Mensagens de um número de telemóvel aleatório que diz ser de uma empresa, ou de uma marca conhecida com uma grafia ou espaçamento estranhos.
• Um código QR na mensagem ou na página para a qual o link remete. Isto está relacionado com o «quishing», em que o destino malicioso fica escondido dentro do código, de forma a que nenhum filtro o consiga detetar.
• Um novo colega ou um chefe com pressa. O clássico é uma mensagem que diz ser de um diretor, enviada de um número novo, a pedir cartões-presente, uma transferência rápida ou um favor que tem de ficar em segredo.

Uma regra útil para as equipas: é o próprio pedido que serve de sinal, não quem o envia. Qualquer mensagem a pedir credenciais, códigos ou pagamentos deve ser verificada através de um canal que tu próprio escolhas, mesmo que quem a envia pareça ser de confiança. Encontras mais exemplos deste padrão na nossa visão geral dos tipos de ataques de phishing.

O que fazer se já clicaste

Clicar numa ligação não é o fim do mundo, e tratar isso como se fosse é exatamente o que faz com que as pessoas fiquem caladas. O que importa é o que acontece nos próximos minutos.

1. Não introduzas mais nada. Se uma página te pedir que faças login, um código ou os dados do cartão, fecha-a. Um link por si só é muito menos perigoso do que um formulário que tenhas preenchido.
2. Altera a palavra-passe, se a tiveres introduzido. Faz isso a partir de um dispositivo em que confies e altera-a em todos os outros sítios onde a tenhas reutilizado. Essa reutilização é, normalmente, o verdadeiro problema.
3. Verifica a tua autenticação de dois fatores. Se aprovaste um pedido de início de sessão ou forneceste um código único, pode ser que alguém esteja a aceder à tua conta neste momento. Encerra todas as sessões e verifica se há novos dispositivos ou regras de reencaminhamento.
4. Comunica o caso internamente, de imediato. A tua equipa de TI ou de segurança pode bloquear o domínio, alertar os colegas que receberam a mesma mensagem e verificar se algo foi movido. Comunicar rapidamente é a coisa mais importante que um colaborador pode fazer.
5. Guarda a mensagem. Uma captura de ecrã com o remetente e o link ajuda imenso a perceber qual é a dimensão da campanha. Só a apagas depois de a teres partilhado.

Repara no que falta nessa lista: a culpa. As organizações em que um clique errado leva a uma conversa embaraçosa são aquelas em que a pessoa seguinte fica em silêncio, e é esse silêncio que transforma um clique num incidente.

Como é que as organizações reduzem o risco

As medidas técnicas ajudam, mas têm um alcance menor do que no e-mail. As operadoras de telemóvel filtram algumas das piores campanhas, e a autenticação multifatorial (MFA) que usa uma chave de hardware ou um aviso de uma aplicação associada ao site retira grande parte do valor de um código roubado. Para além disso, a maior parte da defesa depende das pessoas.

A abordagem prática é tornar o reconhecimento e a comunicação de casos um hábito, em vez de uma política. Exercícios curtos e recorrentes funcionam melhor do que uma única sessão anual, porque os esquemas de fraude mudam a cada poucos meses. Fazer uma simulação de phishing mostra-te onde estás realmente, em vez de onde pensas que estás, e dá às pessoas um espaço seguro para se errarem. Combina um canal de comunicação claro, faz com que seja só um toque, e agradece às pessoas que o usam, incluindo aquelas que acabam por ter reencaminhado algo inofensivo.

Como o Guardey ajuda a tua equipa a reconhecer o smishing

A formação em sensibilização para a segurança da Guardey apresenta aos teus colegas desafios semanais com uma duração de cerca de três minutos, com conteúdos que acompanham as ameaças que circulam na realidade. Smishing, avisos falsos de entrega e códigos solicitados por chat são exatamente o tipo de cenário que aparece nesses desafios, e a gamificação, com tabelas de classificação e séries de vitórias consecutivas, faz com que as pessoas continuem a participar depois da primeira semana.

Como os colaboradores fazem a formação na aplicação móvel para iOS e Android, praticam no mesmo dispositivo onde essas mensagens chegam, o que torna a lição mais concreta. As simulações de phishing integradas mostram se o reconhecimento se traduz em comportamento, e os relatórios prontos para auditoria transformam tudo isso em provas para normas como a NIS2 e a ISO 27001. A configuração demora apenas alguns minutos, e mais de 500 organizações funcionam assim, incluindo o Parlamento Europeu.

Perguntas frequentes sobre smishing

Qual é a diferença entre phishing, smishing e vishing?

O objetivo é o mesmo, só o canal é que muda. O phishing chega por e-mail, o smishing por SMS ou mensagem de chat e o vishing por chamada telefónica. Muitas vezes, os atacantes combinam todas estas formas numa única campanha, porque uma mensagem confirmada por uma chamada telefónica parece mais credível do que qualquer uma delas isoladamente.

É possível ser hackeado só por abrir uma mensagem de texto?

Abrir uma mensagem, por si só, quase nunca é suficiente. O risco começa quando clicas no link e, depois, introduzes alguma informação na página seguinte, ou quando instalas uma aplicação que te é sugerida. É por isso que o conselho é não ires além do link, em vez de entrares em pânico só por teres lido a mensagem.

Os funcionários devem denunciar uma mensagem de smishing no telemóvel pessoal?

Sim, se estiver de alguma forma relacionado com o trabalho: uma mensagem que diga ser de um colega, de um fornecedor ou do departamento de TI deve ser colocada na fila de denúncias, independentemente do dispositivo em que tenha chegado. Deixa bem claro que a denúncia diz respeito à mensagem, e não a vasculhar o telemóvel privado de ninguém, ou as pessoas vão hesitar.

A MFA protege contra o smishing?

Ajuda, mas nem todos os métodos são iguais. Um código enviado por SMS pode ser alvo de phishing com a mesma facilidade que uma palavra-passe, já que o atacante só tem de o pedir. Métodos ligados ao site legítimo, como uma chave de hardware ou um pedido feito pela aplicação, são consideravelmente mais difíceis de explorar desta forma.

O smishing funciona porque apanha as pessoas em movimento, o que significa que a defesa não é um filtro mais inteligente, mas sim um momento de hesitação na altura certa. As equipas que praticam essa pausa e que facilitam a denúncia, sem atribuir culpas, transformam o telemóvel de um canal vulnerável num canal onde uma mensagem estranha é sinalizada em poucos minutos.