O que é smishing? Golpe por SMS, sinais e o que fazer

Smishing é o phishing feito por SMS: uma mensagem de texto que finge vir de um banco, dos Correios, de um órgão público ou de outra empresa conhecida para levar você a clicar num link, passar dados ou fazer um pagamento. O nome junta "SMS" e "phishing". Técnicas parecidas também circulam em aplicativos de mensagem, e o cuidado é o mesmo.

Como o smishing aparece no celular

Taxa para liberar encomenda. O glossário de fraudes do Ministério da Justiça e da Febraban descreve a falsa taxa como uma mensagem que costuma trazer link para uma página falsa que imita sites oficiais.
Compra suspeita e um 0800 para ligar. A Anatel descreve o golpe da falsa central, em que a vítima recebe uma mensagem sobre um problema com o banco e liga para um número falso.
Cobrança de uma dívida, às vezes com desconto para quitar, em nome de uma empresa ou órgão público. O glossário do Ministério da Justiça e da Febraban também cita o SMS entre os canais dessa falsa cobrança.
Urgência: "último aviso", prazo de horas, ameaça de bloqueio.
Link encurtado ou com endereço estranho. Os Correios avisam para ter cuidado com sites que não terminam em correios.com.br.
Pedido de senha, código ou dados do cartão.
Seus dados certos na mensagem. A Receita Federal orienta a não confiar numa mensagem só porque ela traz seus dados pessoais ou o código de rastreio corretos.

Um exemplo para reconhecer

Exemplo inventado de SMS:

CORREIOS: sua encomenda está retida por falta de pagamento da taxa de R$ 12,90. Regularize em até 24h para evitar a devolução. (link encurtado)

Os Correios dizem que não mandam mensagens com links diretos para pagamento, e a Receita Federal diz que nunca liga nem manda mensagem cobrando para liberar encomendas.

Smishing, phishing e vishing

No phishing clássico, a isca chega por e-mail e imita uma fonte confiável, como um banco. Smishing é a mesma ideia por mensagem de texto, e vishing, por ligação ou mensagem de voz, como explica a ESET. Smishing e vishing podem andar juntos: no golpe da falsa central, a mensagem pede que você ligue para um 0800 falso.

O que fazer

Não clique nem responda. Abra você mesmo o app ou o site oficial, ou ligue para o número do verso do cartão. A Anatel orienta, na dúvida, a confirmar direto com a empresa, o órgão ou a instituição.
Clicou: feche a página. Se digitou uma senha, troque-a pelo app oficial; se passou dados do cartão, ligue para o banco e peça o bloqueio.
Pagou com Pix: peça a devolução pelo MED no app do banco, o mais rápido possível e em até 80 dias. A devolução não é garantida.
Guarde provas: print da mensagem, número do remetente, link e comprovante.
Registre boletim de ocorrência pela Delegacia Virtual, nos estados que aderiram, ou na delegacia online do seu estado.

Mais exemplos e canais de denúncia estão no guia sobre golpe por SMS e WhatsApp. Para uma segunda leitura, o Detector de golpes do Mirabu reconhece no print roteiros comuns de golpe, aponta links suspeitos (sem abri-los) e pedidos de pagamento e mostra frases de urgência; quem decide é a checagem pelo canal oficial.