Smishing: o que é o golpe que chega por SMS

Smishing é o golpe que chega por SMS: uma mensagem de texto falsa que tenta levar você a tocar num link, ligar para um número, instalar um aplicativo ou pagar uma taxa. Encomenda retida, compra suspeita, pontos vencendo e bloqueio de conta são as histórias mais usadas. O nome ou número que aparece como remetente não prova quem mandou a mensagem.

Por Prudents·5 min de leitura

18/09/2026 13h15·Atualizado em 24/09/2026 17h41

Celular com mensagem suspeita sobre uma mesa de cozinha

O que significa smishing

O nome junta SMS com phishing, a palavra em inglês usada para mensagens falsas que tentam “pescar” os dados de quem recebe. O CERT.br, o centro que responde a incidentes de segurança na internet brasileira, explica que phishing vem de “fishing”, pesca: o golpista joga uma isca e espera alguém morder. O que muda no smishing é só o canal, e os cuidados são os mesmos de qualquer mensagem falsa que tenta pegar seus dados.

Como o SMS tem pouco espaço, o golpe costuma ser curto: um aviso, um prazo e um link. A falta de detalhes, que num e-mail chamaria atenção, numa mensagem de texto parece normal.

As histórias mais usadas no SMS

A cartilha de golpes do CERT.br pede para suspeitar de mensagens sobre CPF cancelado, encomenda retida, pagamento pendente, pontos ou bônus expirando, recadastramento de token e atualização de aplicativo. São assuntos que servem para muita gente ao mesmo tempo: a mensagem não precisa saber qual é a sua encomenda, basta que você tenha uma a caminho.

Taxas pequenas também reduzem a resistência. A página pode pedir cartão e dados pessoais para cobrar poucos reais, embora o objetivo seja obter informações que serão usadas depois. Valor baixo, prazo curto e um assunto do dia a dia são recursos típicos de engenharia social, o uso de conversa e pressão para levar alguém a agir sem parar para pensar.

Um exemplo

Numa terça à tarde chega um SMS: “Sua encomenda está retida. Pague a taxa de R$ 4,90 para liberar a entrega ainda hoje.” Na semana anterior você comprou um fone pela internet, então a história faz sentido. O link abre uma página com barra de rastreio e um botão de pagamento que pede os dados do cartão. Em vez de pagar, você abre o aplicativo da loja onde fez a compra, que já estava no celular, e vê o pedido em transporte, sem nenhuma taxa pendente.

Por que a mensagem pode parecer verdadeira

Alguns celulares agrupam textos por nome ou identificador, e uma mensagem falsa pode aparecer na mesma conversa em que chegam as comunicações verdadeiras. Estar na mesma conversa não autentica cada mensagem recebida. Com banco, isso é comum: veja como identificar um SMS falso do banco.

O número exibido, a ausência de erros e o uso do seu nome também não bastam. Observe se o texto cria um prazo curto e oferece um único caminho para resolver.

SMS enviado por antena falsa

Parte dos SMS falsos nem passa pela operadora. Segundo reportagem do g1 de 06/08/2026, a Anatel, a Agência Nacional de Telecomunicações, apreendeu 11 antenas falsas desde 2025, nove na cidade de São Paulo e duas no Rio de Janeiro. Esses equipamentos são chamados de ERB falsa (ERB é a sigla de estação rádio-base, a antena de celular). Eles imitam a antena da operadora, aproveitam uma falha da antiga rede 2G e mandam mensagens para quem está num raio de cerca de 2 km.

Para a Anatel, o uso desses aparelhos é atividade de telecomunicações clandestina, feita fora da rede autorizada das operadoras. Como a mensagem não sai da rede da operadora, ela escapa dos bloqueios que a operadora aplica aos SMS que passam por ela, e o nome que aparece como remetente pode ser qualquer um, inclusive o de um banco. A Serasa lembra que, nesse golpe, o nome exibido e a aparência do texto não comprovam nada, e cita como sinal a queda de sinal do celular seguida de um SMS inesperado.

O g1 indica, no Android, desligar a opção “Permitir serviço 2G”, em Configurações, Conexões e Redes móveis. No iPhone, a opção indicada é o Modo de Isolamento, em Ajustes, Privacidade e Segurança, que aumenta a proteção mas limita o funcionamento de alguns aplicativos. Os nomes podem mudar conforme a marca e a versão do sistema. Mesmo com esses ajustes, o cuidado principal continua sendo não tocar no link.

Confirme entregas e cobranças fora do SMS

Para uma entrega, abra o aplicativo ou digite o site da loja onde a compra foi feita, ou da transportadora, e consulte o pedido que já está registrado. Para banco ou cartão, entre no aplicativo oficial e veja lançamentos e avisos. Não copie código de rastreio, telefone ou endereço do SMS suspeito para iniciar a busca.

Pessoa mantém o dedo afastado de um link recebido por SMS — Cena ilustrativa: não abra o link recebido. Procure a entrega ou a cobrança no aplicativo ou site oficial.

Golpistas também usam o nome dos Correios nessas mensagens, e os Correios não são autores desses golpes. A página de segurança dos Correios diz que a empresa não envia mensagens com link direto para pagamento nem pede dados pessoais ou financeiros por e-mail, SMS ou WhatsApp. O SMS verdadeiro só avisa de uma pendência ou de taxa de objeto internacional e orienta a entrar no site ou no aplicativo oficial para pagar.

Se nada aparecer na conta oficial, não pague apenas para “liberar” ou “regularizar”. Uma pendência verdadeira pode ser encontrada sem depender daquele link.

Não responda, bloqueie e denuncie

Não responda, nem para dizer que percebeu o golpe ou pedir que parem, e não ligue para o número que aparece no texto, porque ele pode fazer parte do golpe. Depois, bloqueie o remetente e denuncie a mensagem como spam pelo próprio aplicativo de mensagens. No Google Mensagens, comum no Android, a opção se chama “Bloquear e denunciar spam”; no iPhone, o app Mensagens também permite denunciar e bloquear. Os nomes podem mudar conforme a versão. O CERT.br resume a regra assim: na dúvida, diga não e denuncie.

Se o SMS pedir para instalar um aplicativo, seja para “atualizar o token”, “liberar a entrega” ou “proteger a conta”, não instale. O CERT.br orienta a instalar aplicativos só pelas lojas oficiais e a nunca usar link ou aplicativo recebido por mensagem. Um programa instalado por esse caminho pode dar ao golpista acesso ao seu celular.

Se você tocou no link

Feche a página. Se não preencheu nada, não continue testando. Se informou senha, troque-a no serviço oficial. Se enviou dados de cartão, fale com o banco pelos canais que você já usa e peça o bloqueio do cartão. Guarde o SMS e o endereço aberto antes de apagar, principalmente quando houve cobrança.

Se pagou a taxa por Pix, abra o comprovante no aplicativo do banco e procure a opção de contestar; se não encontrar, ligue para o banco. O caminho completo, com prazos e o que esperar, está em o que fazer depois de cair em um golpe do Pix. Se a mensagem foi seguida de uma ligação de falsa central, veja também como funciona o golpe por telefone.