Smishing é a junção de SMS com phishing: uma mensagem de texto que se passa por banco, loja, empresa de entrega ou órgão público para fazer você clicar num link e entregar CPF, senha, código de verificação ou dados do cartão. O nome vem do SMS, mas o mesmo golpe circula por aplicativos de mensagem.
Um SMS de golpe, linha por linha
A mensagem abaixo é um exemplo montado para este guia, com um domínio inventado. Ela junta o que o Ministério das Comunicações aponta nos alertas sobre phishing, inclusive o golpe do SMS: pressa, ameaça e um link.
CORREIOS: sua encomenda foi retida. Pague a taxa de R$ 9,90 em até 24h para evitar a devolução: https://correios.com.br.taxa-retida.exemplo/pagar
- O nome no começo. A mensagem abre com uma instituição conhecida, e qualquer um pode digitar "CORREIOS" num SMS.
- A pressa. Prazo de horas e uma ameaça: devolução, bloqueio, multa. A urgência existe para você agir antes de pensar.
- O pedido. Pagar por um link. Os próprios Correios dizem que não mandam mensagem com link direto para pagamento.
- O link. Começa com "correios.com.br", mas o site de verdade é outro. A próxima parte deste guia mostra como enxergar isso.
Os textos mudam. O roteiro quase não muda: nome conhecido, prazo curto, um link.
O que Correios e Banco Central mandam por SMS
Saber o que cada instituição envia ajuda mais do que uma regra genérica. Os Correios, por exemplo, mandam SMS, só que sem link de pagamento.
| Quem | Envia | Não envia |
|---|---|---|
| Correios | SMS avisando de informação pendente ou de taxa de objeto internacional, mandando você ao site ou ao aplicativo oficial | Link direto para pagamento; pedido de dados pessoais ou financeiros por SMS, e-mail ou WhatsApp |
| Banco Central | Nada: o BC não manda SMS sobre valores a receber | Links ou contato para tratar de valores a receber ou confirmar dados |
A consulta de valores a receber é só em valoresareceber.bcb.gov.br, e é gratuita. Para o resto, a orientação do Ministério das Comunicações vale para qualquer empresa: em vez de tocar no link recebido, digite o endereço do site no navegador e confira se o endereço pertence mesmo ao canal da instituição.
Como ler o link sem tocar nele
O que decide para onde um link leva é o domínio, o trecho entre o https:// e a primeira barra. E o domínio se lê da direita para a esquerda: o final, como .com.br, e o nome logo antes dele formam o endereço que alguém registrou. Tudo que vem mais à esquerda é subdomínio, e o dono do site escreve ali o que quiser.
No exemplo, lido do fim para o começo, o site é taxa-retida.exemplo. O "correios.com.br" no começo é só disfarce. Os Correios dão a regra para os sites deles: o endereço precisa terminar em correios.com.br, como rastreamento.correios.com.br. Se você quiser treinar o olho, o guia sobre como ler cada parte de uma URL desmonta outros exemplos.
E quando o link do SMS é curto?
O alerta do governo coloca "links encurtados" entre os sinais de phishing, e faz sentido desconfiar. O link curto esconde o domínio final. Sozinho, ele não prova golpe e também não prova segurança.
O jeito de resolver é ver o destino sem abrir. Cole o endereço no desencurtador de link: ele mostra o endereço original e quantos redirecionamentos existem no caminho, sem abrir nada no seu aparelho. Com o destino na tela, vale a mesma leitura, começando pelo fim do domínio.
Sinais de smishing
Se a mensagem pede senha ou código, isso já basta: não toque no link. Os outros sinais pesam mais quando aparecem juntos, numa mensagem que você não esperava, e um deles sozinho não prova que é SMS falso.
- Pede senha, código de autenticação ou dados do banco.
- Anuncia bloqueio imediato de conta ou serviço.
- Oferece prêmio, reembolso ou vantagem que você não pediu.
- Exige atualização urgente de cadastro.
- Tem erro de português ou de digitação.
- Traz link encurtado ou endereço diferente do site oficial.
- Usa linguagem alarmista para apressar a resposta.
A lista é a do alerta oficial do governo. Repare que só um item fala do link: os outros seis são sobre o texto, e dá para checar todos sem tocar em nada.
Smishing, phishing e vishing
Entre smishing e vishing, muda o canal: texto ou ligação. No vishing, segundo o centro de resposta a incidentes do governo (CTIR Gov), o número que aparece na tela pode ser forjado para parecer de banco ou órgão público, e o governo não pede dados sensíveis nem faz cobrança por telefone.
| Nome | Por onde chega |
|---|---|
| Phishing | Nome geral do golpe: e-mail, mensagem, rede social, página falsa, QR Code |
| Smishing | SMS e mensagens de texto |
| Vishing | Ligação telefônica |
Bloquear e denunciar
No WhatsApp, abra os dados do contato e toque em Denunciar. O app recebe até cinco das últimas mensagens da conversa, e a pessoa denunciada não é avisada. No app Google Mensagens, dá para denunciar a conversa como spam. Na mesma ação você bloqueia o remetente e a conversa vai para a pasta Spam e conversas bloqueadas. Quem mandou não fica sabendo da denúncia.
Se o link curto do golpe saiu do encurtar.link, mande o endereço curto completo pelo formulário de denúncia. A análise sai em até 24 horas e, com a denúncia confirmada, o link é desligado. O site falso continua no ar, porque ele não é nosso, mas o atalho para ele deixa de funcionar.
E se você já clicou no link?
Se só abriu a página, feche e não instale nada que ela ofereça: os Correios lembram que link suspeito pode levar a site falso ou instalar malware. Se chegou a informar dados, pagou ou viu movimentação estranha, siga o que orientam o Ministério das Comunicações e o Banco Central:
- trocar as senhas das contas afetadas, principalmente e-mail, redes sociais e aplicativos financeiros;
- avisar o banco e acompanhar as movimentações da conta;
- se pagou por Pix, pedir a devolução pelo MED, o Mecanismo Especial de Devolução, no app do banco: o prazo é de até 80 dias, mas quanto antes, maior a chance, e a devolução não é garantida;
- guardar a mensagem, o link e os prints e, conforme o caso, registrar boletim de ocorrência.
Perguntas frequentes
O que significa smishing?
É a junção de SMS com phishing. O termo dá nome ao golpe de phishing feito por mensagem de texto, em que alguém se passa por uma instituição para roubar dados ou dinheiro.
Como saber se um SMS é golpe?
Leia três coisas antes de tocar: quem diz que mandou, o que a mensagem pede e para onde o link leva de verdade. Comece pelo final do domínio. Se o link for curto, veja o destino no desencurtador antes de abrir.
Os Correios mandam SMS?
Mandam, para avisar de informação pendente ou de taxa de objeto internacional, e orientam você a terminar o processo no site ou no aplicativo oficial. Segundo os próprios Correios, eles não mandam link direto para pagamento nem pedem dados por SMS.
Todo link encurtado em SMS é golpe?
Não. O link curto esconde o destino, e links encurtados estão na lista de sinais de alerta do governo. Antes de abrir, descubra para onde ele vai com um desencurtador e confira se o domínio final é o da empresa que diz ter mandado a mensagem.
Fontes
- Gabinete de Segurança Institucional, CTIR Gov: Recomendação 04/2025, golpes por vishing
- Ministério das Comunicações: Ataque Phishing: como identificar tentativas de fraude na internet
- Correios: Segurança
- Banco Central: Não caia em golpes e Segurança no Pix
- Central de Ajuda do WhatsApp: Como bloquear e denunciar uma conta
- Ajuda do Google Mensagens: Denunciar spam no Google Mensagens
Orientações conferidas nas páginas oficiais em 12/11/2026. Os textos dos golpes mudam: o que vale é a regra de ler o destino antes de tocar.