Chega um SMS do seu banco, na mesma conversa onde caem os códigos de sempre. Diz que o seu cartão foi bloqueado, que alguém acessou a sua conta de um novo celular ou que há uma compra que você não reconhece, e pede para você clicar num link para resolver. Você clica, a página é igualzinha à do banco, digita a senha… e logo depois começa a desconfiar. Se você está nesse momento agora, calma: isso acontece com muita gente, e ainda dá para fazer muita coisa.
Esse golpe tem nome: smishing, que é o phishing por SMS. É uma mensagem que finge ser do seu banco para você entrar num site falso, ligar para um número falso ou instalar um aplicativo que não deveria. Vamos explicar como saber se o SMS é falso, por que ele aparece junto das mensagens verdadeiras e o que fazer hoje se você já clicou no link ou passou seus dados.
Resposta rápida
Se você passou senha, código ou já saiu dinheiro, fale agora com o seu banco pelo número do verso do cartão, pelo app ou numa agência, nunca pelo número do SMS. Peça o bloqueio de cartões, do app e das operações pendentes e, se foi Pix, peça o MED na hora. Troque as senhas, guarde prints, registre o BO e reclame por escrito. Os bancos respondem pelas fraudes de terceiros em operações bancárias. Em muitos casos o dinheiro é recuperado, sobretudo se você agir rápido.
Neste artigo
- Como é o SMS falso do banco
- Por que ele aparece na mesma conversa das mensagens verdadeiras
- Como saber se o SMS é falso
- Se você clicou no link ou passou seus dados
- Fale com o banco e bloqueie tudo
- Como pedir o dinheiro de volta se esvaziaram a sua conta
- Imagine que isso acontece com você
- Como se proteger do golpe do SMS
- Cuidado com o segundo golpe
- Quando pedir ajuda
Como é o SMS falso do banco
O golpe do SMS funciona porque a mensagem parece séria e próxima: você lê em segundos, quase sempre no celular e muitas vezes com pressa. A Febraban alerta que os golpistas usam links em SMS, e-mails e WhatsApp para levar a sites falsos ou instalar programas maliciosos, os chamados malwares, que podem roubar dados e até assumir o controle do aparelho.
As mensagens que mais se repetem são mais ou menos assim:
- «Detectamos um acesso à sua conta em um novo dispositivo. Se não foi você, regularize aqui». O link leva a uma cópia do site do banco que pede CPF, senha, dados do cartão e, no fim, o código que chega por SMS.
- «Seu cartão foi bloqueado» ou «atualize seu token». A mesma armadilha, com a ameaça de que você fica sem acesso se não fizer hoje.
- «Compra de R$ 4.890 aprovada. Se não reconhece, ligue para este número». Aqui não tem link, tem um telefone. Do outro lado, uma falsa central de atendimento guia você no próprio app até o dinheiro ir para uma «conta segura».
- «Baixe o novo aplicativo de segurança». O link instala um app que pode ler seus SMS ou controlar o celular a distância.
Repare que todas têm a mesma coisa: medo, pressa e algo que você precisa fazer a partir da própria mensagem. O seu banco de verdade não trabalha assim. A Febraban lembra que os bancos nunca pedem senhas, tokens ou dados pessoais, nunca pedem para instalar aplicativos e não usam pressão para o cliente agir na hora.
Por que ele aparece na mesma conversa das mensagens verdadeiras
Essa é a parte que mais engana, então não se cobre se enganou você. O celular agrupa os SMS pelo nome do remetente, e esse nome nem sempre é um número de telefone: pode ser um texto curto, como o nome do seu banco. O golpista consegue falsificar esse nome, o que também é uma forma de spoofing, e o celular coloca a mensagem dele logo abaixo das verdadeiras, com os seus códigos.
As operadoras e os aplicativos de mensagens melhoram os filtros o tempo todo, mas nenhum filtro é perfeito e os golpistas mudam de tática. Então a ideia para guardar é simples: o fato de o SMS estar na conversa do seu banco não prova que foi o seu banco que enviou.
Como saber se o SMS é falso
Você não precisa ser especialista. Se parar dez segundos antes de tocar em qualquer coisa, quase sempre dá para perceber:
- Tem um link. Mesmo que pareça arrumado e tenha algo parecido com o nome do banco. Um SMS que manda você a um site para «regularizar» ou «confirmar» dados é o sinal mais claro.
- Pede para você ligar para um número para cancelar algo. Se você não fez aquela compra, o banco não precisa que você ligue para um número de SMS para impedir.
- Apressa você. «Hoje», «em até 24 horas», «ou sua conta será bloqueada». A pressa existe para você não pensar.
- Pede senha, o código que acabou de chegar ou para instalar algo. Nenhuma instituição séria pede isso por mensagem.
- Tem algo estranho: erros de português, palavras esquisitas, um tom que não é o do seu banco. Nem sempre aparecem, então uma mensagem bem escrita também pode ser falsa.
Se tiver qualquer dúvida, não responda e não use nada da mensagem. Abra você mesmo o app do banco ou digite o endereço no navegador. Se houver algo de verdade, vai aparecer ali.
Se você clicou no link ou passou seus dados
Vamos por partes, porque o que fazer agora depende de até onde você foi, e em quase todos os casos ainda há margem:
- Só abriu o link e fechou a página. Normalmente nada grave aconteceu. Não preencha nada, apague a mensagem e acompanhe o extrato por alguns dias.
- Digitou usuário e senha. Entre pelo app oficial ou digitando você mesmo o endereço do banco e troque a senha o quanto antes. Se usa a mesma senha em outros lugares, troque lá também.
- Passou os dados do cartão ou o código que chegou por SMS. Com isso eles podem fazer compras ou cadastrar o seu cartão em outro celular. Fale com o banco agora para bloquear o cartão.
- Instalou um aplicativo. Desinstale, desconecte o celular da internet por um momento e conte ao banco, porque eles podem ter tido acesso às suas mensagens ou à sua tela.
- Ligou para o número do SMS. Se guiaram você a fazer Pix ou confirmar operações, desligue e siga os passos abaixo. Explicamos como essas ligações funcionam em golpe da falsa central: vishing e spoofing.
Cair nisso não faz de você uma pessoa descuidada. Essas mensagens são feitas para parecer exatamente o que você espera ver. O importante agora é agir rápido.
Fale com o banco e bloqueie tudo
Esse é o passo que mais pesa, então vale fazer bem feito:
- Fale com o banco pelo canal oficial: o número do verso do cartão, o app ou uma agência. Nunca use o telefone que veio no SMS. Peça o bloqueio de cartões, do app e das operações pendentes.
- Se foi Pix, peça o MED na hora. O Mecanismo Especial de Devolução serve para casos de golpe e permite bloquear o dinheiro que ainda estiver na conta de quem recebeu. Quanto antes, melhor. Anote o protocolo.
- Troque as senhas de um aparelho de confiança e confira se cadastraram algum celular novo, cartão virtual ou transação agendada, como recomenda o Ministério da Justiça.
- Guarde tudo: print do SMS com o remetente e o horário, o endereço do site falso se tiver, o registro de chamadas, os extratos e qualquer chave Pix ou conta para onde foi o dinheiro. Mesmo que o remetente fosse falso, ajuda na investigação.
- Registre o boletim de ocorrência, presencialmente ou pela delegacia virtual, que em muitos estados está disponível on-line pelo gov.br. Explicamos o passo a passo em como denunciar um golpe online.
O Ministério da Justiça resume bem para quem clicou num link suspeito: falar com o banco pelos canais oficiais, isolar o aparelho, registrar o BO, verificar o celular e trocar as senhas. Não espere ter tudo organizado para ligar.
Como pedir o dinheiro de volta se esvaziaram a sua conta
É aqui que muita gente desiste cedo demais, e não deveria. A Súmula 479 do STJ diz que as instituições financeiras respondem objetivamente, ou seja, mesmo sem culpa, pelos danos causados por fraudes praticadas por terceiros em operações bancárias. Na prática, a fraude faz parte do risco da atividade do banco.
- Se usaram a sua senha ou o seu código para fazer operações que você não fez, que é o mais comum no golpe do SMS, você tem uma base forte para pedir a devolução: foram operações não reconhecidas, feitas por um golpista.
- Se foi você quem fez o Pix, convencido de que estava protegendo o dinheiro, ainda há caminho. O MED existe justamente para isso, e o banco também pode responder quando deixa passar movimentações muito fora do seu perfil. E se disseram que a operação servia para impedir uma fraude, conte isso bem na reclamação: você não queria fazer aquele pagamento, queria evitar um.
Faça a reclamação por escrito no SAC do banco, dizendo quais operações você não reconhece e como o SMS chegou, e guarde o protocolo. Se o SAC não resolver, o caminho é a Ouvidoria do banco e, depois, a reclamação no Banco Central, o Consumidor.gov.br e, se preciso, a Justiça. Explicamos tudo com prazos e um modelo de reclamação em golpe bancário: o banco tem que devolver o dinheiro?, e todos os caminhos conforme o jeito que o dinheiro saiu em como recuperar dinheiro de um golpe.
Imagine que isso acontece com você
Imagine que numa terça à noite chega um SMS do seu banco, logo abaixo do último código verdadeiro que ele mandou. Diz que a sua conta foi bloqueada por um acesso de outro aparelho e pede para regularizar num link. Você entra, a página é idêntica, digita CPF, senha e o código que chega. Na manhã seguinte há dois Pix de R$ 1.200 que você não fez.
Num caso assim, o primeiro passo seria falar com o banco pelo canal oficial, bloquear tudo e pedir o MED dos dois Pix. No mesmo dia, registrar o BO com prints do SMS e do site falso, e reclamar por escrito explicando que você não fez aquelas operações e que digitou seus dados numa página que imitava o seu banco. É só um exemplo, mas mostra o que mais ajuda: agir rápido e contar em detalhe como você foi enganado.
Como se proteger do golpe do SMS
Se ainda não aconteceu com você, alguns hábitos já deixam você bem à frente:
- Nunca entre no banco por um link de SMS. Nem se estiver na conversa de sempre. Abra o app ou digite o endereço.
- Os códigos que chegam são só seus. Se alguém pedir, por mensagem ou por telefone, é golpe.
- Se o SMS pede para ligar, não ligue para aquele número. Procure o oficial no site do banco ou no cartão.
- Leia o que você confirma no app. Se dizem que você está «cancelando» algo e a tela diz «confirmar Pix», acredite na tela.
- Ative as notificações de cada movimentação. Quanto antes você vir algo estranho, antes consegue parar.
- Converse sobre isso em casa, principalmente com os mais velhos. Saber que o banco não manda link por SMS pode poupar um grande desgosto.
Cuidado com o segundo golpe
Depois de um golpe por SMS é muito comum alguém voltar a entrar em contato. Às vezes fingem ser o próprio banco ou a polícia, às vezes um falso advogado ou uma empresa que «recupera dinheiro de golpe», e pedem um pagamento adiantado para devolver tudo. A gente entende a vontade de resolver logo, mas quem garante 100 % em troca de pagar antes costuma ser o segundo golpe. Antes de pagar qualquer pessoa, leia como reconhecer o golpe da falsa recuperação.
Quando pedir ajuda
Se o banco devolveu o dinheiro em um ou dois dias, ótimo: guarde toda a documentação e siga com o BO. Vale a pena que um profissional analise quando o banco se nega ou não responde, quando falam em culpa exclusiva sua, quando o valor é alto ou quando foi você quem fez o Pix e é preciso agir rápido para tentar bloquear o dinheiro.
Somos advogados e peritos especialistas em golpes online, criptomoedas e crimes informáticos, e cada caso é conduzido por um advogado ou um perito. Analisamos com você quais operações foram feitas, como elas se enquadram juridicamente e o que pedir ao banco para que a sua reclamação tenha força. Em muitos casos o dinheiro é recuperado, sobretudo se você agir rápido. Na Kironic fazemos todo o possível para recuperar o seu dinheiro: envie o seu caso e a gente analisa junto.
