Vishing e smishing: golpes por voz e SMS contra empresas

Artigo HTML pronto: ```html

O que são vishing e smishing — e por que sua empresa é o alvo

Quando se fala em golpes digitais, a maioria das empresas pensa imediatamente em e-mails de phishing. Mas os criminosos diversificaram os canais de ataque: o vishing (voice phishing) usa ligações telefônicas para enganar funcionários, enquanto o smishing (SMS phishing) faz o mesmo por mensagens de texto. Ambos exploram a mesma vulnerabilidade — o fator humano — mas com uma vantagem para o atacante: telefone e SMS passam por fora dos filtros de segurança que protegem o e-mail corporativo.

No vishing, o golpista liga se passando por alguém confiável: o suporte técnico da empresa, o gerente do banco, um fornecedor conhecido ou até um diretor da própria organização. Com técnicas de engenharia social e, cada vez mais, com vozes clonadas por inteligência artificial, ele convence a vítima a revelar senhas, aprovar transferências ou instalar softwares de acesso remoto. No smishing, a isca chega por SMS ou aplicativos de mensagem: um link para "regularizar uma pendência", um falso aviso de entrega ou um código de verificação que o funcionário é induzido a repassar.

Empresas brasileiras são alvos preferenciais porque concentram o que os criminosos querem: acesso a contas bancárias corporativas, credenciais de sistemas internos e dados de clientes. E diferente de um ataque técnico sofisticado, o vishing e o smishing não exigem invadir nenhum sistema — basta convencer uma pessoa. Um único funcionário enganado pode abrir a porta para fraudes financeiras, sequestro de contas e vazamento de dados.

Como funcionam os golpes na prática: anatomia de um ataque

Um ataque de vishing bem executado raramente começa do zero. Antes de ligar, o criminoso faz reconhecimento: coleta nomes de funcionários no LinkedIn, identifica quem trabalha no financeiro, descobre qual banco a empresa usa e até o nome do gerente de conta. Com essas informações, a ligação ganha credibilidade instantânea. O golpista sabe com quem está falando, cita nomes reais e cria um cenário urgente — "detectamos uma transação suspeita na conta da empresa e precisamos bloquear agora" — que pressiona a vítima a agir sem pensar.

A tecnologia joga a favor do atacante. O spoofing de número permite que a ligação exiba no identificador de chamadas o telefone verdadeiro do banco ou da matriz da empresa. Ferramentas de clonagem de voz por IA já conseguem imitar a voz de um executivo a partir de poucos segundos de áudio público — um vídeo institucional ou uma palestra no YouTube bastam. Casos reais de fraude com voz clonada de CEOs autorizando transferências milionárias já foram documentados em vários países, incluindo o Brasil.

No smishing, o roteiro é mais curto, mas igualmente eficaz. As mensagens mais comuns incluem:

• Falso banco: "Compra suspeita aprovada no cartão final 4321. Se não reconhece, acesse: [link malicioso]";
• Falsa entrega: "Sua encomenda está retida. Pague a taxa de liberação: [link]";
• Falso RH ou diretoria: "Aqui é o diretor. Estou em reunião, preciso que compre créditos/faça um PIX urgente";
• Falso suporte de TI: "Sua senha corporativa expira hoje. Renove em: [link que rouba credenciais]";
• Roubo de código 2FA: "Enviamos um código de segurança por engano. Pode nos reenviar?" — o código é, na verdade, a autenticação de dois fatores da conta da vítima.

Sinais de alerta: como reconhecer uma tentativa de vishing ou smishing

Por mais convincente que seja o golpe, quase sempre há sinais que o denunciam. O mais consistente é a urgência artificial: o interlocutor pressiona para que a ação seja feita imediatamente, sem tempo para verificar. Bancos, órgãos públicos e departamentos de TI legítimos não operam assim — nenhuma instituição séria exige senha, código de verificação ou transferência imediata por telefone ou SMS.

Outro sinal clássico é o pedido de dados que a instituição já deveria ter. Se "o banco" liga pedindo seu número de conta, agência ou senha, algo está errado: o banco verdadeiro tem essas informações. O mesmo vale para o suporte de TI que pede a senha do usuário — nenhuma equipe de tecnologia profissional solicita senhas, porque não precisa delas para trabalhar. Desconfie também de qualquer instrução para instalar aplicativos de acesso remoto (AnyDesk, TeamViewer e similares) recebida por ligação não solicitada.

Regra de ouro: quem liga para você deve provar quem é — não o contrário. Se houver qualquer dúvida, desligue e retorne pelo número oficial da instituição, obtido no site oficial ou no verso do cartão. Nunca use o número que a própria ligação ou SMS forneceu.

No caso de SMS, os indícios são ainda mais visíveis: links encurtados ou com domínios estranhos (banco-seguro-br.com em vez do domínio oficial), erros de português, remetentes com números de celular comuns em vez de códigos curtos institucionais, e mensagens que chegam fora do horário comercial. Na dúvida, a orientação é uma só: não clique, não responda e não repasse códigos.

O impacto real para empresas: muito além do prejuízo financeiro

O dano imediato de um golpe bem-sucedido costuma ser financeiro — transferências fraudulentas, boletos falsos pagos, compras não autorizadas. Mas para empresas, o estrago raramente para aí. Credenciais roubadas por smishing dão acesso a e-mails corporativos, sistemas de gestão e dados de clientes. A partir de uma única conta comprometida, o atacante pode lançar ataques internos (o chamado BEC, Business Email Compromise), interceptar negociações com fornecedores e alterar dados bancários em faturas legítimas.

Há ainda a dimensão regulatória. Se o golpe resultar em vazamento de dados pessoais de clientes ou funcionários, a empresa responde perante a LGPD — com sanções que podem chegar a 2% do faturamento, além da obrigação de comunicar o incidente à ANPD e aos titulares afetados. O dano à reputação, difícil de quantificar, costuma ser o mais duradouro: clientes que recebem golpes em nome da sua empresa perdem a confiança na marca, mesmo que a empresa também seja vítima.

Um agravante comum: muitos desses golpes só são descobertos dias ou semanas depois, quando a conciliação financeira encontra a divergência ou um cliente reclama. Quanto maior o intervalo entre o golpe e a detecção, menor a chance de recuperar valores e maior a extensão do comprometimento. Por isso, a resposta rápida — saber a quem reportar e o que fazer nos primeiros minutos — vale tanto quanto a prevenção.

Como proteger sua empresa: defesas em camadas

Não existe filtro técnico capaz de bloquear todas as ligações e mensagens fraudulentas — a defesa eficaz combina tecnologia, processos e pessoas. No plano técnico, medidas essenciais incluem autenticação multifator (MFA) resistente a phishing em todos os sistemas críticos, preferencialmente com aplicativo autenticador ou chave física em vez de SMS; políticas de acesso que limitam o que cada credencial pode fazer; e monitoramento de logins suspeitos, que detecta o uso de uma conta comprometida antes que o dano se espalhe.

No plano de processos, a medida mais eficaz é simples: verificação por canal independente para qualquer solicitação sensível. Nenhuma transferência, alteração de dados bancários de fornecedor ou reset de senha deve ser executada com base apenas em uma ligação ou mensagem. A política deve exigir confirmação por outro canal — retornar a ligação para o número oficial, confirmar pessoalmente ou por videochamada com o solicitante conhecido. Esse único procedimento neutraliza a maioria dos golpes de vishing, incluindo os que usam voz clonada.

1. Estabeleça uma política clara: defina por escrito quais solicitações exigem dupla verificação (pagamentos, alteração de cadastros, envio de dados) e comunique a todos;
2. Treine a equipe regularmente: simulações de vishing e smishing, com exemplos reais adaptados ao contexto da empresa, criam o reflexo de desconfiar;
3. Crie um canal de reporte sem punição: o funcionário que caiu ou quase caiu no golpe precisa reportar imediatamente, sem medo de represália — cada minuto conta;
4. Proteja as credenciais: MFA em tudo, gerenciador de senhas corporativo e bloqueio de instalação de softwares de acesso remoto não autorizados;
5. Tenha um plano de resposta: saiba antecipadamente quem acionar (banco, TI, jurídico) e quais contas bloquear em caso de incidente.

Vale reforçar o ponto mais sensível: códigos de autenticação recebidos por SMS ou aplicativo nunca devem ser compartilhados com ninguém — nem com quem se apresenta como banco, suporte ou colega. Esse código é a chave da conta, e todo pedido para repassá-lo é, sem exceção, um golpe.

Conte com um parceiro de TI para blindar o fator humano

Vishing e smishing provam que segurança da informação não é só firewall e antivírus: é também cultura, processo e vigilância contínua. Empresas que tratam o fator humano como parte da estratégia de segurança — com treinamento, políticas de verificação e monitoramento ativo — reduzem drasticamente a chance de um telefonema ou um SMS se transformar em prejuízo.

A Duk Informática & Cloud apoia empresas nessa jornada há mais de 18 anos. Como Microsoft Gold Partner, com mais de 550 empresas atendidas, a Duk implementa as camadas técnicas de proteção — autenticação multifator, políticas de acesso, monitoramento de identidades no Microsoft 365 e resposta a incidentes — e ajuda a estruturar os processos e treinamentos que transformam sua equipe na primeira linha de defesa, não no elo fraco.

Se sua empresa ainda não tem uma política de verificação para solicitações sensíveis, ou se você não sabe dizer quantas contas corporativas estão protegidas por MFA, esse é o momento de agir — antes que a próxima ligação ou mensagem decida por você. Fale com a equipe da Duk e descubra como blindar sua operação contra a engenharia social, com suporte 24/7 e SLA garantido.

``` 6 seções h2, ~1300 palavras, ul+ol+blockquote, Duk na última seção com stats.