smishing (phishing por SMS) é uma burla enviada por mensagem de texto que se faz passar por uma organização confiável — um banco, uma empresa de entregas ou um órgão governamental — para enganar o destinatário e levá-lo a clicar num link malicioso ou a fornecer as suas credenciais. Ele é combatido em duas frentes: as operadoras o filtram na rede com firewalls de SMS, verificação da reputação dos links e proteção do ID do remetente, enquanto as marcas se defendem com IDs de remetente registados e consistentes e links personalizados.
O smishing é um ataque num cenário de fraude mais amplo. Para ataques de faturação corporativa (manipulação de SMS) e ameaças de rotas cinzentas e sinalização do lado da operadora, consulte defendendo-se contra fraudes por SMS A2P. Este guia se concentra especificamente em phishing por SMS.
Porque o SMS é o canal preferido dos burlões?
O phishing por e-mail conta com décadas de defesas em camadas — filtros de spam, reescrita de links, pré-visualizações em sandbox e avisos em banners. O SMS praticamente não possui nenhuma dessas defesas. Uma mensagem de texto chega à mesma caixa de entrada que um código de acesso único legítimo do banco do destinatário, é aberta em minutos pela grande maioria dos destinatários e inspira confiança justamente porque o SMS historicamente transporta mensagens transacionais de alto valor. Num telemóvel, um URL encurtado não pode ser inspecionado ao passar o cursor sobre ele, o destino real permanece oculto até o toque no ecrã, e um ecrã pequena esconde os sinais reveladores que um utilizador de computador perceberia. Adicione a isso a falsificação do ID do remetente — em que um atacante configura um remetente alfanumérico para que seja exatamente igual a uma marca legítima — e a mensagem chega parecendo autêntica. Essa combinação de alta confiança, alta taxa de abertura e baixa capacidade de inspeção é o motivo pelo qual o smishing tem sucesso onde o phishing por e-mail falha cada vez mais.
Como funciona um ataque de smishing
Uma campanha de destruição de armas encadeia uma série de técnicas bem conhecidas. Compreender essa cadeia é o que lhe permite saber onde cada defesa deve se posicionar.
- IDs de remetente falsificados ou semelhantes — um conjunto de remetente alfanumérico com o nome exato de um banco ou uma variante quase idêntica com um caractere trocado, espaço adicionado ou homóglifo que se lê como a marca.
- Links curtos maliciosos — um encurtador de URL genérico ou um domínio semelhante recém-registado que oculta o verdadeiro destino e burla as listas de bloqueio estáticas.
- Urgência e engenharia social — uma conta bloqueada, uma encomenda retida, um pedágio ou multa não paga: pressão arquitetada para fazer com que o destinatário aja antes de pensar.
- Recolha de credenciais — o link abre um clone idêntico da página de login ou de registo de cartão da marca para capturar nomes de utilizador, palavras-passe, códigos OTP ou dados de cartão.
- Cargas maliciosas — em algumas plataformas, o link ou anexo instala um trojan bancário ou um ladrão de SMS que interceta as futuras palavras-passe de uso único da vítima.
- Falsificação de marcas em larga escala — bancos, empresas de entrega e correios, serviços eletrónicos governamentais e fiscais e operadoras de telecomunicações são as categorias mais falsificadas porque os destinatários já esperam receber mensagens delas.
Nos países do Conselho de Cooperação do Golfo (CCG), as ondas mais visíveis de cibercrime se passam por bancos e serviços eletrónicos governamentais — alertas falsos de "conta suspensa" ou "verifique a sua identidade" — e por burlas de "taxas alfandegárias" de empresas de entrega durante os períodos de pico do retalho. Como o registo do ID do remetente é obrigatório em grande parte da região do Médio Oriente e Norte de África (MENA), um ID falsificado ou não registado é, por si só, um forte sinal que o firewall da operadora pode usar, e é exatamente aí que começa a defesa do lado da rede.
Smishing vs. phishing
O smishing é o phishing que passou do e-mail para o SMS, e a mudança de canal é justamente o objetivo — as características que fazem do SMS um ótimo canal para negócios também o tornam um ótimo canal para ataques.
| Atributo | Phishing por e-mail | Smishing (phishing por SMS) |
|---|---|---|
| Confiança do canal | Moderado — os utilizadores desconfiam de e-mails. | Alta — SMS envia códigos OTP e alertas bancários. |
| Taxa de abertura/leitura | De baixa a moderada | Muito alta, geralmente em minutos |
| Inspeção de link | Passe o cursor para visualizar; ferramentas para desktop | Oculto até o toque; não aparece ao passar o mouse em dispositivos móveis. |
| Defesas do fornecedor | Filtros de spam avançados, reescrita de links, sandboxes | Esparso; depende do firewall do operador. |
| Falsificação do remetente | Baseado em domínio, mitigado por SPF/DKIM/DMARC | Falsificação de ID de remetente alfanumérico, controlos nativos fracos |
| Defesa primária | Gateway de e-mail seguro | Firewall SMS + registo de ID do remetente + reputação de link |
Defesa do lado da operadora: impedindo o smishing na rede.
A rede é o ponto de maior influência para impedir o smishing: um único controlo na operadora protege todos os assinantes de uma só vez, antes mesmo que uma mensagem maliciosa chegue a um aparelho. Uma postura moderna contra o smishing utiliza diversas técnicas, a maioria delas executadas dentro do firewall de SMS.
- Filtragem de conteúdo — o firewall inspeciona o corpo da mensagem, a sua estrutura e metadados, comparando-os com assinaturas de smishing, regras de palavras-chave e padrões, e impressões digitais de campanhas conhecidas, e então coloca em quarentena ou descarta as correspondências.
- Reputação de URLs e links — os links são extraídos e verificados em tempo real em relação a feeds de reputação e listas de bloqueio, de modo que destinos maliciosos conhecidos, domínios semelhantes recém-registados e encurtadores genéricos abusados sejam bloqueados. Informações sobre números e links, como a reputação de telefones, influenciam a mesma decisão.
- Proteção e registos de IDs de remetente — um registo de IDs de remetente alfanuméricos legítimos e registados permite que a rede bloqueie IDs falsificados ou não registados que se fazem passar por uma marca, o que, em mercados onde o registo é obrigatório, é um sinal decisivo.
- Sinalização e anti-spoofing — a filtragem das camadas SS7 e Diameter, com encaminhamento de origem e verificação de origem, impede que mensagens injetadas ou falsificadas através da interconexão entrem na rede.
- A deteção de anomalias comportamentais — picos repentinos de volume, uma única fonte distribuindo dados para muitos assinantes ou rajadas de links idênticos — acionam modelos de anomalia que as regras estáticas de campanhas de superfície não detectariam.
Esses controlos funcionam em conjunto: a filtragem de conteúdo e de links deteta a carga maliciosa, a verificação do ID do remetente impede a falsificação de identidade e a defesa de sinalização deteta a injeção. Esse modelo em camadas — defesa na borda da rede, em vez de em cada dispositivo — é descrito com mais detalhes na nossa visão geral de segurança.
Defesa empresarial e de marca
As operadoras não conseguem resolver o problema do smishing sozinhas. As marcas que são alvo de falsificação de identidade têm os seus próprios mecanismos de defesa, e utilizá-los facilita o trabalho da rede, ao mesmo tempo que protege o ativo mais valioso da marca: a confiança do cliente nas suas mensagens. As medidas defensivas, em ordem de impacto, são as seguintes:
- Registe os seus IDs de remetente em todos os mercados para os quais você envia e use IDs alfanuméricos consistentes e registados para que os clientes — e os firewalls das operadoras — possam distinguir uma mensagem genuína de uma falsificação.
- Padronize o uso de um pequeno conjunto de IDs de remetente com a marca, em vez de usar códigos numéricos longos rotativos; uma identidade previsível é mais fácil para os clientes confiarem e para os firewalls adicionarem à lista de permissões.
- Use domínios de links próprios e de marca em vez de encurtadores de URL genéricos, para que um link legítimo seja visivelmente seu e um link encurtado se torne um sinal de alerta que os clientes podem aprender a desconfiar.
- Mantenha a higiene dos links rigorosa — HTTPS, um único domínio conhecido, sem strings de consulta específicas do utilizador que possam causar confusão e nunca solicite palavras-passe, números de cartão completos ou códigos OTP por SMS.
- Informe aos clientes, de forma explícita e repetida, que você nunca solicita credenciais ou palavras-passe de uso único por SMS e publique os IDs de remetente e domínios exatos que você utiliza.
- Ofereça aos clientes e funcionários uma maneira rápida e conhecida de denunciar suspeitas de smishing e encaminhe esses relatórios para a sua operadora e fornecedor de mensagens para que as listas de bloqueio sejam atualizadas rapidamente.
- Monitorize domínios semelhantes e IDs de remetente falsificados que visam a sua marca e tome medidas para removê-los — a deteção de smishing é tão importante para a proteção da marca quanto para a filtragem de e-mails.
Os dois lados se reforçam mutuamente. Uma marca que regista e padroniza os seus IDs de remetente fornece ao firewall da operadora uma lista branca para aplicar; uma operadora que executa testes de reputação de links e proteção de ID de remetente faz com que a identidade registada da marca realmente tenha significado no dispositivo. Nenhum dos lados é suficiente sozinho — a defesa contra smishing é uma postura partilhada, da mesma forma que a defesa contra fraudes A2P em geral.
A BroadNet opera firewalls de SMS dentro das redes das operadoras com filtragem de conteúdo, aplicação de ID do remetente e inteligência de link e número em tempo real — veja os recursos de Firewall de SMS e reputação de telefone. A mesma infraestrutura que protege os assinantes contra smishing é o que garante a entrega de tráfego legítimo de marcas.
Perguntas frequentes
O que é smishing?
Smishing é um tipo de phishing realizado por SMS — o nome combina "SMS" e "phishing". Um atacante envia uma mensagem de texto se passando por uma organização confiável, geralmente um banco, uma empresa de entregas ou um órgão governamental, com um apelo urgente e um link malicioso. Ao clicar no link, o utilizador é direcionado para uma página falsa de login ou pagamento que recolhe credenciais, palavras-passe de uso único ou dados de cartão, ou instala malware no dispositivo.
Qual a diferença entre smishing e phishing?
Phishing geralmente envolve e-mail; smishing é a sua forma via SMS. A diferença reside nas propriedades do canal: o SMS possui uma taxa de abertura e confiança muito maior, os links não podem ser visualizados ou clicados num telemóvel, e os fornecedores não contam com a filtragem de spam robusta presente no e-mail. A identidade do remetente também é mais frágil — IDs de remetente alfanuméricos são mais fáceis de falsificar do que domínios de e-mail protegidos por SPF, DKIM e DMARC, o que faz com que os controlos do lado da operadora sejam mais importantes.
Como as operadoras detetam e bloqueiam o smishing?
Os operadores executam um firewall de SMS que inspeciona o conteúdo e os links das mensagens, compara assinaturas de smishing conhecidas e verifica URLs em feeds de reputação em tempo real e listas de bloqueio. Ele impõe um registo de IDs de remetentes legítimos para bloquear os falsificados ou não registados, examina as camadas de sinalização SS7 e Diameter em busca de mensagens injetadas e aplica deteção de anomalias comportamentais para identificar picos de volume e padrões de propagação que revelam uma campanha em andamento.
Referências
- GSMA — Fraude e Segurança (série FS) e orientações sobre fraude em mensagens: gsma.com
- CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) — orientações sobre smishing e burlas por mensagens de texto: cisa.gov
- BroadNet — defesa contra smishing do lado da operadora: Firewall de SMS e reputação do telefone.
- BroadNet — defesa contra fraudes SMS A2P: o panorama mais amplo das fraudes relacionadas ao smishing.