Smishing: O golpe por SMS que ninguém está monitorando

O canal que nenhuma ferramenta corporativa protege

Enquanto empresas investem pesadamente em segurança de e-mail, filtros de spam e gateways de proteção contra phishing, o SMS permanece como um canal quase completamente desprotegido do ponto de vista corporativo. Não existe, na maioria das organizações, qualquer ferramenta de segurança monitorando mensagens de texto recebidas nos celulares corporativos ou pessoais dos colaboradores, criando um vetor de ataque que cresce rapidamente justamente por operar fora do alcance de qualquer controle técnico tradicional.

O crescimento do smishing, phishing conduzido por SMS, acompanha essa lacuna de proteção. A Keepnet registrou crescimento de 40% ano a ano nesse vetor, e a APWG documentou um salto de 30% a 40% trimestre a trimestre no último trimestre de 2025. Mais revelador ainda é o dado de eficácia: taxas de clique em campanhas de smishing variam entre 19% e 36%, segundo análises do setor, contra apenas 2% a 4% em phishing por e-mail, tornando o SMS até nove vezes mais eficaz do que o e-mail como vetor de engano, exatamente pela ausência quase total de treinamento e ferramentas dedicadas a esse canal.

Por que o SMS engana melhor do que o e-mail

Três fatores explicam por que o smishing converte tão melhor do que o phishing tradicional. Primeiro, o SMS carrega um nível de confiança implícita superior ao e-mail: mensagens de texto historicamente vieram de operadoras, bancos e serviços legítimos, e essa associação de confiança ainda não foi corroída pela mesma desconfiança generalizada que anos de treinamento em segurança já construíram em torno do e-mail. Segundo, a tela pequena do celular esconde grande parte da URL, dificultando que o usuário identifique um domínio suspeito antes de tocar no link, ao contrário do que ocorre em uma tela de computador, onde passar o cursor sobre um link revela o destino real.

Terceiro, o smishing se beneficia da urgência situacional: mensagens fingindo ser de bancos, operadoras de cartão de crédito ou até órgãos públicos exploram o hábito de resposta rápida que os usuários já têm com SMS, historicamente reservado para comunicações realmente urgentes, como códigos de autenticação de dois fatores. Grupos criminosos organizados como o chamado “Smishing Triad” já operam em escala industrial, utilizando mais de 200 mil domínios fraudulentos para sustentar campanhas globais de smishing, muitas delas se passando por operadoras de pedágio, serviços postais e instituições financeiras.

O smishing como vetor corporativo, não apenas pessoal

Embora o smishing seja frequentemente tratado como ameaça ao consumidor final, seu impacto corporativo é direto e crescente. Muitas organizações utilizam autenticação multifator baseada em SMS, criando um vetor duplo de exploração: o mesmo canal usado para entregar códigos legítimos de segundo fator é também o canal explorado para induzir colaboradores a compartilhar esses códigos com um atacante, ou a clicar em links que capturam credenciais corporativas fora de qualquer visibilidade da equipe de segurança da informação.

Análises do Verizon DBIR 2025 indicam que smishing e vishing combinados já respondem por cerca de 19% das violações de dados analisadas, um volume que confirma que esse vetor não é mais uma curiosidade de fraude ao consumidor, é uma via de acesso inicial relevante para comprometimento corporativo. A convergência entre smishing e ataques de comprometimento de credenciais corporativas é particularmente perigosa em organizações que ainda utilizam SMS como principal segundo fator de autenticação, precisamente o método de MFA mais vulnerável a esse tipo de exploração.

O cenário brasileiro: quando o remetente parece ser o governo

No Brasil, o smishing ganhou contornos específicos ligados à confiança em comunicações de órgãos públicos e financeiros. Levantamentos recentes documentam mensagens fraudulentas se passando pela Procuradoria-Geral da Fazenda Nacional (PGFN), alertando sobre supostos protestos de CPF ou CNPJ em cartório e ameaçando restrição de contas e penhora de bens, um padrão de urgência e ameaça institucional desenhado para provocar pânico e ação imediata. A própria PGFN já emitiu alerta público esclarecendo que seu único canal oficial de regularização de débitos é a plataforma Regularize, e que qualquer abordagem fora desse ambiente deve ser tratada como suspeita.

Esse padrão se soma ao ecossistema mais amplo de fraude financeira digital no país, que já registrou 28 milhões de casos de golpes envolvendo Pix apenas entre janeiro e setembro de 2025, segundo o CISO Advisor, com prejuízo estimado em quase R$ 29 bilhões entre julho de 2024 e junho de 2025, de acordo com o Fórum Brasileiro de Segurança Pública. Mensagens de SMS com links falsos figuram entre os vetores recorrentes desse ecossistema, ao lado de QR Codes adulterados e engenharia social via WhatsApp, reforçando que a defesa contra fraude financeira no Brasil precisa necessariamente incluir o canal de SMS como parte do escopo de proteção, não como um vetor secundário.

Fechando a lacuna de proteção no canal mais confiado

Proteger a organização contra smishing exige reconhecer que esse canal não pode continuar fora do escopo de segurança corporativa. Quatro medidas concentram o maior impacto:

• Eliminar o SMS como segundo fator de autenticação sempre que possível, substituindo por aplicativos autenticadores ou chaves físicas FIDO2, removendo o vetor duplo de exploração que o SMS-MFA representa.
• Incluir simulações de smishing no programa de conscientização de segurança, tratando esse canal como categoria própria de treinamento, não como extensão implícita do treinamento de phishing por e-mail.
• Estabelecer e divulgar amplamente os canais oficiais únicos de comunicação de cobranças, benefícios e notificações institucionais, seguindo o exemplo da PGFN, para que colaboradores e clientes saibam identificar rapidamente uma abordagem fora do padrão.
• Orientar formalmente que nenhuma solicitação financeira, de credenciais ou de dados sensíveis recebida por SMS seja atendida sem confirmação por um canal institucional independente previamente validado.

O canal mais confiado não pode continuar sendo o menos protegido

O smishing prospera na lacuna entre a confiança histórica depositada no SMS e a quase total ausência de ferramentas corporativas de proteção dedicadas a esse canal. Enquanto e-mail corporativo acumula anos de investimento em filtros, treinamento e simulação, o SMS permanece tratado como problema pessoal do colaborador, não como vetor de risco organizacional, apesar de já responder por parcela significativa de violações de dados analisadas globalmente.

Organizações que reconhecem o SMS como parte legítima do perímetro de ameaça, eliminando sua dependência como fator único de autenticação e incluindo-o explicitamente em programas de conscientização, fecham uma das lacunas de proteção mais exploradas e menos discutidas do cenário atual de cibersegurança.