Existe abundante literatura sobre como identificar um SMS fraudulento: erros ortográficos, link encurtado, tom alarmista, número desconhecido. Mas quase ninguém explica o que fazer depois de o dedo já ter escorregado sobre o link. E é precisamente aí que tudo se joga. Entre o clique e a exploração efetiva dos dados pelos burlões decorrem muitas vezes algumas horas, por vezes alguns dias. Essa janela é a sua margem de manobra.
Este guia não é uma aula teórica. É um protocolo de emergência, pensado para ser seguido por ordem, com um objetivo simples: limitar os danos e depois retomar o controlo. Dirige-se a toda a gente — incluindo àqueles que, minutos antes, estavam convencidos de que «isso só acontece aos outros». Em 2026, as campanhas de smishing que se fazem passar pela segurança social, por serviços de entregas, pela administração fiscal ou até pelo banco central têm uma qualidade gráfica tal que o simples reflexo de desconfiança já nem sempre chega.
Primeiro: avaliar o que fez realmente
Nem todos os cliques são iguais. Antes de entrar em pânico, dedique trinta segundos a situar o seu caso. O nível de gravidade determina a dimensão da resposta.
| O que fez | Nível de risco | Reação principal |
|---|---|---|
| Abriu o SMS, sem clicar | Muito baixo | Apagar, denunciar às plataformas oficiais |
| Clicou no link, abriu a página e fechou-a | Baixo a moderado | Verificar o aparelho, mudar as palavras-passe críticas |
| Introduziu utilizador e palavra-passe | Elevado | Mudança imediata das palavras-passe, alerta ao serviço em causa |
| Introduziu dados bancários ou um código recebido por SMS | Crítico | Cancelamento imediato do cartão, apresentação de queixa |
| Instalou uma aplicação a partir do link | Crítico | Isolamento do aparelho, desinstalação ou mesmo reposição de fábrica |
Há um ponto que merece esclarecimento, porque gera muita angústia desnecessária: num smartphone atualizado, o simples facto de abrir uma página web armadilhada não instala magicamente um vírus. Os chamados ataques «sem interação» existem, mas são raros, caros e reservados a alvos de elevado valor. Na esmagadora maioria dos casos de smishing dirigidos ao grande público, o perigo vem daquilo que você escreveu na página, e não do código que lá estava. É uma boa notícia: se não introduziu nada e não instalou nada, é provável que esteja incólume.
Os primeiros dez minutos: cortar e isolar
1. Corte a ligação se instalou alguma coisa
Se o link o levou a descarregar um ficheiro .apk no Android, ou se autorizou um «perfil de configuração» no iPhone, ative imediatamente o modo de avião. Corta assim o canal de comunicação entre a aplicação maliciosa e o servidor dos atacantes. Muitas dessas aplicações foram concebidas para intercetar os SMS recebidos — logo, os códigos de validação bancária — e retransmiti-los em tempo real.
2. Não introduza mais nada nesse aparelho, para já
Enquanto não verificar o estado do telemóvel, evite escrever nele as suas palavras-passe. Use outro aparelho: o computador da família, o tablet, o telemóvel de alguém próximo. É nestes momentos que um portátil de reserva ou um tablet simples, guardados em casa para tratar de assuntos administrativos, mostram a sua utilidade: dispor de um segundo terminal saudável muda tudo neste tipo de situação.
3. Registe tudo, imediatamente
Captura de ecrã do SMS (incluindo o número do remetente), hora de chegada, endereço do link, hora do clique, conteúdo daquilo que introduziu. Estes elementos serão pedidos aquando da denúncia e, se for caso disso, da apresentação de queixa. Um simples caderno de argolas pousado junto ao telemóvel torna esta etapa menos penosa do que andar à procura de um ficheiro para criar à pressa.
A hora seguinte: proteger os acessos
4. Mude as palavras-passe, mas pela ordem certa
O erro clássico consiste em mudar primeiro a palavra-passe do serviço que foi imitado. Não é essa a prioridade. Comece pelo endereço de e-mail principal: é a pedra angular, aquela que permite repor todas as outras contas. Só depois trate do resto, por ordem de sensibilidade.
- Correio eletrónico principal
- Conta bancária e aplicações de pagamento
- Conta do operador móvel (muitas vezes esquecida e, no entanto, central)
- Contas da administração pública: finanças, saúde, autenticação digital
- Redes sociais e comércio eletrónico
Cada palavra-passe deve ser única. Se reutilizar a mesma combinação em todo o lado, o comprometimento de um único serviço transforma-se no comprometimento de toda a sua vida digital. É exatamente isso que os atacantes testam primeiro, através daquilo a que se chama «credential stuffing». Um gestor de palavras-passe, ou na falta dele um caderno de palavras-passe em papel guardado fora de vista, vale infinitamente mais do que uma variação do nome dos seus filhos.
5. Verifique a autenticação em dois passos e as sessões abertas
Nas definições de segurança das suas contas principais, procure a secção «dispositivos ligados» ou «sessões ativas». Termine tudo o que não reconhecer. Confirme também que o número de telefone e o endereço de e-mail de recuperação não foram alterados: é a primeira coisa que um atacante muda para trancar a vítima fora da sua própria conta.
Aproveite para reforçar a autenticação em dois passos. Se as suas contas sensíveis ainda dependem exclusivamente de um código enviado por SMS, pondere uma aplicação de autenticação, ou até uma chave de segurança física USB para o correio principal: é hoje o único fator verdadeiramente resistente ao phishing, pois verifica o endereço do site antes de fornecer o que quer que seja.
Se os seus dados bancários foram comprometidos
É o cenário mais stressante e aquele em que a rapidez mais conta.
6. Cancele o cartão sem esperar
Ligue imediatamente para o número de emergência do seu banco, disponível no verso do cartão e na aplicação bancária. Em alternativa, o serviço interbancário de cancelamento de cartões, acessível 24 horas por dia, permite bloquear o cartão junto de todas as instituições. Peça explicitamente:
- o bloqueio do cartão em causa;
- a colocação da conta sob vigilância reforçada;
- a desativação temporária dos pagamentos online;
- a verificação de que não foi adicionado nenhum novo beneficiário de transferência.
Este último ponto é fundamental. Nas fraudes recentes, o burlão nem sempre usa o cartão: adiciona um beneficiário e desencadeia uma transferência, telefonando-lhe depois para o levar a validar o código de confirmação sob o pretexto de «proteger» a sua conta. As autoridades bancárias, cuja identidade é regularmente usurpada por estas redes, recordam que nenhum organismo oficial lhe pedirá jamais para validar um código, comunicar uma palavra-passe ou transferir os seus fundos para uma «conta segura».
Um gestor de conta legítimo nunca lhe pedirá que lhe dite um código recebido por SMS. Se o fizer, não é um gestor de conta.
7. Conheça os seus direitos quanto ao reembolso
A legislação relativa aos serviços de pagamento prevê que o banco deve reembolsar as operações de pagamento não autorizadas, exceto se provar negligência grosseira da sua parte. A fronteira é por vezes discutível, mas o facto de ter sido enganado por um site que imita na perfeição o do seu banco, ou por uma chamada com número falsificado, joga a seu favor. Conteste por escrito, por carta registada, e guarde a cópia da sua queixa. Em caso de recusa, pode recorrer ao provedor do cliente bancário e, depois, ao supervisor do setor.
A denúncia: útil, gratuita e demasiado pouco utilizada
8. Reencaminhe o SMS para a linha oficial de denúncia
Existem plataformas oficiais de denúncia de SMS e chamadas indesejadas, operadas pelos operadores de telecomunicações sob a égide das autoridades públicas. O procedimento resume-se a duas etapas: reencaminhar a mensagem recebida para o número de denúncia e responder depois ao SMS de confirmação indicando o número do remetente fraudulento. É gratuito e alimenta uma base de dados que permite encerrar os números emissores.
9. Denuncie o site nas plataformas oficiais
- Portais públicos de cibersegurança: diagnóstico online, contacto com prestadores, fichas práticas detalhadas.
- Phishing Initiative / Signal Spam: para colocar o endereço do site falso nas listas negras dos navegadores.
- Portais de denúncia de conteúdos ilícitos na internet: comunicação de conteúdos ilegais.
- Apresentação de queixa: numa esquadra, num posto da polícia ou online, através do sistema de queixa eletrónica por burla. O número do processo ser-lhe-á pedido pelo banco.
Se introduziu dados de identidade completos (nome, morada, número de segurança social, cópia do documento de identificação), comunique-o também: a usurpação de identidade constrói-se a partir desses elementos, muitas vezes meses mais tarde.
10. Avise as pessoas à sua volta
Se a sua conta de e-mail ou de mensagens instantâneas foi comprometida, os seus contactos vão receber, por sua vez, mensagens armadilhadas, com o selo de confiança que o seu nome lhes confere. Uma simples mensagem de alerta à família evita uma reação em cadeia. Isto é particularmente verdade no caso dos familiares idosos, estatisticamente mais visados e menos preparados.
Limpar o aparelho: o que é útil e o que não é
Se instalou uma aplicação a partir do link, a simples desinstalação nem sempre basta. No Android, verifique primeiro nas definições de acessibilidade e em «aplicações com acesso especial» se nenhuma aplicação desconhecida dispõe de permissões alargadas: é o mecanismo preferido dos cavalos de Troia bancários para ler o ecrã e intercetar os SMS. Retire essas autorizações antes de desinstalar, caso contrário a remoção será bloqueada.
Reinicie depois em modo de segurança para desinstalar a aplicação renitente. Em caso de dúvida persistente, a reposição de fábrica continua a ser a única garantia real — daí a importância de ter uma cópia de segurança atualizada. Um disco rígido externo ou um cartão microSD de backup, atualizado uma vez por mês, transforma uma reposição de emergência numa simples formalidade.
No iPhone, vá a Definições → Geral → VPN e gestão de dispositivos e elimine qualquer perfil de configuração que não tenha instalado pessoalmente. Verifique igualmente as subscrições e os meios de pagamento registados.
Em qualquer dos casos, aplique as atualizações do sistema pendentes. A maioria dos códigos maliciosos explora falhas corrigidas há meses: manter-se atualizado continua a ser a proteção mais rentável que existe.
As semanas seguintes: a vigilância prolongada
Uma fraude por SMS não se resolve numa tarde. Os dados roubados circulam, são revendidos e voltam a aparecer meses mais tarde.
Vigie os seus extratos bancários linha a linha, incluindo os micropagamentos de alguns cêntimos: são testes de validade do cartão antes de uma operação de maior dimensão.
Conte com um aumento de chamadas e SMS. Uma vítima que «mordeu o isco» uma vez fica registada como alvo recetivo e é revendida como tal. O regresso dos burlões faz-se muitas vezes sob a capa de um «serviço de combate à fraude» que se propõe recuperar as quantias perdidas — trata-se de uma segunda burla, a chamada «burla da recuperação de fundos».
Verifique as suas contas na administração pública. Um acesso fraudulento aos portais da saúde, das finanças ou da segurança social permite desviar reembolsos bastando alterar um IBAN. As autoridades de saúde publicam regularmente alertas sobre estas campanhas e recordam que nunca pedem dados bancários por SMS.
Documente tudo num único dossiê. Cartas, capturas de ecrã, números de processo, datas das chamadas. Se surgir um litígio com o banco ou com um serviço público, essa rastreabilidade faz a diferença.
Reduzir a superfície de ataque para a próxima vez
Não haverá uma vacina definitiva contra o smishing: enquanto o envio em massa custar alguns cêntimos, as campanhas continuarão. Em contrapartida, é possível reduzir a exposição.
- Separe as suas utilizações. Um endereço de e-mail dedicado às compras e às inscrições, outro reservado ao banco e à administração pública. No dia em que o primeiro for comprometido, o segundo permanece intocável.
- Limite a divulgação do seu número. Cada formulário preenchido é uma potencial porta de entrada nas bases de dados revendidas.
- Bloqueie o cartão SIM. Um código PIN do SIM não trivial dificulta o roubo da linha e, por consequência, a interceção dos códigos de validação.
- Forme quem o rodeia. Um bom livro de divulgação sobre cibersegurança doméstica, deixado na mesa da sala, costuma surtir mais efeito do que um longo discurso.
- Nunca ligue de volta para um número indicado numa mensagem. Procure você mesmo o número oficial da entidade.
O essencial a reter
Clicar num link fraudulento não é uma falta moral nem uma prova de ingenuidade. Estas mensagens são concebidas por profissionais que testam, medem e otimizam as suas formulações como se otimiza uma campanha publicitária. O sentimento de vergonha que se segue é, aliás, o principal inimigo das vítimas: atrasa a denúncia, o cancelamento do cartão, a queixa — ou seja, tudo aquilo que poderia ter limitado os danos.
O raciocínio correto assenta em três tempos: cortar o que ainda pode comunicar, proteger os acessos por ordem de importância, denunciar para se proteger juridicamente e proteger os outros. O resto é uma questão de paciência e de vigilância.
E para o futuro, há um princípio simples que merece ficar afixado algures na casa: nenhuma entidade legítima — banco, administração pública, operador, transportadora — lhe pedirá alguma vez, por SMS, que confirme um código, uma palavra-passe ou um IBAN com urgência. No dia em que uma mensagem o pressionar para agir em menos de vinte e quatro horas, é precisamente o momento de não fazer absolutamente nada, de pousar o telemóvel e de ligar para o número verdadeiro.
