Recebe um SMS. Não é o tradicional «A sua encomenda está retida» enviado a milhões de pessoas. Esta mensagem menciona o seu apelido, o nome da sua rua e, talvez, até o valor exato de uma fatura que pagou no mês passado.
A primeira reação já não é a dúvida, mas o espanto. «Como é que eles sabem onde eu moro?». É precisamente aí que a armadilha se fecha. Em 2026, o smishing (phishing via SMS) atingiu um novo patamar: o da hiper-personalização.
O fim da «rede» e a era do «arpão»
O golpe clássico funciona como uma rede de pesca: enviam-se um milhão de mensagens genéricas esperando que algumas centenas de pessoas mordam o isco. É uma estratégia de volume. A hiper-personalização, por outro lado, funciona como um arpão. O atacante foca-se numa vítima específica com informações que tornam a mensagem indiscutível.
Por que é que isto é tão eficaz? Porque o nosso cérebro associa a posse de uma informação privada a uma forma de legitimidade. Se um desconhecido conhece a sua morada, assume instintivamente que ele trabalha para um organismo oficial (finanças, câmara municipal, banco, seguradora), pois apenas um organismo «sério» teria acesso aos seus dados.
Onde encontram as suas informações?
A ideia de que os seus dados são «secretos» é uma das maiores ilusões do mundo digital. Os burlões não precisam necessariamente de hackear o servidor do seu banco para saber onde vive. Eles utilizam três fontes principais:
1. Fugas de dados (Data Breaches)
Todos os anos, milhões de contas de clientes de sites de e-commerce, fóruns ou aplicações de entrega são comprometidas. Estas bases de dados, que contêm nomes, apelidos, números de telefone e moradas, são revendidas por alguns euros em fóruns especializados. Um burlão pode, assim, comprar uma lista de 50.000 clientes de um site de cosméticos e enviar um SMS personalizado a cada um.
2. Open Source Intelligence (OSINT)
É a arte de recolher informações públicas. Entre as suas redes sociais, as páginas amarelas online e até algumas menções em boletins municipais, um atacante motivado pode reconstruir um perfil completo da sua vida em menos de dez minutos. Para proteger fisicamente o seu dispositivo contra impactos durante as suas deslocações, a utilização de uma coque renforcée é recomendada, mas ela não protege os seus dados digitais expostos na web.
3. IA generativa
A inteligência artificial mudou radicalmente o jogo. Agora permite automatizar a redação de milhares de mensagens únicas. A IA pode pegar numa base de dados bruta e transformar cada linha num SMS perfeitamente escrito, sem qualquer erro ortográfico e adaptado ao tom do organismo imitado.
Anatomia de um SMS hiper-personalizado
Vamos comparar uma mensagem clássica e uma mensagem personalizada para compreender a diferença de poder psicológico.
| Tipo de SMS | Conteúdo da mensagem |
|---|---|
| Clássico | «INFO: A sua encomenda aguarda entrega. Por favor, pague as taxas alfandegárias aqui: [link]» |
| Personalizado | «Sr. Martin, tentámos entregar a sua encomenda na Rua dos Lilases, 12, em Angers. O motorista passará amanhã. Regularize a sua taxa de 1,99€ aqui: [link]» |
No segundo caso, a menção da cidade e da rua desarma a vigilância. Já não se pergunta se a mensagem é verdadeira, pergunta-se por que razão o estafeta não tocou à campainha. É esta mudança cognitiva que leva ao clique.
Como se proteger quando o burlão «sabe»
Perante uma ameaça tão precisa, os conselhos habituais («atenção aos erros ortográficos») tornam-se obsoletos. É necessário adotar uma nova higiene digital.
Nunca confie no remetente. O facto de uma mensagem conter os seus dados pessoais não prova em nada a identidade de quem a enviou. Lembre-se de que os seus dados já circulam na dark web. Se tiver dúvidas, nunca clique no link. Feche o SMS, aceda ao site oficial do organismo em questão através do seu navegador ou ligue para o número oficial.
Desconfie da urgência. A hiper-personalização está quase sempre aliada a uma pressão temporal («até amanhã», «nas próximas 24h»). Esta urgência é concebida para anular o seu raciocínio lógico.
Segure os seus acessos. Para evitar que os seus dados sejam utilizados para acessos fraudulentos, utilize um gestor de passwords robusto. Se viaja frequentemente, investir numa batterie externe haute capacité permite manter as suas ferramentas de segurança e aplicações bancárias ativas para verificar as suas contas em tempo real, sem stress.
Limite os seus rastros públicos. Coloque as suas redes sociais em modo privado. Evite publicar fotos onde se veja a sua morada, as matrículas do seu carro ou documentos administrativos, mesmo que parcialmente desfocados.
O papel das autoridades e da denúncia
O combate ao smishing depende, em parte, da vigilância coletiva. A denúncia através dos canais oficiais continua a ser a principal arma para bloquear números fraudulentos. No entanto, com a utilização crescente de números virtuais e gateways internacionais, os burlões mudam de identidade mais depressa do que os filtros conseguem bloqueá-los.
A ANSSI (Agência Nacional de Segurança dos Sistemas de Informação) recorda regularmente que a melhor defesa continua a ser a sobriedade digital. Quanto menos rastros públicos deixar, mais caro e menos rentável será como alvo para os cibercriminosos.
Para quem utiliza aparelhos mais antigos ou simplificados, um téléphone à grosses touches pode ser uma excelente opção para seniores, limitando assim a exposição a aplicações complexas e navegadores web onde se escondem frequentemente as armadilhas após o clique inicial num SMS.
Conclusão: A dúvida como reflexo
A hiper-personalização transforma o smartphone, esta ferramenta de confiança, num vetor de intrusão psicológica. A mensagem já não se dirige a «alguém», dirige-se a si.
O único baluarte eficaz é agora a dúvida sistemática. Independentemente da precisão das informações contidas na mensagem: se lhe pedirem para clicar num link para pagar, alterar dados bancários ou fornecer uma password, trata-se de uma tentativa de fraude.
Para proteger duradouramente o seu ecrã de riscos e impactos que poderiam dificultar a leitura de alertas de segurança, a aplicação de um verre trempé é um investimento mínimo, mas útil. Mas não se esqueça de que a proteção mais sólida é aquela que instala entre os seus olhos e o ecrã: o seu espírito crítico.
