Arquivos smishing - Security LGPD

Nos últimos meses, usuários de telefonia no Brasil têm relatado um tipo de ligação que chama atenção: chamadas recebidas de números quase idênticos ao da própria vítima, muitas vezes com o mesmo DDD e prefixo. Essa prática é fruto do chamado spoofing, recurso que manipula o identificador de chamadas para induzir a pessoa a acreditar que a ligação é legítima ou próxima de sua realidade.

A falsificação do número é possível graças a serviços de voz pela internet, que permitem configurar qualquer sequência como remetente da chamada. Ferramentas desse tipo, disponíveis até mesmo em aplicativos, acabam sendo exploradas por criminosos. O objetivo é simples: aumentar a chance de que a pessoa atenda, acreditando que se trata de uma ligação confiável.

Entre os golpes associados a esse recurso, destacam-se:

Falso banco: ligação que simula vir do número oficial de uma instituição financeira, solicitando senhas ou dados sigilosos.
Falsos fiscais: supostos agentes da Receita Federal exigindo pagamentos de tributos inexistentes.
Suporte técnico falso: interlocutores que se apresentam como técnicos de grandes empresas de tecnologia, oferecendo ajuda para resolver problemas inexistentes e pedindo acesso remoto ao dispositivo.
Mensagens fraudulentas (SMiShing): textos que imitam notificações de bancos ou promoções e que podem instalar aplicativos maliciosos.

O que fazer diante dessas chamadas

A proteção contra essa modalidade de fraude está diretamente ligada à postura preventiva. Especialistas orientam a:

Desconfiar de chamadas de números semelhantes ao seu ou desconhecidos.
Jamais fornecer dados pessoais por telefone.
Evitar retornar ligações de origem duvidosa.
Confirmar a veracidade do contato diretamente nos canais oficiais da empresa ou órgão citado.

Assim, mais do que tecnologia, o cuidado no atendimento continua sendo a principal barreira contra golpes de engenharia social.

Quando se fala em crimes digitais, é comum imaginar códigos, softwares maliciosos e invasões complexas. No entanto, há uma técnica que dispensa qualquer linha de programação e se apoia unicamente na interação humana: a engenharia social. Trata-se de um método de persuasão e manipulação psicológica usado para induzir pessoas a revelar informações confidenciais, executar ações prejudiciais ou permitir acesso a sistemas restritos.

O diferencial dessa prática é que ela atua diretamente sobre o comportamento humano, explorando confiança, medo, urgência e empatia. Ao invés de forçar tecnicamente uma invasão, o golpista direciona seus esforços para influenciar decisões, valendo-se de dados reais obtidos de forma ilícita ou por exposição pública nas redes sociais. É um ataque silencioso, mas altamente efetivo, justamente por utilizar informações que a vítima não imagina estarem comprometidas.

Entre as estratégias mais comuns estão anúncios falsos, links enganosos, mensagens persuasivas e até contatos presenciais. Técnicas como clickbait, campanhas falsas e anúncios patrocinados simulam comunicações legítimas para atrair a atenção e induzir respostas rápidas. A lógica é simples: é mais fácil convencer alguém a abrir a porta do que arrombá-la.

Dentro desse método, destacam-se algumas modalidades frequentes:

Phishing: envio de e-mails ou mensagens falsas que direcionam a vítima para páginas clonadas de bancos, órgãos públicos ou empresas conhecidas, explorando sentimentos como medo ou urgência.
Vishing: golpes aplicados por voz, geralmente com o criminoso se passando por funcionário de instituições financeiras para solicitar dados ou transferências.
Smishing: fraude por mensagens de texto (SMS), normalmente com links maliciosos ou instruções falsas.
Clonagem de WhatsApp: acesso à conta da vítima após obtenção do código de verificação, permitindo pedidos de transferência de valores para contatos próximos.
Falsa central de atendimento: ligação fraudulenta informando supostas irregularidades na conta da vítima, induzindo-a a fornecer senhas, tokens ou a transferir valores para contas de terceiros.

Do ponto de vista jurídico, a prática pode se enquadrar em diferentes tipos penais. O estelionato, previsto no artigo 171 do Código Penal, é o mais comum, caracterizado pela obtenção de vantagem ilícita mediante fraude. Também podem ser aplicados dispositivos que tratam da invasão de dispositivo informático (art. 154-A), falsidade ideológica ou documental, além de sanções previstas no Marco Civil da Internet e na Lei Geral de Proteção de Dados, quando há uso indevido de informações pessoais.

A prevenção exige atenção redobrada. Desconfiar de solicitações urgentes, verificar a autenticidade de links e contatos, confirmar informações diretamente pelos canais oficiais e adotar autenticação em dois fatores são medidas eficazes para reduzir riscos. Também é recomendável limitar a exposição de dados pessoais na internet e manter hábitos de navegação mais criteriosos.

No ambiente corporativo, a proteção vai além de ferramentas tecnológicas. É essencial promover treinamentos periódicos para que colaboradores reconheçam sinais de manipulação, realizem simulações de ataques para aumentar a capacidade de detecção e implementem protocolos claros de verificação de identidade. Limitar o acesso a dados sensíveis e estabelecer regras rígidas para comunicações externas são práticas que fortalecem a segurança e reduzem a margem de ação dos criminosos.

A engenharia social demonstra que, no campo da cibersegurança, o elo humano continua sendo um ponto de vulnerabilidade. Reconhecer isso e adotar uma postura preventiva é o primeiro passo para dificultar a ação de quem busca explorar falhas comportamentais antes mesmo de enfrentar barreiras técnicas.