Uma mensagem aparentemente enviada pelo banco, um SMS a avisar que uma encomenda ficou retida ou uma chamada de alguém que garante ter detetado uma transferência suspeita. Os cenários são diferentes, mas podem fazer parte do mesmo tipo de estratégia: criar urgência e levar a vítima a agir antes de ter tempo para confirmar se a comunicação é verdadeira.
É neste contexto que surgem termos como phishing, smishing e vishing, como explica o Pplware. A principal diferença entre estas três formas de fraude está no meio utilizado para chegar à vítima. O phishing surge normalmente através de e-mail ou páginas falsas, o smishing utiliza mensagens SMS e o vishing aposta nas chamadas telefónicas.
Phishing começa muitas vezes com um e-mail que parece verdadeiro
É uma das formas mais conhecidas de fraude digital. No phishing, o atacante envia uma comunicação que procura imitar uma entidade legítima, como um banco, uma empresa conhecida, um serviço público ou uma plataforma utilizada pela vítima.
A mensagem pode avisar que uma conta será bloqueada, alegar que existe uma operação pendente ou pedir uma suposta atualização de segurança. O objetivo é convencer a pessoa a clicar num link, introduzir palavras-passe, fornecer dados bancários, abrir um ficheiro ou autorizar uma operação. Um dos principais perigos está na aparência das páginas utilizadas. O link pode encaminhar para um site visualmente muito semelhante ao verdadeiro, mas controlado pelos autores da fraude. Os dados introduzidos nessa página ficam, assim, nas mãos dos atacantes.
Recebeu a mensagem no telemóvel? Pode ser smishing
Quando a mesma estratégia chega através de uma mensagem de texto, é habitualmente chamada smishing, expressão resultante da combinação de SMS e phishing. Um exemplo recorrente é uma mensagem a informar que uma encomenda não pôde ser entregue e que é necessário atualizar dados ou pagar uma pequena quantia através de um link. Também podem surgir mensagens que imitam bancos, empresas de telecomunicações, serviços públicos ou outras entidades conhecidas.
O facto de a comunicação aparecer no telemóvel pode aumentar a sensação de confiança. Em alguns casos, uma mensagem fraudulenta pode até surgir no mesmo histórico onde aparecem comunicações legítimas atribuídas àquela entidade. Por isso, se receber um SMS relacionado com pagamentos, contas ou dados pessoais, a opção mais segura é não utilizar o link recebido. Deve abrir diretamente a aplicação oficial ou escrever manualmente o endereço do serviço que pretende consultar.
Vishing acontece através de uma chamada
No vishing, a tentativa de fraude ocorre por telefone. O nome combina as palavras inglesas voice e phishing. Do outro lado da chamada pode estar alguém que se apresenta como funcionário de um banco, técnico de informática, operador de telecomunicações ou representante de uma entidade pública.
Um dos cenários possíveis começa com um alegado aviso de segurança: o interlocutor afirma que foi detetada uma transferência suspeita e que é necessário agir imediatamente para impedir a saída do dinheiro.
Durante a conversa, a vítima pode ser pressionada a fornecer códigos recebidos por SMS, dados pessoais, informações bancárias, instalar uma aplicação ou fazer uma transferência. Estas chamadas podem ser particularmente convincentes porque os autores recorrem a técnicas de engenharia social e podem conhecer previamente algumas informações sobre a vítima.
Afinal, qual é a diferença?
A lógica da fraude é semelhante. O que muda é sobretudo o canal utilizado. No phishing, o contacto chega habitualmente através de e-mail ou de uma página na Internet. No smishing, o meio escolhido é a mensagem de texto. Já no vishing, o atacante procura convencer a vítima através de uma conversa telefónica.
Uma mensagem a dizer “a sua conta será bloqueada, clique aqui” enquadra-se tipicamente no phishing. Um SMS que refere uma encomenda retida e pede o pagamento de uma taxa pode ser smishing. Já uma chamada de alguém que se apresenta como funcionário bancário e pede códigos de segurança é um exemplo de vishing. Em todos os casos, o objetivo passa por explorar a confiança, o medo ou a distração de quem recebe a comunicação.
Estes sinais devem levantar suspeitas
A pressão para agir rapidamente é um dos elementos mais comuns. Frases como “tem apenas 30 minutos”, “a sua conta será bloqueada” ou “não desligue a chamada” procuram impedir que a pessoa pare para confirmar a informação. Pedidos de palavras-passe, códigos de autenticação ou outros dados confidenciais também devem ser encarados com especial cuidado.
Outro sinal está nos links. Endereços estranhos, muito longos, encurtados ou ligeiramente diferentes do domínio verdadeiro podem indicar que o utilizador está prestes a entrar numa página fraudulenta. Também deve desconfiar quando recebe inesperadamente uma comunicação a pedir dinheiro, dados ou uma ação urgente, sobretudo quando não iniciou qualquer processo junto daquela entidade.
Há uma regra simples que pode evitar muitas burlas
Perante uma comunicação suspeita, uma das medidas mais importantes é não agir sob pressão. Não clique imediatamente no link, não forneça códigos e não confirme dados pessoais apenas porque quem está do outro lado garante que existe uma emergência.
Se alguém telefonar em nome de um banco, pode desligar a chamada e contactar a instituição através de um número que saiba ser oficial. Se receber uma mensagem sobre uma encomenda, deverá consultar o estado da entrega diretamente na aplicação ou página oficial da transportadora. O mesmo princípio aplica-se a outras entidades: em vez de responder através do contacto recebido, procure o canal oficial de forma independente e confirme primeiro se existe realmente algum problema.
Phishing, smishing e vishing utilizam ferramentas diferentes, mas dependem todos de um elemento semelhante: convencer a vítima a agir antes de verificar. Reconhecer essa pressão pode ser o primeiro passo para evitar entregar dinheiro ou informação a quem não deve.
