São 17h40 de uma sexta-feira. Está a arrumar as suas coisas. O telemóvel vibra, um número desconhecido, uma mensagem curta:
«Olá, é o Laurent. Estou numa reunião, não posso atender. Preciso de si para uma operação confidencial, está disponível?»
Laurent é o nome próprio do seu diretor-geral. A mensagem é educada, sem erros, sem links, sem anexos. Não pede nada — ainda não. Pergunta apenas se está disponível. E é precisamente por não pedir nada que a maioria das pessoas responde «sim».
O smishing dirigido a empresas foi durante muito tempo tratado como um problema do departamento de informática, resolvido à custa de filtros no correio eletrónico profissional. Em 2026, mudou de porta de entrada: passa pelo telemóvel dos trabalhadores, um terreno onde o empregador não filtra nada, onde não existem alertas de segurança e onde a mensagem chega no meio dos SMS do dentista e da escola.
Porque é que o telemóvel se tornou o elo escolhido
Uma empresa, mesmo pequena, protege razoavelmente bem as suas caixas de correio. Antispam, aviso de «remetente externo», bloqueio de anexos executáveis, autenticação multifator: o e-mail fraudulento tem boas hipóteses de ser afastado ou sinalizado antes sequer de ser lido.
Já o SMS profissional não existe verdadeiramente enquanto canal enquadrado. Na esmagadora maioria das organizações, as trocas internas urgentes passam pelo telemóvel pessoal ou por um telemóvel de serviço não supervisionado. Resultado:
- Nenhuma filtragem comparável à do correio eletrónico.
- Nenhum aviso a sinalizar um remetente externo ou invulgar.
- Um ecrã estreito, onde se lê depressa, muitas vezes de pé, muitas vezes a andar.
- Uma norma social de brevidade: um SMS de três linhas sem fórmula de cortesia não choca ninguém, ao passo que um e-mail equivalente pareceria suspeito.
A isto junta-se a enorme disponibilidade de informação profissional. Um burlão já não precisa de se infiltrar seja no que for: os organigramas públicos, as redes profissionais, os comunicados de imprensa, as informações legais dos sites e os anúncios de recrutamento bastam para reconstituir quem dirige, quem trata dos salários, quem assina as transferências e quem acabou de chegar à equipa. O recém-chegado, aliás, é um alvo estatisticamente privilegiado: ainda não conhece os hábitos da casa e não se atreverá a dizer que não.
Os quatro cenários mais frequentes
1. A fraude ao dirigente, versão SMS
É o cenário de abertura descrito acima. Nunca começa por um pedido de dinheiro. Começa por um contacto anódino — «está disponível?», «mudei de número, tome nota deste» — cujo único objetivo é obter uma primeira resposta. Essa resposta faz mudar a relação: a partir do momento em que escreveu «sim, diga», está dentro de uma conversa, e uma conversa cria a obrigação implícita de responder ao que se segue.
O que se segue, precisamente, raramente assume a forma de uma transferência direta. Toma muitas vezes caminhos mais discretos: compra de cartões-presente desmaterializados «para um cliente», envio urgente da digitalização de um documento, transmissão de uma lista de contactos ou validação de um pagamento já «preparado pelo gabinete de contabilidade».
A polícia e o dispositivo público francês Cybermalveillance.gouv.fr documentam há vários anos esta família de burlas, conhecida como «falsa ordem de transferência». A sua versão móvel é apenas uma adaptação ao canal mais rápido.
2. O falso departamento de informática
Aqui, a mensagem imita um ticket ou um alerta técnico:
«[DSI] A sua sessão Microsoft expira hoje. Volte a ligar-se para evitar a suspensão da sua conta: …»
Este cenário visa a palavra-passe e, sobretudo, o código de validação de utilização única. A sua variante mais eficaz em 2026 combina SMS e chamada: recebe primeiro a mensagem e, a seguir, um interlocutor muito calmo explica-lhe que está «a tratar do ticket» e pede-lhe que leia o código que acabou de receber. Esse código é o que o próprio fraudador desencadeou ao tentar aceder à sua conta profissional.
3. A alteração de dados bancários
Versão contabilística da burla. Uma mensagem apresenta-se como vinda de um fornecedor habitual e anuncia uma alteração de IBAN, por vezes com uma referência de fatura exata — obtida numa compromissão anterior da caixa de correio do verdadeiro fornecedor. O SMS serve de lembrete ou de confirmação a um e-mail fraudulento: receber a mesma informação por dois canais diferentes cria uma impressão de coerência tremendamente eficaz.
4. A falsa mensagem de RH
«Atualização obrigatória do seu processo de trabalhador até 15/09: declaração, IBAN e documento de identificação a submeter aqui.»
Esta campanha visa diretamente o trabalhador, não a empresa. O objetivo é recolher uma identidade completa: comprovativo, IBAN, número de segurança social. Material suficiente para abrir créditos ao consumo, desviar um reembolso ou alimentar um processo de usurpação de identidade que voltará a surgir meses mais tarde.
O que torna estas mensagens difíceis de detetar em 2026
Três evoluções fizeram cair os pontos de referência habituais.
A qualidade da língua. Os erros ortográficos e as traduções aproximativas deixaram de ser um indício fiável. Os textos são agora fluidos, corretamente pontuados e adaptados ao vocabulário do setor visado.
O número apresentado. A falsificação do identificador do remetente permite fazer aparecer um nome em vez de um número, por vezes no próprio fio de conversa de um contacto existente. A Arcep e a Federação Francesa das Telecomunicações apoiaram a criação do mecanismo de autenticação dos números — o «MAN» — que limita o fenómeno nas chamadas, mas o ecossistema dos remetentes alfanuméricos continua imperfeitamente estanque.
O conhecimento do contexto. O fraudador cita um verdadeiro nome de projeto, um verdadeiro prazo, um verdadeiro nome de cliente. Essa informação raramente vem de uma pirataria: vem das publicações da própria empresa.
O reflexo certo já não é «esta mensagem é credível?», mas sim «este pedido é normal por este canal?». Um dirigente que pede uma operação financeira por SMS é anormal, mesmo que tudo o resto pareça perfeito.
A regra única que melhor protege: o contacto de retorno por um canal escolhido por si
Todas as recomendações cabem numa frase: nunca se verifica um pedido usando os contactos fornecidos pelo próprio pedido.
Na prática:
- Não responda ao SMS, nem sequer com «quem fala?». Qualquer resposta confirma que o número está ativo e que o está a ler.
- Ligue à pessoa para o número que você já tem na sua lista de contactos, ou através do diretório interno, ou espreitando pela porta do gabinete ao lado.
- Se o pedido envolver dinheiro, aplique a regra do duplo controlo: duas pessoas, dois canais diferentes, sem exceções por motivo de urgência.
- Denuncie a mensagem no 33700, o serviço nacional francês de denúncia de SMS indesejados, e reencaminhe-a para o seu responsável de informática ou para a direção.
- Guarde uma captura de ecrã com data: será útil se for necessário apresentar queixa.
A urgência é a única ferramenta verdadeiramente indispensável do fraudador. Um burlão que não pode pressionar a vítima fica sem guião. É por isso que a defesa mais eficaz, numa empresa, não é técnica mas cultural: estabelecer explicitamente que nenhum pedido urgente precisa de ser tratado em menos de uma hora e que ninguém será jamais censurado por ter verificado.
Separar o profissional do pessoal, sem complicar a vida
Parte do problema vem da mistura de utilizações. Quando o mesmo telemóvel recebe os SMS do banco, os da creche e os do trabalho, tudo se parece e nada se verifica.
Existem várias soluções simples, sem passar por uma política de empresa pesada:
- O segundo número. Um telemóvel com duplo SIM, ou um eSIM secundário dedicado ao trabalho, permite compartimentar. Uma mensagem profissional que chegue à linha pessoal torna-se imediatamente suspeita — é um sinal gratuito e muito fiável.
- O perfil profissional. O Android propõe um espaço de trabalho separado; o iOS permite modos de concentração distintos. As notificações profissionais deixam de aparecer à noite, o que reduz mecanicamente a janela de ataque das mensagens enviadas fora do horário de expediente.
- A lista de contactos atualizada. Um diretório completo e rigoroso, com fotografia se possível, transforma um número desconhecido em sinal de alerta. É a medida menos dispendiosa e a mais negligenciada.
Para os trabalhadores que lidam com contas sensíveis — contabilidade, processamento salarial, administração de sistemas —, substituir o código recebido por SMS por uma chave de segurança física FIDO2 muda a natureza do risco: um código pode ser ditado ao telefone a um burlão, uma chave física não. É hoje a única proteção que resiste ao cenário «o falso suporte informático liga-lhe».
No mesmo espírito, um gestor de palavras-passe evita a reutilização das mesmas credenciais entre um serviço pessoal comprometido e um acesso profissional. E nos computadores portáteis utilizados em open space, no comboio ou em coworking, um filtro de privacidade para ecrã impede a leitura lateral dessas mesmas informações — os fraudadores mais organizados também recolhem dados offline.
O que diz o quadro legal francês
Três pontos merecem ser conhecidos por qualquer trabalhador.
O telemóvel pessoal não pode ser vigiado. Se utiliza o seu próprio telemóvel para trabalhar, o empregador não pode instalar nele ferramentas de controlo sem um enquadramento estrito e informação prévia. A CNIL recorda regularmente que a implementação de dispositivos de segurança em equipamentos pessoais pressupõe transparência, proporcionalidade e consulta das instâncias representativas. Um trabalhador vítima de smishing não tem, portanto, de recear um exame do seu telemóvel privado.
Denunciar não é uma falta. Muitos trabalhadores calam-se depois de terem clicado, por vergonha ou por medo da sanção. É o pior cenário possível: o intervalo entre o clique e a denúncia é a variável que determina a dimensão dos estragos. Uma empresa que sanciona a denúncia está apenas a garantir que deixará de ser informada.
O reembolso bancário depende do canal. O código monetário e financeiro prevê o reembolso das operações de pagamento não autorizadas, mas uma operação que a própria vítima validou na sua aplicação enquadra-se noutro regime, o da negligência grave, apreciada caso a caso. A jurisprudência da Cour de cassation considerou várias vezes que a sofisticação do procedimento — nomeadamente a falsificação do número de telefone do banco — podia afastar essa negligência grave. Por outras palavras: a qualidade da imitação joga a favor da vítima, desde que esta a consiga documentar.
Um plano simples para afixar na empresa
| Situação | Reflexo imediato | A evitar em absoluto |
|---|---|---|
| SMS de um dirigente a partir de um número desconhecido | Ligar para o número do diretório interno | Responder «sim» ou «é o senhor?» |
| Pedido de código recebido por SMS | Desligar, sem exceções | Ditar o código, mesmo a um «técnico» |
| Alteração de IBAN anunciada por mensagem | Ligar ao fornecedor para o número de uma fatura antiga | Validar apenas com base na mensagem |
| Link para um portal de RH ou de informática | Abrir o portal através de um favorito existente | Clicar a partir do SMS |
| Mensagem já clicada | Avisar o departamento de informática dentro da hora, mudar a palavra-passe | Esperar para ver se tem consequências |
Para as organizações que não têm departamento de informática, um guia prático de cibersegurança para micro, pequenas e médias empresas em formato papel, deixado na sala de pausa, faz muitas vezes mais do que uma nota de serviço: dá um vocabulário comum e legitima o facto de fazer perguntas.
O fundo da questão
O smishing profissional não assenta em nenhuma proeza técnica. Assenta numa organização do trabalho em que a urgência é valorizada, em que o telemóvel pessoal absorve fluxos profissionais e em que dizer «vou verificar» ainda passa por falta de reatividade.
As campanhas de 2026 exploram esta zona cinzenta com uma eficácia temível, porque não atacam sistemas mas hábitos. A boa notícia é que os hábitos mudam mais depressa do que uma infraestrutura: decidir coletivamente que nenhum pedido financeiro se trata por SMS basta para tornar inoperante toda uma família de burlas.
E se a mensagem já o deixou em dúvida, guarde esta regra: um verdadeiro dirigente, um verdadeiro fornecedor, um verdadeiro departamento de informática compreenderão sempre que tenha demorado cinco minutos a verificar. Um burlão, nunca.
Recursos úteis: denúncia de SMS fraudulentos no 33700; plataforma Cybermalveillance.gouv.fr para diagnóstico e assistência; dispositivo Perceval (service-public.fr) para utilizações fraudulentas de cartão bancário; Info Escroqueries através do 0 805 805 817 (chamada gratuita).
