Phishing bancário: como identificar mensagens falsas e se proteger

Sago Investimentos

há 15 minutos

12 min de leitura

Mensagens falsas exploram pressa, medo e confiança. Saber interromper esse roteiro é tão importante quanto reconhecer um endereço suspeito.

Pessoa analisa uma mensagem bancária suspeita no celular antes de tocar no link — Mensagem suspeita

O phishing bancário é uma tentativa de nos induzir a revelar senhas, códigos de autenticação, dados de cartão ou a autorizar pagamentos. A isca pode chegar por e-mail, SMS, aplicativo de mensagens, rede social, anúncio, QR Code ou ligação que imita o atendimento de um banco.

O golpe raramente depende apenas de tecnologia sofisticada. Em geral, ele combina uma história plausível, uma identidade conhecida e pressão para que a vítima aja antes de conferir. Por isso, nossa melhor defesa começa ao separar a mensagem recebida do canal usado para verificá-la.

Neste guia, vamos entender o mecanismo do golpe, os sinais que merecem atenção, como confirmar uma solicitação sem clicar e o que fazer em diferentes níveis de exposição. Também veremos por que logotipo, boa escrita e cadeado no navegador não bastam para provar que uma mensagem é legítima.

Para ampliar os cuidados com decisões e riscos, consulte nosso hub de Educação Financeira.

O que é phishing bancário e como o golpe funciona?

Phishing bancário é uma modalidade de fraude baseada em engenharia social: o criminoso se passa por uma instituição, funcionário ou serviço confiável para capturar informações ou induzir uma ação. O objetivo pode ser obter acesso à conta, instalar um programa malicioso, cadastrar um dispositivo, alterar limites ou convencer a vítima a transferir dinheiro.

A isca tenta parecer parte da rotina

A mensagem costuma reproduzir situações comuns: uma compra não reconhecida, um acesso em novo aparelho, uma atualização cadastral, um benefício a receber, uma fatura atrasada ou um suposto bloqueio. O tema varia, mas a estrutura é semelhante: existe um problema urgente e a solução estaria em um link, arquivo, telefone ou procedimento indicado pelo próprio remetente.

Esse contexto conhecido reduz nossa desconfiança. Quando a mensagem coincide com algo que já esperamos — uma entrega, um reembolso ou um pagamento — a chance de agir no automático aumenta. O fato de a história parecer oportuna, porém, não confirma a origem.

O golpe pode ter várias etapas

Em uma fraude simples, o link leva a uma página falsa que copia a aparência do banco. Em esquemas mais elaborados, a primeira mensagem coleta apenas nome e telefone; depois, uma ligação usa esses dados para parecer legítima e solicitar senha, token, reconhecimento facial, instalação de aplicativo ou transferência.

Também pode haver um contato inicial sem link. O criminoso pede que a vítima ligue para um número informado na mensagem ou mantém a chamada ativa enquanto orienta comandos no celular. O risco está na sequência completa, não apenas no primeiro clique.

Phishing não se limita ao e-mail

O nome é frequentemente associado a e-mails falsos, mas a mesma técnica aparece em SMS — às vezes chamada de smishing —, mensagens instantâneas, anúncios patrocinados, perfis clonados, QR Codes e ligações. Em qualquer canal, o princípio permanece: criar confiança suficiente para obter informação, acesso ou dinheiro.

Como identificar uma mensagem bancária falsa

Nenhum sinal isolado resolve todos os casos. A análise fica mais confiável quando observamos o conjunto: contexto, remetente, pedido, destino do link e pressão emocional.

Pessoa compara uma mensagem suspeita no celular com o acesso direto ao site oficial no computador — Verificação segura

Urgência, ameaça ou recompensa exagerada

Frases como “sua conta será bloqueada hoje”, “última chance”, “confirme em cinco minutos” ou “resgate agora” tentam encurtar o tempo de reflexão. Uma instituição pode enviar alertas legítimos, mas urgência não transforma o canal recebido em prova de autenticidade.

Devemos desconfiar especialmente quando a mensagem liga uma consequência grave a uma ação imediata fora do aplicativo oficial. A pausa é uma ferramenta de segurança: não responder, fechar a mensagem e iniciar uma verificação independente interrompe o roteiro planejado pelo golpista.

Pedido de senha, código ou instalação de aplicativo

Senhas completas, códigos de autenticação, tokens, números de cartão com código de segurança e comandos para instalar aplicativos dão ao criminoso meios de assumir a conta ou aprovar operações. Códigos recebidos por SMS ou pelo aplicativo funcionam como chaves temporárias; compartilhá-los pode anular uma barreira de proteção.

Outro alerta crítico é o pedido para instalar programa de acesso remoto ou “módulo de segurança” durante uma ligação. Esse tipo de ferramenta pode permitir que terceiros vejam a tela e operem o aparelho. A orientação segura é encerrar o contato e procurar o banco por um canal oficial iniciado por nós.

Link encurtado, domínio parecido ou endereço inesperado

Criminosos registram endereços que trocam letras, acrescentam palavras ou usam subdomínios para imitar marcas. O nome exibido no botão ou na mensagem pode ser diferente do endereço real. Em telas pequenas, partes importantes do domínio podem ficar ocultas.

O cadeado e o prefixo “https” indicam que a conexão com aquele endereço é criptografada; não comprovam que o site pertence ao banco. Uma página fraudulenta também pode usar certificado válido. A pergunta correta não é apenas “há cadeado?”, mas “este é exatamente o domínio oficial que acessamos por conta própria?”.

Remetente conhecido não elimina o risco

Contas de e-mail, redes sociais e aplicativos de mensagem podem ser invadidas. Assim, uma solicitação incomum pode chegar de alguém conhecido e até mencionar fatos verdadeiros. Quando houver pedido de dinheiro, código ou dado sensível, devemos confirmar por outro meio e, se possível, falar diretamente com a pessoa.

Erros de português ajudam, mas não são um filtro suficiente

Mensagens mal escritas ainda são um indício, porém golpes atuais podem ter texto correto, identidade visual convincente e atendimento bem ensaiado. Basear a decisão apenas na qualidade da escrita cria falsa segurança. Devemos avaliar o pedido e confirmar a origem mesmo quando a mensagem parece profissional.

Como verificar uma solicitação sem clicar

A regra prática é sair do caminho indicado pela mensagem e chegar à instituição por um caminho independente. Assim, evitamos que o próprio golpista controle tanto o alerta quanto a suposta solução.

Abra o aplicativo oficial ou digite o endereço conhecido

Em vez de tocar no link, podemos abrir o aplicativo já instalado pela loja oficial ou digitar manualmente o endereço que usamos normalmente. Alertas reais sobre conta, cartão ou cadastro muitas vezes também aparecem dentro do ambiente autenticado. Se nada constar, ainda assim vale consultar o atendimento oficial.

Use um telefone obtido fora da mensagem

O número para verificação deve vir do verso do cartão, do aplicativo oficial ou do site acessado diretamente. Não devemos ligar para o telefone enviado no SMS, e-mail ou anúncio suspeito. Encerrar a ligação recebida e iniciar outra chamada reduz o risco de continuar conversando com o fraudador.

Confira a instituição e o contexto

Quando a abordagem envolve uma empresa desconhecida ou uma oferta financeira, podemos consultar como saber se uma instituição financeira é autorizada pelo Banco Central ou pela CVM. A existência de registro, entretanto, não prova que a pessoa que fez contato represente a instituição; criminosos também copiam nomes e documentos de empresas reais.

O CERT.br recomenda acessar o site oficial digitando o endereço diretamente e evitar links recebidos em mensagens. Essa separação entre recebimento e verificação é uma das medidas mais úteis contra phishing.

Não faça “testes” com dados falsos

Digitar informações inventadas em uma página suspeita ainda mantém o dispositivo exposto e pode confirmar ao criminoso que o número ou e-mail está ativo. Também não devemos baixar o arquivo apenas para “ver o que é”. Se a origem não foi confirmada, o procedimento mais seguro é não interagir.

O que fazer se você clicou, mas não informou dados

Um clique não significa automaticamente que a conta foi invadida, mas merece resposta proporcional. O risco depende do que a página executou, dos arquivos baixados, das permissões concedidas e do estado de atualização do aparelho.

Interrompa a navegação e observe downloads

Feche a página e não aceite notificações, perfis, certificados ou permissões. Verifique a lista de downloads e não abra arquivos inesperados. Se um arquivo foi baixado ou um aplicativo foi instalado, remova-o e faça uma verificação com as ferramentas de segurança do sistema.

Atualize o aparelho e monitore a conta

Mantenha sistema operacional, navegador e aplicativos atualizados. Consulte extratos, dispositivos autorizados, chaves e alertas no aplicativo do banco. Se surgir operação ou alteração que não reconhecemos, devemos contatar imediatamente a instituição por canal oficial.

Troque a senha quando houver dúvida sobre exposição

Se a página chegou a receber algum identificador, se a senha foi preenchida parcialmente ou se o navegador a completou automaticamente, é prudente alterá-la usando um dispositivo confiável. Senhas reaproveitadas também precisam ser trocadas nos demais serviços, começando por e-mail e contas financeiras.

O que fazer se você informou senha, código ou transferiu dinheiro

Quando houve entrega de credenciais, instalação de aplicativo, compartilhamento de tela ou movimentação financeira, o tempo importa. A prioridade é recuperar o controle pelos canais oficiais, preservar evidências e impedir novos acessos — sem continuar negociando com quem iniciou o contato.

Pessoa contata o banco por canal oficial e organiza evidências após suspeita de phishing — Resposta ao golpe

1. Encerre o contato e use um dispositivo confiável

Não avise ao fraudador quais medidas serão tomadas e não siga novas instruções. Se foi instalado acesso remoto ou o aparelho parece comprometido, use outro dispositivo atualizado para falar com o banco e alterar credenciais. Desconectá-lo da rede pode limitar uma sessão ativa, mas não substitui a análise e a remoção do programa.

2. Avise imediatamente a instituição

Use o aplicativo oficial, o número do cartão ou o site digitado diretamente. Informe com clareza o que aconteceu: dados fornecidos, aplicativo instalado, operação feita, horário e destino. Solicite o bloqueio ou a revisão dos acessos, cartões e transações que a instituição considerar necessários. Se houve um Pix fraudulento, procure também a opção de contestação da transação no aplicativo para solicitar análise pelo Mecanismo Especial de Devolução (MED). Faça isso imediatamente; a abertura do pedido não garante recuperar o valor.

Não existe garantia automática de estorno. A possibilidade de recuperação depende do meio de pagamento, do tipo de fraude, do tempo decorrido, da análise da instituição e das regras aplicáveis. Desconfie de terceiros que prometem recuperar o dinheiro mediante pagamento antecipado.

3. Altere senhas e fortaleça a autenticação

Troque primeiro a senha do banco e do e-mail associado, depois as demais credenciais reutilizadas. Crie combinações únicas e ative autenticação em dois fatores quando disponível. Também revise aparelhos conectados, sessões abertas e formas de recuperação de conta.

4. Preserve evidências e registre os fatos

Guarde capturas de tela, número do remetente, endereço do site, e-mails completos, comprovantes, horários e protocolos. Não edite os arquivos originais. Essas informações ajudam o banco, a plataforma usada para o golpe e as autoridades a entender a sequência dos acontecimentos.

O registro de ocorrência pode ser feito conforme a orientação do órgão de segurança pública de sua região. Também podemos denunciar o perfil, anúncio, número ou página à plataforma responsável. O importante é não enviar documentos adicionais ao mesmo contato suspeito sob pretexto de “concluir a reclamação”.

5. Acompanhe a conta depois do atendimento

Revise extratos, limites, cartões virtuais, chaves de pagamento e dispositivos cadastrados. Continue atento a novas mensagens: depois de obter alguns dados, criminosos podem tentar um segundo golpe fingindo ser equipe antifraude, advogado ou empresa de recuperação.

Phishing, malware, spoofing e engenharia social

Os termos se relacionam, mas descrevem partes diferentes do problema. Entender a distinção ajuda a escolher uma resposta adequada, sem supor que todo golpe funciona da mesma maneira.

Engenharia social é a manipulação

É o conjunto de técnicas usadas para explorar confiança, medo, curiosidade, autoridade ou urgência. O phishing é uma aplicação dessa manipulação por meio de uma isca que busca dados ou ações.

Spoofing é a falsificação de aparência ou origem

Pode envolver nome de remetente, endereço exibido, número de telefone ou página parecida com a original. Essa falsificação explica por que reconhecer uma marca ou ver um número conhecido na tela não basta para autenticar o contato.

Malware é o programa malicioso

Alguns golpes tentam instalar software para capturar dados, controlar o aparelho ou redirecionar acessos. Outros não usam programa algum: a própria vítima entrega a informação ou autoriza a transferência. Por isso, antivírus e atualizações ajudam, mas não substituem a verificação humana.

Como reduzir o risco no dia a dia

Segurança não depende de uma única configuração. O melhor resultado vem de camadas que diminuem a chance de erro e limitam o dano caso uma barreira falhe.

Use senhas únicas e autenticação em dois fatores

Uma senha exclusiva impede que o vazamento de um serviço abra vários outros. Um gerenciador de senhas pode ajudar a criar e guardar combinações longas. A autenticação adicional acrescenta proteção, embora códigos nunca devam ser compartilhados com quem faz contato.

Mantenha aplicativos e sistema atualizados

Atualizações corrigem falhas conhecidas. Baixe aplicativos apenas das lojas oficiais e confirme o desenvolvedor. Evite instalar arquivos enviados por mensagem, mesmo quando o ícone e o nome imitam o banco.

Ative notificações e ajuste limites

Alertas de movimentação ajudam a perceber operações rapidamente. Limites compatíveis com a rotina podem reduzir a exposição, desde que sejam configurados no aplicativo oficial e revisados quando necessário. Essas medidas não impedem todos os golpes, mas podem ganhar tempo para reagir.

Combine um protocolo familiar

Famílias e equipes podem adotar uma regra simples: pedidos de dinheiro ou código sempre são confirmados por outro canal. Uma palavra combinada, uma chamada de vídeo ou uma pergunta que só a pessoa conhece pode ajudar, mas não deve ser tratada como prova absoluta se o aparelho dela estiver comprometido.

Acompanhe orientações de segurança confiáveis

A seção de Educação Financeira do Sago Investimentos reúne conteúdos para melhorar decisões e reconhecer riscos. Em segurança digital, materiais institucionais e os canais oficiais da instituição envolvida devem orientar a verificação e a resposta.

Os limites dos sinais de alerta

Listas de indícios são úteis, mas criminosos adaptam linguagem, identidade visual e roteiro. Uma mensagem pode não ter erros, usar o nome correto, chegar no momento esperado e apontar para uma página com HTTPS. Ainda assim, pode ser falsa.

Do outro lado, uma comunicação legítima pode ser objetiva, urgente ou conter link. Por isso, não precisamos decidir a autenticidade dentro da própria mensagem. Basta abandonar aquele caminho e verificar diretamente no aplicativo, site ou telefone oficial.

Também devemos evitar a falsa sensação de segurança criada por um único recurso. Antivírus, filtro de spam, biometria, limite de transação e autenticação em dois fatores são camadas importantes, porém cada uma tem limites. O comportamento de checar por canal independente conecta essas camadas.

Conclusão: interromper a urgência é a principal defesa

O phishing bancário funciona quando a pressa vence a verificação. Ao receber um alerta, podemos parar, não clicar, abrir o canal oficial por conta própria e confirmar a situação. Esse pequeno desvio quebra a vantagem do criminoso.

Se já houve interação, a resposta deve acompanhar o nível de exposição: monitorar após um clique, trocar credenciais quando dados foram inseridos e avisar imediatamente a instituição quando houve acesso, instalação ou pagamento. Agir rápido ajuda, mas não substitui o registro cuidadoso do que aconteceu.

O objetivo não é desconfiar de toda comunicação, e sim criar um processo que não dependa da aparência da mensagem. Quanto mais automática for a rotina de confirmação, menor será a influência de medo, recompensa e urgência sobre a decisão.

O Banco Central explica a contestação de transações Pix pelo autoatendimento do MED.

Perguntas Frequentes (FAQ)

A seguir, respondemos dúvidas comuns sobre mensagens, links e providências após uma tentativa de fraude.

Banco pode enviar link por SMS ou e-mail?

Instituições podem usar esses canais para comunicações legítimas, mas o recebimento de um link não prova a origem. Em caso de dúvida, não devemos usá-lo: abrimos o aplicativo oficial ou digitamos o site conhecido e consultamos o atendimento por um número obtido fora da mensagem.

Um site com HTTPS e cadeado é seguro?

O HTTPS protege a conexão com o endereço acessado, mas não garante que o endereço pertença ao banco. Sites fraudulentos também podem ter certificado. É necessário conferir o domínio exato e, preferencialmente, chegar a ele por um caminho oficial iniciado por nós.

Cliquei no link, mas não digitei nada. Estou em risco?

O risco costuma ser menor do que quando há entrega de dados, porém não é zero. Feche a página, verifique downloads e permissões, atualize o aparelho e monitore a conta. Se houve instalação, comportamento estranho ou preenchimento automático, procure o banco e suporte técnico confiável.

Compartilhei um código de SMS. O que devo fazer?

Encerre o contato e avise imediatamente a instituição pelo aplicativo ou telefone oficial. Explique qual código foi informado e siga as medidas de bloqueio e recuperação indicadas. Depois, altere as credenciais pertinentes e revise sessões e dispositivos autorizados.

O banco sempre devolve o dinheiro perdido em phishing?

Não. A análise depende dos fatos, do meio de pagamento, das regras aplicáveis e da investigação da instituição. Contatar o banco rapidamente e fornecer evidências pode ser importante, mas não devemos tratar o reembolso como certo nem pagar terceiros que prometem recuperação garantida.

Como denunciar uma página ou mensagem de phishing?

Podemos denunciar o conteúdo à plataforma que hospedou a página, ao provedor de e-mail, à rede social ou ao aplicativo de mensagens. Também é útil preservar URLs, cabeçalhos, capturas e protocolos. Quando houver prejuízo ou uso de dados, siga as orientações do banco e das autoridades de segurança pública.

Uma ligação com o número do banco na tela é confiável?

Não necessariamente. Informações exibidas na chamada podem ser falsificadas. Se o assunto envolver dados, instalação, bloqueio ou dinheiro, encerre a ligação e retorne por um número obtido no cartão, no aplicativo oficial ou no site digitado diretamente.