O SMS de «alerta de fraude bancária» é um golpe?

Como parece

Exemplos reais, anonimizados.

      Itaú Alerta: Você autorizou uma compra de R$ 493,27 na Casas Bahia em São Paulo? Responda SIM para confirmar ou NÃO para bloquear. Para falar com o antifraude ligue: 0800-XXX-XXXX.
    

      Bradesco: Sua conta foi temporariamente restringida por atividade suspeita. Verifique sua identidade para restaurar o acesso: bradesco-secure-id[.]com
    

O mesmo modelo é usado contra Itaú, Bradesco, Banco do Brasil, Caixa, Santander, Nubank, Inter, C6 Bank, BTG, Revolut, e qualquer outro banco grande. O golpe funciona igual em qualquer país.

Como o golpe se desenvolve

É uma armadilha em duas etapas.

Essa é a parte que pega até as pessoas cuidadosas. O SMS sozinho não rouba nada. O ataque real é a ligação que vem depois.

Você recebe o SMS: «Você autorizou esta cobrança de R$ 499? Responda NÃO.»
Você responde NÃO, porque não fez essa compra.
Em poucos minutos uma pessoa de tom profissional liga. O identificador mostra o número real do seu banco (falsificado). Diz: «Vimos sua resposta NÃO, deixa eu te ajudar a proteger a conta.»
Pedem para você ler em voz alta um código OTP que acabou de chegar por SMS, «para verificar sua identidade». O código vem do seu banco real, acionado pelo golpista se logando na sua conta.
Você lê. Eles esvaziam a conta, geralmente criando um novo favorecido ou transferindo para uma «conta segura» que o golpista diz ser sua.

Sinais de alerta

Como detectá-lo.

Pedem para você ler um código em voz alta. Nenhum banco real vai te pedir para compartilhar um código OTP por telefone, SMS ou email. O código serve para você digitar no app do banco, nunca para ler a uma pessoa.
Pedem para você «transferir seu dinheiro para uma conta segura». Nenhum banco real faz isso. Se sua conta está em risco, o banco bloqueia ela e te diz para ir numa agência ou usar o app, não transferir para uma conta nova.
O link não é o domínio real do seu banco. O Itaú real é itau.com.br. O Bradesco real é bradesco.com.br. Os links de golpe parecem itau-secure-login.com, bradesco-id.help, ou usam um redirecionamento.
Urgência e ameaças. «Sua conta será fechada permanentemente», «as autoridades estão envolvidas», «aja nos próximos 30 minutos». Os bancos reais te dão dias ou semanas.
Sabem o suficiente para parecer reais. Seu nome, os últimos 4 dígitos do cartão, talvez um estabelecimento recente. Esses dados vêm de vazamentos. Não significa que já têm acesso à conta.
Desencorajam você de desligar. «Fique na linha pela sua segurança.» Um banco real quer que você desligue e ligue de volta para o número no verso do seu cartão. Um golpista não sobrevive a uma ligação de volta.

O que fazer

Faça isso em vez disso.

Desligue. Ligue para o número no verso do seu cartão físico. Ou abra o app oficial do banco e use o chat dentro do app. Essa regra única derrota o golpe inteiro.
Verifique sua conta no app oficial você mesmo. Se realmente há uma cobrança fraudulenta, você vai ver. Se não há, o alerta era falso.
Reporte o SMS à sua operadora ou à Anatel. Apague depois o SMS.
Se já respondeu ou ligou mas não compartilhou código nem senha, provavelmente está bem. Ligue mesmo assim ao banco real para reportar a tentativa.
Se compartilhou um código ou transferiu dinheiro, ligue agora para a central antifraude do seu banco. O tempo importa. As primeiras 24 horas são quando o dinheiro às vezes pode ser recuperado. Registre boletim de ocorrência e denuncie à Polícia Federal pelo site da PF.

O que não fazer

Nunca faça isso.

Nunca leia um código OTP em voz alta. Nem para um «atendente do banco», nem para a polícia, para ninguém. O código serve para você digitar no app do seu banco.
Nunca ligue para o número de telefone dentro do SMS. Mesmo que pareça legítimo. Use o número no verso do seu cartão.
Nunca transfira dinheiro para uma «conta segura». Nenhum banco real pede isso, jamais. Se disserem, é golpe, com 100% de certeza.
Nunca clique no link. Nem para «ver o que é». A página de login falsa é o objetivo todo.

Perguntas rápidas

Perguntas frequentes.

E se quem ligou sabia meu nome e os últimos 4 do cartão?

Esses dados estão em todo lugar depois de anos de vazamentos. Saber seu nome, endereço, últimos 4 do cartão e até o seu banco não significa que um atendente real está ligando. Os golpistas compram essas listas barato. O teste não é o que sabem, mas o que pedem. Um banco real nunca pede código, senha, número completo do cartão ou para transferir dinheiro.

O identificador mostrava o número real do meu banco. Como?

O identificador é trivial de falsificar. Qualquer serviço VoIP barato pode botar qualquer número na sua tela. O número que você vê quando alguém te liga não vale nada como prova. O único número em que pode confiar é o que você mesmo discou, do verso do cartão ou do app oficial do banco.

Já dei um código pra eles. O que faço?

Ligue agora para a central antifraude do seu banco usando o número no verso do cartão. Peça para bloquear a conta e reverter qualquer transferência pendente. Mude a senha do internet banking e ative um autenticador por app (não SMS) se seu banco suportar. Registre boletim de ocorrência e denuncie à Polícia Federal.

Recebeu outra mensagem?

Verifique seu texto exato. Leva 5 segundos.

Grátis, sem cadastro, nada é guardado. Funciona para SMS, email, WhatsApp, links e capturas de tela em 10 idiomas.

Verificar minha mensagem →

Mais guias de golpes

O SMS de alerta de fraude bancária é um golpe?