O SMS de «entrega de encomenda» é um golpe?

Como parece

Um exemplo real, anonimizado.

      [Correios] Sua encomenda não pode ser entregue devido a informações de endereço incompletas. Confirme seu endereço nas próximas 24 horas para evitar a devolução: correios-entrega[.]top/confirmar
    

As variantes usam Correios, Jadlog, Loggi, Total Express, DHL, UPS, FedEx, Mercado Envios. A estrutura é sempre a mesma: urgência, uma pequena taxa ou «confirmação», e um link que você nunca viu.

Sinais de alerta

Como detectá-lo em cinco segundos.

Você não estava esperando nenhuma encomenda, ou a mensagem chega no mesmo dia por uma «entrega de ontem». Os golpistas mandam esses SMS para milhões de números esperando que alguns destinatários tenham por acaso um pedido em andamento.
O link não é o domínio real da transportadora. Os Correios reais são correios.com.br. A DHL real é dhl.com.br. Os links de golpe parecem correios-entrega.top, dhl-pagamento.com, correios-br.help, ou usam um encurtador.
A taxa é suspeitosamente pequena. R$ 5, R$ 9,90, R$ 19,90. O valor é baixo demais para parecer um alvo de fraude. O verdadeiro objetivo são os dados do seu cartão.
A gramática está levemente errada. «Sua encomenda não pode ser entregar». «Por favor de confirmar». «Pedimos desculpas mas por inconveniência». As transportadoras enviam milhões de SMS por dia e têm redatores profissionais.
Prazo urgente. «Em 24 horas», «ou a encomenda volta ao remetente». As transportadoras reais tentam a entrega de novo, deixam aviso e mandam email. Nunca exigem ação em poucas horas por SMS.
O remetente é um número longo, um código curto aleatório ou um gateway de email. Os SMS das transportadoras reais vêm de códigos curtos registrados. Se o remetente for um número normal de um país estranho, é um golpe.

O que fazer

Faça isso em vez disso.

Se está esperando uma encomenda real, abra você mesmo o app ou site oficial da transportadora digitando o URL. Use o código de rastreamento da sua confirmação de pedido original. Nunca o link do SMS.
Encaminhe o SMS. No Brasil, pode reportar à Anatel ou ao seu operador móvel. A maioria das operadoras encaminha essas mensagens a uma equipe antifraude.
Apague a mensagem depois de encaminhar. Bloqueie o remetente se seu celular permitir.
Se já clicou no link mas não inseriu nada, provavelmente está bem. Feche a aba. Rode a varredura antimalware do celular se tiver uma (raro em iPhone).
Se inseriu dados do cartão, ligue agora para a central antifraude do seu banco (número no verso do cartão) e peça para bloquear o cartão e emitir um novo. Mude depois a senha de qualquer conta onde usou as mesmas credenciais.

O que não fazer

Nunca faça isso.

Não clique no link «para ver o que diz». Algumas páginas de golpe coletam dados ao carregar (seu IP, navegador, às vezes mais). A maioria pede dados do cartão na tela seguinte.
Não ligue para nenhum número da mensagem. Os golpistas mantêm call centers falsos de backup caso o link seja bloqueado.
Não responda com «número errado», «PARE» ou qualquer outra coisa. Responder confirma que seu número está ativo, e entra numa lista de «respondedores» revendida a outras redes de golpe.
Não pague nenhuma taxa, por menor que seja. As taxas alfandegárias reais no Brasil são cobradas pelos Correios na retirada ou já no checkout do pedido, nunca por SMS surpresa.

Perguntas rápidas

Perguntas frequentes.

Estou mesmo esperando uma encomenda agora. Como posso ter certeza?

Abra seu email de confirmação ou o app do vendedor (Amazon, Mercado Livre, o site da marca). Pegue de lá o código de rastreamento. Depois digite você mesmo o URL oficial da transportadora no navegador (correios.com.br, dhl.com.br, etc.) e cole o código. Se a página de rastreamento real mostrar que a encomenda anda normalmente, o SMS era golpe. Se mostrar um problema de entrega, a transportadora vai te avisar no próprio app, sem taxas surpresa.

Cliquei no link mas não inseri nada. Estou em apuros?

Quase sempre não. Os celulares modernos isolam o navegador, então só visitar uma página de golpe não instala nada. O golpe precisa do seu cartão ou senha para te monetizar. Feche a aba. No Android pode rodar o Play Protect (Configurações → Segurança → Google Play Protect → Escanear). No iPhone basta fechar o Safari e limpar o histórico.

Como conseguiram meu número?

Não foi especificamente. Os golpistas compram listas de números de vazamentos passados (LinkedIn, Facebook, operadoras, centenas de outras) ou geram números em massa. O SMS é mandado para milhões de uma vez. Você não é um alvo pessoal, e é por isso que a mensagem é tão genérica.

Recebeu outra mensagem?

Verifique seu texto exato. Leva 5 segundos.

Grátis, sem cadastro, nada é guardado. Funciona para SMS, email, WhatsApp, links e capturas de tela em 10 idiomas.

Verificar minha mensagem →

Mais guias de golpes

O SMS de entrega de encomenda é um golpe?