O que é vishing?
Vishing é a fraude em que o criminoso usa uma ligação telefônica para enganar a vítima e obter dados pessoais, senhas, códigos de verificação ou acesso a contas. O nome vem da junção de voice (voz) com phishing, e descreve exatamente isso: phishing feito por telefone, em vez de e-mail ou mensagem de texto.
Diferente de um e-mail falso, que a vítima pode reler com calma antes de agir, o vishing acontece em tempo real. O criminoso conduz a conversa, cria urgência e reage às respostas da vítima na hora, o que torna esse tipo de golpe particularmente eficaz mesmo contra pessoas que já desconfiam de e-mails suspeitos.
Como funciona um ataque de vishing
O golpe segue uma estrutura recorrente, mesmo variando o pretexto usado.
O criminoso se passa por alguém de confiança: um atendente do banco, do suporte técnico de um serviço, da operadora de telefonia, ou até de um órgão público. Para tornar a ligação mais convincente, é comum o uso de spoofing de identificador de chamada, técnica que falsifica o número exibido no visor do telefone da vítima, fazendo parecer que a ligação vem realmente da instituição mencionada.
A conversa é construída em torno de um problema urgente: uma compra suspeita que precisa ser confirmada, uma conta que será bloqueada, um benefício que está prestes a expirar. A urgência tem uma função específica, que é reduzir o tempo que a vítima tem para pensar ou verificar a informação por outro canal.
No momento certo da conversa, o criminoso pede a informação que precisa: um código recebido por SMS, a senha de acesso ao aplicativo, o número completo do cartão, ou a confirmação de uma transação que na verdade parte do próprio golpe. Se o pedido for por um código de verificação, a vítima está, sem perceber, autorizando a própria conta a ser acessada por outra pessoa.
Vishing, phishing e smishing: qual a diferença
Os três termos descrevem o mesmo tipo de engenharia social, aplicada em canais diferentes. Phishing usa e-mail. Smishing usa SMS ou aplicativos de mensagem. Vishing usa ligação de voz, seja humana, seja gerada por um robô automatizado (nesse caso, também chamado de robocall fraudulento).
É comum que um golpe combine mais de um canal na mesma operação. Um SMS pode avisar sobre uma cobrança suspeita e pedir que a vítima ligue para um número (smishing preparando o terreno para o vishing). Ou uma ligação pode direcionar a vítima para clicar em um link enviado logo em seguida por mensagem.
Variações comuns no Brasil
Algumas versões de vishing se tornaram particularmente conhecidas no país.
No golpe do falso funcionário do banco, o criminoso liga se identificando como atendente, alega uma movimentação suspeita na conta e conduz a vítima a confirmar dados ou autorizar uma transferência para uma “conta segura”, que na verdade pertence ao golpista.
No golpe do motoboy, a ligação (ou mensagem seguida de ligação) informa que o cartão da vítima será trocado por suspeita de clonagem, e um motoboy é enviado para recolher o cartão antigo na casa da vítima, ou pede a ela que informe a senha por telefone para “cancelar” o cartão.
No sequestro relâmpago combinado com vishing, o golpe usa pressão e ameaça direta em vez de engenharia social sutil, mas o objetivo final (obter senha, token ou autorização de transação) é o mesmo.
Por que o vishing funciona mesmo contra pessoas atentas
Vishing explora um viés de confiança específico da voz humana em tempo real. É mais fácil identificar um e-mail malfeito, com erros de português ou remetente estranho, do que perceber, no calor de uma ligação, que a pessoa do outro lado não é quem diz ser.
Além disso, o criminoso adapta o discurso em tempo real às reações da vítima, algo que um e-mail padronizado não consegue fazer. Se a vítima hesita, ele ajusta o argumento. Se demonstra desconfiança, ele reforça a urgência ou apela para autoridade.
Sinais de alerta
Alguns comportamentos aparecem com frequência em ligações de vishing: pedido de senha completa, código de verificação recebido por SMS, ou dados do cartão por telefone (nenhuma instituição séria pede isso dessa forma), pressão para agir imediatamente sem tempo para verificar a informação por outro canal, e a orientação para não desligar e ligar de volta para o número oficial da instituição.
Esse último ponto é um dos mais reveladores. Uma instituição legítima nunca se incomoda se o cliente prefere desligar e ligar de volta pelo número oficial. Um golpista, sim, porque perde o controle da situação.
Como as empresas reduzem o impacto do vishing
Vishing não ataca o sistema da empresa diretamente. Ataca a pessoa, o que faz da defesa puramente técnica algo insuficiente sozinho. Ainda assim, existem camadas que reduzem o dano quando o golpe já enganou a vítima.
Exigir uma segunda camada de verificação (como biometria facial com prova de vida) antes de aprovar mudanças de dados cadastrais, chave Pix, ou transações de valor alto, dificulta que um código obtido por vishing seja suficiente para o criminoso completar o golpe sozinho. Mesmo que a vítima entregue a senha ou o código por telefone, a etapa de reautenticação biométrica no momento da ação crítica cria uma barreira que o golpista, sem a presença física da vítima, não consegue superar.
Monitorar comportamento e dispositivo também ajuda a identificar quando uma conta passou a ser operada de forma incomum logo depois de uma ligação suspeita, mesmo que a credencial usada esteja tecnicamente correta.
Conheça as soluções Legitimuz
O LegitFace garante que operações críticas, como troca de senha, cadastro de nova chave Pix ou transferência de valor alto, exijam prova de vida real no momento da ação, o que reduz o efeito de um código ou senha obtidos por vishing. O LegitDevice monitora comportamento e dispositivo para identificar quando uma conta passa a ser operada fora do padrão histórico do titular, um sinal comum depois que uma vítima é enganada por telefone.
Quer entender como reduzir o impacto de golpes de engenharia social na sua operação? Fale com um especialista da Legitimuz.
Leia também: