Golpistas usam mensagens de "número errado" para qualificar vítimas antes de aplicar golpes
Pesquisadores da Malwarebytes identificaram uma técnica em que criminosos enviam SMS inofensivos, como se fossem destinados a outra pessoa, para descobrir quais números respondem e quem tem perfil colaborativo. Quem responde "você errou o número" acaba sinalizando aos golpistas que a linha está ativa e que a pessoa é solícita, virando alvo prioritário para fraudes futuras.
A tática explorada aqui não é o golpe em si, mas a etapa de reconhecimento que antecede golpes maiores, como pig butchering, romance scam e fraudes de investimento. Golpistas compram ou obtêm em vazamentos grandes listas de números de telefone e disparam mensagens genéricas e plausíveis ("ainda nos vemos amanhã para o jantar?"), sem pedir nada e sem links maliciosos, o que faz a mensagem passar despercebida por filtros antifraude e antispam.
O valor da técnica está na resposta da vítima. Ao escrever "acho que você errou o número", a pessoa confirma três informações valiosas para o golpista: que o número está ativo e monitorado, que pertence a alguém dentro da faixa mais responsiva da lista (segundo o artigo, 15-20% dos contatos) e que tem um perfil comportamental cooperativo — ou seja, alguém disposto a manter uma conversa com um estranho educado. Esse número passa a ser sinalizado e revendido ou reaproveitado como alvo qualificado para abordagens de engajamento prolongado, que é exatamente o padrão usado em golpes de pig butchering e romance scam, nos quais o criminoso investe semanas construindo confiança antes de pedir dinheiro ou direcionar a vítima para uma plataforma de investimento falsa.
Do ponto de vista de detecção, esse tipo de campanha é difícil de capturar com regras tradicionais de antifraude porque a mensagem inicial não contém indicadores maliciosos: não há URL, não há solicitação de dado sensível, não há urgência. É basicamente um teste de vivacidade ("liveness check") da linha telefônica, similar em espírito ao que crawlers de e-mail fazem com pixels de rastreamento, mas aplicado a SMS e dependente da ação humana de responder.
A recomendação prática é simples e vale reforçar em qualquer treinamento de conscientização: não responder a mensagens de texto de números desconhecidos que pareçam destinadas a outra pessoa, mesmo que a resposta pareça inofensiva ("engano, número errado"). O ideal é ignorar, bloquear e, quando possível, reportar o número como spam pela própria operadora ou app de mensagens. Para equipes de risco, vale considerar esse padrão de SMS genéricos e sem call-to-action como sinal de reconhecimento em campanhas de smishing de médio a longo prazo, e não como ruído irrelevante.