Golpe do SMS de pedágio e golpes de SMS da USPS: como funciona o smishing e como se proteger

Um SMS dizendo que você deve um pedágio em aberto ou que a USPS não conseguiu entregar sua encomenda é quase sempre golpe. As concessionárias de pedágio e o Serviço Postal dos EUA não mandam mensagens inesperadas com links de pagamento, e a FTC e o FBI já alertaram que essas mensagens levam a sites falsos criados para roubar os dados do seu cartão. O golpe do SMS de pedágio é uma forma de smishing (phishing por SMS): não clique, não responda, denuncie ao 7726 e confira qualquer saldo real digitando você mesmo o endereço do site da concessionária.

A seguir, você vai ver como essas mensagens são montadas, por que convencem tanto, como bloqueá-las e denunciá-las no iPhone e no Android, e um plano passo a passo caso você já tenha clicado no link ou digitado o seu cartão.

Como é o golpe do SMS de pedágio

O texto muda a cada poucas semanas, mas a estrutura é sempre a mesma. Uma mensagem típica diz algo assim (exemplo com o link removido):

“[Serviço de pedágio do estado]: Seu veículo tem um saldo de pedágio em aberto de US$ 6,99. Para evitar uma multa por atraso de US$ 50 e a suspensão do licenciamento, pague até [data]: [link]”

A versão da USPS troca o pedágio por uma encomenda:

“USPS: Não foi possível entregar sua encomenda por endereço incompleto. Atualize seus dados em até 24 horas: [link]”

Características comuns:

• Um valor pequeno. De US$ 3 a US$ 12 parece pouco demais para questionar — e é essa a ideia. O objetivo real é o número completo do seu cartão, a validade e o código de segurança.
• Um prazo e uma ameaça. Multas por atraso, penalidades, suspensão da carteira de motorista ou do licenciamento, ou a encomenda sendo “devolvida ao remetente”.
• Um remetente estranho. Um número internacional, um endereço de e-mail qualquer (o iMessage pode entregar mensagens vindas de e-mails) ou um número que não corresponde a nenhuma concessionária de pedágio.
• Um link parecido com o verdadeiro. Domínios com palavras como “toll”, “ezpass”, “usps” ou o nome de um estado mais letras ou hifens extras, muitas vezes com terminações incomuns em vez do endereço real do órgão. Muitos sites mostram primeiro um CAPTCHA falso para parecer legítimos.
• Estado errado. Você recebe a cobrança de pedágio de um estado em que nunca dirigiu. Os golpistas disparam mensagens para milhões de números de uma vez sem saber onde você mora.

Como o smishing funciona nos bastidores

Essas mensagens não são obra de um único golpista. Pesquisadores de segurança rastrearam a maior parte do smishing de pedágio e da USPS nos EUA até grupos de língua chinesa que vendem phishing como serviço, geralmente chamados de Smishing Triad, que comercializam kits de phishing prontos para criminosos do mundo todo.

Kits de phishing e domínios descartáveis

Segundo pesquisas da Cisco Talos e da Silent Push resumidas pelo The Hacker News em abril de 2025, um kit chamado Lighthouse oferecia centenas de modelos imitando concessionárias de pedágio, serviços postais e bancos, vendidos por algumas dezenas de dólares. A Unit 42, da Palo Alto Networks, informou em outubro de 2025 que havia ligado mais de 194.000 domínios maliciosos à operação desde 1º de janeiro de 2024. Os serviços de pedágio eram a maior categoria, com quase 90.000 domínios de phishing, e a USPS era a marca mais imitada, com 28.045 domínios. Cerca de 29% dos domínios ficaram ativos por dois dias ou menos, então as listas de bloqueio têm dificuldade para acompanhar.

Em 12 de novembro de 2025, o Google processou 25 pessoas não identificadas que, segundo a empresa, operam o Lighthouse, em ação movida no Distrito Sul de Nova York. O Google alegou que a plataforma prejudicou mais de um milhão de vítimas em 120 países, conforme noticiado pelo KrebsOnSecurity.

O truque da carteira digital

O cartão roubado não é apenas vendido. Os pesquisadores e o processo do Google descrevem kits que tentam imediatamente adicionar o seu cartão ao Apple Pay ou ao Google Wallet no celular do golpista. O site falso então pede o “código de verificação” que o seu banco envia por SMS — e é esse código que aprova a carteira. Com o seu cartão na carteira deles, os golpistas podem gastar em lojas e na internet até você cancelá-lo.

O truque do “responda S para ativar o link”

O iMessage desativa links em mensagens de remetentes desconhecidos que não estão nos seus contatos. Os golpistas contornam isso adicionando uma linha como “Responda Y, saia e abra a mensagem novamente para ativar o link”. Em janeiro de 2025, o BleepingComputer informou que responder torna o link clicável e também avisa ao golpista que o seu número está ativo e que você segue instruções. Nunca responda para liberar um link.

O SMS de pedágio é verdadeiro? Como verificar com segurança

Parta do princípio de que não é e verifique por um canal que você controla.

1. Não use o link nem o número da mensagem. Digite você mesmo o endereço da concessionária de pedágio no navegador, ou use o app oficial, e entre na sua conta.
2. Veja os alertas da própria concessionária. A maioria das concessionárias, incluindo as que fazem parte do E-ZPass, publica alertas de golpe na página inicial confirmando o que enviam e o que não enviam.
3. Ligue para o número que está na sua fatura ou na conta do transponder (tag), não para um número da mensagem.
4. No caso da USPS, rastreie as encomendas em usps.com digitando o código de rastreamento do seu pedido. O US Postal Inspection Service diz que a USPS não envia SMS ou e-mail sem que você tenha pedido antes com um código de rastreamento — e essas mensagens não trazem link.

O golpe do SMS do E-ZPass merece menção especial porque o E-ZPass abrange muitos estados. Um problema real de saldo no E-ZPass aparece na sua conta online ou em uma cobrança de pedágio enviada pelo correio, não em um SMS aleatório com link.

O que dizem o FBI, a FTC e a CISA

Os alertas existem há mais de dois anos, e todos dizem a mesma coisa.

Como denunciar SMS de spam (7726 e outros canais)

Denunciar leva menos de um minuto e ajuda as operadoras e as autoridades a bloquear a próxima onda.

• Encaminhe para 7726 (SPAM). Todas as grandes operadoras dos EUA aceitam. A operadora normalmente responde pedindo o número do remetente. No iPhone, toque e segure a mensagem, toque em Mais e depois na seta de encaminhar. No Android, toque e segure a mensagem e escolha Encaminhar ou Compartilhar.
• Use o botão de denúncia do app. No app Mensagens da Apple, toque em “Informar Lixo” abaixo de uma mensagem de remetente desconhecido. No Google Mensagens, toque e segure a conversa, toque em Bloquear e mantenha “Denunciar spam” marcado.
• Registre na FTC em reportfraud.ftc.gov — principalmente se você perdeu dinheiro.
• Registre no FBI em ic3.gov, incluindo o número do remetente e o endereço do site (escreva-o como texto, não o visite).
• SMS com o tema da USPS também podem ser enviados para spam@uspis.gov, com uma captura de tela mostrando o remetente e o horário.

Leitores fora dos EUA devem usar o canal de denúncia do próprio país. No Reino Unido, por exemplo, o número para encaminhar também é 7726.

O que acontece se você responder PARE?

Para uma empresa legítima em que você se cadastrou, responder STOP (PARE) cancela a inscrição. Para um golpista, qualquer resposta — STOP, Y ou uma mensagem irritada — confirma que uma pessoa real lê as mensagens daquele número, o que pode gerar ainda mais mensagens. No iMessage, responder também pode tornar clicáveis os links daquela conversa. Não responda a remetentes desconhecidos; denuncie e apague.

Como bloquear SMS de spam no iPhone

A Apple vem melhorando aos poucos o filtro de spam do app Mensagens.

1. Filtrar Remetentes Desconhecidos (iOS 26 e posterior). No app Mensagens, toque em Filtros › Gerenciar Filtragem e ative a triagem de remetentes desconhecidos, ou vá em Ajustes › Apps › Mensagens › Remetentes Desconhecidos. Mensagens de números que não estão nos seus contatos vão para uma lista separada de Remetentes Desconhecidos, e você escolhe quais tipos de notificação ainda chegam (como códigos urgentes ou transações). A Apple observa que responder a um remetente desconhecido não o marca como conhecido — use “Marcar como Conhecido”.
2. Versões mais antigas do iOS: ative Filtrar Remetentes Desconhecidos em Ajustes › Mensagens.
3. Filtro de Mensagens de Texto. Em Gerenciar Filtragem você também pode ativar uma extensão de filtragem de SMS de um app confiável, como o fornecido pela sua operadora.
4. Bloqueie o remetente. Abra a conversa, toque no remetente no topo e escolha Bloquear Contato. Espere resultados limitados — os golpistas trocam de número o tempo todo.

Como filtrar remetentes desconhecidos no Android

O Google Mensagens, app padrão de SMS no Pixel e em muitos outros celulares Android, vem com a proteção contra spam ativada por padrão.

1. Abra o Google Mensagens, toque na sua foto de perfil › Configurações do app Mensagens › Proteção e segurança › Proteção contra spam e confirme que Ativar proteção contra spam está ligado.
2. O Google Mensagens usa IA no próprio aparelho para identificar golpes de entrega de encomendas e de vagas de emprego e movê-los para a pasta Spam e bloqueados, ou exibir um aviso. O Google anunciou essa detecção de golpes em outubro de 2024.
3. Toque e segure uma conversa suspeita e escolha Bloquear › Denunciar spam.
4. Se você usa o Samsung Mensagens ou outro app de SMS, procure nas configurações as opções de bloqueio e spam, ou mude para o Google Mensagens.
5. Se você corre alto risco, a Proteção Avançada do Android mantém a detecção de golpes e os avisos de links sempre ativados.

O que fazer se você clicou em um link de golpe

Só clicar geralmente não é um desastre — o que importa é o que você fez na página. Siga os passos que se aplicam ao seu caso.

Você só abriu o link

• Feche a página. Não digite nada e não instale nada que ela oferecer.
• Atualize o sistema operacional e o navegador do celular para corrigir falhas conhecidas do navegador.
• Denuncie e apague a mensagem e fique atento a novos SMS ou ligações fingindo ser do seu banco.

Você digitou os dados do cartão ou pagou

1. Ligue imediatamente para o emissor do cartão usando o número no verso. Diga que o cartão foi digitado em um site de phishing, peça o cancelamento e um novo número e conteste as cobranças.
2. Verifique novas carteiras digitais. Pergunte ao banco se o seu cartão foi adicionado ao Apple Pay, Google Pay ou Samsung Wallet em um aparelho que não é seu e peça a remoção desse token — cancelar o cartão físico pode não bastar em todos os bancos.
3. Acompanhe as faturas nas próximas semanas em busca de pequenas cobranças de teste.
4. Denuncie em reportfraud.ftc.gov e ic3.gov. Guarde capturas de tela da mensagem e quaisquer comprovantes.

Você digitou dados pessoais ou uma senha

• Se você passou o seu número de Social Security ou da carteira de motorista, acesse IdentityTheft.gov para um plano de recuperação e considere um congelamento de crédito gratuito na Equifax, na Experian e na TransUnion.
• Se você digitou uma senha, troque-a em todos os lugares onde a usa e ative a autenticação de dois fatores. Nosso guia sobre como proteger seu Apple ID e sua conta Google mostra como fazer.
• Peça à sua operadora um PIN de portabilidade ou bloqueio do SIM. Golpistas que têm o seu nome, endereço e telefone às vezes tentam em seguida um golpe do SIM swap para roubar os seus códigos por SMS.

Outros SMS de golpe que usam a mesma receita

Os mesmos kits disparam falsos alertas de fraude bancária, conversas de “número errado” que viram propostas de investimento, ofertas de emprego que pagam para você “curtir” vídeos e mensagens de compradores ou vendedores em marketplaces. Se você está vendendo um celular, cuidado com mensagens pedindo que você “confirme” um pagamento por um link ou envie um código de verificação — veja nosso guia sobre golpes com celulares usados. Na hora de comprar, nunca pague a um desconhecido antes de verificar o aparelho; uma consulta de blacklist GSMA e um relatório de informações básicas completas levam segundos e não dependem de um link do vendedor.

Resumo

Concessionárias de pedágio, a USPS e outros serviços legítimos não mandam SMS do nada com link de pagamento. Trate toda mensagem de pedágio em aberto ou de entrega de encomenda como falsa até conferir sua conta pelo site oficial. Não clique, não responda — nem mesmo PARE —, encaminhe para 7726, denuncie à FTC ou ao FBI e ative o filtro de remetentes desconhecidos do seu celular. Se você já pagou, ligue para o seu banco hoje.