Encomenda retida e taxa de importação: o SMS falso dos Correios

Encomenda retida e taxa de importação: o SMS falso dos Correios

"Correios: sua encomenda está retida por falta de pagamento da taxa de importação. Regularize (R$ 9,87) para liberar a entrega." E um link. Esse SMS, em nome dos Correios ou de uma transportadora privada, conforme a onda, é uma isca clássica de smishing. Funciona porque quase todo mundo compra pela internet e quase todo mundo tem, em algum momento, uma encomenda a caminho: a mensagem cai em terreno fértil.

O valor é baixo de propósito. O objetivo nunca foi cobrar esses poucos reais: é fazer você digitar os dados completos do cartão num site falso que imita a empresa de entregas, às vezes junto com o código de confirmação que chega em seguida, para fazer compras maiores. Em outras versões, o site pede um Pix, que cai direto na conta dos golpistas.

Por que funciona mesmo quando você não espera nenhuma encomenda

Os golpistas não sabem se você está esperando um pedido. Nem precisam:

• Volume. Mandam o mesmo SMS para milhares de números. Com o comércio eletrônico de hoje, uma boa parte dos destinatários tem de fato algo a caminho ou acabou de receber, e a mensagem se encaixa.
• Valor inofensivo. Uns poucos reais não disparam alarme. Ninguém "confere" um pagamento de R$ 9,87 como conferiria um de R$ 300.
• Pressa e zero atrito. "Pague agora e receba amanhã" empurra você a resolver na hora, pelo celular, sem parar para olhar o remetente nem o domínio.
• Disfarce rotativo. Quando uma marca "queima" (as pessoas começam a avisar que "esse SMS dos Correios é falso"), a campanha muda para outra transportadora. O esqueleto é sempre o mesmo do SMS falso de multa ou de IPVA: órgão ou empresa conhecida + pendência + urgência + link de pagamento.

Como reconhecer o SMS falso

Nenhum destes sinais sozinho é definitivo, mas juntos são um diagnóstico bem confiável:

• Pede para pagar uma taxa por link. Segundo a página de segurança dos Correios, a empresa não envia mensagens com link direto de pagamento e não pede dados pessoais ou financeiros por e-mail, SMS ou WhatsApp. Quando há uma informação pendente ou uma taxa a pagar numa encomenda internacional, o SMS oficial orienta você a concluir o processo no site ou no aplicativo oficial.
• O link não é o domínio oficial. Domínios com hífens a mais ("correios-entrega", "rastreio-encomenda", "taxa-liberacao") ou extensões estranhas. Na tela do celular, com pressa, eles passam; olhe com calma e saltam aos olhos.
• Não cita nenhum envio concreto. O SMS falso fala da "sua encomenda" de forma genérica porque não sabe qual é. O que vale é o código de rastreamento que a loja passou para você: é com ele que se confere qualquer pendência.
• Remetente variável. Às vezes um celular qualquer, às vezes um nome que imita a empresa. O remetente de um SMS pode ser falsificado: não prova nada.
• Erros de português. Frases traduzidas de qualquer jeito, maiúsculas estranhas, urgência exagerada ("último aviso antes da devolução"). Empresas de verdade escrevem melhor que isso.

Como conferir uma entrega real

O método é sempre o mesmo e vale para qualquer empresa:

1. Não toque no link do SMS. Feche a mensagem.
2. Abra você o canal oficial: o app da loja onde comprou, o e-mail de confirmação do pedido, o site dos Correios, com o endereço digitado por você, ou o app oficial da transportadora.
3. Digite lá o seu código de rastreamento. Se existir uma pendência real (taxa de importação, endereço incompleto, tentativa de entrega), ela vai aparecer no rastreamento oficial. Se não aparecer nada, o SMS era falso.

Essa sequência (fechar a mensagem e entrar você no canal oficial) é a mesma que recomendamos para verificar uma ligação ou SMS do seu banco e uma notificação da Receita Federal ou do INSS, nos nossos guias de situações. É o hábito que mais corta golpes pela raiz.

O que fazer se você já digitou o cartão

• Ligue agora para o seu banco, conte o que aconteceu e peça para bloquear o cartão e emitir um novo. É a medida que resolve o problema de uma vez.
• Se você também digitou um código de confirmação que chegou por SMS, avise o banco: pode haver uma operação já autorizada.
• Pagou por Pix? Peça ao banco, o quanto antes, a abertura do MED (Mecanismo Especial de Devolução).
• Acompanhe as cobranças das semanas seguintes e ative as notificações de compras no app do banco. As cobranças fraudulentas nem sempre aparecem na hora.
• Registre um boletim de ocorrência (B.O.) na Polícia Civil do seu estado, com prints do SMS e do link. Para orientações gratuitas de segurança, consulte a Cartilha de Segurança para Internet do CERT.br.
• Denuncie o número remetente no diretório de números de spam.

Perguntas rápidas

E se eu estiver mesmo esperando uma encomenda e o SMS bater? A coincidência não confirma nada: com tantas encomendas circulando, acertar por acaso é fácil. Confira sempre pelo canal oficial com o seu código de rastreamento. Leva um minuto e elimina a dúvida.

Os Correios e as transportadoras mandam SMS de verdade? Sim. Os Correios usam SMS para avisar sobre informações pendentes ou taxas de encomendas internacionais, mas orientam você a concluir pelo site ou pelo app oficial, sem link direto de pagamento. Algumas transportadoras também mandam avisos de entrega. A diferença é que o aviso real não pede pagamento por link nem pressiona com ameaça de devolução imediata.

Acontece a mesma coisa no WhatsApp ou por e-mail? Sim, a mesma isca circula no WhatsApp, por e-mail e até em QR Codes colados em adesivos falsos. O canal muda; a defesa, não: nunca pague pelo link que recebeu e confira sempre você mesmo, pelo canal oficial.

Se você recebeu uma dessas mensagens, denuncie no diretório de números do NoCall: essas campanhas reaproveitam números por dias, e a sua denúncia é o alerta que a próxima pessoa vai ver antes de digitar o cartão.