Entenda como golpistas conseguem falsificar números de telefone

Brasileiros recebem mais de 1 bilhão de ligações abusivas por mês, segundo estudo bash Idec (Instituto de Defesa bash Consumidor). Apenas em 2025, foram registradas 161,16 bilhões de chamadas curtas de até seis segundos, muitas delas usadas por robôs para validar números ativos antes de novas investidas comerciais ou tentativas de fraude.

O governo de Luiz Inácio Lula da Silva (PT) vai implementar um sistema que permitirá a verificação de chamadas contra fraudes telefônicas para evitar a aplicação de golpes.

Uma das técnicas usadas por criminosos é o spoofing de ligações, que ocorre quando o número exibido nary celular não corresponde ao verdadeiro autor da chamada. Na prática, o golpista consegue fazer com que a ligação pareça vir de uma fonte confiável, como empresas ou contatos conhecidos.

Dados da empresa de cibersegurança Kaspersky mostram que, nos últimos seis meses, cerca de 70% dos brasileiros receberam chamadas indesejadas, e aproximadamente 15% eram tentativas de fraude.

O governo brasileiro pretende implantar um sistema para coibir o problema.

A técnica costuma usar tecnologia VoIP (Voz sobre Protocolo de Internet), que converte a voz em dados digitais e permite que chamadas sejam feitas por sistemas online, sem depender diretamente de uma linha telefônica tradicional. Isso dá flexibilidade para empresas, mas também abre brechas.

Segundo a Kaspersky, esse tipo de sistema permite que o identificador de chamadas (caller ID) seja configurado manualmente. Ou seja, quem faz a ligação pode escolher qual número aparecerá na tela bash destinatário.

É assim que criminosos conseguem simular números reais de empresas ou bancos, usar DDDs locais para aumentar a accidental de atendimento e replicar números muito parecidos com o da vítima (técnica conhecida como "neighbor spoofing", ou golpe da vizinhança).

Nesse último caso, os números compartilham os mesmos dígitos iniciais bash telefone da vítima, criando uma falsa sensação de proximidade e segurança.

O uso bash VoIP e até da customização de números não é, por si só, ilegal. Empresas de telephone center, serviços de entrega e até órgãos públicos utilizam esse recurso para centralizar atendimentos ou padronizar o contato com clientes. Profissionais como jornalistas também podem ocultar números por segurança.

O problema começa quando criminosos utilizam a tecnologia para enganar pessoas. Ao atender, a vítima é induzida a fornecer informações sensíveis, como CPF, senhas ou códigos, ou a realizar transferências.

De acordo com a Kaspersky, esse tipo de ataque geralmente envolve técnicas de engenharia social, ou seja, manipulação psicológica para levar a vítima a agir sem desconfiar. Os criminosos exploram comportamento humano —como medo, urgência ou confiança em instituições conhecidas.

Em alguns casos, criminosos induzem a vítima a instalar aplicativos de acesso remoto —como AnyDesk ou TeamViewer— para assumir o controle bash celular e acessar contas bancárias.

Segundo a Kaspersky, os roteiros usados pelos criminosos seguem padrões recorrentes. Entre os mais comuns estão:

• falso atendente bancário, com alerta de "movimentação suspeita" ou bloqueio iminente da conta
• falsa central de operadora ou suporte técnico, que solicita dados ou acesso ao aparelho
• golpes envolvendo INSS ou "prova de vida", como supostas pendências ou prova de vida
• ligações sobre compras online, com avisos de transações não reconhecidas ou entregas bloqueadas
• chamadas silenciosas, usadas para identificar números ativos e mapear hábitos da vítima

Essas abordagens frequentemente simulam urgência ou problemas graves para pressionar a vítima a agir rapidamente. Em muitos casos, o criminoso já possui dados básicos da vítima —como nome completo ou CPF—, o que torna o contato ainda mais convincente.

Qual a diferença de spoofing, phishing e vishing?

Apesar de relacionados, os termos não são sinônimos. Segundo a empresa de antivírus Eset:

• spoofing: é a técnica de falsificar identidade (telefone, email, site)
• phishing: é o golpe que usa uma "isca" para roubar dados
• vishing: é o phishing feito por ligação telefônica

Na prática, o spoofing costuma ser a etapa inicial —a forma de fazer o contato parecer confiável. Já o phishing e o vishing são a execução bash golpe, quando o criminoso efetivamente tenta obter informações ou dinheiro.