Intimação falsa no celular corporativo

Premissa: celular de trabalho é superfície de ataque. Medo judicial é a isca.

Número listado em sites, assinaturas de e-mail, cartões de visita. Às vezes o colaborador tem alçada para pagamentos pequenos. Às vezes só precisa clicar para abrir porta em MDM frágil. A mensagem cita a marca da empresa ou o CNPJ e pede “taxa de liberação de bloqueio trabalhista”.

Misture isso com BYOD (aparelho pessoal usado no trabalho) e o incidente vira híbrido: vida privada + ambiente corporativo.

1. Não clicar no link.
2. Não pagar com cartão corporativo nem Pix pessoal “para depois reembolsar”.
3. Tirar print e abrir chamado no canal interno (TI / jurídico / gestor).
4. Anotar CNJ se houver.
5. Validar só se treinado: consulta CNPJ ou consultar processo em browser seguro.
6. Se o SMS falou no CPF dele, consulta CPF — e avisar que pode ser misturado.
7. Não resetar o telefone por orientação do SMS.

Hub: consulta.

• Política escrita: intimação por SMS não se cumpre por link.
• Plantão jurídico para CNJ reais.
• TI: verificar se o clique ocorreu (proxy, MDM, logs).
• Finanças: bloquear reembolso de “taxa judicial” sem aprovação jurídica.
• Comunicação interna pós-incidente: aviso sem republicar o isca.
• Treino em onboarding com um exemplo de SMS falso.

Empresas pequenas cabem numa página. Empresas grandes encaixam no playbook de phishing já existente — acrescente a variante “mandado”.

Reclamações e intimações verdadeiras existem e aparecem em consultas e sistemas judiciais. O colaborador não precisa virar advogado: precisa saber que cumprimento legítimo não pede Pix no celular. Se a consulta da empresa mostrar processo, o jurídico assume. Se não mostrar nada compatível, classifique como phishing e siga contenção.

Se o aparelho é misto, oriente preservação de evidência sem exigir que o colaborador entregue vida pessoal inteira. Print da mensagem e cabeçalhos bastam na maioria dos casos. Evite humilhar quem quase clicou: reporte honesto depende de segurança psicológica.

1. Não clicar / não pagar.
2. Print + chamado interno.
3. Informar CNJ ao jurídico.
4. Consultar CNPJ/CNJ no canal seguro.
5. TI verifica clique/malware.
6. Finanças ciente para barrar reembolso indevido.
7. Aviso interno limpo.
8. Revisar se outros chips receberam a mesma leva.
9. Atualizar treinamento.
10. Se processo real, trilho jurídico separado do phishing.

Mensagem interna sugerida: “Recebemos SMS de intimação falsa em chips corporativos. Não cliquem, não paguem, abram chamado com print. Jurídico valida CNJ. TI ajuda se houve clique.” Pronto. Sem print do SMS no mural, sem reencaminhar a leva.

Se a empresa usa canais públicos (LinkedIn, status), evite detalhar o texto do golpe. Criminosos monitoram reações para ajustar a próxima remessa.

Liste quantos chips receberam, quantos cliques, se houve pagamento, se o CNJ era válido. Uma planilha de uma página alimenta melhoria de treino. Não precisa de comitê de três meses para concluir “precisamos falar disso no onboarding”.

Oriente: validação de CNJ só em navegador gerenciado ou máquina confiável, nunca a partir do link do SMS. Se o clique já ocorreu, TI avalia isolamento. VPN corporativa não lava link malicioso; disciplina de clique sim. Desative pré-visualizações perigosas quando a plataforma permitir.

Colaboradores em viagem internacional merecem lembrete extra: roaming + susto + link = combinação péssima. Adie a curiosidade até o chamado interno.

Meça: número de SMS reportados, tempo médio até o chamado, pagamentos evitados, cliques. Compartilhe no comitê de riscos sem expor nomes de quem errou. Cultura de reporte vale mais que caça às bruxas. Atualize o onboarding com um print *simulado* (dados fictícios) — nunca com o isca real completo.

Se o aparelho foi extraviado e o SMS chega no número que agora pode estar com terceiros, priorize remoto wipe / suspensão do chip conforme política. O golpe pode tentar induzir quem achou o telefone a “resolver o processo” da empresa. Avise operadora e TI; jurídico valida se algum CNJ citado merece atenção à parte.

Intimação falsa no celular corporativo se neutraliza com reflexo único: não clicar, não pagar, abrir chamado, validar CNJ com jurídico e consulta. A empresa que documenta isso no onboarding erra menos no campo. Processo real se cumpre por trilha séria; SMS de mandado no chip do time é, até prova, phishing de farda.

• CNJ
• Portal Comunica / DJEN