Existe um momento de viragem muito preciso numa burla por SMS. Não é aquele em que a mensagem chega, nem sequer aquele em que se clica. É aquele, alguns segundos ou algumas horas mais tarde, em que se percebe. O site parecia correto, a página «bloqueou», e depois instala-se uma dúvida. Relê-se a mensagem. O número do remetente já não se parece nada com o do banco.
O que se segue é quase sempre mal vivido e mal gerido. Não por falta de inteligência, mas porque ninguém nos explicou nunca por que ordem agir. É preciso ligar ao banco antes ou depois de apresentar queixa? O 33700 serve para alguma coisa? Uma queixa tem alguma hipótese de dar frutos? E sobretudo: o banco é obrigado a reembolsar?
Eis o percurso completo, tal como existe realmente em França em 2026, com os prazos legais, os textos aplicáveis e as frases que fazem a diferença perante um funcionário bancário.
As três primeiras horas: a ordem das prioridades
A regra é simples: começa-se por aquilo que está a sangrar. As diligências declarativas vêm depois, nunca antes.
1. Bloquear os meios de pagamento
Se introduziu um número de cartão, um código de utilização única ou as suas credenciais bancárias, a urgência absoluta é o cancelamento. Três canais, por esta ordem de eficácia:
- A aplicação bancária, que hoje em dia oferece quase sempre um botão de bloqueio instantâneo do cartão;
- O número de cancelamento do seu banco, indicado no verso do cartão e na sua área de cliente;
- O servidor interbancário de cancelamento de cartão bancário, no 0 892 705 705, disponível 24 horas por dia caso não consiga contactar a sua instituição.
Um ponto muitas vezes ignorado: bloquear o cartão nem sempre é suficiente. Se os fraudadores obtiveram as suas credenciais de banca online, podem tentar uma transferência. Peça explicitamente o bloqueio do acesso à área de cliente e a reposição das credenciais.
2. Retomar o controlo do telemóvel
Se instalou alguma aplicação a partir do link, ou concedeu alguma autorização, considere o aparelho comprometido. Reinicie-o, desinstale o que foi acrescentado, verifique nas definições que aplicações têm acesso aos SMS e altere as palavras-passe a partir de outro dispositivo — um computador, um tablet. É também o momento certo para ponderar uma chave de segurança física FIDO2 para as contas mais sensíveis: torna inoperante a interceção de um código por SMS, uma vez que deixa de existir código para intercetar.
3. Documentar antes de apagar
Reflexo contraintuitivo mas decisivo: não elimine a mensagem fraudulenta. Tire capturas de ecrã do SMS, do número do remetente, do URL visitado, da hora e das operações bancárias contestadas. Estes elementos constituem o seu processo. Sem eles, a queixa é uma declaração sob compromisso de honra; com eles, é um processo.
O 33700: para que serve realmente (e para que não serve)
O 33700 é o dispositivo nacional de denúncia de SMS e chamadas indesejadas, operado pelos operadores franceses sob a égide da Association Française du Multimédia Mobile. O seu funcionamento é trivial: reencaminha o SMS suspeito para o 33700 e, numa segunda mensagem, envia o número do remetente.
O que faz: alimenta uma base comum que permite aos operadores cortar os números e os kits de spam utilizados em massa. Um número denunciado centenas de vezes é neutralizado rapidamente.
O que não faz: não trata o seu caso pessoal, não desencadeia qualquer investigação sobre o seu prejuízo e não lhe reembolsa nada. O 33700 é um gesto coletivo, não um recurso individual. Vale a pena fazê-lo — trinta segundos — mas não substitui nenhuma das etapas seguintes.
De notar também: a denúncia ao 33700 funciona para os SMS clássicos. Para as mensagens que passam por aplicações ou por RCS, a denúncia faz-se na própria aplicação, que dispõe dos seus próprios mecanismos de reporte.
Denunciar às plataformas oficiais: Cybermalveillance e Pharos
Dois dispositivos públicos completam o quadro, e não servem para o mesmo.
Cybermalveillance.gouv.fr é o dispositivo nacional de assistência às vítimas de atos de cibermalevolência, gerido por um agrupamento de interesse público que associa o Estado. O seu percurso de diagnóstico em linha orienta-o consoante a sua situação (phishing, usurpação, pirataria de conta) e coloca-o em contacto com prestadores de proximidade caso seja necessária uma intervenção técnica. É o bom ponto de entrada se não souber por onde começar.
Pharos, a plataforma de harmonização, análise, cruzamento e orientação das denúncias, é gerida pelo Office anti-cybercriminalité. A denúncia faz-se em internet-signalement.gouv.fr. A Pharos recebe as denúncias de conteúdos e comportamentos ilícitos em linha — incluindo sites de phishing. Também aqui: denúncia ≠ queixa.
Por fim, Perceval é o serviço em linha de denúncia de fraudes com cartão bancário, acessível através do FranceConnect em service-public.fr. Diz respeito especificamente a débitos fraudulentos num cartão que permaneceu na sua posse. O comprovativo Perceval é um documento útil para juntar ao processo entregue ao banco.
Apresentar queixa: onde, como e com que hipóteses
Ao contrário de uma ideia persistente, a apresentação de queixa nunca pode ser recusada. O artigo 15-3 do Código de Processo Penal obriga os oficiais e agentes da polícia judiciária a receber as queixas, mesmo fora da sua área territorial, e a emitir o respetivo comprovativo. Se um agente lhe disser «isso não serve de nada», a resposta é: «desejo ainda assim apresentar queixa, agradeço que me entregue o comprovativo».
Três vias possíveis:
| Via | Prazo indicativo | Interesse |
|---|---|---|
| Esquadra de polícia ou posto da gendarmerie | Imediato a alguns dias | Comprovativo entregue no local, processo constituído com o agente |
| Queixa em linha (dispositivo de queixa desmaterializada) | Alguns dias | Prático, mas por vezes requalificado em registo de ocorrência se o processo for frágil |
| Carta ao procurador da República | 1 a 3 semanas | Útil em caso de prejuízo importante, permite expor tudo por escrito |
Para a carta ao procurador, dirija-se ao tribunal judicial do local da infração ou do seu domicílio, por correio registado com aviso de receção. O envelope deve conter os seus contactos completos, o relato cronológico datado, a qualificação prevista (burla, artigo 313-1 do Código Penal; recolha fraudulenta de dados pessoais, artigo 226-18) e os documentos. Um simples dossiê de arquivo para documentos administrativos evita ter de reconstituir o processo à pressa três meses mais tarde, quando o seguro ou o banco pedirem um documento adicional.
Quanto às hipóteses de sucesso: sejamos honestos. As campanhas de smishing são maioritariamente conduzidas a partir do estrangeiro, através de infraestruturas alugadas e de números descartáveis. A identificação dos autores é rara. Mas a queixa não tem apenas uma função repressiva: é a peça central do processo bancário e do processo junto do seguro. Sem ela, o banco tem toda a facilidade em invocar dúvidas sobre a realidade da fraude.
O verdadeiro desafio: obter o reembolso
É aqui que se joga o essencial, e é aqui que a maioria das vítimas desiste demasiado cedo, desencorajada por uma primeira recusa.
O que diz a lei
O Código Monetário e Financeiro estabelece um princípio claro. O artigo L. 133-18 prevê que, em caso de operação de pagamento não autorizada comunicada pelo utilizador, o prestador de serviços de pagamento reembolse imediatamente, e o mais tardar até ao final do primeiro dia útil seguinte à comunicação, salvo suspeita de fraude do próprio utilizador comunicada ao Banque de France.
O artigo L. 133-19 limita a parte suportada pelo ordenante e, sobretudo: quando a operação foi realizada sem autenticação forte, apesar de esta ser exigida, o ordenante não suporta qualquer perda.
O artigo L. 133-23 coloca o ónus da prova do lado do banco: é a ele que cabe provar que a operação foi autenticada, registada e não foi afetada por uma deficiência técnica. E o texto precisa explicitamente que a utilização do instrumento de pagamento registada pelo prestador não basta necessariamente para provar a negligência grave.
A noção de negligência grave e a viragem da jurisprudência
O banco só escapa ao reembolso se demonstrar uma negligência grave da sua parte (artigo L. 133-19, IV). Durante muito tempo, as instituições consideraram que comunicar um código recebido por SMS constituía, por natureza, negligência grave.
A Cour de cassation restringiu consideravelmente esta interpretação. Numa decisão notada da sua secção comercial (acórdão de 12 de novembro de 2020, recurso n.º 19-12.112), recordou que cabe ao banco fazer prova da negligência grave, e que esta não se deduz do simples facto de o cliente ter comunicado os seus dados. A jurisprudência posterior confirmou esta linha nos casos de spoofing, ou seja, de usurpação do número ou do nome do remetente do banco: quando a mensagem fraudulenta se insere no fio de conversação autêntico da instituição, a vítima não pode razoavelmente ser considerada gravemente negligente.
É este o argumento central a fazer valer por escrito:
A mensagem em causa surgiu no fio de conversação habitual da vossa instituição, sob o mesmo nome de remetente, o que tornava impossível qualquer distinção para um utilizador normalmente vigilante. Em aplicação dos artigos L. 133-18 e L. 133-23 do Código Monetário e Financeiro, cabe-vos estabelecer a minha negligência grave, a qual não pode resultar da simples comunicação dos dados.
O procedimento, passo a passo
- Contestação escrita junto da sua agência, por correio registado com aviso de receção, com a maior brevidade possível. O prazo legal máximo para contestar uma operação não autorizada é de treze meses a contar do débito (artigo L. 133-24), mas não espere: a rapidez de reação pesa na apreciação.
- Recurso ao serviço de reclamações do banco, caso a recusa se mantenha, com os mesmos documentos mais a cópia da recusa.
- Mediador bancário: gratuito, acionável em linha, dispõe de noventa dias para emitir um parecer. Os seus contactos figuram obrigatoriamente nos seus extratos e no site do banco. Uma parte significativa dos litígios de fraude resolve-se nesta fase.
- Tribunal judicial em último recurso. Para montantes modestos, o processo simplificado perante o juiz dos litígios de proteção é acessível sem advogado. Verifique já agora o seu contrato de seguro de proteção jurídica: muitos contratos de habitação ou cartões de gama alta incluem um, e este assume as despesas.
Para redigir as suas cartas sem passar a noite nisso, um guia prático do direito do consumo atualizado fornece modelos de interpelação diretamente transponíveis.
Os prejuízos que nos esquecemos de tratar
O reembolso bancário não fecha tudo. Três pontos cegos merecem uma ação distinta.
A usurpação de identidade. Se transmitiu uma cópia de documento de identificação, um comprovativo de morada ou um IBAN, existe o risco de subscrição fraudulenta de crédito. Pode pedir a sua inscrição no Fichier national des incidents de remboursement des crédits aux particuliers enquanto vítima de usurpação, através do Banque de France, e exercer o seu direito de acesso aos ficheiros de incidentes.
Os dados pessoais. Se os seus dados foram recolhidos fraudulentamente através de um site falso que imita um organismo, uma denúncia à CNIL é pertinente, sobretudo quando o organismo real sofreu uma fuga de dados na origem da segmentação. A CNIL não o indemniza, mas a sua ação pode desencadear uma inspeção.
A segurança duradoura das contas. Depois do incidente, substitua os códigos recebidos por SMS por uma aplicação de autenticação de dois fatores sempre que possível, e centralize as suas palavras-passe num gestor dedicado. Um caderno cifrado de palavras-passe em formato papel, guardado em casa, continua a ser uma solução de recurso aceitável para quem é refratário às aplicações — desde que nunca saia de casa.
O calendário a reter
| Momento | Ação |
|---|---|
| H+0 | Cancelamento do cartão e bloqueio do acesso em linha |
| H+0 | Capturas de ecrã do SMS, do URL e das operações |
| H+1 | Alteração das palavras-passe a partir de outro dispositivo |
| D+0 a D+1 | Contestação escrita ao banco (registado com AR) |
| D+0 a D+2 | Queixa na esquadra ou em linha, comprovativo guardado |
| D+0 a D+2 | Denúncia Perceval, reencaminhamento do SMS para o 33700 |
| D+30 | Insistência e recurso ao serviço de reclamações em caso de silêncio |
| D+60 | Mediador bancário |
| D+395 máx. | Limite legal de contestação (13 meses) |
O que há a reter
O smishing prospera com base num mecanismo simples: a vítima tem vergonha, logo demora, logo os prazos fecham-se. Ora a lei francesa é, neste terreno, bastante favorável ao consumidor. O ónus da prova recai sobre o banco, a negligência grave tem de ser demonstrada e não presumida, e a jurisprudência reconheceu explicitamente que uma mensagem que usurpa a identidade de uma instituição é tecnicamente indetetável por um utilizador comum.
O único comportamento realmente penalizador é a espera. Uma denúncia feita na primeira hora, um dossiê de capturas de ecrã, uma carta registada bem argumentada: é isto que distingue um processo reembolsado de um processo arquivado.
E para o futuro: o melhor reflexo continua a ser nunca utilizar um link recebido por mensagem, mesmo que perfeitamente credível. Fecha-se o SMS, abre-se a aplicação oficial, verifica-se. Três segundos a mais, e a história não acontece.
Fontes principais: Code monétaire et financier (artigos L. 133-18, L. 133-19, L. 133-23, L. 133-24), Code de procédure pénale (artigo 15-3), Code pénal (artigos 313-1 e 226-18), Cour de cassation, secção comercial (acórdão de 12 de novembro de 2020, n.º 19-12.112), Cybermalveillance.gouv.fr, service-public.fr (Perceval), Banque de France, CNIL.
