Há um momento muito preciso em que baixamos a guarda: aquele em que o anúncio acabou de ser publicado. O sofá está fotografado, a descrição escrita, o preço definido. E vinte minutos depois, o telemóvel vibra. «Bom dia, estou interessado no seu artigo, ainda está disponível?» A mensagem é educada, correta, sem erros. Chega por SMS, diretamente para o número pessoal.
A partir daí, entra em ação uma mecânica bem oleada. Não visa os compradores — é o erro de análise mais comum — mas sim os vendedores. Aqueles que esperam uma resposta, que querem fechar negócio depressa, que já gastaram mentalmente os 250 euros da bicicleta que estão a vender.
Publicar um anúncio classificado, em 2026, é publicar um número de telefone num espaço acessível a qualquer pessoa, incluindo redes organizadas que automatizam a recolha. Aquilo que julgamos ser uma transação entre particulares transforma-se num terreno de caça. Eis como estas burlas funcionam realmente, porque resultam tão bem e que reflexos adotar antes mesmo de colocar online o primeiro objeto.
Porque é que os vendedores são alvos ideais
Um vendedor particular reúne três características que os burlões procuram.
Primeiro, está à espera de uma mensagem. Ao contrário do smishing em massa — o falso SMS das Finanças ou do cartão de saúde enviado a milhões de números ao acaso —, a mensagem recebida por um vendedor insere-se num contexto que ele próprio criou. O cérebro não procura a incoerência: procura a confirmação.
Depois, tornou o seu número acessível. Mesmo quando a plataforma disponibiliza mensagens internas, uma parte significativa dos vendedores indica o número no texto do anúncio ou aceita fornecê-lo logo na primeira troca, para «ir mais depressa». Os números são depois recolhidos automaticamente, revendidos e reutilizados durante meses.
Por fim, está numa posição de espera financeira. Tem de receber dinheiro. É essa assimetria que a burla explora: não lhe pedem que pague, explicam-lhe que tem de cumprir uma formalidade para receber. Psicologicamente, é infinitamente mais eficaz.
A plataforma Signal Arnaques e o dispositivo oficial 33700, operado pela Fédération française des télécoms sob a égide do Ministério da Economia, registam ano após ano este tipo de denúncias entre os volumes mais elevados, a par dos falsos SMS de entrega de encomendas.
Os quatro cenários mais frequentes em 2026
1. O falso link de pagamento «seguro»
É o grande clássico e continua a ser o mais rentável. O comprador explica que não se pode deslocar, propõe pagar através do sistema de pagamento integrado da plataforma e envia depois um SMS com um link.
A página que abre é uma cópia fiel: logótipo, tipografia, avisos legais, cadeado HTTPS. Pede o número do cartão bancário «para receber a transferência». Ora, nenhum sistema de pagamento no mundo pede os dados de um cartão para creditar uma conta. Receber dinheiro exige um IBAN, nunca um código de três dígitos.
Variante mais sofisticada: a página pede para iniciar sessão na área bancária para «validar a receção». O burlão recolhe as credenciais em tempo real e desencadeia uma transferência, enquanto um cúmplice telefona fazendo-se passar por consultor antifraude do banco para obter o código de validação.
2. O falso SMS da transportadora
O vendedor expediu a encomenda. Alguns dias depois: «A sua encomenda n.º FR8842… está retida no centro de triagem, taxa de reencaminhamento de 1,95 € a pagar.» O montante é deliberadamente irrisório — o objetivo não é roubar 1,95 €, mas obter os dados do cartão para instalar um débito recorrente ou revender o número.
Este cenário tem a particularidade de ser credível mesmo junto de pessoas informadas, precisamente porque há de facto uma encomenda em circulação. O único reflexo fiável: nunca seguir um link recebido por SMS, mas escrever o próprio número de seguimento no site da transportadora.
3. O pagamento em excesso e o reembolso
O comprador anuncia ter «pago a mais por engano» e envia uma captura de ecrã de uma transferência de 800 € em vez de 300 €. Pede o reembolso da diferença, por transferência imediata ou por voucher pré-pago. A captura é fabricada, a transferência não existe ou será anulada alguns dias depois.
O princípio a reter é simples: uma transferência recebida só está definitivamente adquirida quando consta do extrato de conta, não numa notificação, não numa captura de ecrã, não num e-mail.
4. A mudança de conversa
Mensagem inicial curta e inofensiva, e depois: «Podemos continuar no WhatsApp?» ou «Envie-me o seu número, eu ligo-lhe.» Sair das mensagens da plataforma faz desaparecer qualquer rasto utilizável em caso de litígio, desativa os filtros antifraude automáticos e permite enviar links que seriam bloqueados noutro lado.
Não é um pormenor: é o primeiro degrau de quase todas as burlas que se seguem.
Regra geral: quanto mais um interlocutor procura sair do canal oficial, maior é a probabilidade de fraude. É verdade para os anúncios classificados, é verdade para os falsos consultores bancários, é verdade para os falsos recrutadores.
A tabela dos sinais de alerta
| Sinal observado | Interpretação | Nível de risco |
|---|---|---|
| Comprador que não negoceia o preço | Anormal numa plataforma entre particulares | Elevado |
| Pedido do número de telefone logo na primeira mensagem | Tentativa de saída do canal seguro | Elevado |
| Link de pagamento enviado por SMS | Nenhuma plataforma legítima procede assim | Crítico |
| Formulação ligeiramente estranha, tradução automática | Rede a operar a partir do estrangeiro | Médio |
| Urgência exibida («parto esta noite») | Alavanca clássica de pressão | Elevado |
| Pedido de cartão bancário para receber | Tecnicamente impossível | Crítico |
| Proposta de pagar mais do que o preço pedido | Cenário do pagamento em excesso | Crítico |
O que fazer antes de publicar um anúncio
A melhor defesa não se joga no momento do SMS suspeito, mas bastante antes.
Nunca incluir o número no texto do anúncio. Nem na descrição, nem nas fotografias — alguns vendedores fotografam sem pensar um documento, uma etiqueta ou uma fatura com os seus contactos. Verificar as imagens antes de publicar demora dez segundos.
Limpar as fotografias. Uma imagem captada com um smartphone contém metadados, por vezes a posição GPS exata da residência. A maioria das grandes plataformas elimina-os no carregamento, mas não todas, e não nos envios por mensagem privada. Para objetos de valor, fotografar sobre fundo neutro com um pequeno estúdio fotográfico dobrável evita ainda mostrar o interior da casa, o mobiliário ou a vista da janela — outros tantos indícios para uma vigilância prévia.
Considerar um segundo número. Para quem vende regularmente, dedicar uma linha aos anúncios é a solução mais robusta. Um cartão SIM pré-pago sem fidelização, colocado num telemóvel secundário ou numa segunda ranhura SIM, isola completamente a atividade de venda do número principal — aquele que recebe os códigos bancários e as autenticações de dois fatores. No dia em que esse número secundário ficar saturado de spam, substitui-se sem consequências.
Blindar a conta principal. Uma vez que o número pessoal serve de chave de recurso para o banco, o e-mail e as redes sociais, deve ser o mais bem protegido. Passar a autenticação de dois fatores das contas sensíveis para uma aplicação dedicada, ou até para uma chave de segurança física FIDO2, elimina a dependência do SMS — canal que, recorde-se, não é encriptado e continua vulnerável ao desvio de linha.
O que fazer quando o SMS suspeito já chegou
Não clicar em nada, não responder a nada
Um simples «STOP» ou uma resposta irritada confirma que o número está ativo e atribuído a uma pessoa real. Essa informação tem valor comercial: circula depois para outras redes.
Denunciar ao 33700
O dispositivo é gratuito e funciona em dois tempos:
- Reencaminhar o SMS fraudulento para o 33700.
- Responder à mensagem automática indicando o número do remetente.
A denúncia alimenta uma base comum aos operadores, que permite suspender os números emissores e bloquear as campanhas. Através de um formulário web, o site oficial do 33700 permite igualmente denunciar as mensagens recebidas por aplicações de mensagens.
Para os links fraudulentos, a plataforma Phishing Initiative (operada em França pela Orange Cyberdefense) permite colocar o URL na lista negra dos navegadores. E para qualquer dúvida ou acompanhamento, Cybermalveillance.gouv.fr é o ponto de entrada oficial do Estado.
Se já foram introduzidos dados
O tempo conta, e mede-se em minutos.
- Ligar imediatamente para o banco para cancelar o cartão. O número consta do verso do cartão; nunca ligar para um número recebido por SMS.
- Alterar as palavras-passe das contas afetadas, a começar pelo e-mail, que comanda a reposição de todas as outras. Um gestor de palavras-passe evita reutilizar as mesmas credenciais de site para site — é essa a falha explorada na maioria das compromissões em cadeia.
- Apresentar queixa, na polícia, na guarda ou através da pré-queixa online. O comprovativo é indispensável para o que se segue.
- Pedir o reembolso. O artigo L133-18 do Código Monetário e Financeiro francês obriga o banco a reembolsar uma operação de pagamento não autorizada, imediatamente após a denúncia, salvo negligência grave do titular. O Tribunal de Cassação já esclareceu por diversas vezes que a comunicação de dados na sequência de um phishing bem elaborado não constitui automaticamente negligência grave: cabe ao banco fazer essa prova.
Documentar, sistematicamente
Capturas de ecrã do SMS com o número do remetente visível, data e hora, histórico da conversa na plataforma, referência do anúncio. São estes elementos que distinguem um processo instruído de um arquivamento. Para os vendedores regulares, manter um caderno de registo das transações com datas, montantes e compradores facilita imenso a reconstituição de um histórico vários meses depois.
A entrega em mão continua a ser o método mais seguro
Apesar da democratização dos pagamentos integrados, a transação física continua a ser estatisticamente a menos arriscada — desde que se respeitem alguns princípios.
- Encontrar-se num local público e movimentado: átrio de estação, parque de estacionamento de centro comercial; algumas câmaras municipais disponibilizam hoje «pontos de encontro» seguros e videovigiados.
- Nunca dar a morada pessoal para um primeiro contacto.
- Verificar as notas: as notas de 50 e 100 euros são as mais contrafeitas. Um detetor de notas falsas portátil custa o preço de uma transação falhada e cabe num bolso.
- Para uma transferência imediata efetuada no local, esperar a notificação bancária no próprio telemóvel, nunca no do comprador.
- Redigir um breve recibo escrito com o objeto, o preço, a data e as duas identidades. Não tem nada de excessivo para uma scooter, um instrumento musical ou material fotográfico.
Para objetos volumosos ou de valor, fazer-se acompanhar continua a ser a precaução mais simples. E, nos envios, o uso de uma embalagem segura com selo inviolável e a fotografia da encomenda fechada com a respetiva etiqueta evitam a contestação clássica da «encomenda recebida vazia».
O que as plataformas fazem — e não fazem
Os grandes marketplaces reforçaram consideravelmente os seus filtros: deteção de números nas descrições, ocultação de contactos, avisos automáticos quando uma conversa contém determinadas palavras-chave. A Leboncoin, a Vinted e as outras investem realmente no tema, sob a pressão conjunta da DGCCRF e do regulamento europeu dos serviços digitais (DSA), que impõe desde 2024 obrigações reforçadas de rastreabilidade dos vendedores profissionais e de tratamento das denúncias.
Mas persistem dois limites.
O primeiro é que a burla decorre fora da plataforma. Assim que a troca migra para SMS ou para uma aplicação de mensagens terceira, nenhum filtro se aplica. A responsabilidade do operador do marketplace acaba na sua própria infraestrutura.
O segundo é que as denúncias chegam demasiado tarde. Uma conta fraudulenta é criada, usada durante alguns dias e depois abandonada antes mesmo de ser suspensa. A rapidez de rotação torna a moderação estruturalmente atrasada.
Daí uma conclusão simples: a vigilância individual não é um complemento, é a primeira linha de defesa.
Três frases para memorizar
Se houvesse que reter apenas o essencial, seria isto.
«Receber dinheiro nunca exige um número de cartão bancário.» É a regra que, por si só, neutraliza a maioria dos cenários.
«Num link recebido por SMS não se clica.» Abre-se a aplicação oficial, escreve-se o endereço, verifica-se o número de seguimento na fonte.
«A urgência é uma ferramenta de manipulação.» Um comprador realmente interessado aceita esperar vinte e quatro horas. Um burlão, não.
Vender online continua a ser uma prática útil, económica e ecológica, a que milhões de pessoas recorrem todos os meses. O risco não é razão para desistir — é razão para separar devidamente aquilo que deve ser separado: o número de venda e o número de vida, as fotografias públicas e a intimidade, a promessa de um pagamento e a sua realidade no extrato de conta.
