Lemos sempre um SMS pela ordem errada. Primeiro o texto, a promessa ou a ameaça que contém, e depois — às vezes, tarde demais — a linha de cima: aquela que indica quem escreve. Ora, é essa linha que contém quase toda a informação útil.
É que, em França, uma mensagem pode chegar sob pelo menos cinco identidades técnicas diferentes: um número de telemóvel clássico começado por 06 ou 07, um número geográfico, um número curto de quatro ou cinco dígitos, um nome escrito por extenso («AMELI», «Colissimo», «BANQUE»), ou um número internacional. Cada um destes formatos obedece a regras distintas, custa um preço diferente ao remetente e oferece um nível de garantia muito desigual.
Saber distingui-los não substitui a prudência, mas muda radicalmente as coisas: permite triar em três segundos, antes mesmo de ler o corpo da mensagem, o que é plausível e o que não é.
Os cinco rostos de um remetente de SMS
1. O número de telemóvel clássico (06 / 07)
É o formato de um particular. Um verdadeiro número móvel francês atribuído pela ARCEP a um operador e, depois, a um assinante. Permite responder, permite ligar.
Uma empresa ou uma administração não tem normalmente qualquer razão para lhe escrever a partir de um 06 ou de um 07 para uma notificação oficial. Quando isso acontece — «A sua encomenda está retida, regularize aqui», assinado por um 07 —, o remetente é ou um particular ou, muito mais frequentemente, um burlão equipado com cartões SIM pré-pagos ou com um aparelho de envio automatizado (as famosas «SIM boxes»).
Guarde este reflexo simples: uma mensagem institucional enviada a partir de um número de telemóvel pessoal é uma anomalia, independentemente do seu conteúdo.
2. O número curto (4 a 5 dígitos)
Os números curtos são atribuídos e regulados em França pela ARCEP, no âmbito do plano de numeração. Repartem-se por grandes famílias reconhecíveis pelo prefixo:
| Formato | Utilização | Exemplo de uso real |
|---|---|---|
| 3xxxx (5 dígitos) | Serviços SMS, incluindo MAN (Multi-Access Number) | Notificações de seguimento, alertas |
| 36xxx / 38xxx | SMS Multi-Access Number, incluindo 38028 (Signal Spam / 33700) | Denúncia de spam |
| 7xxxx / 8xxxx | SMS de valor acrescentado, jogos, votações, donativos | Donativos a uma associação |
| 1xx | Serviços de emergência e sociais (112, 114, 115, 119) | 114: emergências por SMS para surdos e pessoas com deficiência auditiva |
Dois números curtos merecem ser memorizados em França:
- 33700: o serviço de denúncia de SMS e chamadas indesejadas, operado pelos operadores franceses. Reencaminha-se a mensagem fraudulenta e, depois, envia-se o número do remetente quando este o solicitar.
- 114: o número de emergência acessível por SMS, destinado a pessoas surdas, com deficiência auditiva ou impossibilitadas de falar.
Um ponto importante: os números curtos são alugados junto de agregadores, não comprados definitivamente. Um mesmo número de 5 dígitos pode, portanto, servir sucessivamente vários anunciantes. Um número curto «já visto» não é prova de autenticidade — é apenas sinal de que o remetente passou por um circuito profissional declarado.
3. O remetente alfanumérico (um nome em vez de um número)
É o formato mais enganador e aquele que importa compreender prioritariamente. Quando o seu telefone mostra «AMELI», «SFR» ou «LIVRAISON» no topo da conversa, não está a mostrar uma identidade verificada: está a mostrar uma cadeia de caracteres fornecida pelo próprio remetente num campo técnico da mensagem, chamado sender ID ou OADC (Originating Address).
Tecnicamente, esse campo é declarativo. Nada, no protocolo SMS, o certifica. É isso que torna possível o spoofing de remetente: usurpar o nome de uma marca para que a mensagem apareça no sítio certo.
E é aí que se joga a armadilha mais eficaz do smishing francês: o agrupamento de conversas. Se uma mensagem fraudulenta usar exatamente o mesmo sender ID de uma mensagem legítima recebida anteriormente, a sua aplicação de mensagens pode inseri-la no mesmo fio das mensagens verdadeiras do organismo. O SMS de phishing surge então mesmo por baixo do verdadeiro SMS de marcação médica ou de código de entrega. O contexto faz o resto do trabalho.
Um fio de conversa não autentica nada. Uma mensagem fraudulenta pode infiltrar-se numa conversa legítima já existente se reutilizar o mesmo nome de remetente.
A França implementou, desde 2023-2024, um dispositivo de combate: o referencial MAN e a obrigação, para os operadores, de filtrar os sender ID alfanuméricos não declarados num registo. A ideia é só aceitar em França os nomes de remetentes registados por empresas identificadas. O dispositivo reduziu o volume de spoofing puro, mas não o eliminou: as campanhas contornam o filtro passando por rotas internacionais ou registando nomes genéricos credíveis («INFO-COLIS», «SECURITE») que não são marcas protegidas.
4. O número geográfico (01 a 05, ou 09)
Receber um SMS a partir de um 01 ou de um 09 já não é raro: os números fixos podem tecnicamente transportar SMS há vários anos. Alguns consultórios médicos, oficinas ou pequenos comércios usam-nos para os seus lembretes de marcação, através do respetivo software de gestão.
O 09 merece atenção especial: estes números «não geográficos» são massivamente utilizados em telefonia sobre IP, logo, fáceis de obter em volume e de deitar fora. Muita da prospeção comercial — e parte da fraude — passa por aí.
5. O número internacional
Um +44, +212, +48 ou +1 num SMS supostamente vindo do seu banco francês é uma incoerência maior. As campanhas de smishing recorrem frequentemente a rotas internacionais baratas porque escapam parcialmente aos filtros nacionais.
Atenção, porém, a uma nuance: certos serviços estrangeiros perfeitamente legítimos (uma plataforma de reservas, um serviço americano a enviar um código de verificação) escrevem a partir de um número internacional. O critério não é «internacional = fraude», mas sim «internacional quando o organismo é puramente francês = fraude».
O que o seu telefone não lhe mostra
Nenhum sistema operativo destinado ao grande público mostra o cabeçalho completo de um SMS. Não verá o identificador do centro de mensagens (SMSC) que encaminhou a mensagem, nem a rota utilizada, nem a data/hora real da rede. Estes elementos existem — são até explorados pelos operadores e, em caso de processo, pelos investigadores —, mas não chegam ao ecrã.
O que pode fazer, em contrapartida:
- Premir longamente a mensagem e depois mostrar os detalhes: no Android, o menu «Detalhes» indica por vezes o remetente em bruto, a hora de receção na rede e o tipo (SMS, MMS, RCS).
- Verificar o canal: uma mensagem RCS aparece com aviso de leitura e muitas vezes com um logótipo de marca verificado (RCS Business Messaging). Uma mensagem que diz vir de uma grande marca em SMS simples, quando essa mesma marca lhe escreve habitualmente em RCS com logótipo, deve fazer soar o alarme.
- Olhar para o comprimento: um SMS com mais de 160 caracteres é concatenado. Não é, em si, um sinal de fraude, mas as campanhas automatizadas têm frequentemente formulações calibradas e repetitivas.
O teste das três perguntas
Antes de clicar seja no que for, três perguntas bastam na grande maioria dos casos.
1. O formato do remetente corresponde ao organismo anunciado?
Uma administração ou uma grande empresa francesa escreve a partir de um número curto, de um remetente alfanumérico declarado, ou em RCS verificado. Não a partir de um 07, não a partir de um +33 7 «estranho», não a partir de um número estrangeiro.
2. A mensagem exige uma ação urgente que envolva um pagamento ou uma identificação?
As três combinações vencedoras da fraude em França continuam a ser: um pequeno montante a pagar (taxas alfandegárias, reexpedição de encomenda, multa), uma «atualização» de dados bancários e uma «verificação de conta» com código recebido por outra via. A urgência é o ingrediente ativo.
3. O link aponta para um domínio oficial?
Os organismos públicos franceses usam domínios em .gouv.fr ou domínios de marca conhecidos. Um link encurtado, um domínio composto (ameli-remboursement-fr.com), um subdomínio enganador (ameli.fr.securite-connexion.net): tudo isso é desqualificante. Note-se que ler um URL longo num ecrã de 6 polegadas é um exercício penoso; muitos leitores ganham em usar um suporte de telemóvel ajustável para examinar uma mensagem duvidosa à altura dos olhos em vez de à distância do braço, ou simplesmente em consultar a mensagem num ecrã maior.
Verificar sem clicar: o método do canal paralelo
A regra mais eficaz contra o smishing cabe numa frase: nunca se verifica uma mensagem através da própria mensagem.
Concretamente:
- Um SMS do seu banco? Abre-se a aplicação bancária, ou liga-se para o número que consta no verso do cartão.
- Um SMS da Segurança Social (Assurance Maladie)? Entra-se na conta Ameli escrevendo o endereço à mão, ou usa-se a aplicação oficial.
- Um SMS de uma transportadora? Retoma-se o número de seguimento no site da transportadora, sem passar pelo link.
- Um SMS das Finanças? Passa-se por impots.gouv.fr e pela área pessoal.
Esta disciplina exige mais dez segundos. Neutraliza praticamente tudo, incluindo as campanhas muito bem feitas.
Para as famílias que querem formalizar estes reflexos — nomeadamente com adolescentes ou familiares menos à vontade —, algumas páginas de um guia de cibersegurança para principiantes pousadas junto ao computador da família fazem muitas vezes mais efeito do que um longo discurso: ver os mecanismos escritos preto no branco torna-os concretos.
Denunciar: o que isso muda realmente
Muitos leitores presumem que uma denúncia desaparece no vazio. Na realidade, em França funcionam dois circuitos:
- 33700 (SMS, chamadas e mensagens indesejadas), dispositivo assegurado pelos operadores. Reencaminha-se a mensagem para o 33700 e responde-se depois com o número do remetente. Os números massivamente denunciados são bloqueados e os emissores identificados podem ser sancionados.
- cybermalveillance.gouv.fr e a plataforma THESEE para apresentar queixa online por burla na internet. O Signal Spam completa o dispositivo do lado do e-mail.
A ARCEP e a DGCCRF acompanham, por seu lado, os incumprimentos às regras de prospeção. E, do lado dos dados pessoais, a CNIL recorda regularmente que a prospeção por SMS exige um consentimento prévio explícito: uma mensagem comercial não solicitada para a qual nunca deu consentimento já é, em si mesma, uma irregularidade — mesmo que não seja fraudulenta.
Reduzir a superfície de exposição
Identificar um remetente é uma competência defensiva. Também se pode jogar a montante, limitando o número de mensagens duvidosas que chegam.
Filtrar no telefone. O iOS oferece a filtragem de remetentes desconhecidos (Definições → Apps → Mensagens → «Filtrar remetentes desconhecidos»), que arruma as mensagens de números ausentes dos seus contactos num separador à parte. O Google Messages, no Android, dispõe de uma proteção antispam que se reforçou nitidamente em 2025-2026, com deteção de padrões de burla e ocultação de links nas mensagens suspeitas.
Compartimentar os números. Usar um número secundário — segunda linha de um tarifário, eSIM dedicado, número de um serviço online — para inscrições comerciais, anúncios e entregas. O número principal fica reservado à família e amigos, ao banco e à administração. Um cartão SIM pré-pago sem fidelização chega perfeitamente para esse papel e custa alguns euros.
Proteger o que protege as suas contas. O SMS continua a ser o elo fraco da autenticação de dois fatores, porque depende de um número que pode ser desviado. Passar as contas sensíveis para uma aplicação de autenticação, ou para uma chave de segurança física FIDO2, retira ao SMS o seu papel de chave-mestra. É o gesto que torna um smishing bem-sucedido muito menos dispendioso.
Cuidar do material de leitura. Pormenor prosaico mas real: boa parte dos cliques acidentais vem de um ecrã riscado, de um dedo molhado ou de uma leitura no metro. Uma película de proteção em vidro temperado e um pouco de luz bastam para reduzir os gestos falhados.
O caso particular dos SMS políticos e institucionais
A primavera de 2026 recordou, por ocasião das eleições municipais, que um SMS perfeitamente legal pode ser perfeitamente irritante. As mensagens de campanha enviadas a partir de remetentes alfanuméricos suscitaram inúmeras reações, e muitos destinatários perguntaram-se como é que o seu número tinha sido obtido.
Há aqui duas coisas a distinguir:
- Um SMS fraudulento procura obter dinheiro ou credenciais. Denuncia-se ao 33700 e apaga-se.
- Um SMS não solicitado mas lícito ou semi-lícito cai no direito da prospeção. Aí, a alavanca é o RGPD: pedir ao remetente a origem dos dados, exercer o direito de oposição e recorrer à CNIL em caso de recusa. A palavra-chave «STOP» continua obrigatória nos SMS comerciais — mas não tem qualquer valor, nem qualquer interesse, perante uma campanha de fraude, em que responder apenas confirma que o número está ativo.
Três segundos, cinco formatos
Com o hábito, a leitura do remetente torna-se automática. Um número curto conhecido: plausível. Um nome de marca num fio já existente: plausível, mas o link continua por verificar. Um 07 assinado por uma administração: para o lixo. Um +48 assinado por um banco francês: para o lixo. Um 09 com um link encurtado: para o lixo.
O SMS nunca foi concebido para provar quem fala. Foi concebido, em 1992, para transportar 160 caracteres num canal de sinalização residual. Trinta e quatro anos mais tarde, transporta marcações médicas, códigos bancários e convocatórias administrativas — sem nunca ter ganho um mecanismo de autenticação digno desse nome. Cabe ao destinatário colmatar a falha, e isso começa por ler a primeira linha antes das outras.
