Aprendemos, coletivamente, a desconfiar da encomenda retida na alfândega. A mensagem tornou-se uma piada recorrente: «A sua encomenda não pôde ser entregue, pague 1,99 € de taxas». Até as pessoas menos à vontade com o digital a reconhecem hoje ao primeiro olhar.
Os burlões sabem-no. E mudaram de terreno.
Desde 2024, e de forma muito mais marcada em 2025 e 2026, toda uma família de burlas por SMS se deslocou para um campo bem mais eficaz: a saúde. Falso lembrete de consulta com um especialista, alegada atualização do cartão de utente, resultados de análises «disponíveis», notificação da área pessoal de saúde, cobrança de um seguro de saúde. Mudou o registo, mudou também o mecanismo.
É que estas mensagens já não jogam com a ganância nem com o medo de uma multa. Jogam com algo bem mais profundo: o reflexo de conformidade perante o sistema de saúde. Quando recebemos uma mensagem que parece vir de um laboratório de análises, não perguntamos «será uma burla?». Perguntamos «o que é que me esqueci de fazer?».
Porque é que a saúde se tornou o terreno de jogo ideal
Combinaram-se três fatores.
O primeiro é a banalização dos SMS médicos legítimos. Desde a generalização da marcação de consultas online, toda a gente recebe efetivamente SMS de lembrete: o consultório dentário, o centro de radiologia, o laboratório de análises clínicas, o fisioterapeuta. Estas mensagens são curtas, secas, muitas vezes enviadas a partir de um número curto ou de um remetente alfanumérico desconhecido, e contêm frequentemente uma ligação. Por outras palavras: a mensagem fraudulenta não precisa de se parecer com nada de excecional. Basta-lhe parecer-se com a norma.
O segundo é a implementação dos registos de saúde digitais. Criada automaticamente para a esmagadora maioria dos utentes, esta caderneta de saúde digital continua mal conhecida no seu funcionamento concreto. Muita gente sabe que tem uma conta sem saber ao certo o que contém, quem lá pode depositar um documento, nem qual o aspeto de uma notificação oficial. Essa névoa é exatamente o espaço onde prospera o phishing.
O terceiro é o valor dos dados recolhidos. Uma burla na área da saúde não procura apenas um número de cartão bancário. Procura um número de segurança social, uma data de nascimento, por vezes uma cópia de um comprovativo de direitos. Estes elementos alimentam depois fraudes bem mais rentáveis: abertura de contas, usurpação de identidade, pedidos de crédito ou revenda em mercados criminosos.
Um cartão bancário comprometido cancela-se em dez minutos e substitui-se numa semana. Um número de segurança social, esse, acompanha-o toda a vida.
Os cinco cenários mais frequentes em 2026
1. A «atualização» do cartão de utente
É o cenário-rei. A mensagem anuncia que o seu cartão de utente está a expirar, tem de ser renovado, ou que os seus direitos vão ser suspensos por falta de atualização. Uma ligação remete para uma página que imita a interface oficial, exige o estado civil, o número de segurança social, um IBAN «para os reembolsos» e depois um cartão bancário «para os custos de envio de 1 €».
O ponto a reter é simples e definitivo: o cartão de utente não expira e a sua renovação nunca é paga. As entidades de saúde recordam-no explicitamente nos respetivos sítios. Uma atualização de cartão faz-se num quiosque na farmácia ou num balcão de atendimento, nunca através de uma ligação recebida por SMS.
2. Os falsos resultados de análises
«Os seus resultados estão disponíveis, consulte-os aqui.» A mensagem chega por vezes alguns dias depois de uma verdadeira colheita de sangue — pura coincidência, ou efeito de massa: quando se enviam centenas de milhares de SMS, uma parte cai forçosamente sobre pessoas que aguardam mesmo por resultados.
Os laboratórios verdadeiros enviam geralmente um identificador e remetem para um portal que exige um código fornecido no seu relatório em papel. Nunca pedem número de cartão bancário, nem «custos de processo».
3. A falsa notificação da área pessoal de saúde
Mais sofisticada, imita o tom institucional: «Foi adicionado um novo documento ao seu processo clínico.» O objetivo é recolher as credenciais da conta, que dão acesso a um historial médico completo — matéria-prima ideal para chantagem ou para engenharia social posterior.
Lembrete útil: o acesso à área pessoal de saúde faz-se exclusivamente a partir da aplicação oficial ou do sítio oficial, com um código provisório enviado no momento da criação. Nenhuma notificação legítima pede que se volte a introduzir uma palavra-passe a partir de uma ligação recebida por SMS.
4. A falsa consulta com um especialista
«A sua consulta de 12/09 está confirmada. Para a anular: [ligação].» Este formato é particularmente perverso porque não pede nada: empurra para clicar de modo a anular algo que nunca se marcou. O reflexo é corretivo, não ganancioso. E funciona.
5. O falso seguro de saúde ou subsistema complementar
Mensagem a anunciar um reembolso pendente, um valor cobrado a mais para recuperar, ou uma rescisão iminente do contrato. Usa-se frequentemente o nome de uma seguradora real. Também aqui, a promessa de dinheiro devido — e não pedido — desarma a vigilância.
O método das três perguntas
Perante um SMS deste tipo, é inútil memorizar uma lista de números fraudulentos: mudam de hora a hora. Vale mais aplicar uma grelha de leitura estável.
Pergunta 1: esta mensagem pede-me para agir com urgência? Suspensão de direitos, expiração em 48 h, último aviso. A urgência é a ferramenta principal do burlão, porque curto-circuita a verificação. Nenhum organismo de saúde suspende direitos por SMS com um prazo de dois dias.
Pergunta 2: esta mensagem pede-me dados que o remetente já possui? O seu serviço de saúde conhece o seu número de segurança social. O seu laboratório sabe o seu nome. Um organismo legítimo não lhe volta a pedir aquilo que já tem em base de dados. Quando uma mensagem exige o conjunto da sua identidade administrativa, não está a verificar: está a recolher.
Pergunta 3: estou a usar a ligação fornecida ou o meu próprio caminho de acesso? É o princípio mais robusto de toda a segurança digital do dia a dia. Nunca entrar num serviço pela porta que nos estendem. Feche o SMS, abra a aplicação oficial ou escreva você mesmo o endereço. Se a informação for real, estará lá. Se não estiver, a questão fica resolvida.
O que os filtros automáticos sabem (e não sabem) fazer
Em 2026, as aplicações de mensagens progrediram nitidamente. O Google Messages arruma agora parte dos SMS suspeitos numa pasta separada e mostra avisos sobre ligações duvidosas; o iOS filtra os remetentes desconhecidos num separador distinto há várias versões. Estas proteções detetam bem as campanhas massivas, repetitivas, enviadas a partir de números já queimados.
Detetam muito menos bem três coisas:
- As campanhas curtas e direcionadas, enviadas apenas a alguns milhares de números, que não têm tempo de ser sinalizadas antes de produzirem o seu efeito.
- As mensagens sem ligação, que se limitam a convidar a telefonar para um número. O vetor passa então a ser a voz, e a engenharia social joga-se em direto.
- As mensagens que se inserem num fio já existente, quando um remetente alfanumérico legítimo é usurpado e o SMS fraudulento aparece na mesma conversa que os verdadeiros.
Este último ponto merece ser bem compreendido: um SMS fraudulento pode surgir no fio de mensagens de um organismo real, porque o nome de remetente apresentado não é garantia de autenticidade. A aparência de continuidade é uma ilusão técnica, não uma prova.
Para quem recebe muitas solicitações e gere várias linhas, um telemóvel com dois SIM permite pelo menos compartimentar: uma linha reservada às diligências administrativas e bancárias, outra divulgada mais amplamente. Não é uma proteção contra a burla, mas torna as anomalias muito mais legíveis.
Denunciar: os circuitos que existem realmente
A denúncia não é um gesto simbólico. Alimenta bases de dados usadas pelos operadores para cortar os números emissores e mandar encerrar os domínios fraudulentos.
| Canal | Para que serve | Como |
|---|---|---|
| 33700 | Plataforma oficial de denúncia de SMS e chamadas indesejadas, gerida pelo setor das telecomunicações | Reencaminhar o SMS para o 33700 e depois enviar o número do remetente quando a resposta o pedir |
| Signal Conso / Phishing Initiative | Denúncia de sites de phishing para bloqueio | Copiar o URL sem o visitar |
| Cybermalveillance.gouv.fr | Diagnóstico, conselhos e ligação a prestadores | Percurso online guiado |
| Serviços de saúde (Ameli) | Denúncia de usurpações da sua identidade visual | Secção dedicada às tentativas de fraude |
| Perceval | Denúncia de utilização fraudulenta de cartão bancário | Serviço online em service-public.fr |
O 33700 continua a ser o gesto mais útil no dia a dia: é gratuito, demora trinta segundos, e é ele que permite a rápida desativação dos números emissores.
Cliquei. E agora?
Clicar numa ligação não é, em si, catastrófico. O perigo começa na introdução de dados. A reação hierarquiza-se, portanto.
Se não introduziu nada: feche a página, apague a mensagem, denuncie-a. O risco residual é baixo.
Se introduziu credenciais: mude imediatamente a palavra-passe do serviço em causa, bem como a de qualquer outra conta onde a mesma palavra-passe fosse reutilizada. É o momento de recordar que um gestor de palavras-passe torna esta operação trivial em vez de angustiante — e que permite sobretudo nunca mais reutilizar uma palavra-passe de um serviço para outro.
Se introduziu dados bancários: ligue de imediato para o serviço de cancelamento do seu banco e depois participe a operação no Perceval. A diretiva europeia relativa aos serviços de pagamento enquadra estritamente os casos de reembolso em caso de operação não autorizada: o banco deve reembolsar, salvo se demonstrar negligência grave da sua parte, o que exige da parte dele uma verdadeira demonstração, não uma simples afirmação.
Se comunicou o seu número de segurança social e o seu estado civil: não existe botão de anulação. Vigie os extratos de reembolsos na sua conta de utente durante vários meses e avise o seu serviço de saúde. Anote a data e a hora do incidente: estes elementos contam em caso de queixa posterior.
Ganhar o hábito de guardar um registo escrito destes incidentes — num simples caderno de notas dedicado mantido junto à secretária ou num ficheiro cifrado — evita ter de reconstituir os factos de memória seis meses depois, quando um organismo pede esclarecimentos.
O caso particular dos familiares vulneráveis
Estas burlas visam estatisticamente mais as pessoas com acompanhamento médico: doentes crónicos, idosos, grávidas, famílias com crianças pequenas. Não por crueldade calculada, mas por mecânica: são aquelas para quem um SMS de saúde é permanentemente plausível.
Três medidas simples, sem vigilância nem infantilização:
- Estabelecer uma regra única em vez de uma lista de proibições. «Nunca se preenche um formulário que chegou por SMS» é memorizável. «Atenção às ligações .pt duvidosas» não é.
- Definir um número de recurso. Um contacto designado a quem se telefona antes de fazer o que quer que seja, sem julgamentos. A vergonha de «ter caído» é o primeiro fator de silêncio e, portanto, de agravamento.
- Reduzir a superfície de exposição. Num telemóvel destinado a um uso simples, um telemóvel sénior com teclas grandes sem navegador web elimina pura e simplesmente o vetor da ligação clicável. Não é um retrocesso: é uma redução voluntária da superfície de ataque.
Para ajudar um familiar a formar-se sem dramatizar, um guia de divulgação sobre cibersegurança resulta muitas vezes melhor do que um sermão familiar, porque desloca a autoridade para fora da relação.
O que há a reter
As burlas de saúde por SMS não são tecnicamente mais sofisticadas, nem mais difíceis de detetar do que as anteriores. São apenas mais bem calibradas do ponto de vista psicológico. Não pedem que se acredite num ganho improvável: pedem que se acredite numa administração normal.
A defesa cabe numa frase, que vale tanto para o cartão de utente como para o banco, o seguro de saúde ou a escola: nenhuma informação real depende da ligação que lhe enviam. Ela já existe algures, num espaço a que acede pelos seus próprios meios. Dedicar trinta segundos à verificação por esse caminho basta para fazer fracassar a quase totalidade destas campanhas.
E quando a dúvida persiste, o reflexo mais económico continua a ser o reencaminhamento para o 33700 antes de qualquer outra ação. Uma denúncia de trinta segundos raramente protege quem a envia — mas protege muitas vezes os milhares de pessoas que vão receber a mesma mensagem na hora seguinte.
Fontes e recursos oficiais: Assurance Maladie (ameli.fr), Cybermalveillance.gouv.fr, service-public.fr (Perceval), plataforma 33700, Mon espace santé (monespacesante.fr).
