Existe uma categoria de SMS fraudulentos contra a qual todos os conselhos habituais falham.
«Verifique o número do remetente.» Está correto. «Veja se a mensagem vem de um número desconhecido.» Não vem de um número desconhecido. «Compare com as mensagens anteriores do seu banco.» Ela está mesmo por baixo das mensagens anteriores do seu banco, na mesma conversa, com o mesmo cabeçalho, o mesmo nome de remetente, a mesma apresentação.
Este fenómeno tem um nome: a usurpação de remetente, ou spoofing. Não é uma novidade técnica — a fragilidade é tão antiga quanto o SMS comercial —, mas a sua industrialização pelas redes de fraude, aliada à automatização por IA dos cenários de manipulação, transformou-a no principal vetor das burlas bancárias por telefone em França.
E, ao contrário da falsa encomenda ou do falso lembrete médico, este tipo de mensagem não pode ser detetado a olho nu. É preciso mudar de método.
Porque é que um fraudador consegue escrever «CreditMutuel» no campo do remetente
Quando uma empresa lhe envia um SMS, geralmente não usa um número de telefone, mas sim um identificador alfanumérico: «Ameli», «Colissimo», «SFR», «BNPPARIBAS». Tecnicamente, este campo chama-se Sender ID e está definido na norma GSM desde os anos 1990.
O problema resume-se a uma frase: este campo é declarativo.
No protocolo SMS original não existe qualquer mecanismo de autenticação comparável ao que conhecemos no e-mail (SPF, DKIM, DMARC). O emissor preenche uma cadeia de onze caracteres no máximo, e a rede transporta-a tal e qual até ao seu ecrã. Nada, na norma, verifica se a organização que escreve «CAISSEEPARGNE» é mesmo a Caisse d'Épargne.
Numa operadora francesa séria e numa rota dita «premium», existem controlos: o agregador A2P (Application-to-Person) exige um mandato, verifica a identidade de quem dá a ordem e regista o Sender ID. Mas o SMS é uma rede mundial interligada. Uma mensagem pode ser injetada a partir de uma operadora estrangeira, através de uma rota «cinzenta» comprada a baixo custo, e chegar a França com um identificador usurpado. É exatamente isso que fazem as plataformas de fraude, muitas vezes alojadas fora da Europa e vendidas por subscrição.
O detalhe que torna o spoofing devastador: o agrupamento de conversas
É do lado do smartphone que o assunto se torna sério.
Tanto o iOS como o Android agrupam as conversas por identificador de remetente, e não por rota técnica ou certificado. Se o seu banco lhe escreve a partir de «MABANQUE» e um fraudador injeta uma mensagem com exatamente a mesma cadeia de carateres, ambas vão parar à mesma conversa.
A mensagem fraudulenta herda então todo o capital de confiança acumulado:
- aparece por baixo dos seus verdadeiros códigos de validação;
- partilha o histórico visível das suas trocas legítimas;
- beneficia do contexto («ah sim, é mesmo a conversa do meu banco»);
- escapa aos filtros antispam baseados em números desconhecidos.
Nenhuma vigilância visual compensa isto. É estrutural.
O cenário típico de 2026: o SMS é apenas a isca
Seria um erro pensar que o objetivo da mensagem é levá-lo a clicar num link. Cada vez mais, não existe link nenhum — o que desarma os filtros automáticos e os alertas de segurança.
O esquema dominante é o seguinte:
- O SMS de alerta. «Tentativa de pagamento de 749 € na [loja] detetada. Se não reconhece esta operação, contacte o 09 XX XX XX XX.» Aparece na conversa legítima do banco.
- A chamada. Ou o utilizador liga para o número indicado, ou — variante mais agressiva — um «consultor» liga-lhe nos minutos seguintes, com um número apresentado igualmente falsificado (o spoofing também existe na telefonia de voz).
- A manipulação. O interlocutor sabe o seu nome, por vezes as suas últimas compras, o seu balcão. É calmo, profissional, e desaconselha qualquer precipitação. Pede-lhe que «bloqueie» a transação fraudulenta.
- A captação. Leva-o a validar uma operação na sua aplicação bancária, a ditar um código recebido por SMS ou a registar um novo dispositivo na sua conta. É o próprio utilizador que autoriza a transferência.
É a chamada fraude do «falso consultor bancário», que a Banque de France e o Observatoire de la sécurité des moyens de paiement documentam ano após ano como uma das mais dispendiosas por vítima. O SMS falsificado não é a burla: é a chave que abre a porta.
A regra que protege de 90 % destes cenários cabe numa frase: nenhum banco lhe pedirá alguma vez para validar, anular ou «bloquear» uma operação ditando um código ou confirmando uma notificação durante uma chamada telefónica. Uma validação serve apenas para autorizar, nunca para anular.
O que a França pôs em prática (e os seus limites)
Ao contrário de uma ideia feita, o tema não é ignorado pelo regulador.
A lei de 30 de maio de 2023 destinada a combater as fraudes e os abusos no marketing telefónico estabeleceu o princípio de um mecanismo de autenticação dos números. A Arcep publicou depois o referencial técnico designado por MAN (Mécanisme d'Authentification des Numéros), aplicado por etapas desde outubro de 2024 para os números fixos e, mais tarde, para os números móveis.
O princípio: uma operadora francesa deve verificar se uma chamada ou uma mensagem apresentada com um número francês provém efetivamente de um utilizador legítimo desse número. Caso contrário, o tráfego deve ser cortado. Os resultados são reais no que toca às chamadas fraudulentas que exibem falsos números geográficos franceses.
Mas é preciso ser honesto quanto ao que este dispositivo não resolve:
| Situação | Coberta pelo MAN? |
|---|---|
| Chamada com falso 01/09 francês | Sim, largamente filtrada |
| Chamada com falso número móvel francês | Sim, desde a extensão do dispositivo |
| SMS com falso número francês | Parcialmente |
| SMS com Sender ID alfanumérico usurpado | Não, fora do âmbito direto |
| SMS injetado a partir do estrangeiro com identificador de marca | Depende dos filtros da operadora de destino |
Em paralelo, a Fédération française des télécoms e as operadoras desenvolveram listas de identificadores alfanuméricos protegidos: uma marca regista o seu Sender ID e as operadoras bloqueiam as mensagens estrangeiras que tentem usurpá-lo. Este sistema funciona — mas assenta no voluntariado das empresas e não cobre os milhares de marcas não registadas, nem as variantes tipográficas («MA-BANQUE», «MABANQUE1»).
Por outras palavras: a situação está a melhorar, mas não está resolvida.
O método de verificação que funciona, em três tempos
Uma vez que a inspeção visual é inoperante, é preciso passar para uma lógica de verificação fora do canal. O princípio é simples: nunca validar uma informação no canal que a trouxe.
1. Suspender a ação, não a reflexão
Todos estes cenários assentam numa urgência artificial. O montante é elevado, o prazo é curto, o interlocutor cria tensão. A contramedida é mecânica: nada de bancário se decide em cinco minutos. Nenhuma operação fraudulenta detetada por um banco exige a sua intervenção imediata por telefone; os procedimentos de oposição existem e funcionam a posteriori.
2. Desligar e ligar você mesmo
O número a marcar nunca é o que vem na mensagem nem o que aparece no ecrã. É o que está inscrito no verso do seu cartão bancário ou na sua aplicação oficial. Ponto importante, muitas vezes ignorado: nas antigas linhas fixas, um fraudador podia manter a linha aberta para simular uma nova chamada. No telemóvel, esse risco é quase nulo, mas ainda assim espere alguns segundos antes de marcar.
Para quem gere várias contas ou vários cartões, manter os números de oposição registados fora do telemóvel continua a ser a solução mais robusta: uma simples agenda telefónica em papel pousada perto da secretária, ou um cartão plastificado na carteira, vale mais do que uma nota perdida num smartphone que pode ser roubado ou comprometido.
3. Verificar na aplicação, nunca a partir de um link
Abra a sua aplicação bancária a partir do ícone, não a partir do SMS. Se existir uma operação suspeita, ela estará lá. Se não aparecer nada, a mensagem é falsa. Esta verificação demora vinte segundos e neutraliza a esmagadora maioria das tentativas.
Reduzir a superfície de ataque a montante
O spoofing funciona tanto melhor quanto mais o fraudador souber sobre si. A mensagem «o seu cartão terminado em 4412» não tem nada de mágico: estes dados circulam após fugas de bases de clientes. Algumas medidas limitam a exposição.
Compartimentar o número principal. Usar uma segunda linha — cartão pré-pago ou eSIM secundário — para inscrições comerciais, entregas e anúncios classificados reduz fortemente o volume de mensagens fraudulentas dirigidas à sua linha bancária. Os telemóveis dual SIM banalizaram-se e tornam a operação indolor.
Retirar a autenticação do SMS. O código de utilização única por SMS continua a ser o elo mais fraco: é intercetável, transferível por manipulação e vulnerável ao SIM swapping. Sempre que um serviço o permita, uma aplicação de autenticação de dois fatores, ou até uma chave de segurança física FIDO2 para as contas mais sensíveis (e-mail principal, gestor de palavras-passe), muda completamente o nível de proteção. Uma chave física não pode ser ditada por telefone a um falso consultor.
Evitar palavras-passe reutilizadas. O cenário do falso consultor torna-se muito mais credível quando o burlão já tem acesso a uma conta de comerciante. Um gestor de palavras-passe, mesmo nas suas versões gratuitas, quebra esta cadeia. Para quem prefere o papel, um caderno de palavras-passe fechado à chave e guardado em casa continua a ser muito superior ao post-it debaixo do teclado.
Denunciar sistematicamente. O 33700 é o serviço nacional francês de denúncia de SMS e chamadas indesejadas, operado pelas operadoras. Reencaminhe a mensagem para o 33700 e responda depois com o número do remetente, se solicitado. É gratuito e é isso que alimenta as listas de bloqueio. Em complemento, a plataforma Cybermalveillance.gouv.fr orienta quanto aos procedimentos e o Perceval, no service-public.fr, permite denunciar o uso fraudulento de um cartão bancário.
O RCS muda o cenário?
Esta é a verdadeira boa notícia do momento. O RCS (Rich Communication Services), sucessor do SMS implementado pelas operadoras e agora suportado tanto pelo iOS como pelo Android, integra uma noção ausente do SMS: o remetente verificado.
No âmbito do RCS Business Messaging, uma empresa tem de validar a sua identidade junto de um agregador acreditado. A mensagem chega então com um logótipo, um nome verificado e um selo de verificação apresentado pela aplicação de mensagens. A Google Messages reforçou, aliás, em 2025 e 2026, a sua deteção automática de burlas, com uma classificação das mensagens suspeitas efetuada localmente no dispositivo.
Duas nuances, no entanto:
- A coexistência cria uma zona cinzenta. Enquanto o SMS clássico existir como alternativa de recurso, um fraudador pode visar precisamente esse canal não autenticado. Uma mensagem não verificada não é forçosamente fraudulenta — muitas PME ainda não migraram —, mas uma mensagem verificada é, essa sim, uma garantia sólida.
- O selo protege a identidade, não o conteúdo. Uma marca legítima pode enviar uma campanha agressiva; inversamente, a ausência de selo numa mensagem com aparência bancária deve ser doravante considerada um sinal de alerta por si só.
O hábito a adquirir é, portanto, simples: numa mensagem com implicações financeiras, procure o selo. Se não estiver lá, aplique o procedimento de verificação fora do canal sem exceção.
O que reter
- O campo do remetente de um SMS é declarativo: pode ser usurpado, e a mensagem fraudulenta arruma-se então na conversa legítima do seu banco.
- A inspeção visual não serve de nada neste caso concreto. Só a verificação fora do canal protege.
- O dispositivo francês de autenticação dos números (referencial MAN da Arcep) reduziu fortemente as chamadas que usurpam números franceses, mas não cobre os identificadores alfanuméricos.
- Nenhum banco pede para validar, ditar ou confirmar seja o que for durante uma chamada.
- O RCS com remetente verificado constitui a primeira resposta estrutural ao problema; a sua adoção plena ainda levará tempo.
O SMS foi concebido em 1992 como um canal de serviço técnico entre engenheiros. Tornou-se, trinta e quatro anos depois, a porta de entrada das nossas contas bancárias — sem nunca ter recebido os mecanismos de autenticação correspondentes. Enquanto essa lacuna não for colmatada, a melhor proteção continua a ser um reflexo muito humano: sair do canal para verificar.
