Existe uma categoria de golpes por SMS da qual pouco se fala, justamente porque não parece um golpe. Nada de site bancário falso, nada de código de seis dígitos para copiar com urgência, nada de ameaça de suspensão de conta. Apenas uma boa notícia: você foi sorteado, sua fidelidade está sendo recompensada, sua encomenda é um brinde, basta pagar 1,95 € de despesas de envio.
Seis semanas depois, o seu extrato bancário mostra três débitos de 49,90 € em favor de uma empresa da qual você nunca ouviu falar. E a parte mais desagradável da história é esta: em algum lugar da página que você preencheu em trinta segundos, estava escrito — em cinza claro, em corpo 7, abaixo do botão de confirmação — que você estava contratando uma assinatura mensal renovável.
É o que se chama, no jargão anglo-saxão, de negative option billing, em português uma adesão por omissão ou assinatura oculta. Não é exatamente um roubo. E isso é bem pior de resolver: trata-se de uma zona cinzenta jurídica concebida para se parecer com um contrato.
Por que essa armadilha funciona melhor do que um site bancário falso
As campanhas clássicas de smishing — falsos SMS dos Correios, da seguradora de saúde, do seu banco — apoiam-se no medo e na urgência. Elas funcionam, mas hoje encontram uma resistência crescente: o público foi amplamente sensibilizado, os bancos repetem que nunca pedem um código por SMS e o Cybermalveillance.gouv.fr martela essa mensagem há anos.
O SMS de brinde contorna inteiramente essa defesa mental. Ele não dispara nenhum dos alarmes que você aprendeu a escutar:
- Não pede nenhuma senha.
- Não pede nenhum código de validação bancária — bem, na verdade pede, mas mais tarde e por um valor irrisório, que você confirma sem pensar.
- Não necessariamente usurpa a identidade de um órgão público: muitas vezes limita-se a evocar vagamente «sua operadora», «uma grande rede de lojas», «nosso parceiro».
- Não coloca você em perigo, ele lhe dá prazer.
A alavanca psicológica não é o medo, mas a reciprocidade e o efeito de dotação: a partir do momento em que lhe anunciam que algo já lhe pertence, abrir mão disso é vivido como uma perda. Acrescente um cronômetro na tela («seu prêmio está reservado por 9 min 47») e o tempo de reflexão desaparece.
Os golpistas que exploram esse modelo não querem roubar 800 € de uma só vez. Querem debitar 49 € durante seis meses de milhares de pessoas que, individualmente, jamais vão prestar queixa por essa quantia.
O mecanismo, etapa por etapa
1. A mensagem de abordagem
O SMS é curto, muitas vezes sem erros e cada vez mais personalizado — cruzamento com bases de dados vazadas obriga. As formulações recorrentes em 2026:
- «Olá [Nome], seu pedido nº 8842 tem direito a um brinde. Escolha aqui: …»
- «Seu plano lhe dá direito a 1 acessório grátis este mês.»
- «Reembolso de 74,32 € disponível no seu processo. Confirme seus dados.»
- «Teste de produto: receba [marca conhecida] e fique com ele.»
O link aponta para um domínio recente, curto, sem relação com a marca mencionada, frequentemente hospedado numa extensão exótica ou num subdomínio genérico.
2. O funil de qualificação
A página não pede imediatamente o seu cartão. Primeiro ela faz você jogar: uma roleta que gira, três baús para abrir, um quiz de quatro perguntas. Esse desvio não é decorativo. Ele tem duas funções:
- Comprometer você progressivamente. Quem já respondeu a quatro perguntas desiste com muito menos facilidade na quinta etapa.
- Coletar seus dados. Idade, situação, interesses, código postal: essas informações às vezes valem mais do que a própria assinatura nos mercados de revenda de cadastros.
3. O cartão bancário para «as despesas»
Em seguida vem o pedido dos dados bancários, justificado por um valor minúsculo: 1 €, 1,95 €, 2,90 € de participação nas despesas de envio. Você confirma pelo aplicativo do banco — a autenticação forte funciona perfeitamente, ela valida um pagamento que você realmente autorizou.
É aí que está o cerne do problema: a DSP2 e a autenticação em dois fatores não protegem você de um contrato que assinou sem ler. Elas verificam que é mesmo você, não que a transação é honesta.
4. A cláusula invisível
Sob o botão, num bloco de texto cinza sobre fundo branco, uma frase do tipo: «Ao confirmar, você adere ao serviço Premium pelo valor de 49,90 € por mês após um período de teste de 3 dias, cancelável a qualquer momento.» A primeira cobrança cai uma semana depois, com uma descrição bancária opaca: sigla de três letras, empresa sediada fora da França, nenhuma relação com o SMS de origem.
O que diz a lei francesa — e por que ela está do seu lado
Ao contrário do que muitas vítimas acreditam, essa prática não é legal só porque a cláusula existia. O direito francês e europeu regula de forma muito rigorosa esse tipo de venda à distância.
| Regra | Texto aplicável | O que isso muda para você |
|---|---|---|
| Consentimento expresso para qualquer pagamento adicional | Artigo L. 224-2 do Código do Consumo | Uma caixa pré-marcada ou uma menção escondida não vale como consentimento |
| Prática comercial enganosa | Artigos L. 121-2 e seguintes | Ocultar uma informação substancial (o preço real) é um delito |
| Direito de arrependimento de 14 dias | Artigo L. 221-18 | Conta a partir da celebração do contrato no caso de um serviço |
| Informação pré-contratual clara e compreensível | Artigo L. 221-5 | Um corpo 7 cinza claro sob o botão não é nem claro nem legível |
| Contestação de um pagamento não autorizado | Artigo L. 133-18 do Código Monetário e Financeiro | Reembolso pelo banco, mediante certas condições |
A Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) publica regularmente alertas sobre esses «concursos» que acabam em assinaturas. A denúncia é feita pela plataforma SignalConso. Para a dimensão cibercriminal, o Cybermalveillance.gouv.fr encaminha para os dispositivos adequados, e a plataforma Pharos recebe as denúncias de conteúdos ilícitos.
Quanto ao SMS em si: qualquer mensagem fraudulenta pode ser encaminhada gratuitamente para o 33700, o dispositivo nacional de denúncia de spam por SMS gerido pela Association Française du Multimédia Mobile em conjunto com as operadoras.
O que fazer se você já está sendo debitado
A ordem importa. Muitas vítimas começam escrevendo ao atendimento ao cliente da empresa — é a pior etapa para começar, porque faz perder dias durante os quais novas cobranças acontecem.
Etapa 1 — Bloquear o fluxo, não apenas contestá-lo
Ligue para o seu banco e peça explicitamente:
- a oposição ao comerciante (bloqueio das cobranças futuras desse beneficiário);
- e, se a dúvida for grande, a substituição do cartão. O novo número torna caducas as autorizações recorrentes.
Atenção: uma simples «oposição por perda» nem sempre basta para interromper pagamentos recorrentes já autorizados. Use as palavras exatas: «contesto uma autorização de pagamento recorrente e solicito o seu bloqueio».
Etapa 2 — Reclamar o reembolso por escrito
Envie ao seu banco uma contestação por escrito (carta registrada ou mensagem segura da área do cliente) invocando a ausência de consentimento expresso. Anexe:
- a captura de tela do SMS recebido;
- o endereço do site, se ainda o tiver no histórico;
- o extrato das cobranças;
- a cronologia precisa.
O prazo legal para contestar uma operação não autorizada é de 13 meses a partir do débito (artigo L. 133-24 do Código Monetário e Financeiro). Não deixe esse prazo escoar pensando que «já é tarde demais».
Etapa 3 — Cancelar formalmente, mesmo se o contrato for frágil
Envie uma carta registrada de cancelamento e de arrependimento para o endereço que consta nas informações legais do site. É esse documento que lhe servirá depois. Muita gente não guarda nenhum registro em papel das suas diligências; manter os avisos de recebimento em uma pasta com envelopes transparentes evita ter que reconstituir o dossiê às pressas seis meses depois.
Etapa 4 — Denunciar
- SignalConso (DGCCRF) para a prática comercial.
- 33700 para o SMS.
- Queixa na gendarmaria ou na delegacia se o valor for significativo, ou pré-queixa online.
- Sua associação de consumidores (UFC-Que Choisir, CLCV) se você esbarrar na resistência do banco.
Sete reflexos que neutralizam esse tipo de armadilha
1. Nenhuma loteria conhece você. Não é possível ganhar num sorteio do qual você não participou. Essa regra, sozinha, elimina 90 % dos casos.
2. Desconfie dos micropagamentos. Um valor deliberadamente irrisório é um sinal de alerta, não uma garantia. Sua única função é obter seus dados bancários e sua confirmação.
3. Leia o que está abaixo do botão, não acima. As condições determinantes são sistematicamente colocadas depois da chamada para ação, numa cor de baixo contraste.
4. Compartimente seus meios de pagamento. Reserve um cartão virtual de uso único ou um cartão pré-pago recarregável para compras em sites que você não conhece. O limite restringe mecanicamente os estragos. A maioria dos bancos franceses oferece esse serviço no aplicativo.
5. Confira seus extratos todos os meses. Um débito de 49 € passa despercebido para quem só olha o saldo. Um simples caderno de contas pessoal, ou uma planilha, basta para identificar uma descrição desconhecida.
6. Não reutilize seu número principal em todo lugar. Cada formulário de concurso, cada sorteio em shopping alimenta os cadastros revendidos. Para inscrições não essenciais, um segundo número num chip pré-pago sem fidelidade resolve muito bem.
7. Nunca responda «STOP» a uma mensagem fraudulenta. O STOP legal só funciona para a prospecção declarada de empresas identificadas. Diante de um golpista, ele apenas confirma que o número está ativo.
O caso específico das pessoas vulneráveis
Esse tipo de golpe atinge de forma muito desigual. Pessoas isoladas, pouco à vontade com interfaces ou que usam o smartphone sem óculos adequados simplesmente nunca verão a menção em corpo 7. Não é falta de atenção: é um design deliberadamente hostil.
Algumas medidas concretas, sem infantilizar:
- Ativar o aumento do texto e o contraste elevado nas configurações de acessibilidade do telefone.
- Para leitura prolongada de tela, óculos-lupa de alta ampliação tornam legíveis as menções legais que as interfaces enterram de propósito.
- Combinar uma regra simples e inegociável dentro da família: nenhum cartão bancário digitado a partir de um link recebido por SMS, nunca, seja qual for o motivo.
- Definir um limite de pagamento baixo no cartão, ajustável pontualmente.
Para quem quiser compreender de forma mais ampla os mecanismos dessas manipulações, vários livros de divulgação sobre cibersegurança voltados ao grande público explicam muito bem os mecanismos de engenharia social sem exigir conhecimentos técnicos.
E se você apenas clicou?
Clicar no link sem preencher nada é, na imensa maioria dos casos, inofensivo num smartphone atualizado. O verdadeiro risco começa no preenchimento de informações. Dito isso, algumas precauções razoáveis:
- Verifique se o seu sistema operacional está atualizado — é a proteção mais eficaz e a mais negligenciada.
- No Android, confira que nenhum aplicativo foi instalado fora da loja oficial.
- Se você informou seu e-mail, espere um aumento do spam; considere um gerenciador de senhas para compartimentar seus acessos, caso reutilize a mesma senha em todo lugar.
- Monitore suas contas durante três meses.
O que é preciso lembrar
O SMS de brinde é a face sorridente do smishing. Ele não ataca o seu banco, ataca a sua leitura. Não aposta no pânico, aposta em trinta segundos de entusiasmo e numa tipografia concebida para ser ignorada.
A contramedida não é nem técnica nem complicada: nenhum pagamento, nem sequer de um euro, deve ser feito a partir de um link recebido por SMS. Se a oferta for real, ela também existirá quando você digitar você mesmo o endereço do site oficial no navegador. E se ela só existe no SMS, é porque nunca existiu.
Em caso de dúvida, encaminhe a mensagem para o 33700, denuncie no SignalConso e apague. Um presente que exige o seu cartão bancário não é um presente: é uma fatura disfarçada.
