Existe uma diferença fundamental entre o SMS que anuncia que a sua conta bancária está bloqueada e aquele que lhe reclama 2,80 € de portagem por pagar. O primeiro dispara um alerta: é grande, é grave, é suspeito. O segundo não dispara absolutamente nada. É pequeno, plausível, quase aborrecido — e é exatamente por isso que se tornou, em 2026, uma das campanhas de smishing mais rentáveis em França.
«Circulou na A10 a 03/09 sem passagem validada. Montante em dívida: 2,80 €. Regularize no prazo de 48 h para evitar um agravamento de 90 €.»
Ninguém entra em pânico ao ler isto. Suspira-se. Pensa-se que a leitura do identificador falhou. E paga-se, porque três euros não valem trinta minutos de investigação. Só que o formulário não pede três euros: pede o número do cartão, a data de validade, o código de segurança e, muitas vezes, um código recebido por SMS alguns minutos depois. Nesse momento, já não são 2,80 € que desaparecem.
Porque é que os automobilistas concentram tantas campanhas
O condutor é um alvo ideal por uma razão muito simples: recebe legitimamente muitas mensagens curtas relacionadas com o seu carro. Identificador de via verde, aviso de contraordenação, taxa de estacionamento, lembrete de inspeção periódica, notificação da seguradora, posto de carregamento, aplicação de estacionamento. O canal SMS já está saturado de mensagens autênticas e impessoais, o que torna a falsa quase indetetável numa simples leitura.
A isto juntam-se três fatores próprios do momento.
A indefinição regulamentar. Entre o fim progressivo das barreiras físicas em vários eixos autoestradais, a passagem à portagem em fluxo livre, em que se paga depois da passagem, e a generalização das taxas de estacionamento geridas por operadores privados, o automobilista já não sabe bem quem tem o direito de lhe reclamar dinheiro, nem em que prazo. O fluxo livre criou, em particular, uma situação inédita: uma mensagem a reclamar um pagamento alguns dias após uma viagem pode ser perfeitamente legítima. Os burlões meteram-se por essa brecha logo no primeiro trimestre de 2026.
As fugas de dados. As bases que circulam nos mercados paralelos contêm muitas vezes bem mais do que um número de telefone: nome, código postal, por vezes marca do veículo ou matrícula parcial. Uma mensagem que apresenta «o seu veículo com a matrícula XX-123-XX» torna-se instantaneamente credível, mesmo que o burlão nunca tenha visto o seu carro.
O valor reduzido. É a verdadeira inovação. Uma campanha que reclama 400 € de multa obtém uma taxa de cliques baixa e muitas denúncias. Uma campanha que reclama 2,80 €, 4,10 € ou 17,50 € passa por baixo do radar emocional e do radar dos serviços antifraude dos bancos, que deixam passar os micropagamentos sem qualquer atrito.
As quatro famílias de mensagens em circulação
1. A portagem não paga
É a campanha mais visível desde a primavera de 2026, nomeadamente através da usurpação de marcas de portagem eletrónica bem conhecidas como Ulys, Bip&Go ou Ulys/Vinci. A mensagem refere uma passagem não validada, um identificador avariado ou uma viagem em fluxo livre não regularizada. O montante é irrisório, a ameaça de agravamento é quantificada e datada.
Sinal distintivo: a ligação nunca aponta para o domínio oficial do operador. Encontram-se variantes do tipo ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Nenhum operador francês gere os seus pagamentos num domínio paralelo criado na semana anterior.
2. A falsa contraordenação da ANTAI
A Agência Nacional de Tratamento Automatizado das Infrações (ANTAI) é o organismo oficial que envia os avisos de contraordenação em França. É usurpada em massa. O SMS anuncia um excesso de velocidade, uma infração detetada por radar ou uma multa agravada iminente.
Ponto essencial a reter: a ANTAI não envia avisos de contraordenação iniciais por SMS. Um aviso de contraordenação chega por correio postal para a morada que consta do documento único automóvel, ou na área pessoal do site oficial antai.gouv.fr. Um SMS surgido do nada a exigir o pagamento de uma multa que nunca recebeu por carta é, na esmagadora maioria dos casos, uma fraude. O Cybermalveillance.gouv.fr recorda regularmente este ponto nos seus alertas sobre smishing.
3. A taxa de estacionamento
Desde a despenalização do estacionamento pago, a famosa «FPS» é gerida pelos municípios ou pelos seus prestadores. É um terreno de jogo perfeito para a fraude, porque as regras variam de cidade para cidade e poucas pessoas sabem qual é o aspeto de um aviso autêntico. A mensagem refere um estacionamento não pago numa cidade por onde efetivamente passou — por vezes por simples probabilidade, por vezes graças a dados comprados.
4. O reembolso invertido
Variante mais matreira: não lhe pedem nada, devem-lhe algo. «Na sequência de um erro de faturação, tem direito a um reembolso de 38,40 €. Indique os seus dados bancários para o receber.» O mecanismo psicológico inverte-se: já não tem medo, está contente. E transmite um IBAN, ou até um número de cartão, a um desconhecido.
O que a mensagem procura realmente obter
É preciso distinguir três objetivos, porque a reação a ter não é a mesma.
| Objetivo | O que pede o formulário | Consequência |
|---|---|---|
| Pagamento direto | Cartão bancário para um «pequeno» montante | Débito único, por vezes subscrição oculta |
| Captura do cartão | Cartão + código de segurança + código de validação | Compras fraudulentas até ao plafond |
| Traçar perfil | Nome, morada, matrícula, e-mail | Revenda e campanhas dirigidas posteriores |
O terceiro caso é o mais subestimado. Um formulário que não pede dinheiro não é inofensivo: enriquece uma ficha que servirá para uma burla do falso gestor de conta dois meses mais tarde, essa sim bem mais dispendiosa.
A verificação em trinta segundos
A boa notícia é que existe um método simples que funciona para as quatro famílias de mensagens, sem qualquer competência técnica.
1. Não clique em nada. Sem exceções. A ligação é o único ponto de entrada do ataque; enquanto não a abrir, não acontece nada.
2. Passe pelo canal oficial que já conhece. Para uma multa: antai.gouv.fr, escrito à mão na barra de endereço. Para uma portagem eletrónica: a aplicação ou o site do seu operador, aquele onde subscreveu o contrato. Para uma taxa de estacionamento: o site oficial do município. Se o valor for realmente devido, aparecerá na sua área pessoal. Caso contrário, a mensagem era falsa.
3. Olhe para o montante e para o prazo. A urgência quantificada em 24 ou 48 horas é uma assinatura. A administração francesa funciona com prazos de várias semanas e com cartas.
4. Verifique a coerência com a sua vida real. Circulou nessa via? Estacionou nessa cidade? Uma mensagem que refere uma autoestrada onde nunca passou desqualifica-se sozinha.
5. Denuncie. O 33700 continua a ser o dispositivo nacional de denúncia de SMS fraudulentos: reencaminhe a mensagem para o 33700 e depois envie o número do remetente quando lhe for pedido. O serviço é gratuito. Em paralelo, a plataforma Signal Conso e o site cybermalveillance.gouv.fr registam as campanhas em curso.
Regra geral: nunca é a si que cabe provar que a mensagem é falsa. É à mensagem que cabe provar que é verdadeira — e só o pode fazer através de um canal que tenha sido escolhido por si.
O caso particular do condutor em viagem
A vigilância cai quando se está na estrada. Lê-se a mensagem numa área de serviço, entre duas etapas, cansado, com 12 % de bateria. É precisamente esse o momento que as campanhas visam, concentrando os envios nas sextas-feiras à noite, nos inícios de férias e nos grandes fins de semana de trânsito.
Alguns reflexos materiais reduzem o risco de forma mais eficaz do que qualquer conselho abstrato:
- Manter um suporte de telemóvel para carro devidamente fixado, para nunca ter de consultar uma mensagem à pressa ou a conduzir: um SMS lido com o carro parado é um SMS mais bem avaliado.
- Levar uma bateria externa para o smartphone: um telemóvel sem carga significa a impossibilidade de verificar seja o que for no site oficial e, portanto, a tentação de «despachar rapidamente» a partir da ligação recebida.
- Arrumar os documentos do veículo — livrete, comprovativo de seguro, declaração amigável — num único porta-documentos para o carro. Quando se sabe onde estão os papéis, verifica-se uma matrícula em dez segundos em vez de confiar no número apresentado no SMS.
Nada disto é espetacular, mas a burla da falsa portagem não se joga na técnica: joga-se nos cinco segundos em que se decide verificar ou não.
Se já clicou e pagou
O erro é frequente e não tem nada de vergonhoso. A única coisa que conta é a rapidez.
Na primeira hora: ligue ao seu banco ou cancele o cartão a partir da aplicação. O número de emergência interbancário para cancelamento de cartão é o 0 892 705 705. Peça explicitamente o bloqueio do cartão, não apenas a contestação do débito.
No mesmo dia: altere as palavras-passe das contas que partilham o endereço de e-mail usado no formulário, começando pelo próprio serviço de correio eletrónico. Se transmitiu um código recebido por SMS, considere que a conta associada está comprometida. Um gestor de palavras-passe, ou na falta dele um caderno de palavras-passe em papel guardado fora da vista, evita reciclar a mesma combinação em todo o lado — que é precisamente o que os fraudadores exploram a seguir.
Na mesma semana: apresente queixa. A pré-queixa online é possível no site do Ministério do Interior, mas a apresentação presencial na polícia ou na gendarmerie continua a ser mais eficaz para obter um auto utilizável pelo banco. Guarde capturas de ecrã do SMS, data e hora, número do remetente e extrato do débito.
A lei do seu lado: o artigo L. 133-18 do Código Monetário e Financeiro prevê o reembolso imediato de uma operação de pagamento não autorizada comunicada dentro dos prazos. O banco pode recusar invocando negligência grave do cliente, mas o Tribunal de Cassação recordou por diversas vezes, nomeadamente em acórdãos de 2023 e 2024, que a simples transmissão de dados na sequência de uma mensagem fraudulenta que imita um organismo oficial não basta para configurar essa negligência grave. Em caso de recusa, recorra ao mediador bancário e, se necessário, ao Banco de França.
Reduzir a superfície de ataque a montante
Não se pode impedir um burlão de enviar um SMS, mas pode reduzir-se a probabilidade de ser visado e, sobretudo, a probabilidade de morder o isco.
- Compartimentar os seus contactos. Utilizar um endereço de e-mail secundário para as inscrições em serviços de estacionamento, de carregamento ou de boleias limita a correlação das fugas.
- Ativar o filtro anti-spam de SMS do seu telemóvel. Tanto o Android como o iOS propõem uma filtragem dos remetentes desconhecidos, imperfeita mas útil.
- Nunca guardar o cartão bancário nas aplicações de estacionamento onde isso não seja indispensável. Um cartão virtual de utilização única, proposto por muitos bancos, limita mecanicamente os estragos.
- Avisar quem está à sua volta. Os condutores mais expostos são frequentemente os que usam pouco o digital e que, perante um SMS que menciona uma administração, preferem pagar «para ficar descansados». Um guia de cibersegurança para o dia a dia deixado ao alcance da mão numa família faz mais do que um longo discurso.
O que há a reter
O falso SMS de portagem ou de multa não foi concebido para enganar pessoas crédulas. Foi concebido para enganar pessoas apressadas, com um montante suficientemente baixo para não merecer uma verificação. É uma burla de volume: não ganha muito por vítima, mas atinge centenas de milhares de números em cada vaga.
A sua fraqueza é constante e não vai mudar: precisa que clique na ligação. Uma administração nunca lhe pede para pagar através de um URL recebido por mensagem; deixa-lhe sempre a possibilidade de ir por si próprio ao site oficial. No dia em que esse reflexo se tornar automático — verificar noutro lado, nunca na mensagem — a campanha desmorona-se, seja qual for o seu grau de sofisticação.
E se a dúvida persistir: um aviso autêntico bem pode esperar trinta minutos de verificação. Uma burla, não. É toda a diferença.
