Há uma categoria de burlas em que o SMS não serve para mais nada senão fazer o telemóvel tocar uma segunda vez. Por vezes, a mensagem nem sequer contém um link. Limita-se a dizer:
«ALERTA: tentativa de pagamento de 749,00 € na ELEC-STORE não reconhecida. Se não foi você a efetuar esta operação, não faça nada, um gestor entrará em contacto consigo.»
Nenhum link para clicar, nenhum formulário, nada que se pareça com as campanhas de phishing das quais lhe ensinaram a desconfiar. Relê, procura a armadilha, não a encontra. Três minutos depois, o telefone toca — e o ecrã mostra o número do seu balcão, aquele que você próprio guardou nos contactos. É aí que a burla começa realmente.
A Banque de France, nos trabalhos regulares do seu Observatoire de la sécurité des moyens de paiement, sublinha há vários exercícios o avanço das fraudes ditas «por manipulação»: aquelas em que o burlão não precisa de nenhuma falha técnica, porque é a própria vítima que valida as operações. O SMS já não é a arma. É a campainha.
Porque é que este cenário substituiu o simples link armadilhado
Durante dez anos, o smishing bancário funcionou com um modelo simples: um SMS, um link, uma falsa página de autenticação, credenciais recolhidas. Esse modelo está a perder fôlego por três razões bem concretas.
Primeiro, os bancos generalizaram a autenticação forte das operações. Roubar as suas credenciais já não basta: é preciso também que alguém carregue em «Validar» na aplicação. Depois, os navegadores e os sistemas móveis bloqueiam uma parte crescente dos domínios falsos em poucas horas. Por fim, o público interiorizou o reflexo «não clico nos links dos SMS».
Os fraudadores deslocaram então o problema: já que, de qualquer forma, é preciso que a vítima valide, mais vale obter essa validação pela palavra. É mais lento, mais artesanal, mas infinitamente mais rentável. Um link armadilhado rende credenciais revendidas por alguns euros. Uma chamada bem-sucedida rende uma transferência de quatro ou cinco algarismos.
O SMS mantém um papel preciso neste dispositivo:
- cria a expectativa. Não recebe uma chamada inesperada, recebe a chamada anunciada. A desconfiança normal perante um número desconhecido não se ativa;
- instala o vocabulário. «Operação não reconhecida», «serviço antifraude», «colocação em segurança»: as palavras do resto da conversa já estão lançadas;
- desencadeia a adrenalina. Setecentos e quarenta e nove euros é o suficiente para acelerar o pulso, e pouco o bastante para continuar credível.
O número do seu banco no ecrã já não prova nada
O ponto de viragem, em quase todos os testemunhos, é o ecrã da chamada. O número apresentado é o verdadeiro número do serviço de apoio ao cliente, por vezes até o número direto do balcão. Algumas vítimas contam ter verificado o número no verso do cartão bancário durante a conversa e tê-lo encontrado idêntico.
Não é magia, é spoofing telefónico: a falsificação do número de origem. O protocolo de encaminhamento das chamadas foi concebido numa época em que não se previa que alguém mentisse sobre a sua identidade, e a informação «número de origem» continua a ser, no essencial, declarativa.
A França endureceu o enquadramento com o mecanismo de autenticação dos números (chamado MAN) imposto pela Arcep aos operadores desde 2024-2025: as chamadas provenientes do estrangeiro que exibam um número fixo francês não autenticado devem ser bloqueadas. O dispositivo fez cair uma parte do telemarketing fraudulento, mas tem ângulos mortos: os números móveis franceses legitimamente utilizados em roaming, as gamas de números alugadas a operadores pouco escrupulosos, as chamadas feitas a partir do território nacional através de gateways.
Retenha uma regra simples, válida em 2026 tal como em 2020: um número apresentado no ecrã não é uma identidade. É uma etiqueta colada no envelope por quem o envia.
O mesmo vale para o fio de conversa dos SMS. Uma mensagem fraudulenta que utilize o mesmo remetente alfanumérico do seu banco vai encaixar-se na conversa existente, por baixo das mensagens verdadeiras, com o histórico autêntico acima. A ilusão é total.
O guião, fase a fase
As chamadas fraudulentas seguem guiões notavelmente estáveis. Conhecer-lhes a estrutura vale mais do que qualquer lista de «sinais de alerta», porque a estrutura, essa, não muda.
Fase 1 — A tomada de controlo pela legitimidade
O interlocutor apresenta-se com um nome próprio, um apelido, um «número de colaborador». Dá-lhe informações que só o seu banco deveria possuir: os quatro últimos dígitos do cartão, o seu balcão, por vezes um ou dois débitos recentes. Estes dados provêm de fugas de bases comerciais, revendidas ao quilo. Não provam nada, mas compram-lhe a confiança em dez segundos.
Fase 2 — A inversão dos papéis
Ele não lhe pede nada. Pelo contrário, ele protege-o. É a inversão mais eficaz do guião: a vítima deixa de se perguntar «com quem estou a falar» para se perguntar «como é que me safo disto». Passa-se da vigilância para a cooperação.
Fase 3 — O teste de lealdade
«Eu nunca lhe vou pedir o seu código, isso o senhor sabe bem, não é?» Esta frase, pronunciada pelo próprio fraudador, desarma por completo. Retoma palavra por palavra a instrução oficial dos bancos, e o simples facto de a enunciar leva-o a arrumar o interlocutor do lado certo.
Fase 4 — A «colocação em segurança»
É o coração da burla. É preciso, diz ele, pôr os seus fundos a salvo numa «conta tampão», «conta caução» ou «conta técnica» enquanto se bloqueia o cartão comprometido. Vai receber uma notificação na aplicação: é a anulação da operação fraudulenta, basta validá-la. Na realidade, está a validar uma transferência a débito, a adição de um beneficiário ou o registo do telemóvel dele em vez do seu.
Fase 5 — O bloqueio do tempo
«Fique em linha, não desligue, o procedimento expira dentro de quatro minutos.» Enquanto estiver ao telefone, não pode ligar ao seu banco nem pedir a opinião de alguém próximo. A pressão temporal não tem qualquer função técnica: serve unicamente para o impedir de verificar.
O que não tem nada a ver com ingenuidade
É preciso dizê-lo com clareza, porque a vergonha é o principal obstáculo à denúncia: estas burlas não visam pessoas crédulas. Visam pessoas disponíveis. Um quadro numa reunião, um pai a vigiar uma criança, um profissional numa obra, alguém que acabou justamente de fazer uma encomenda online. O alvo não é uma pessoa, é um momento de atenção dividida.
Os guiões são escritos por equipas que os testam em milhares de chamadas e mantêm o que converte. Perante um profissional da persuasão que trabalha oito horas por dia, a inteligência não protege. Só o procedimento protege: uma regra decidida a frio, aplicada mecanicamente a quente.
O procedimento que trava tudo, em quatro gestos
1. Desligue. Sempre. Não existe nenhuma situação bancária, nenhuma, que exija ficar em linha. Um gestor verdadeiro compreenderá perfeitamente que volte a ligar. Um falso gestor implorará que não desligue — é o melhor teste que existe.
2. Volte a ligar, mas não imediatamente e não a partir da mesma chamada. Duas armadilhas clássicas. Ligar de volta para o número que acabou de telefonar não prova nada: o fraudador pode ter usurpado um número que não controla, e você vai cair no banco verdadeiro, o que o tranquilizará erradamente quanto à primeira chamada. Sobretudo, em certas linhas fixas, a linha pode permanecer aberta alguns segundos se quem ligou não desligar: marque o número a partir de outro aparelho, ou espere um minuto inteiro. Utilize apenas o número que consta no verso do cartão ou na sua aplicação.
3. Abra você mesmo a sua aplicação e leia o descritivo completo de cada notificação antes de validar. As aplicações bancárias mostram hoje o objeto real da operação: «Adição do beneficiário X», «Transferência de 4 200 €», «Novo dispositivo de confiança». Esse descritivo é a única verdade da conversa. Leia-o devagar, em voz alta se for preciso.
4. Registe tudo, de imediato. Hora da chamada, número apresentado, nome dado, montantes anunciados. Uma captura de ecrã do SMS inicial vale mais do que uma recordação. Se o caso chegar a queixa formal, estes elementos farão a diferença.
Para quem gere as contas a partir de um computador familiar, uma checklist plastificada colocada junto ao posto — ou uma simples ficha de cartolina escrita à mão e guardada num porta-documentos rígido — tem um efeito desproporcionado: transforma um reflexo emocional num gesto administrativo.
O caso particular dos cuidadores informais
Este cenário é particularmente temível junto das pessoas idosas, por uma razão que nada tem a ver com lucidez: foram educadas numa época em que se atendia o telefone e se confiava numa voz que se apresentava. A recusa em desligar na cara de alguém é uma cortesia profundamente enraizada.
Alguns ajustes concretos, sem infantilizar:
- instalar um telefone fixo de teclas grandes com filtragem de chamadas e lista branca, que deixa passar os números conhecidos e encaminha os restantes para uma mensagem;
- combinar uma palavra-passe familiar, uma palavra conhecida apenas por vocês, a pedir a qualquer pessoa que ligue em nome de uma instituição;
- afixar na parede, junto ao telefone, a frase a dizer: «Nunca trato de nada por telefone, ligo eu para o meu balcão» — um simples bloco de notas magnético colado ao frigorífico é suficiente;
- verificar se o plafond de transferências online está fixado num montante baixo e se é necessário ir ao balcão para o aumentar.
O plafond é provavelmente a medida mais eficaz de toda esta lista. Não depende de nenhuma vigilância e funciona mesmo num dia de cansaço.
E se já aconteceu: o que diz o direito
O código monetário e financeiro francês (artigos L133-18 e seguintes) estabelece um princípio forte: em caso de operação de pagamento não autorizada, o banco reembolsa imediatamente, salvo fraude ou negligência grave do cliente. Toda a batalha jurídica gira, portanto, em torno de duas palavras: «autorizada» e «negligência grave».
A posição dos tribunais evoluiu num sentido bastante favorável às vítimas. A Cour de cassation, em várias decisões proferidas desde 2023, considerou que o facto de ter comunicado um código depois de ter sido enganado por um dispositivo fraudulento sofisticado — nomeadamente quando o número do banco tinha sido usurpado — não caracteriza automaticamente uma negligência grave. O ónus da prova recai sobre o banco, que deve demonstrar com precisão o incumprimento, e não limitar-se a afirmar que o cliente «validou».
Isto não significa um reembolso automático. Significa que uma recusa por princípio pode ser contestada.
As etapas, por ordem:
| Etapa | Onde | Prazo a respeitar |
|---|---|---|
| Cancelar o cartão | Número de emergência do banco, seguido de confirmação por escrito | Imediatamente |
| Contestar por escrito | Carta registada para o balcão, reclamando o reembolso ao abrigo do L133-18 | 13 meses no máximo |
| Apresentar queixa | Esquadra, guarda ou queixa online | Sem esperar |
| Denunciar o SMS | Plataforma 33700 (reencaminhando a mensagem) | Imediatamente |
| Recorrer ao mediador | Mediador bancário, gratuito | Após recusa escrita do banco |
| Alertar | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | A qualquer momento |
Um conselho prático muitas vezes esquecido: envie a carta de contestação mesmo que um gestor lhe tenha dito oralmente que «o processo está em curso». O oral não deixa qualquer rasto, e o prazo de treze meses continua a correr. Um lote de envelopes para carta registada ou simplesmente um caderno de registo da correspondência evita perder essas datas.
Três ideias feitas para deitar fora
«O meu banco nunca me vai telefonar.» Falso, e é precisamente isso que torna a burla possível. Os serviços antifraude ligam mesmo, muitas vezes a partir de números desconhecidos. A boa regra não é «o meu banco não telefona», mas sim «nunca trato de nada durante uma chamada recebida».
«Um SMS sem link é inofensivo.» É exatamente o modelo descrito aqui. A ausência de link é um argumento de credibilidade, não uma prova de inocência.
«O 2FA protege-me.» A autenticação em dois fatores protege contra quem rouba as suas credenciais, não contra quem lhe pede gentilmente para carregar em «Validar». Todo o esforço dos fraudadores incide agora sobre esse último gesto.
O que convém guardar na memória
A burla por manipulação não se combate com um antivírus, um filtro ou uma aplicação. Combate-se com uma frase decorada e um plafond de transferências razoável.
A frase é esta: «Vou desligar e ligar para o meu banco através do número que consta no verso do meu cartão.» Dita com calma, põe fim a 100 % das chamadas fraudulentas. Nenhum burlão fica em linha depois disto. Nenhum gestor verdadeiro se ofende com isso.
Para aprofundar, os recursos públicos franceses são sólidos e gratuitos: as fichas de reflexos da Cybermalveillance.gouv.fr, as publicações do Observatoire de la sécurité des moyens de paiement da Banque de France, os alertas da DGCCRF e o serviço 33700 para denunciar SMS fraudulentos com um simples reencaminhamento. Um guia prático de cibersegurança para particulares em formato papel também pode servir de apoio à conversa em família, sobretudo com adolescentes ou pais idosos — o tema passa muitas vezes melhor à volta de um livro do que sob a forma de recomendação frontal.
E se já validou alguma coisa: não perca uma hora com vergonha. Essa hora conta para bloquear uma transferência.
