A mensagem chega numa terça-feira, às 11h12:
«Olá, Marie, sua encomenda nº FR-4471209 não pôde ser entregue na Rua dos Lilases, 14 (bloco B). Escolha um novo horário: suivi-relais-colis.net/fr»
Seu nome. Sua rua. Seu bloco. Um código de rastreio idêntico aos que você realmente recebe. A essa altura, a pergunta que a maioria das pessoas se faz já não é «isso é golpe?», e sim «como eles sabem?».
É exatamente esse deslocamento que os golpistas quiseram provocar. Durante anos, o SMS de golpe da entrega foi uma rede lançada ao acaso: «Sua encomenda está retida», enviado a milhões de números, na esperança estatística de que alguns realmente estivessem esperando alguma coisa. Em 2026, já não é uma rede. É um tiro certeiro, alimentado por dados pessoais bem reais. E entender de onde eles vêm muda completamente a forma de se defender.
A virada: da mensagem genérica à mensagem documentada
É preciso dimensionar a diferença. Um SMS genérico converte pouco — as estimativas dos atores da luta antifraude giram em torno de alguns décimos de por cento de cliques. Um SMS que cita seu nome e seu endereço exato faz esse índice disparar, porque curto-circuita o único reflexo de defesa que a maioria de nós aprendeu: «se a mensagem não me conhece, é falsa».
Esse atalho mental nunca foi um critério confiável. Hoje, é menos ainda. A Commission nationale de l'informatique et des libertés (CNIL) registra a cada ano vários milhares de notificações de violações de dados pessoais na França, sendo uma parcela significativa relativa a cadastros de clientes com nome, endereço postal, e-mail e número de celular. Esses quatro campos bastam para fabricar um SMS de entrega convincente.
Em outras palavras: a personalização não prova nada. Prova apenas que alguém, em algum lugar, tem uma linha de banco de dados sobre você. O que, estatisticamente, já vale para praticamente todos os adultos franceses.
De onde vêm realmente esses dados? Cinco canais
1. As brechas em lojas e transportadoras
É a fonte mais abundante. Um site de e-commerce, uma plataforma de ingressos, uma rede de material de construção, um serviço de entrega de refeições: cada um guarda cadastros de clientes com exatamente o que é preciso. Quando ocorre uma invasão, esses arquivos saem em bloco.
A particularidade das transportadoras e dos comerciantes é cruel: seus dados contêm o contexto da entrega. Não apenas o seu endereço, mas também a existência de um pedido, sua data e, às vezes, o nome da loja. É isso que permite ao SMS mencionar «sua encomenda da Decathlon» em vez de um vago «sua encomenda».
2. Os agregadores e revendedores de cadastros
Entre a brecha e o SMS existe uma indústria intermediária. Alguns atores compram, cruzam e enriquecem bases: combinam um arquivo com nome + e-mail com outro contendo e-mail + telefone e obtêm um registro completo. Esse trabalho de cruzamento explica por que dados roubados em 2023 podem gerar um SMS perfeitamente atualizado em 2026: o seu endereço, afinal, provavelmente não mudou.
3. O que você mesmo publica
Um anúncio de venda com o bairro indicado, uma avaliação no Google assinada com nome e sobrenome, um perfil profissional mencionando sua cidade, uma foto da caixa de correio postada sem pensar. Isoladamente, cada elemento é inofensivo. Reunidos, formam um perfil.
4. As etiquetas de encomendas jogadas fora intactas
É o canal mais subestimado e, ironicamente, o mais fácil de cortar. Uma etiqueta de envio traz seu nome completo, seu endereço exato, muitas vezes seu telefone e um código de barras com o número de rastreio. Jogada intacta em uma lixeira coletiva ou em um contêiner de reciclagem, fica legível para qualquer um.
Um pequeno fragmentadora de documentos com corte cruzado colocado ao lado da lixeira resolve a questão em três segundos por encomenda. Na falta disso, uma simples caneta marcadora opaca passada sobre a etiqueta antes de descartá-la já é suficiente para o dia a dia.
5. O marketing «legal» mal delimitado
Nem todos os cadastros são roubados. Alguns circulam por meio de consentimentos obtidos em condições duvidosas: caixas pré-marcadas, sorteios, formulários de «orçamento gratuito». O dado é então cedido a parceiros e, depois, a parceiros dos parceiros. Na quinta revenda, ninguém mais controla quem o explora.
O que o SMS pede de verdade (e por que raramente são 1,50 €)
O roteiro mais comum cobra uma quantia irrisória: 1,49 €, 2,30 €, «taxa de reencaminhamento». Esse valor não é o objetivo. Ele serve a três finalidades:
- Obter um número completo de cartão bancário, com data de validade e código de segurança.
- Validar que o cartão está ativo, graças a uma microtransação que passa sem despertar suspeitas.
- Preparar a etapa seguinte, isto é, a ligação de um falso gerente do banco que, dias depois, vai pedir que você «bloqueie uma operação suspeita».
A Banque de France, em seus trabalhos sobre a fraude nos meios de pagamento, destaca há vários exercícios o avanço dos golpes ditos «por manipulação» — aqueles em que a própria vítima realiza a operação, convencida de estar se protegendo. O SMS de entrega costuma ser apenas o primeiro tijolo dessa construção.
Uma variante mais recente não pede pagamento algum: propõe «reagendar a entrega» por meio de um aplicativo a ser instalado. O aplicativo é um programa malicioso que lê os SMS recebidos — portanto, os códigos de validação bancária. Nenhum cartão digitado, nenhum pagamento visível e, ainda assim, a conta é esvaziada.
Os seis sinais que denunciam a fraude, mesmo bem informada
| Sinal | O que observar |
|---|---|
| O domínio do link | A transportadora verdadeira usa o próprio domínio. laposte.fr, não laposte-suivi-fr.co nem lapostefr.info |
| O pedido de pagamento | Nenhuma transportadora francesa cobra taxas por SMS para uma segunda tentativa de entrega |
| A urgência com prazo | «Em 24 h», «último aviso antes da devolução»: a pressão temporal é um marcador |
| O canal de resposta | Um rastreio real se confere no aplicativo ou no site, nunca pelo link recebido |
| A grafia do endereço | Os dados revendidos costumam vir levemente degradados: acentos faltando, abreviações estranhas |
| O remetente | Número de celular francês em 06/07 para uma notificação automatizada: anomalia |
Esse último ponto merece uma ressalva importante: a ausência de anomalia também não prova nada. As técnicas de falsificação de remetente permitem exibir um nome de marca convincente. O único teste realmente confiável continua sendo este: nunca partir da mensagem, sempre partir da fonte. Você mesmo abre o aplicativo da transportadora, ou você mesmo digita o endereço do site no navegador.
Verificar se os seus dados já estão circulando
Você não poderá recuperar o que vazou, mas pode saber o quanto está exposto — e assim calibrar sua vigilância.
Os serviços de verificação de vazamentos. Ferramentas independentes permitem inserir um endereço de e-mail e obter a lista de vazamentos conhecidos que o contêm. Algumas aceitam também o número de telefone. Se o seu endereço aparece em cinco incidentes, considere que seu nome e seu endereço postal também circulam.
Os alertas do seu banco. Ative as notificações para qualquer operação, inclusive valores abaixo de 5 €. A maioria das instituições oferece isso gratuitamente nas configurações do aplicativo. É o melhor detector de microtransação de teste.
O direito de acesso previsto pelo RGPD. Você pode escrever a qualquer empresa para perguntar quais dados ela tem sobre você, de onde os obteve e a quem os transmitiu. A resposta é devida em até um mês. A CNIL disponibiliza modelos de carta em seu site. Esse exercício, embora trabalhoso, tem um efeito colateral útil: permite apagar seu cadastro em empresas cuja existência você já havia esquecido.
Bloctel e a oposição ao telemarketing. A inscrição na lista de oposição ao telemarketing não detém os golpistas — eles ignoram a lei por definição —, mas reduz o ruído de fundo legal e torna as mensagens suspeitas mais visíveis.
Reduzir a exposição, na prática
Não existe um botão «apagar meus dados da internet». Existe, em compensação, uma série de atitudes que, somadas, diminuem de fato a quantidade de informações disponíveis sobre você.
Separar as identidades. Use um e-mail dedicado às compras online, distinto do seu endereço principal. Vários provedores oferecem aliases descartáveis: se um alias começa a receber spam, você sabe exatamente qual comerciante deixou vazar seu cadastro.
Considerar um segundo número. Um chip pré-pago dedicado a cadastros, entregas e classificados isola seu número principal. No dia em que esse número secundário estiver afogado em SMS fraudulentos, você o substitui sem perder contatos nem contas.
Limitar os dados fornecidos. No pedido, o campo «complemento» não precisa conter «3º andar, porta da esquerda, código 4512B». O telefone às vezes é opcional: quando for, deixe em branco.
Preferir pontos de retirada quando possível. Assim, seu endereço pessoal não circula pela cadeia logística.
Destruir os suportes físicos. Etiquetas, comprovantes de entrega, extratos, correspondências de seguro. Uma fragmentadora de documentos com corte cruzado não é um badulaque: é o único equipamento que trata a parte offline do problema.
Filtrar no próprio celular. Os sistemas móveis recentes sabem separar remetentes desconhecidos em uma aba própria e sinalizar mensagens suspeitas. Tanto no Android quanto no iOS, essa opção existe nas configurações do aplicativo de Mensagens. Não bloqueia tudo, mas quebra o efeito surpresa.
Se você clicou: a sequência dos primeiros trinta minutos
Clicar não é fatal. Digitar seus dados é bem mais grave. Eis a ordem das prioridades.
- Não use mais o site aberto. Feche a aba. Não «corrija» um preenchimento, não tente se «descadastrar».
- Se dados bancários foram digitados, ligue imediatamente para o número de bloqueio que consta no verso do cartão ou no aplicativo do banco — nunca para um número recebido por mensagem. Peça o bloqueio do cartão.
- Se um aplicativo foi instalado, desligue os dados móveis e o Wi-Fi e desinstale-o. Em caso de dúvida sobre uma infecção persistente, a restauração de fábrica continua sendo a solução mais segura.
- Troque as senhas das contas cujas credenciais possam ter circulado, começando pelo e-mail. Um gerenciador de senhas evita reutilizar a mesma combinação em todo lugar e acelera muito essa etapa.
- Denuncie a mensagem ao 33700, o dispositivo nacional de denúncia de SMS indesejados, encaminhando o texto e depois o número do remetente. É gratuito e alimenta o trabalho de bloqueio das operadoras.
- Registre o incidente no Cybermalveillance.gouv.fr e, em caso de prejuízo financeiro, faça um boletim de ocorrência. Existe o registro prévio online para golpes sem autor identificado.
- Monitore seus extratos durante vários meses. Os dados roubados às vezes são explorados com semanas de atraso.
Para lembrar: em matéria de fraude por SMS, a lei francesa está do lado da vítima. O artigo L.133-18 do Código Monetário e Financeiro obriga o banco a reembolsar uma operação de pagamento não autorizada, salvo negligência grave do cliente. O debate gira justamente em torno dessa noção de negligência — daí a importância de guardar as provas: capturas de tela do SMS, horários, trocas com o banco.
O que muda com a IA — e o que não muda
Redações especializadas documentaram em 2026 campanhas que usam imagens geradas por inteligência artificial: a falsa foto da encomenda «deixada na sua porta», adaptada ao tipo de moradia. O erro de ortografia como indício de fraude pertence ao passado, e a imagem já não faz prova.
O que não muda, por outro lado, é a estrutura do golpe. Ele sempre precisa de três coisas: que você clique em um link que ele fornece, que você digite algo de valor e que o faça depressa. Elimine uma das três e o ataque fracassa, por mais sofisticado que seja.
Por isso as regras sólidas não dizem respeito à aparência da mensagem — que vai se tornar perfeita —, mas ao caminho percorrido. Partir da fonte. Conferir no aplicativo. Retornar a ligação para um número que você mesmo foi buscar. Esses reflexos funcionam tanto diante de um SMS cheio de erros quanto diante de uma mensagem impecável citando seu endereço com número e tudo.
Um guia de cibersegurança doméstica para o grande público, deixado numa estante e folheado em família, muitas vezes vale mais do que um alerta lido na diagonal: são os hábitos compartilhados, e não o conhecimento individual, que protegem uma casa.
Para ir além
- Cybermalveillance.gouv.fr: fichas práticas sobre phishing e registro de incidentes.
- CNIL: modelos de cartas para exercer seus direitos de acesso, retificação e exclusão.
- 33700: denúncia gratuita de SMS e chamadas indesejadas, operada com as operadoras francesas.
- Banque de France / Observatoire de la sécurité des moyens de paiement: relatórios anuais sobre fraude, úteis para entender as tendências.
- Signal Conso (DGCCRF): para denunciar um comerciante ou uma prática comercial duvidosa.
O SMS que sabe o seu nome não é sinal de que você foi alvo pessoal. É sinal de que seus dados constam de um cadastro entre milhões de outros. A boa notícia, se é que se pode dizer assim, é que essa banalidade atinge você tanto quanto seus vizinhos — e que as atitudes de proteção continuam ao alcance de qualquer um.
