Três semanas depois de ter perdido 2 400 € numa falsa transferência bancária, Claire recebe este SMS:
«Sra. MOREAU, o seu processo n.º RF-2026-8841 foi selecionado pela nossa célula de recuperação de vítimas de fraude bancária. Montante identificável: 2 380 €. Ligue para 01 84 XX XX XX ou consulte: recouv-victimes-fr.net»
O montante está quase certo. O nome está correto. A palavra «processo» remete para um número de queixa que ela efetivamente apresentou. E, sobretudo: Claire quer desesperadamente acreditar que aquele dinheiro não está perdido.
Ela vai ligar. Vai pagar 380 € de «despesas de constituição de processo». Depois 750 € de «caução de desbloqueio». Nunca mais verá nem os 2 400 € iniciais, nem os 1 130 € adicionais.
Este mecanismo tem um nome no vocabulário policial internacional: a recovery room, ou burla da recuperação de fundos. Em França, a Autorité des marchés financiers (AMF) alerta para este esquema há vários anos, inicialmente no domínio dos investimentos fraudulentos. Em 2026, passou massivamente para o SMS e visa agora todas as vítimas de burlas, e não apenas os investidores lesados.
Porque é que os burlões voltam às mesmas vítimas
É o ponto mais difícil de ouvir e, no entanto, é central: ter sido vítima uma vez aumenta estatisticamente a probabilidade de voltar a ser alvo.
Combinam-se três razões.
1. As listas de vítimas circulam. Quando uma campanha de smishing resulta — formulário preenchido, cartão introduzido, chamada concretizada —, o operador regista o resultado. Estes ficheiros, chamados «sucker lists» no jargão anglo-saxónico, têm um valor de mercado superior ao de uma simples lista de números em bruto, porque identificam pessoas que já deram o passo. São revendidos entre grupos criminosos, exatamente como qualquer ficheiro de prospeção comercial.
2. O perfil psicológico é conhecido. O burlão não sabe apenas que tem um número de telemóvel: sabe que cenário funcionou consigo, que montante aceitou pagar, a que horas responde. É segmentação comportamental aplicada à fraude.
3. A vítima encontra-se num estado emocional explorável. Vergonha, raiva, sentimento de injustiça, necessidade de reparação. A perspetiva de «recuperar» funciona como uma alavanca muito mais poderosa do que o medo de uma multa ou a isca de um prémio. O Cybermalveillance.gouv.fr e a Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) insistem regularmente neste ponto: as campanhas secundárias exploram o desespero criado pela primeira.
Por outras palavras, a primeira burla produz a matéria-prima da segunda.
Anatomia do SMS de falsa recuperação
Estas mensagens não se parecem com os SMS de encomendas ou de multas. São mais sóbrias, mais administrativas, muitas vezes mais longas. Alguns marcadores recorrentes observados em 2026:
| Elemento | O que diz o SMS | O que vale na realidade |
|---|---|---|
| Número de processo | «Processo n.º RF-2026-8841» | Gerado aleatoriamente, sem qualquer base |
| Montante | Próximo mas não idêntico ao valor perdido | Estimativa a partir de dados revendidos ou intervalo plausível |
| Entidade citada | «célula de recuperação», «mediador», «gabinete acreditado» | Nenhuma existência legal com esse nome |
| Urgência | «no prazo de 72 h antes do encerramento» | Impede a reflexão e a verificação |
| Canal de contacto | Número 01/09 ou link web | Central de chamadas offshore, site descartável |
Algumas mensagens vão mais longe e usurpam nomes reais: Banque de France, AMF, Tracfin, «serviço nacional de combate à fraude», ou até um escritório de advogados existente cujo nome foi copiado. A usurpação da identidade de organismos públicos continua a ser um dos mecanismos mais eficazes do smishing — o mesmo princípio do spoofing de remetente, mas aplicado a uma promessa de reparação em vez de uma ameaça.
As variantes mais frequentes
- O falso advogado especializado. Propõe uma «ação coletiva» contra a plataforma fraudulenta, mediante honorários pagos antecipadamente.
- A falsa autoridade reguladora. Anuncia que os seus fundos foram «congelados numa conta caução» e que é devida uma taxa de desbloqueio.
- O falso serviço bancário. Alega ter «identificado o beneficiário» da transferência e pede as suas credenciais para iniciar a devolução dos fundos.
- O falso fundo de indemnização. Evoca um fundo de garantia europeu e pede comprovativos — documento de identidade, IBAN, fatura — que, na realidade, alimentam uma usurpação de identidade completa.
- O falso «caçador de criptomoedas». Afirma poder rastrear os seus criptoativos na blockchain, serviço tecnicamente plausível mas comercialmente fraudulento em 99 % dos casos.
O sinal que nunca engana: pedem-lhe para pagar
Retenha esta frase, ela resume todo o artigo:
Nenhum organismo legítimo em França lhe pede para pagar, antecipadamente e por meios não rastreáveis, para lhe devolver dinheiro que lhe pertence.
Nem a Banque de France, nem a AMF, nem a polícia, nem a gendarmerie, nem o seu banco. A apresentação de queixa é gratuita. O recurso ao mediador bancário é gratuito. O procedimento de contestação de um pagamento junto do seu banco, previsto no Code monétaire et financier, é gratuito.
Quando surgem taxas — «despesas de processo», «taxa de desbloqueio», «caução», «IVA sobre a recuperação», «comissão de êxito paga antecipadamente» —, a questão já não é será verdade? mas como é que ponho fim a esta conversa?
Segundo sinal, igualmente fiável: o meio de pagamento exigido. Cartões pré-pagos (PCS, Transcash, Neosurf), transferências para o estrangeiro, criptoativos, envio de dinheiro em numerário por transportadora. São canais escolhidos por serem irreversíveis. Uma organização legítima nunca funciona assim.
O que fazer concretamente ao receber a mensagem
1. Não ligue para o número indicado
Nem por curiosidade. Uma chamada de retorno confirma que a linha está ativa e que um ser humano responde — informação que tem valor. As centrais de chamadas que operam estas campanhas estão treinadas: têm um guião para a pessoa desconfiada, outro para a pessoa zangada, outro ainda para quem «só quer perceber».
2. Verifique por um canal que escolha você mesmo
O princípio cardinal de qualquer verificação: nunca utilize um contacto fornecido pela mensagem suspeita. Escreva você mesmo o endereço oficial, ou marque o número que consta no verso do seu cartão bancário.
- AMF: lista negra pública dos operadores não autorizados, consultável no site oficial
- Assurance Banque Épargne Info Service (ABE IS), serviço público comum da AMF / ACPR / Banque de France: 34 14 (chamada sem custos adicionais)
- Cybermalveillance.gouv.fr para um diagnóstico e encaminhamento
3. Denuncie a mensagem
O número 33700 continua a ser o dispositivo nacional de denúncia de SMS fraudulentos: reencaminhe o SMS para o 33700 e depois envie o número do remetente quando lhe for pedido. Em paralelo, a plataforma PHAROS (internet-signalement.gouv.fr) recolhe as denúncias de conteúdos ilícitos em linha.
4. Documente tudo
É aqui que a maioria dos processos se perde. As capturas de ecrã, os extratos, os registos de data e hora: tudo deve ser conservado de forma legível e organizada. Muitas vítimas escrevem-me com uma dezena de fotografias desfocadas de um ecrã tiradas com outro telemóvel. Um simples dossiê de arquivo com bolsas, onde se arrumam as impressões datadas, os extratos bancários anotados e o comprovativo da queixa, faz muitas vezes mais por um processo do que uma hora de pesquisa na internet. Numere os documentos. Date-os. Isso ser-lhe-á útil perante o banco, a seguradora e, se for caso disso, o tribunal.
5. Bloqueie, mas sem ilusões
Bloquear o número é útil, mas as campanhas funcionam com milhares de linhas descartáveis. O bloqueio protege daquele número, não da campanha.
As verdadeiras vias de recurso em França
Uma vez que a burla explora o desconhecimento dos procedimentos reais, mais vale torná-los claros.
Para um pagamento com cartão bancário não autorizado: dispõe de um direito de contestação junto do seu banco. O artigo L133-18 do Code monétaire et financier prevê o reembolso imediato das operações não autorizadas, salvo negligência grave da sua parte — é precisamente este ponto que gera debate quando foi a própria vítima a introduzir os seus códigos. O prazo de contestação é de 13 meses (70 dias para certas operações fora da União Europeia).
Para uma transferência efetuada por si sob manipulação: a situação é mais difícil, mas está a evoluir. A Banque de France e o Observatoire de la sécurité des moyens de paiement acompanham de perto o aumento das «burlas por manipulação», em que é a própria vítima a executar a operação. Peça ao seu banco para tentar uma devolução de fundos (recall) o mais depressa possível: as primeiras horas são decisivas.
Em caso de recusa do banco: recurso gratuito ao mediador bancário da instituição e, eventualmente, à ABE IS.
Queixa: na esquadra, na gendarmerie ou em linha, na plataforma de pré-queixa. A apresentação de queixa é um direito; um serviço não a pode recusar.
Usurpação de identidade: se transmitiu um documento de identidade, comunique-o, vigie a sua situação bancária e pense no direito de acesso previsto no RGPD para saber que dados existem sobre si. Um guia prático sobre a proteção de dados pessoais escrito para o grande público ajuda a perceber que alavancas existem realmente, para além dos conselhos genéricos.
Reduzir a superfície de ataque após uma primeira fraude
Não é possível apagar o nosso número das listas que circulam. Mas é possível tornar as tentativas seguintes menos eficazes.
Separar os usos. Muitas vítimas reincidentes utilizam o mesmo número para tudo: banco, anúncios classificados, inscrições comerciais, entregas. Uma segunda linha — através de um cartão SIM pré-pago sem fidelização — reservada aos anúncios e às inscrições não essenciais limita a contaminação da sua linha principal.
Reforçar o segundo fator. Se os seus códigos de validação chegam por SMS, estão vulneráveis ao desvio de linha. Passar as contas sensíveis para uma aplicação de autenticação, ou mesmo para uma chave de segurança física FIDO2, elimina pura e simplesmente este vetor.
Proteger o próprio aparelho. Depois de uma fraude, a pergunta «o meu telemóvel estará comprometido?» surge sempre. Atualize o sistema, remova as aplicações instaladas fora da loja oficial e verifique as permissões de acessibilidade — é por aí que passam os programas maliciosos Android que leem os SMS.
Abrandar deliberadamente. A burla da recuperação assenta na ideia de que é preciso agir depressa. Adote a regra inversa: nenhuma decisão financeira nas 24 horas seguintes a uma mensagem não solicitada. Um caderno de notas de bolso, onde escreve a data, a hora, o conteúdo e a sua reação antes de decidir o que quer que seja, transforma um impulso num processo.
A dimensão psicológica de que quase nunca se fala o suficiente
É preciso dizê-lo com franqueza: a vergonha é a melhor aliada dos burlões. Uma vítima que não fala com ninguém é uma vítima que decide sozinha, sob pressão, tendo à frente um profissional da manipulação.
As associações de apoio às vítimas — France Victimes e o seu número nacional 116 006, gratuito e acessível sete dias por semana — existem precisamente para isso. Não julgam, orientam. Falar com um terceiro antes de pagar seja o que for continua a ser a medida de proteção mais eficaz, e a menos técnica, de toda esta lista.
Há quem ache igualmente útil compreender os próprios mecanismos em vez de os sofrer: um livro sobre manipulação e engenharia social explica como estes guiões são construídos, e ler isso uma vez vacina de forma duradoura. Reconhece-se muito melhor uma técnica quando já a vimos descrita a frio.
A reter
- Receber uma proposta de recuperação de fundos após uma fraude não é sorte: é o sinal de que consta de uma lista de vítimas revendida.
- Nenhum organismo legítimo pede um pagamento antecipado para lhe devolver o seu dinheiro. As «despesas de processo» são a própria burla.
- Cartões pré-pagos, criptomoedas, transferência para o estrangeiro: três meios de pagamento que denunciam a fraude.
- Verifique sempre por um canal que tenha escolhido — nunca o número fornecido na mensagem.
- Denuncie ao 33700, apresente queixa e recorra gratuitamente ao mediador bancário se o seu banco recusar.
- O 116 006 (France Victimes) e o 34 14 (ABE IS) são gratuitos. Os burlões, não.
Se já perdeu dinheiro, a boa notícia é modesta mas real: os recursos existem, são gratuitos e passam por instituições que pode contactar você mesmo. Tudo o que lhe chega espontaneamente por SMS com uma promessa de restituição merece, em 2026, exatamente o mesmo tratamento que um falso SMS de encomenda — a eliminação.
