A mochila do Julien desaparece num sábado à noite, na esplanada de um café em Lisboa. Lá dentro: uma carteira, chaves e um smartphone bloqueado por impressão digital. Ele tranquiliza-se como a maioria de nós: «está bloqueado, não vão conseguir nada».
No domingo, às 9h40, o banco recusa-lhe um pagamento no aeroporto. Na segunda-feira, descobre três transferências efetuadas — cada uma confirmada por um código recebido por SMS.
O telemóvel estava de facto bloqueado. O cartão SIM é que não estava.
É todo o mal-entendido em torno da perda ou do roubo de um telemóvel em 2026: avaliamos o prejuízo pelo valor do aparelho, quando o verdadeiro ativo é aquele pequeno pedaço de plástico que recebe os seus códigos de validação bancária. E esse ativo transfere-se para qualquer telemóvel de dez euros.
O que o seu cartão SIM continua a fazer sem si
Um ecrã bloqueado protege o conteúdo do telemóvel: fotografias, aplicações, histórico. Não protege a linha telefónica. Se o cartão SIM não estiver ele próprio protegido por um código PIN — e a maioria dos utilizadores desativou-o ao longo dos anos para não ter de o introduzir a cada reinício —, basta retirá-lo e inseri-lo noutro aparelho.
A partir daí, quem tiver o SIM:
- recebe todas as suas SMS, incluindo os códigos de utilização única enviados pelos bancos, pelas aplicações de mensagens, pelas plataformas de venda e pelos serviços públicos;
- recebe as suas chamadas, incluindo as chamadas de verificação automatizadas;
- pode iniciar reposições de palavra-passe em qualquer serviço que aceite «receber um código por SMS» como método de recuperação.
Este último ponto é o mais subestimado. A SMS não é apenas um segundo fator: em muitos serviços, é também um fator de recuperação. Por outras palavras, permite contornar a palavra-passe em vez de se somar a ela. As autoridades de cibersegurança lembram regularmente que a autenticação por SMS continua a ser superior à simples palavra-passe, mas que constitui o elo mais fraco a partir do momento em que a linha é comprometida.
Há ainda ecrãs que mostram a pré-visualização das notificações sem desbloqueio. Um código de seis dígitos é perfeitamente legível num ecrã em suspensão. Verifique essa definição hoje, não depois.
Cronologia realista de um roubo: os primeiros 90 minutos contam
As estatísticas sobre roubos com ou sem violência mostram que o telemóvel é um dos objetos mais subtraídos. Mas a janela de exploração é curta: quem revende quer escoar o equipamento depressa e os burlões querem explorar a linha antes que esta seja cortada.
| Prazo | O que faz o ladrão oportunista | O que deveria fazer |
|---|---|---|
| 0–15 min | Desliga o aparelho ou coloca-o em modo avião para cortar a localização | Tentar a localização remota antes de o aparelho se desligar |
| 15–60 min | Retira o SIM e testa-o noutro aparelho | Pedir a suspensão da linha junto do operador |
| 1–6 h | Inicia reposições de palavra-passe por SMS | Alterar as palavras-passe das contas críticas a partir de outro aparelho |
| 6–48 h | Tentativas de pagamento, revenda do aparelho | Bloqueio do IMEI, apresentação de queixa, cancelamento bancário |
A ordem conta mais do que a rapidez pura. Muitas vítimas começam por declarar o roubo na esquadra, o que demora duas horas, durante as quais a linha continua ativa.
A sequência certa, pela ordem certa
1. Suspender a linha junto do operador
É o gesto número um, antes de tudo o resto. Os principais operadores dispõem de um número de bloqueio acessível 24 horas por dia, inclusive a partir do estrangeiro. A suspensão corta o encaminhamento das SMS e das chamadas para o SIM roubado. É reversível: se recuperar o telemóvel, a linha é reativada.
Anote esses números noutro sítio que não o telemóvel. Um cartão do tamanho de um cartão bancário, guardado na carteira, ou uma nota num caderno de viagem de capa dura — o objeto mais banal do mundo e, ainda assim, o único que continua a funcionar quando a bateria está morta e o telemóvel desapareceu.
2. Cancelar os meios de pagamento
Se o seu telemóvel tinha uma aplicação bancária, uma carteira de pagamento sem contacto, ou simplesmente se os seus cartões estavam na mesma mochila: ligue para o serviço de cancelamento interbancário, disponível permanentemente. As entidades bancárias lembram que o cancelamento deve ser imediato e confirmado por escrito.
3. Alterar as palavras-passe críticas a partir de outro aparelho
Por esta ordem: caixa de correio eletrónico principal primeiro (é a pedra angular, permite repor tudo o resto), depois o banco, depois as contas de venda online e as redes sociais.
Só conseguirá fazê-lo se souber as suas palavras-passe — o que, na prática, pressupõe um gestor de palavras-passe acessível a partir de um navegador ou, na falta disso, um caderno de palavras-passe em papel guardado em casa. Esta solução faz ranger os dentes dos puristas, mas as próprias autoridades de proteção de dados admitem que uma palavra-passe forte anotada num suporte em papel guardado em local seguro vale mais do que uma palavra-passe fraca reutilizada em todo o lado.
4. Bloquear o aparelho pelo número IMEI
O bloqueio do IMEI torna o telemóvel inutilizável nas redes nacionais, independentemente do SIM inserido. Pede-se ao operador, munido do número IMEI de quinze dígitos. Esse número consta da caixa original, da fatura de compra e da sua área de cliente. Fotografe-o agora e guarde a fotografia fora do telemóvel.
5. Apresentar queixa
A queixa é necessária para o seguro, para o bloqueio do IMEI em certos casos e, sobretudo, como documento comprovativo caso sejam contestadas operações fraudulentas. Os sistemas de pré-queixa online permitem poupar tempo no atendimento presencial.
O cenário mais perverso: a SMS que chega depois
Uma vez suspensa a linha, muitas vítimas julgam-se safas. É muitas vezes aí que começa a segunda fase.
Declarou o roubo. Está stressado, aguarda notícias do operador, do banco, do seguro. Está exatamente no estado mental que o smishing procura: uma expectativa legítima de mensagem oficial.
As mensagens que chegam então à sua linha de substituição parecem-se com isto:
«SEGUIMENTO-ROUBO: o seu aparelho IMEI 35xxxx foi localizado em Marselha. Valide a sua identidade no prazo de 24 h para iniciar o processo: suivi-imei-restitution.net»
«A sua participação de sinistro n.º SIN-2026-77401 está incompleta. Complete o seu IBAN para a indemnização: espace-assure-mobile.com/fr»
Nenhum operador, nenhuma seguradora, nenhum serviço policial lhe pedirá um IBAN, um código de verificação ou dados bancários por SMS. A localização de um IMEI roubado nunca é comunicada à vítima por mensagem automática.
Como sabem os burlões que acabou de ser roubado? Muitas vezes não sabem: enviam em massa e o senhor está simplesmente numa fase em que a mensagem cai mesmo a calhar. Por vezes, a informação circula através de anúncios de procura publicados nas redes sociais, onde se deixa o número para ser contactado «se alguém encontrar o telemóvel». Nunca publique o seu número de telemóvel numa publicação pública deste tipo.
Prevenir: cinco definições que mudam tudo
Reativar o código PIN do cartão SIM
É a definição mais rentável e a mais negligenciada. Um PIN de SIM ativo torna o cartão inutilizável noutro aparelho ao fim de três tentativas. Tanto no Android como no iPhone, a definição encontra-se nos parâmetros de segurança ou de dados móveis. Altere o código predefinido (0000 ou 1234).
Ocultar o conteúdo das notificações no ecrã bloqueado
Configure a apresentação para «ocultar o conteúdo»: a notificação indica que chegou uma mensagem, sem revelar o texto. Os seus códigos bancários deixam de ser legíveis por cima do seu ombro — tanto no metro como numa mesa de café.
Substituir a SMS por uma aplicação de autenticação sempre que possível
A SMS continua indispensável em muitos serviços, mas sempre que uma aplicação de autenticação (TOTP) ou uma chave física seja proposta, o roubo do SIM torna-se inoperante. Para as contas mais sensíveis — correio eletrónico principal, área bancária secundária, plataformas profissionais — uma chave de segurança FIDO2 cabe num porta-chaves e não depende de nenhuma rede. As agências de cibersegurança classificam este tipo de dispositivo entre os métodos de autenticação mais robustos ao alcance do grande público.
Ativar a localização remota e o bloqueio de emergência
«Encontrar o meu dispositivo» no Android e «Encontrar» na Apple permitem, a partir de qualquer navegador, mostrar a posição, fazer tocar o aparelho, bloqueá-lo com uma mensagem ou apagá-lo à distância. Teste o procedimento uma vez, com calma, antes de precisar dele.
Reduzir a exposição física
Boa parte dos roubos nas férias são por arrebatamento ou carteiristas, não assaltos sofisticados. Uma bolsa a tiracolo antirroubo usada à frente do corpo, ou uma simples bolsa de viagem por baixo da roupa para os documentos e um cartão de reserva, elimina o gesto oportunista. Não é glamoroso, mas é eficaz.
O caso particular do estrangeiro
Fora do país, acrescentam-se duas dificuldades.
A acessibilidade do seu operador. Os números de apoio gratuitos nem sempre são acessíveis a partir do estrangeiro. Cada operador publica um número alternativo com indicativo internacional. Anote-o antes de partir.
A dependência de um único aparelho. Se o seu telemóvel é o seu bilhete de comboio, o seu cartão de embarque, o seu meio de pagamento e a sua identidade digital, perdê-lo imobiliza-o. Levar uma bateria externa compacta não resolve o roubo, mas evita ficar sem energia e sem ferramentas no pior momento; guardar uma cópia em papel das reservas e um segundo meio de pagamento arrumado à parte faz o resto.
Pense também no eSIM: manter um eSIM secundário já instalado num telemóvel antigo deixado no hotel permite recuperar uma linha funcional em poucos minutos. Vários operadores propõem o multi-SIM com o mesmo número.
E se a fraude já aconteceu?
Se foram validadas operações bancárias com códigos SMS recebidos na sua linha roubada, não está juridicamente desamparado. A legislação sobre serviços de pagamento enquadra a responsabilidade do ordenante: após a notificação da perda ou do roubo, nenhuma operação fraudulenta lhe pode ser imputada, salvo atuação fraudulenta da sua parte. Antes da notificação, a responsabilidade está limitada a 50 € para as operações associadas a um instrumento de pagamento perdido ou roubado.
O banco pode invocar uma «negligência grave», noção regularmente apreciada pelos tribunais superiores, que recordaram por diversas vezes que cabe à instituição fazer prova dessa negligência — e não ao cliente provar a sua inocência.
Concretamente:
- Conteste por escrito junto do seu banco, por carta registada, juntando o comprovativo da queixa e a declaração de suspensão emitida pelo operador.
- Em caso de recusa, recorra ao provedor/mediador bancário da instituição.
- Denuncie as SMS fraudulentas às linhas oficiais de comunicação de burlas e os sites de recolha de dados às plataformas nacionais de cibersegurança e de denúncia de conteúdos ilícitos.
O que há a reter
Um telemóvel roubado substitui-se. Uma linha ativa nas mãos de outra pessoa é um molho de chaves digitais.
Os três gestos que contam, por esta ordem: suspender a linha, cancelar os meios de pagamento, alterar as palavras-passe a partir de outro aparelho. O resto — queixa, IMEI, seguro — pode esperar uma hora. Estes três, não.
E se só fizer uma coisa depois de ler este artigo, faça-a agora: reative o código PIN do seu cartão SIM. Três minutos de configuração contra vários milhares de euros de risco — é a melhor relação esforço/proteção de toda a segurança móvel.
