«Olá, é para a vaquinha da Sophie da equipa da contabilidade, ela sai na sexta-feira. Faltam apenas 200 € dos 600. A tua parte: 15 € → cagnotte-solidaire-participation.fr»
Karim trabalha efetivamente com uma Sophie. O montante é irrisório. O tom é o de um colega com pressa. Ele clica, introduz os dados do cartão, confirma. Dois dias depois, sai um débito de 349 € para um prestador estrangeiro e, no mês seguinte, outro de 349 €.
Não havia vaquinha nenhuma. Havia um número de telemóvel alugado por duas horas, uma mensagem enviada a quatro mil pessoas e um formulário de pagamento recorrente disfarçado de contribuição única.
A burla do donativo não é nova — já existia com os falsos peditórios na via pública. O que mudou em 2026 é que passou a circular pelo canal mais íntimo e mais credível que existe: a sua caixa de SMS.
Porque é que a generosidade é uma falha de segurança
Todas as campanhas de smishing exploram uma emoção. A falsa encomenda joga com a expectativa, o falso gestor de conta bancária com o medo, a falsa multa com a culpa. O falso apelo a donativos joga com algo muito mais difícil de neutralizar: a vontade de fazer o bem e a vergonha de recusar.
Sobrepõem-se três mecanismos.
1. O montante é deliberadamente minúsculo. 10 €, 15 €, 20 €. Abaixo do limiar a partir do qual paramos para verificar. É o princípio da burla: não é a quantia apresentada que é roubada, é o número do cartão que é capturado — e, por vezes, a autorização de débito recorrente enfiada em letras pálidas por baixo do botão de confirmação.
2. Recusar tem um custo social. Perante uma falsa mensagem do banco, dizer não não custa nada. Perante «a vaquinha para o funeral do filho da Martine», hesitar dá a sensação de sovinice. Os burlões sabem-no e calibram os textos para que verificar pareça indelicado.
3. A urgência é plausível. Uma vaquinha tem uma data de encerramento natural. Uma recolha de fundos após uma catástrofe tem utilidade imediata. Ao contrário de «a sua conta será suspensa dentro de 24 h», a contagem decrescente não soa a falso.
Um apelo a donativos legítimo nunca lhe censurará o facto de levar vinte e quatro horas a verificar. Um burlão, sim.
Os quatro cenários dominantes em 2026
A vaquinha entre colegas ou entre pais de alunos
É o formato mais eficaz, porque é microdirigido. Os burlões obtêm listas provenientes de fugas de dados: diretórios internos de empresas, listas de distribuição de clubes desportivos, grupos de pais de alunos. Basta um nome próprio credível para fazer cair a vigilância. Nenhum logótipo, nenhuma marca: apenas um tom familiar.
Sinal típico: a mensagem nunca diz quem escreve. «É para a vaquinha da…», sem assinatura. Um colega diria o seu nome.
O falso apelo a donativos de uma grande associação
Croix-Rouge française, Restos du Cœur, Secours populaire, Fondation pour la recherche médicale, SPA: todas estas marcas são imitadas, geralmente poucos dias depois de um acontecimento mediático — tempestade, incêndio, crise humanitária. O remetente alfanumérico pode exibir o nome de uma associação, uma vez que esse campo não é autenticado ponta a ponta e continua a ser falsificável.
O Comité de la Charte / Don en Confiance atribui em França um selo às organizações que aceitam um controlo externo das suas práticas de angariação. Verificar se uma associação consta da lista publicada no site do Don en Confiance leva trinta segundos e elimina a esmagadora maioria dos falsos.
O SMS de «solidariedade local»
«Recolha para as famílias sinistradas do concelho, contribuição livre.» Este formato prospera após uma inundação ou um incêndio local. É temível porque o destinatário conhece o acontecimento: viu as imagens, sabe que é verdade. Não lhe ocorre que apenas o apelo ao donativo é falso.
Um município, uma prefeitura ou um centro de ação social não organiza recolhas de donativos por SMS com pagamento por cartão num site desconhecido. As recolhas verdadeiras passam pela câmara municipal, por uma associação identificada ou por uma plataforma oficial anunciada no site do município.
O donativo «em nome de alguém próximo»
A variante mais cruel: uma mensagem que evoca uma doença, um internamento ou uma morte no seu círculo próximo, por vezes alimentada por informações realmente publicadas nas redes sociais. A ligação remete para uma página de vaquinha que imita a interface de uma plataforma conhecida.
Como distinguir uma vaquinha verdadeira de uma falsa
As plataformas francesas legítimas de vaquinhas (Leetchi, Le Pot Commun, HelloAsso para o setor associativo, ou as páginas de donativos alojadas pelas próprias associações) partilham características que as cópias reproduzem mal.
| Elemento | Vaquinha legítima | Vaquinha falsa |
|---|---|---|
| Domínio da ligação | Domínio da plataforma, sem palavras acrescentadas | Nome da plataforma + hífenes + palavras («-participation», «-solidaire», «-fr») |
| Organizador | Identidade visível, muitas vezes com foto e histórico | Apenas um nome próprio ou anónimo |
| Montante | Livre, introduzido pelo doador | Montante imposto, botão único |
| Meios de pagamento | Cartão + por vezes transferência, através de prestador conhecido | Apenas cartão, formulário em bruto |
| Recibo fiscal | Proposto se a entidade der esse direito | Ausente ou «enviado mais tarde» |
| Condições | Termos e condições acessíveis, informações legais completas | Ligações mortas ou páginas vazias |
O teste mais fiável continua a ser o mais simples: nunca passar pela ligação do SMS. Abra o seu navegador, escreva você mesmo o nome da plataforma ou da associação e procure a recolha a partir do motor de pesquisa interno. Uma vaquinha pública verdadeira é localizável; uma falsa só existe dentro da mensagem.
Num computador portátil, passar o cursor sobre uma ligação para ler o endereço real é instantâneo. No telemóvel é o contrário: o URL aparece truncado, o dedo é mais rápido do que o olho. É uma das razões pelas quais o smishing rende mais do que o phishing por e-mail. Um suporte para telemóvel pousado na secretária, que o obriga a ler o ecrã à distância em vez de deslizar maquinalmente, muda mais comportamentos do que se imagina.
As três armadilhas de pagamento a conhecer
O débito recorrente disfarçado
É o coração do modelo económico. Julga pagar 15 € uma vez; na realidade, autoriza uma subscrição. A menção legal existe — está escrita em cinzento-claro, corpo 8, por baixo do botão. Juridicamente, isso permite ao operador defender-se; na prática, ninguém a lê.
Reflexo: antes de qualquer confirmação, procure as palavras «mensal», «recorrente», «renovação», «até cancelamento». Se aparecerem em algum lado, não se trata de um donativo pontual.
O pagamento por cartão-presente ou criptomoeda
Nenhuma associação legalmente constituída pedirá alguma vez um donativo sob a forma de cartões pré-pagos, de vouchers Neosurf/PCS ou de transferência em criptomoeda. É o indicador mais binário que existe: assim que aparece, o assunto está encerrado, é uma burla.
A transferência imediata
Desde a generalização da transferência imediata, os burlões empurram este meio de pagamento porque é, na prática, irrevogável. Um pagamento por cartão deixa uma hipótese de contestação; uma transferência imediata para uma conta estrangeira, quase nenhuma. Se um interlocutor insiste numa transferência em vez do cartão, nunca é pelo seu conforto.
O que pode fazer em dois minutos antes de doar
- Identifique o remetente real. Se for alguém próximo, ligue-lhe para o número que já tem guardado — nunca para o do SMS. Trinta segundos bastam.
- Verifique a associação. Consulte o site oficial, o Journal officiel des associations ou a lista do Don en Confiance. Uma associação reconhecida de utilidade pública é facilmente verificável.
- Analise o domínio com lupa. Os domínios falsos são quase sempre recentes. Um nome de domínio criado há três dias para uma «recolha nacional» não faz qualquer sentido.
- Procure o recibo fiscal. Um donativo a uma entidade de interesse geral dá direito a uma redução de imposto (66 % do montante, até ao limite de 20 % do rendimento tributável, e 75 % no caso das entidades de apoio a pessoas em dificuldade, segundo as regras recordadas pela Direction générale des finances publiques). Uma entidade legítima menciona-o. Um burlão evita-o.
- Pague a partir de uma fonte escolhida por si, não a partir de uma ligação que lhe enviaram.
Para quem doa com regularidade, manter um registo escrito muda tudo, tanto no momento da declaração de impostos como em caso de litígio: um caderno de contas pessoal ou um simples dossiê com separadores onde se arrumam recibos e confirmações permite detetar de imediato um débito que não corresponde a nenhum donativo consentido.
Se o pagamento já saiu
O tempo é o único fator que conta.
Imediatamente:
- Ligue ao seu banco e peça o cancelamento do cartão. Utilize o número que consta no verso do cartão ou na sua aplicação bancária, nunca um número recebido por mensagem.
- Peça explicitamente o bloqueio de qualquer autorização de débito recorrente associada à operação. O cancelamento do cartão nem sempre basta para travar uma subscrição já autorizada.
- Guarde o SMS: não o apague. Faça uma captura de ecrã, com o número do remetente e a data visíveis.
Nas 24 a 48 horas seguintes:
- Conteste a operação. O code monétaire et financier prevê o direito ao reembolso das operações de pagamento não autorizadas; a Banque de France e a Fédération bancaire française recordam regularmente que o prazo de contestação é de 13 meses para uma operação realizada no Espaço Económico Europeu. Quanto mais cedo agir, mais sólido será o processo.
- Denuncie a mensagem no 33700, o número nacional de denúncia de SMS fraudulentos: reencaminhe o SMS para o 33700 e, depois, envie o número do remetente quando lho pedirem.
- Apresente uma denúncia em cybermalveillance.gouv.fr, que orienta para os procedimentos adequados, e na plataforma PHAROS (internet-signalement.gouv.fr) para os conteúdos online.
- Apresente queixa: esquadra de polícia, guarda nacional ou queixa online através do serviço THESEE, dedicado às burlas digitais.
Nas semanas seguintes:
Vigie os seus extratos durante pelo menos três meses. Os débitos fraudulentos começam muitas vezes com um desfasamento propositado, para que a vítima não estabeleça a ligação. Um caderno de controlo de despesas preenchido à mão, pousado junto à correspondência, continua a ser, para muita gente, mais eficaz do que uma aplicação aberta uma vez por trimestre.
Prepare-se também para receber, algumas semanas mais tarde, uma mensagem a propor «recuperar os fundos perdidos». É o segundo andar do foguetão e visa especificamente as vítimas já identificadas.
Proteger as pessoas mais expostas
As campanhas de falsos donativos visam prioritariamente dois perfis: as pessoas idosas, estatisticamente mais generosas e mais frequentemente já doadoras, e as pessoas envolvidas em redes associativas, cujos contactos circulam mais.
Algumas medidas concretas, sem infantilizar:
- Combinar uma regra familiar simples: nenhum donativo por SMS, nunca, seja qual for a causa. Os donativos fazem-se por um canal escolhido previamente (débito anual, cheque, site oficial).
- Limitar o plafond do cartão de pagamento usado no dia a dia. A maioria dos bancos permite baixar o limite online em três cliques.
- Ativar a filtragem de remetentes desconhecidos no telemóvel, disponível tanto no iOS como no Android: as mensagens de remetentes não registados passam para um separador à parte, o que quebra o automatismo do clique.
- Documentar os compromissos verdadeiros. Uma lista escrita das associações realmente apoiadas, guardada numa pasta porta-documentos com compartimentos juntamente com os recibos fiscais, permite responder num segundo à pergunta «eu dou a esta entidade?».
Para os familiares que preferem o papel, um guia prático sobre burlas digitais, folheado com calma, costuma cair melhor do que uma demonstração no ecrã. A leitura dá tempo para assimilar; a demonstração coloca a pessoa na posição de aluno.
O essencial a reter
A generosidade não é uma fraqueza, e desconfiar de um SMS não torna ninguém menos solidário. As verdadeiras associações francesas angariam fundos, na sua esmagadora maioria, por correio, por débito direto, através do seu site ou em campanhas claramente identificadas — não por uma mensagem anónima com uma ligação para clicar no minuto seguinte.
Três frases bastam para resumir a defesa:
- Um donativo nunca se faz a partir de uma ligação recebida por SMS.
- Um montante imposto e um pagamento irreversível são dois sinais de alarme, não pormenores.
- Verificar antes de doar não ofende ninguém — e demora menos tempo do que contestar um débito.
Se uma mensagem o deixa desconfortável sem que saiba dizer porquê, esse desconforto é muitas vezes a informação mais fiável da mensagem. Reencaminhe-a para o 33700, apague-a e doe de outra forma.
