«Pai, fiz uma asneira.»
O Théo tem 14 anos. Recebeu uma SMS a anunciar que tinha sido sorteado para receber 5000 unidades de moeda virtual no seu jogo preferido. Um link, um formulário, o seu nome de utilizador, a sua palavra-passe e, depois, um código de seis dígitos recebido por SMS que lhe pediam para «confirmar». Quarenta minutos mais tarde, a sua conta — três anos de progressão e 400 € de compras acumuladas — estava à venda num fórum. E, como usava a mesma palavra-passe no seu endereço de e-mail, o burlão não parou por aí.
Os pais só souberam do caso porque ele acabou por falar. Muitos adolescentes não o fazem. É precisamente neste silêncio que assenta a maioria das burlas que os visam.
Porque é que os adolescentes são um alvo à parte
Imagina-se muitas vezes que os jovens, «nascidos com um telemóvel na mão», estariam naturalmente imunizados. A observação das denúncias na plataforma 33700 e dos casos tratados pela Cybermalveillance.gouv.fr conta o contrário: o à-vontade técnico não os protege, expõe-nos de outra maneira.
Pesam quatro fatores.
A velocidade de resposta. Um adulto deixa uma SMS suspeita de lado durante uma hora. Um adolescente responde em menos de dois minutos, muitas vezes sem sequer sair da aplicação que estava a utilizar. O tempo de reflexão, que é a melhor defesa contra o smishing, desaparece.
O valor real das contas de jogo. Uma conta Fortnite, Roblox ou Steam bem recheada revende-se entre 50 e várias centenas de euros em mercados paralelos. O burlão não precisa de cartão bancário: a conta é a mercadoria.
A vergonha. É a alavanca decisiva. Um adolescente apanhado numa burla com fotografias íntimas, ou que perdeu a conta paga pelos pais, calcula antes de mais o risco de lhe confiscarem o telemóvel. Paga, negoceia, cala-se.
Uma fraca exposição às campanhas de prevenção. As mensagens institucionais sobre burlas bancárias ou falsas SMS do fisco não lhes dizem respeito. Ninguém lhes explicou o aspeto de um smishing calibrado para eles.
Os seis cenários mais recorrentes
1. A falsa oferta de moeda virtual
O grande clássico. «Parabéns, a tua conta foi selecionada», «gerador gratuito», «código de criador oferecido». O link leva a uma cópia muito bem feita da página de início de sessão oficial. A vítima introduz as credenciais; o site pede depois o código de verificação de utilização única recebido por SMS, supostamente para «validar a entrega». Na realidade, é o código de dupla autenticação que o site oficial acabou de enviar porque o burlão está a iniciar sessão nesse preciso momento.
O sinal a reter: nenhuma editora de jogos oferece moeda virtual por SMS, e nenhuma pede jamais um código recebido por SMS noutro site que não o seu.
2. O falso biscate
«Olá, procuramos perfis para testar aplicações, 40 € por tarefa, 15 minutos por dia.» Estas campanhas visam prioritariamente os 16-22 anos, sobretudo em período de férias escolares. Duas variantes:
- O task scam: as primeiras «missões» rendem efetivamente 5 ou 10 €, pagos rapidamente. Depois, pede-se um depósito para «desbloquear as tarefas premium». O dinheiro nunca mais volta.
- A mula bancária: propõe-se ao jovem receber uma transferência na sua conta, ficar com 10 % e devolver o resto em numerário ou em criptomoeda. Isto é branqueamento de capitais. O menor ou o jovem adulto é juridicamente responsável e arrisca-se a uma interdição bancária, a um processo-crime e ao encerramento da conta. A Fédération bancaire française alerta regularmente para esta deriva junto das escolas secundárias.
3. A sextorsão
O cenário é brutal. Um contacto caloroso numa rede social, uma passagem rápida para a SMS ou para uma aplicação de mensagens, uma troca de imagens e, depois, a chantagem: «envia 200 € em cartão-presente ou divulgo tudo à tua lista de contactos». Os burlões chegam a mostrar capturas de ecrã da lista de amigos para provar a sua capacidade de causar danos.
A regra absoluta, repetida à exaustão pela associação e-Enfance e pela sua linha 3018: nunca pagar, não apagar nada, capturar tudo e falar com um adulto. Pagar só abre um segundo ciclo de exigências. A linha 3018 dispõe de um procedimento de denúncia acelerado junto das plataformas para obter a rápida remoção dos conteúdos.
4. A conta de mensagens pirateada
«Olá, sou eu, estou a participar num concurso, podes votar em mim?» A mensagem vem realmente da conta de um amigo, porque esse amigo foi apanhado antes. O link recolhe as credenciais e o ciclo recomeça com a sua própria lista de contactos. É a mecânica de propagação mais eficaz: a confiança já vem instalada.
5. A falsa subscrição de streaming ou a falsa multa de plataforma
Mais rara, mas em crescimento: «A tua subscrição foi suspensa, regulariza 1,99 €». O montante irrisório desarma a desconfiança. O objetivo não são os 1,99 €, é o número do cartão bancário — muitas vezes o de um dos pais, guardado no telemóvel.
6. A SMS «enganei-me no número»
Uma mensagem inócua, uma conversa que se prolonga por vários dias e, depois, uma proposta de investimento em criptomoedas. Este cenário, conhecido como pig butchering, visava inicialmente apenas os adultos. Desce agora até à faixa dos 17-20 anos, com promessas de rendimento adaptadas a pequenos montantes.
De onde tiram os burlões o número de um aluno do 3.º ciclo?
A pergunta surge sistematicamente entre os pais. As fontes são banais.
| Origem | Mecanismo |
|---|---|
| Fugas de dados de plataformas de jogo ou de apps | Números revendidos em lotes em fóruns |
| Inscrições em concursos, questionários, «testes de personalidade» | Consentimento diluído nas condições gerais |
| Listas de difusão revendidas | Compra em bloco junto de corretores de dados |
| Numeração aleatória | Geração automática de gamas de números móveis franceses |
| Contactos recolhidos numa conta pirateada | A agenda de um colega |
Por outras palavras: receber uma SMS fraudulenta não significa que o adolescente «fez asneira». É um ponto importante a dizer em casa, porque a culpa antecipada é exatamente o que impede de vir falar sobre o assunto.
O que protege realmente, por ordem de eficácia
A dupla autenticação por aplicação, não por SMS
É a medida mais rentável. Nas contas de jogo, nas redes sociais e no endereço de e-mail, ativar uma autenticação de dois fatores através de uma aplicação dedicada (Google Authenticator, Authy ou a aplicação da própria plataforma) em vez de por SMS. Um código enviado por SMS pode ser extorquido por engenharia social ou por troca de cartão SIM; um código gerado localmente, muito dificilmente.
Para as contas mais sensíveis de um jovem adulto — e-mail principal, banco —, uma chave de segurança física do tipo FIDO2 torna o phishing praticamente inoperante: a chave recusa-se a autenticar num domínio falso, mesmo que o utilizador acredite nele.
Palavras-passe que não se reciclam
O verdadeiro estrago na história do Théo não é a perda da conta de jogo: é a palavra-passe reutilizada no endereço de e-mail. Instalar um gestor de palavras-passe no telemóvel do adolescente, e configurá-lo em conjunto, demora vinte minutos e elimina uma categoria inteira de riscos. A CNIL e a ANSSI recomendam ambas esta abordagem nos seus guias para o grande público.
A filtragem nativa do telemóvel
O Android e o iOS já sabem classificar os remetentes desconhecidos e assinalar as mensagens suspeitas — a Google alargou aliás em 2026 a sua deteção de burlas por SMS ao mercado francês. No iPhone: Definições → Mensagens → Filtrar remetentes desconhecidos. No Android Messages: a proteção contra spam nas definições. Não é infalível, mas retira do campo de visão grande parte do ruído.
O reflexo 33700
Reencaminhar gratuitamente a SMS suspeita para o 33700 (serviço oficial francês de denúncia de spam por SMS, gerido pela Association française du multimédia mobile com os operadores). O serviço responde a pedir o número do remetente, que basta reenviar. Fazer a operação uma vez com o adolescente, em conjunto, vale mais do que todos os discursos: transforma uma mensagem angustiante num gesto concreto.
Para os conteúdos que envolvam um menor: 3018 (e-Enfance, gratuito, 7 dias por semana) e a plataforma PHAROS do Ministério do Interior para os conteúdos ilícitos.
O equipamento, quando faz sentido
Alguns equipamentos mudam o jogo sem transformar a casa num posto de controlo. Um router com controlo parental integrado permite definir horários e uma filtragem DNS para toda a casa, sem aplicação espia no telemóvel da criança. Para os mais novos, um telemóvel simplificado sem navegador de internet continua a ser uma transição razoável antes do smartphone completo. E, para as famílias que querem abordar o tema de outra forma que não uma lista de proibições, um livro de prevenção sobre as utilizações digitais dos adolescentes abre muitas vezes conversas que as recomendações orais não desencadeiam.
Como falar do assunto sem provocar o silêncio
É a parte mais difícil e a mais determinante.
Anunciar a regra antes do incidente. A frase a dizer, com calma, uma vez: «aconteça o que acontecer, se fores apanhado, não vais perder o telemóvel porque vieste falar comigo». Esta garantia explícita é o que faz a diferença entre uma vítima que fala ao fim de uma hora e uma vítima que paga durante três semanas.
Contar casos, não regras. «Não cliques nos links» não produz nada. «Um rapaz da tua turma perdeu a conta porque deu o código de seis dígitos recebido por SMS» cria um reflexo.
Dar um critério único, fácil de memorizar. O que melhor funciona: um código recebido por SMS nunca se dá, a ninguém, nunca, nem sequer a quem diz ser o apoio oficial. Um único critério bem enraizado vale mais do que dez conselhos esquecidos.
Não monopolizar a verificação. Ensinar o adolescente a abrir ele próprio a aplicação oficial em vez de clicar no link. É uma competência, não uma vigilância.
O que fazer na hora seguinte a uma cilada
Três ações por ordem, sem discussão: cortar o acesso, documentar, denunciar.
- Mudar a palavra-passe da conta em causa — e de todas as contas que partilhavam a mesma palavra-passe. A partir de outro dispositivo, se possível.
- Terminar todas as sessões ativas nas definições de segurança da conta.
- Capturar as conversas, o número do remetente, o URL do link, antes de apagar seja o que for. São as peças de uma futura queixa.
- Avisar o banco imediatamente se dados bancários circularam: cancelar o cartão e pedir o bloqueio. O direito ao reembolso por operação não autorizada está previsto no código monetário e financeiro francês (artigos L133-18 e seguintes) — mas é preciso comunicar depressa.
- Denunciar: 33700 para a SMS, 3018 se estiver envolvido um menor, PHAROS para o conteúdo ilícito, e apresentação de queixa na esquadra ou através da pré-queixa em linha.
- Avisar os contactos se a conta serviu para propagar a mensagem: um simples «a minha conta foi pirateada, não cliquem» quebra a cadeia.
O ponto cego: as contas abertas antes dos 15 anos
Desde a lei francesa de 7 de julho de 2023 que institui uma maioridade digital, a inscrição de um menor de 15 anos numa rede social exige, em princípio, o acordo dos titulares da autoridade parental. Na prática, a verificação continua a ser em grande medida declarativa. Resultado: muitos adolescentes têm contas cuja existência os pais desconhecem, associadas a um número de telemóvel e a um endereço de e-mail por vezes criado para o efeito.
Isto não se resolve com uma busca. Resolve-se com um inventário feito em conjunto, uma vez por ano, listando simplesmente: que contas existem, que e-mail está associado, qual tem a dupla autenticação ativa. O exercício dura meia hora e revela quase sempre duas ou três contas esquecidas, ainda ativas, com uma palavra-passe antiga.
O que há a reter
As SMS fraudulentas que visam os adolescentes não são versões atenuadas das que visam os adultos. Exploram outras molas: o valor de uma conta de jogo, a vontade de dinheiro rápido, o medo do julgamento, a rapidez de reação.
A proteção técnica conta — dupla autenticação fora da SMS, palavras-passe únicas, filtragem dos remetentes desconhecidos. Mas só vale alguma coisa se o canal de diálogo se mantiver aberto. Um adolescente que sabe que pode chegar a dizer «fiz uma asneira» sem perder o telemóvel comunica numa hora aquilo que a vergonha teria arrastado durante um mês.
É, de longe, a medida de segurança mais eficaz do lar.
