«Cliquei. Introduzi os dados do cartão. E depois fiquei à espera para ver o que acontecia.»
É a frase que mais se repete nos relatos das vítimas, e é exatamente o que não se deve fazer. Numa burla por SMS, o clique quase nunca é o momento decisivo. O momento decisivo são as horas seguintes: aquelas em que o dinheiro ainda circula, em que os vestígios ainda existem, em que o banco ainda não recebeu uma ordem de bloqueio, e em que as capturas de ecrã que farão a diferença num balcão da polícia ainda estão no telemóvel.
Passados três dias, tudo se torna mais difícil. A operação foi debitada, o URL fraudulento foi desativado, o número emissor foi reciclado, e a vítima tem de provar aquilo que, quarenta e oito horas antes, estava simplesmente visível no ecrã.
Eis a cronologia real das 72 horas que se seguem a um SMS fraudulento, com o que está em jogo em cada etapa.
Hora 0 a 1: fechar a torneira antes de perceber o que aconteceu
O primeiro reflexo não é compreender, é travar o fluxo. Compreender leva horas; uma transferência fraudulenta, essa, por vezes demora menos de dez minutos a sair.
Se foram introduzidos dados bancários, é preciso cancelar o cartão imediatamente — através da aplicação do banco (a maioria permite hoje bloquear o cartão em dois toques) e depois por telefone, junto do serviço de cancelamento do banco, disponível 24 horas por dia. Em último recurso, o servidor interbancário de cancelamento de cartões francês, no 0 892 705 705, funciona para todos os bancos franceses.
Se foi comunicado um código recebido por SMS, o caso é mais grave do que uma simples fuga do número do cartão: o código de utilização única é precisamente o que valida uma operação junto do banco. É preciso indicá-lo explicitamente ao gestor, porque isso altera a qualificação do incidente.
Se foram introduzidas credenciais de acesso ao banco online, há que mudar a palavra-passe a partir de outro dispositivo e pedir o bloqueio temporário do acesso online.
Se nada foi introduzido mas o link foi aberto, o risco existe, mas é menor: num smartphone atualizado, a simples visita a uma página não basta para comprometer o aparelho. O perigo vem da instalação de aplicações fora das lojas oficiais — se uma instalação foi aceite, é preciso desinstalá-la de imediato e rever o dispositivo.
Regra simples: bloqueia-se primeiro, pensa-se depois. Nenhum banco vai censurar um cancelamento feito por excesso de prudência.
Hora 1 a 3: reunir as provas enquanto elas ainda existem
É a etapa que quase toda a gente salta, e é a que decide o reembolso. Uma vítima que chega à esquadra com uma frase («recebi um SMS do meu banco») não tem processo. Uma vítima que chega com sete capturas de ecrã com data e hora, tem.
O que é preciso capturar, por esta ordem:
| Elemento | Porque é útil |
|---|---|
| O SMS completo, com o remetente visível | Prova o spoofing ou o número utilizado |
| Todo o fio da conversa, incluindo mensagens anteriores | Mostra se a mensagem falsa se inseriu entre mensagens verdadeiras |
| O URL exato do link (toque longo → copiar) | Identifica o domínio fraudulento antes da sua desativação |
| A página web fraudulenta, se ainda estiver acessível | Prova da imitação da marca |
| As notificações bancárias recebidas | Dá data e hora às operações contestadas |
| O extrato de conta com o débito | Base do pedido de reembolso |
| O registo de chamadas, se um falso gestor telefonou | Estabelece o cenário completo |
Duas precisões técnicas que contam.
Não apague o SMS. É o reflexo emocional mais frequente — apagar o vestígio da própria vergonha. Ora, a mensagem original, ainda presente na caixa de mensagens, continua a ser a peça mais sólida do processo. Captura-se e deixa-se ficar.
Guarde as provas fora do telemóvel. Um aparelho que avaria, se perde ou tem de ser reposto de fábrica leva consigo todo o processo. Exportar as capturas para um espaço de armazenamento separado, ou para uma pen USB segura guardada em casa, põe o processo a salvo. Os técnicos do Cybermalveillance.gouv.fr recomendam sistematicamente conservar uma cópia fora do aparelho afetado.
Hora 3 a 12: as três comunicações que não servem para o mesmo
Confunde-se muitas vezes «denunciar» com «apresentar queixa». São três diligências distintas, com efeitos diferentes. Fazê-las todas leva menos de trinta minutos.
O 33700: derrubar a campanha
O 33700 é a plataforma oficial francesa de denúncia de spam e fraudes por SMS, gerida pela Association Française du Multimédia Mobile em nome dos operadores franceses. O princípio: reencaminhar o SMS fraudulento para o 33700 e depois responder à mensagem automática indicando o número do remetente.
Esta denúncia não desencadeia qualquer investigação sobre o seu caso pessoal. Em contrapartida, alimenta a deteção coletiva: a partir de certo volume de denúncias, o operador pode bloquear o número emissor e mandar retirar o nome de domínio usado no link. É um gesto pelos outros, e leva trinta segundos.
Perceval: contestar o uso fraudulento do cartão
O Perceval é o serviço online da Gendarmerie nationale dedicado às fraudes com cartão bancário, acessível através do FranceConnect. Destina-se às vítimas que continuam na posse do seu cartão — ou seja, à esmagadora maioria dos casos de smishing, em que apenas os dados foram roubados.
A comunicação no Perceval gera um comprovativo. Este documento tem valor concreto: apoia o pedido de reembolso junto do banco e alimenta as estatísticas nacionais da fraude. Não substitui uma queixa, mas também não a exige.
Cybermalveillance.gouv.fr: ser orientado e documentado
O dispositivo nacional francês de assistência a vítimas de atos de cibermalveillância propõe um percurso online que coloca as perguntas certas e fornece fichas com os procedimentos a seguir. Útil sobretudo quando a situação é confusa: várias contas afetadas, dúvidas sobre o que foi comprometido, dispositivo profissional envolvido.
Hora 12 a 48: apresentar queixa, e fazê-lo corretamente
Apresentar queixa não é facultativo quando houve montantes debitados: o banco vai pedi-la quase sempre.
Onde. Em qualquer esquadra de polícia ou posto da gendarmaria, sem condição de residência. A recusa em receber uma queixa é ilegal. Em caso de bloqueio, a queixa pode ser dirigida diretamente ao procurador da República do tribunal judicial competente, por carta registada com aviso de receção.
A pré-queixa online. O serviço francês de pré-queixa online permite preencher o formulário antecipadamente e reduzir a ida ao balcão a uma assinatura. Prático, mas atenção: não vale como queixa enquanto não for assinada.
O que levar. Documento de identificação, extrato bancário com as operações contestadas, impressões das capturas de ecrã, comprovativo do Perceval se já o tiver obtido, e uma cronologia escrita dos factos — uma página chega, com datas e horas. Os agentes tratam todos os dias processos deste tipo; um processo organizado é registado mais depressa e de forma mais completa. Uma simples pasta de arquivo com foles evita chegar com folhas soltas e extratos amarrotados.
Sobre a qualificação. O smishing enquadra-se na burla (artigo 313-1 do código penal francês), muitas vezes combinada com a recolha fraudulenta de dados pessoais e a usurpação de identidade (artigo 226-4-1). Não cabe à vítima qualificar os factos, mas mencionar que a mensagem usurpava a identidade de uma entidade concreta (banco, segurança social, caixa de pensões, serviço de entregas) ajuda a ligar o processo às campanhas já identificadas.
Hora 48 a 72: o pedido de reembolso e a lei que o sustenta
É o ponto que as vítimas menos conhecem, e é o que pesa mais em termos financeiros.
O código monetário e financeiro francês é claro: em caso de operação de pagamento não autorizada comunicada pelo utilizador, o banco deve reembolsar imediatamente, e o mais tardar até ao final do primeiro dia útil seguinte à comunicação (artigo L133-18). Só pode recusar demonstrando negligência grave por parte do cliente — e é ao banco que cabe prová-lo, não ao cliente provar a sua inocência.
Este ponto foi reforçado pela jurisprudência da Cour de cassation, que julgou por várias vezes que o simples facto de ter comunicado um código recebido por SMS não basta para caracterizar negligência grave, sobretudo quando a vítima foi levada a confiar por uma mensagem ou uma chamada que imitava o seu banco de forma convincente.
Na prática:
- Contestação por escrito, enviada ao banco por carta registada com aviso de receção, retomando a cronologia, as referências das operações e os documentos anexos. O prazo legal para contestar é de treze meses.
- Em caso de recusa, recurso ao provedor bancário — serviço gratuito, cujos contactos constam dos extratos de conta e do site do banco.
- Em caso de fracasso da mediação, recurso ao tribunal, eventualmente com o apoio de uma associação de consumidores. Os casos publicados pela Que Choisir mostram que um número significativo de recusas iniciais acaba por ser revertido nesta fase.
Um conselho prático muitas vezes esquecido: guarde uma cópia em papel de cada carta enviada, com o respetivo aviso de receção. Uma caixa de arquivo com aba chega para manter um processo completo ao longo dos meses que o procedimento pode durar.
Os erros que fazem perder um processo sólido
Alguns comportamentos, todos compreensíveis, arruínam com regularidade processos que deveriam ter tido sucesso.
Ligar de volta para o número que enviou o SMS. Na melhor das hipóteses, não dá em nada. Na pior, relança o guião: o burlão apresenta-se então como o «serviço de fraude» e obtém o que ainda lhe faltava.
Esperar para ver se o dinheiro volta sozinho. Não volta. E cada dia que passa enfraquece o argumento da reatividade.
Repor o telemóvel de fábrica em pânico. Gesto por vezes útil depois de uma instalação suspeita, mas desastroso se for feito antes de guardar as provas.
Pagar para «recuperar» o dinheiro perdido. As listas de vítimas circulam, e uma segunda vaga de abordagens chega muitas vezes algumas semanas mais tarde, a pretexto de cobrança de dívidas ou de assistência jurídica. Nenhuma entidade legítima pede um pagamento prévio para devolver fundos roubados.
Não dizer nada a quem nos rodeia. A vergonha é a melhor aliada do burlão. As comunicações da Banque de France apontam para uma subida contínua das burlas ditas «por manipulação», precisamente porque exploram o isolamento da vítima.
Depois: fechar as portas que ficaram abertas
Tratada a parte urgente, resta a limpeza. Leva um serão.
- Mudar as palavras-passe das contas associadas ao endereço de e-mail utilizado, a começar pelo próprio e-mail. Um gestor de palavras-passe evita repetir o erro da palavra-passe única; para quem prefere o papel, um caderno de palavras-passe guardado fora de vista continua a ser infinitamente mais seguro do que a mesma palavra-passe em todo o lado.
- Ativar a autenticação de dois fatores sempre que for possível, de preferência através de uma aplicação dedicada em vez de SMS. Para as contas sensíveis, uma chave de segurança física FIDO2 elimina toda a categoria de ataques por código intercetado.
- Verificar os débitos recorrentes nos três últimos extratos: algumas fraudes instalam-se sob a forma de subscrições discretas de poucos euros.
- Vigiar a sua situação bancária: em caso de usurpação de identidade mais ampla, o direito de acesso ao ficheiro central de cheques e ao FICP pede-se diretamente junto da Banque de France.
- Explicar a quem está à sua volta o que aconteceu. É a medida de prevenção mais eficaz que se conhece, e a menos dispendiosa. Os livros de divulgação sobre cibersegurança doméstica ajudam a passar a mensagem junto de familiares que nunca leriam uma ficha administrativa.
O que há a reter
Uma burla por SMS não é uma fatalidade financeira. A lei francesa protege as vítimas de operações não autorizadas, os mecanismos de denúncia existem e são gratuitos, e os bancos cedem muitas vezes perante um processo bem documentado. Mas tudo assenta num bem perecível: o vestígio.
Bloquear na primeira hora, capturar nas primeiras três horas, denunciar no próprio dia, apresentar queixa em dois dias, contestar por escrito em três dias. Esta sequência, cumprida por ordem, transforma uma vítima num processo. E um processo, ao contrário de um relato, obtém respostas.
Números e serviços úteis: 33700 (denúncia de SMS fraudulentos), 0 892 705 705 (cancelamento interbancário de cartão), 17 (polícia-socorro em França), Perceval através do FranceConnect, Cybermalveillance.gouv.fr, serviço de pré-queixa online do Ministério do Interior francês.
