«Coloquei a bicicleta online às 14h. Às 14h40 já tinha um SMS de um comprador. Achei formidável.»
Não era um comprador. Era um robô, ou mais exatamente uma pequena equipa equipada com ferramentas que vigiam os novos anúncios de forma contínua. A venda entre particulares tornou-se um dos terrenos mais rentáveis do smishing, porque reúne três ingredientes de que os burlões gostam: uma pessoa que está à espera de um contacto, uma transação de dinheiro prevista e um número de telemóvel muitas vezes visível ou facilmente obtido.
A particularidade destas burlas é que não se parecem com um SMS fraudulento clássico. Não há erros ortográficos grosseiros nem ameaças sobre uma conta bloqueada. Há uma mensagem educada, credível, que chega exatamente no momento em que a esperamos. É esse timing que faz todo o trabalho.
Como o seu número vai parar às mãos deles
Foi você que o mostrou
No Leboncoin, mostrar o número continua a ser uma opção muito utilizada, sobretudo nas vendas locais (móveis, eletrodomésticos, automóveis). Muitos vendedores ativam-na a pensar que assim «filtram os curiosos». Na prática, isso torna o número legível para qualquer visitante — humano ou automatizado. Existem scripts que percorrem os anúncios recentes de uma categoria e de uma região, extraem os números exibidos e guardam-nos numa lista fresca e ultraqualificada: estas pessoas estão a vender algo, agora.
Escreveu-o no texto ou numa foto
O clássico: «Contacte-me pelo 9XX XXX XXX, é mais rápido». Há quem o coloque até na fotografia, a pensar que escapa aos robôs. As ferramentas de reconhecimento de texto em imagem tornaram-se triviais; essa precaução já não protege de nada há muito tempo.
Deu-o na mensagem interna da plataforma
É o ponto de viragem mais frequente. A conversa começa corretamente na mensagem interna da plataforma e depois o interlocutor propõe «continuar por SMS, é mais simples». Você dá o seu número e sai do único ambiente onde a plataforma consegue detetar mensagens suspeitas, guardar registos e suspender uma conta.
Sair da mensagem interna é exatamente o objetivo do burlão. Todo o resto decorre daí.
Os quatro cenários mais recorrentes em 2026
1. O falso pagamento «bloqueado à espera de validação»
Recebe um SMS a anunciar que foi efetuado um pagamento e que este só será desbloqueado após uma ação da sua parte: confirmar uma conta, validar uma morada de entrega, pagar «taxas de proteção». Um link acompanha a mensagem e remete para uma página que imita fielmente a interface da plataforma ou de um serviço de pagamento.
A página pede ou as suas credenciais, ou — mais grave — o número do seu cartão bancário «para receber os fundos». Um vendedor nunca precisa de introduzir o cartão para receber dinheiro. Só esta regra neutraliza a maioria das tentativas.
2. O link de «entrega ao domicílio» enviado pelo suposto comprador
O comprador explica que está longe, que vai recorrer a uma transportadora, e envia-lhe por SMS um link para «organizar a recolha». O site reproduz o aspeto de uma transportadora conhecida e pede os seus dados bancários para lhe «reembolsar os custos de envio». Estes falsos sites de transportadoras tornaram-se extremamente cuidados desde que os burlões utilizam geradores automatizados de páginas.
3. O valor pago a mais para devolver
Cenário mais artesanal, mas terrivelmente eficaz: o comprador afirma ter transferido 800 € em vez de 80 €, com captura de ecrã da transferência como prova, e pede-lhe que devolva a diferença «depressa, é o dinheiro da renda». A captura é fabricada, a transferência não existe, e o dinheiro que devolve é bem real. Denúncias deste tipo são regularmente referidas pelo Cybermalveillance.gouv.fr entre as fraudes clássicas na venda entre particulares.
4. O código de verificação pedido «para provar que não és um robô»
O interlocutor anuncia que lhe vai enviar um código de seis dígitos e pede-lhe que lho comunique. Na realidade, está a criar uma conta (e-mail, serviço de pagamento, plataforma de anúncios) usando o seu número como número de verificação. O código que chega ao seu telemóvel nada tem a ver com o comprador: é a chave de uma conta aberta em seu nome.
Nenhum comprador legítimo, em nenhuma plataforma, precisa de um código recebido no seu telemóvel. Nenhum. É o sinal de alarme mais fiável de toda a venda online.
Por que estes SMS funcionam quando os outros falham
O smishing bancário clássico joga com o medo. A fraude na venda joga com outra coisa: a expectativa e a cortesia.
Quando se vende um objeto, está-se em posição de quem pede. Espera-se um contacto, teme-se que o anúncio nunca saia, quer-se mostrar reatividade e boa vontade. Um comprador que escreve «Bom dia, o artigo ainda está disponível? Moro em Lille, posso mandar entregar, pago já» preenche todos os requisitos do alívio.
Acresce que o canal SMS não apresenta qualquer indicador de confiança. Nenhum endereço de remetente completo, nenhum perfil, nenhum histórico, nenhuma avaliação. Apenas um número de telemóvel — ou um nome de remetente alfanumérico quando o burlão usa uma plataforma profissional de envio, o que lhe permite mostrar «ENTREGA» ou o nome de uma plataforma em vez de um número.
A tabela dos sinais de alerta
| O que diz a mensagem | O que isso significa |
|---|---|
| «Continuamos por SMS / WhatsApp, é mais prático» | Saída da mensagem com registo |
| «O pagamento está pendente, valide neste link» | Página de phishing |
| «Indique o seu cartão para receber os fundos» | Recolha de dados bancários |
| «Enviei-lhe dinheiro a mais, devolva» | Transferência falsa, perda verdadeira |
| «Dê-me o código que acabou de receber» | Apropriação de conta |
| «A minha transportadora precisa dos seus dados» | Site de entrega falso |
| «Estou com pressa, vou viajar amanhã» | Pressão temporal artificial |
Vender sem expor o seu número: o método
Manter a conversa onde ela nasceu
Enquanto a troca de mensagens permanecer na plataforma, mantém um histórico com valor probatório e a plataforma pode intervir. Um comprador sério que mora a 15 km não tem qualquer motivo para recusar ficar por lá até ao momento de marcar o encontro.
Não mostrar o número no anúncio
Se a venda é local, um encontro marca-se muito bem por mensagem. O número só se transmite no último momento, a uma pessoa identificada, para a logística do dia.
Usar um número secundário para as vendas
Para quem vende com regularidade, um segundo número dedicado resolve o problema pela raiz. Um cartão SIM pré-pago sem fidelização chega perfeitamente: serve de endereço descartável e, no dia em que ficar submerso em SMS fraudulentos, substitui-se sem mexer no número principal. Os telemóveis dual SIM tornam a manobra indolor.
Fotografar sem revelar a sua morada
Uma foto de um objeto tirada na sala com uma janela a dar para uma placa de rua, uma carta pousada na mesa, uma chave de carro legível: estes detalhes alimentam o reconhecimento do terreno. Um fundo neutro muda tudo, e um pequeno fundo fotográfico dobrável para objetos — ou simplesmente um lençol esticado — chega para anúncios limpos, que aliás vendem melhor.
Verificar os pagamentos na fonte, nunca por SMS
A única verificação que vale é aquela que você inicia: abrir a sua aplicação bancária ou a aplicação da plataforma, pelos seus próprios meios, sem clicar em coisa nenhuma. Um pagamento real aparece na aplicação. Um pagamento fictício só existe num SMS.
O momento da entrega em mãos
A venda local tem os seus próprios riscos, distintos do smishing mas muitas vezes desencadeados pelas mesmas conversas.
- Escolher um local público e movimentado. Parque de estacionamento de supermercado durante o dia, átrio de estação, esquadra para objetos de valor: várias esquadras e postos das forças de segurança propõem oficialmente as suas imediações como pontos de troca.
- Não fazer vir um desconhecido a casa por um objeto transportável. Se o objeto for um móvel, estar acompanhado.
- Verificar as notas para montantes elevados. Uma caneta detetora de notas falsas custa alguns euros e evita uma noite muito má; para um carro ou material profissional, a transferência instantânea verificada no próprio telemóvel continua a ser o único método fiável.
- Recusar o cheque bancário não verificado. Os cheques bancários falsos continuam a circular; a verificação faz-se junto do balcão emissor, contactado através de um número encontrado por si próprio.
O envio: o segundo ângulo morto
Quando o objeto segue por encomenda, surgem dois riscos.
O primeiro é o litígio fabricado: o comprador declara ter recebido uma caixa vazia ou um objeto partido. O único contrafogo eficaz é a prova. Fotografar o objeto, o seu número de série, a embalagem aberta e depois fechada, e conservar o comprovativo de entrega. Uma balança de cozinha digital permite também registar o peso exato da encomenda antes do envio: uma diferença entre o peso declarado no momento da expedição e o peso contestado é um argumento poderoso em caso de reclamação.
O segundo é o falso SMS de rastreio. Uma vez a encomenda expedida, tanto o vendedor como o comprador recebem mensagens de rastreio verdadeiras — o que cria um terreno perfeito para introduzir uma falsa. As campanhas de falsos SMS de entrega continuam a ser, ano após ano, a primeira categoria de smishing denunciada em França. A regra não muda: nenhum link num SMS de rastreio; abre-se a aplicação da transportadora ou cola-se o número de rastreio no site oficial.
O que fazer quando já aconteceu
Se introduziu os seus dados bancários
- Ligar imediatamente para o número de cancelamento do seu banco, ou para o serviço interbancário de declaração de perda e roubo através do 0 892 705 705.
- Cancelar o cartão e vigiar os movimentos.
- Apresentar queixa, conservando as capturas de ecrã dos SMS e das páginas visitadas.
- Contestar as operações não autorizadas: a lei prevê o reembolso dos pagamentos não autorizados, salvo negligência grave comprovada da sua parte. Mais uma razão para nunca ter validado uma notificação de autenticação na aplicação bancária.
Se comunicou um código de verificação
A conta associada deve ser recuperada sem demora: mudança de palavra-passe, terminação de todas as sessões, verificação dos números e endereços de recuperação registados. Se o código dizia respeito a uma plataforma de pagamento, contactar o respetivo suporte para assinalar a abertura fraudulenta.
Em todos os casos
- Denunciar o número remetente reencaminhando-o para o 33700 (serviço gratuito dos operadores em França).
- Denunciar o anúncio e o perfil na plataforma em causa.
- Declarar o phishing na plataforma Phishing Initiative ou através do Cybermalveillance.gouv.fr, que orienta igualmente para os procedimentos adequados.
- Em caso de fraude bancária consumada, a plataforma Perceval permite denunciar online as utilizações fraudulentas de cartão.
Cinco minutos de preparação antes de publicar
Antes de colocar um anúncio online, uma curta rotina reduz consideravelmente a exposição:
- Ocultar o número de telefone nas opções do anúncio.
- Reler o texto e as fotos para confirmar que não está visível nenhum número, nenhuma morada, nenhuma matrícula, nenhum documento.
- Decidir de antemão qual o meio de pagamento aceite e mantê-lo, independentemente das propostas recebidas.
- Lembrar que uma venda que demora custa tempo, nunca dinheiro — ao passo que uma venda precipitada pode custar os dois.
Para quem vende muito, um caderno de registo de vendas — mesmo um simples caderno — ajuda a guardar o registo das datas, montantes e números de rastreio. Parece antiquado na era das aplicações, mas é exatamente esse documento que se procura quando surge um litígio seis semanas mais tarde.
Vender entre particulares continua a ser uma prática saudável, útil e massivamente praticada. A única mudança é que o canal SMS se tornou uma porta de entrada para a fraude em vez de uma simples ferramenta de contacto. A defesa não exige competência técnica nem desconfiança permanente: assenta num princípio único, manter a transação no espaço onde ela pode ser verificada, e considerar suspeita por definição qualquer mensagem que o faça sair dele.
