«Estava à espera de uma análise de sangue feita durante a manhã. Às 17h, recebo um SMS a anunciar que os meus resultados estão online e que era preciso identificar-me para os consultar. Introduzi o meu número de segurança social, a minha data de nascimento e o número do meu cartão bancário, porque a página falava de "custos administrativos não reembolsados". Só quando reli é que vi o endereço estranho.»
Este testemunho, recolhido durante uma conversa com uma associação de doentes, resume bastante bem a razão pela qual os SMS fraudulentos com temática de saúde funcionam tão bem. Não é uma mensagem que surge do nada: é uma mensagem esperada. Fez realmente uma análise de sangue, tem realmente uma consulta no hospital, tem realmente um seguro de saúde que lhe faz reembolsos. O criminoso não cria a expectativa, apenas se infiltra nela.
E, ao contrário do falso SMS de encomenda, este não visa apenas o seu cartão bancário. Visa também a sua identidade administrativa: número de segurança social, data de nascimento, nome do médico, às vezes até informações de saúde. É combustível para fraudes de longo prazo, muito mais rentável do que um débito de 39 €.
Porque é que a saúde se tornou um terreno privilegiado do smishing
O contexto faz 80 % do trabalho
Um SMS fraudulento raramente tem êxito graças à sua redação. Tem êxito porque chega no momento certo. Ora, em matéria de saúde, as ocasiões são numerosas e regulares:
- uma análise clínica cujos resultados chegam efetivamente por notificação em 24 a 48 horas;
- um lembrete de consulta no hospital ou no especialista, prática hoje habitual na maioria dos estabelecimentos;
- um reembolso do seguro de saúde ou um extrato do subsistema complementar;
- a atualização do cartão de saúde, assunto suficientemente técnico para que ninguém saiba exatamente o que é normal;
- a abertura ou ativação do portal público de saúde (Mon espace santé), de que muitos utentes não se recordam com precisão.
O ponto comum destas cinco situações: o cidadão não conhece de cor o canal oficial. Não sabe se o seu laboratório envia um SMS com um link ou apenas um código. Não sabe se a segurança social comunica por mensagem escrita. Esta zona cinzenta é o espaço de trabalho do fraudador.
Um dado de saúde revende-se mais caro
É preciso dizê-lo claramente: um número de cartão bancário roubado tem uma vida curta. Um cancelamento, uma reemissão, e o assunto fica encerrado em dez dias. Pelo contrário, o seu número de segurança social nunca muda. Associado ao seu nome, à sua data de nascimento e à sua morada, permite:
- abrir pedidos administrativos em seu nome;
- tornar um futuro SMS fraudulento perfeitamente credível, já que citará elementos exatos;
- alimentar campanhas dirigidas a pessoas vulneráveis ou idosas.
A CNIL classifica os dados de saúde entre os dados sensíveis na aceção do RGPD, com um regime de proteção reforçado precisamente porque o seu desvio é dificilmente reversível.
Os cinco cenários mais comuns em 2026
1. O falso resultado de análises
A mensagem anuncia que os seus resultados estão disponíveis e convida a clicar para «se autenticar». A página imita um portal de laboratório, às vezes com um logótipo verdadeiro recolhido na internet. Pede nome, data de nascimento, número de segurança social — e depois, momento decisivo, um pagamento de alguns euros de «custos de plataforma».
Nenhum laboratório de análises clínicas em França cobra por cartão bancário a consulta dos seus próprios resultados através de um SMS.
O funcionamento real: a maioria dos laboratórios envia um código de acesso ou um link para um portal onde já criou uma conta no momento da recolha, e onde normalmente lhe pedem um identificador fornecido no local e a sua data de nascimento. Nunca dados bancários.
2. A falsa convocatória ou o falso lembrete de consulta
Variante mais sorrateira: «A sua consulta de 3 de outubro às 14h20 foi cancelada, reagende aqui». A urgência é emocional e não financeira. O link conduz a um formulário que recolhe a identidade completa, às vezes o cartão bancário a título de «caução por falta de comparência» — um mecanismo que existe realmente em certas plataformas de marcação, o que torna o argumento credível.
O reflexo: nunca reagendar a partir do link. Liga-se ao secretariado para o número que consta da convocatória em papel ou do site do estabelecimento.
3. O falso reembolso do seguro de saúde
«Está pendente um reembolso de 148,32 €, indique o seu IBAN.» O montante é deliberadamente preciso, com cêntimos, porque um número redondo desperta desconfiança. Este cenário visava já os beneficiários de prestações familiares e das caixas de pensões; alargou-se aos seguros de saúde complementares, cujos nomes são numerosos e pouco conhecidos do grande público.
Lembrete útil: um seguro de saúde que lhe deve dinheiro já tem o seu IBAN. Qualquer pedido de dados bancários por SMS é, por definição, suspeito.
4. O cartão de saúde «a renovar»
É provavelmente o mais antigo e o mais persistente. O SMS anuncia a expiração do seu cartão de saúde e propõe uma encomenda online por alguns euros. A segurança social francesa recorda regularmente no Ameli que o cartão Vitale não tem data de validade a renovar mediante pagamento, e que os seus procedimentos passam pela conta ameli, nunca por um link recebido por SMS a pedir um cartão bancário.
5. O falso «Mon espace santé»
Serviço público relativamente recente, o Mon espace santé continua pouco claro para muitos utentes: alguns ativaram-no, outros não, a maioria já não se lembra. As mensagens fraudulentas jogam com isso: «O seu espaço de saúde será encerrado dentro de 48 h por falta de ativação.» A reação correta consiste em ir pelo endereço oficial do serviço escrito à mão no navegador, nunca pelo link.
A tabela de triagem: mensagem de saúde verdadeira ou smishing?
| Indício | Mensagem legítima | Mensagem fraudulenta |
|---|---|---|
| Pedido de cartão bancário | Nunca para consultar um resultado ou um reembolso | Muito frequente, por um «pequeno montante» |
| Pedido de IBAN | Não por SMS | Sim, «para acelerar a transferência» |
| Link | Frequentemente ausente, ou para um domínio conhecido do estabelecimento | Domínio longo, com hífenes, extensão invulgar |
| Número do remetente | Número curto, ou nome do estabelecimento | Número de telemóvel 06/07, ou nome de remetente usurpado |
| Prazo imposto | Nenhum ultimato | «Dentro de 24 h», «dentro de 48 h», «último aviso» |
| Número de segurança social | Nunca pedido em claro num formulário aberto a partir de um SMS | Pedido logo no primeiro ecrã |
| Ortografia | Correta, formulação administrativa sóbria | Muitas vezes também correta atualmente: já não é um critério fiável |
Este último ponto merece insistência. O argumento «estava mal escrito, dava-se logo por isso» já não se aplica. As campanhas de 2026 são redigidas num francês impecável, às vezes melhor do que o das mensagens verdadeiras dos estabelecimentos. O critério decisivo continua a ser a natureza da informação pedida, nunca a qualidade da língua.
A armadilha da exibição: quando o nome do remetente é o correto
Um fenómeno marcou o ano: mensagens fraudulentas que aparecem no mesmo fio de conversa das mensagens verdadeiras de uma entidade, porque o nome de remetente exibido foi usurpado. As caixas de pensões complementares passaram por isso em grande escala, e os estabelecimentos de saúde não estão a salvo.
Consequência prática: o fio de conversa já não é prova de autenticidade. Um SMS fraudulento pode aparecer com o nome do seu laboratório, logo abaixo de uma mensagem verdadeira recebida na semana anterior. É desconcertante, e é a principal mudança dos últimos meses.
Duas salvaguardas concretas:
- Nunca julgar um SMS pelo seu cabeçalho. Julgar pelo que ele pede.
- Voltar sempre ao canal que domina: a aplicação oficial, o site escrito à mão, o número da convocatória em papel.
Sobre este último ponto, guardar as convocatórias e relatórios num dossiê com bolsas transparentes dedicado à saúde do lar não tem nada de arcaico: é o único lugar onde constam números de telefone que ninguém pode usurpar à distância.
O que os serviços de saúde franceses fazem realmente
O que existe
- Lembretes de consulta por SMS, curtos, sem link ou com um link para a plataforma onde marcou a consulta.
- Notificações de disponibilidade de resultados, com identificador entregue em mão no laboratório.
- Mensagens informativas da segurança social, nomeadamente durante as campanhas de vacinação ou de rastreio — sem pedido de dados bancários.
- Alertas da conta ameli a remeter para o site oficial.
O que não existe
- Um pagamento de custos para consultar os próprios resultados.
- Um pedido de IBAN ou de número de cartão por SMS.
- Uma ameaça de encerramento do processo clínico dentro de 24 horas.
- Uma chamada telefónica imediatamente após o SMS para «verificar a sua identidade»: esta combinação SMS + chamada é uma assinatura de fraude organizada, regularmente documentada pelo Banque de France nos seus trabalhos sobre as fraudes por manipulação.
Cliquei: o que fazer a seguir
A ordem conta mais do que a rapidez, mas ambas ajudam.
Se não introduziu nada
O simples facto de abrir uma página geralmente não é suficiente para comprometer um telefone atualizado. Feche o separador, não preencha nada e apague a mensagem depois de a ter denunciado. Aproveite para verificar se o seu sistema operativo está atualizado: as atualizações de segurança corrigem precisamente as falhas exploradas pelas páginas maliciosas.
Se introduziu dados bancários
- Cancelar o cartão imediatamente junto do banco, ou através do serviço interbancário de perda e roubo.
- Verificar as operações dos últimos sete dias, incluindo os pequenos montantes de 1 € ou 2 € que servem de teste.
- Contestar por escrito: em caso de pagamento não autorizado, o Código Monetário e Financeiro prevê um reembolso pelo banco, salvo negligência grave demonstrada por este.
- Apresentar queixa ou fazer uma pré-queixa online, e denunciar na plataforma Cybermalveillance.gouv.fr.
Se introduziu o seu número de segurança social
Não existe «cancelamento» possível, mas há medidas úteis:
- vigiar a sua conta ameli e comunicar qualquer reembolso desconhecido;
- desconfiar durante vários meses das mensagens muito documentadas: basear-se-ão naquilo que forneceu;
- avisar a entidade em causa, que mantém registos de incidentes.
Em todos os casos: denunciar
Reencaminhe a mensagem para o 33700, serviço de denúncia de SMS indesejados criado pelos operadores franceses, e depois responda ao SMS de confirmação indicando o número do remetente. Os links fraudulentos, por sua vez, podem ser denunciados na plataforma Phishing Initiative.
Reduzir a superfície de exposição antes da próxima campanha
Separar os canais
O princípio é simples: quanto mais o seu número principal circula, mais mensagens recebe. Usar um número secundário para formulários comerciais, inscrições pontuais e plataformas de comparação permite reservar o número principal para a família, o banco e o médico. Um cartão SIM pré-pago sem contrato ou uma segunda linha eSIM é mais do que suficiente para este uso.
Ativar os filtros já presentes no telefone
O Android e o iOS integram ambos uma filtragem dos remetentes desconhecidos e uma deteção de mensagens suspeitas, reforçada em França nos últimos meses. Estas ferramentas não são perfeitas, mas retiram do campo de visão uma boa parte do ruído. Nos telefones mais antigos que não as oferecem, um suporte de telefone para secretária pode parecer irrelevante — e é — mas ajuda sobretudo as pessoas idosas a ler uma mensagem com calma, com o ecrã estável, antes de reagir.
Verificar as fugas conhecidas
Os dados de saúde sofrem fugas, inclusive em França: vários incidentes envolvendo laboratórios e operadores de pagamento direto foram tornados públicos nos últimos anos. Verificar periodicamente se o seu endereço de e-mail aparece numa base comprometida permite compreender por que razão as mensagens fraudulentas o conhecem tão bem. Para as famílias que queiram organizar tudo isto, um gestor de palavras-passe e, mais simplesmente, um guia prático de cibersegurança para particulares valem muitas vezes mais do que mais uma aplicação.
O caso dos familiares vulneráveis
Os cenários de saúde visam prioritariamente as pessoas acompanhadas medicamente, logo, muitas vezes idosas. Duas medidas têm efeito imediato:
- escrever, num papel colado no frigorífico, os três números a contactar em caso de dúvida: o laboratório, o médico de família, o banco;
- estabelecer uma regra única: nenhum dado bancário, nunca, por SMS ou telefone, mesmo que o interlocutor cite o nome do médico.
Para quem tem dificuldade em ler ecrãs pequenos, uma lupa de leitura iluminada torna visível o endereço do link antes do clique — o que, na prática, evita mais fraudes do que qualquer discurso de prevenção.
Em resumo
O smishing de saúde não assenta na credulidade, mas na legitimidade da expectativa. Está realmente à espera de um resultado, de um reembolso, de uma convocatória. O fraudador limita-se a ocupar esse lugar.
Três frases a retter:
- Nenhum serviço de saúde francês pede um cartão bancário ou um IBAN por SMS.
- O nome do remetente e a qualidade da língua já não provam nada.
- Volta-se sempre ao canal que dominamos: aplicação oficial, site escrito à mão, número que consta de um documento em papel.
O resto — denúncia ao 33700, cancelamento do cartão, queixa — é apenas mecânica. O que protege é o reflexo de nunca deixar que uma mensagem decida a ordem das operações.
Fontes e recursos úteis: Ameli (Assurance Maladie), CNIL, Cybermalveillance.gouv.fr, Banque de France (observatório da segurança dos meios de pagamento), serviço 33700 dos operadores franceses.
