«A SMS dizia que eu tinha um reembolso de 384,52 €. Com os cêntimos. Tinha acabado de receber o meu aviso de liquidação dez dias antes e, de facto, tinha tido um reembolso no ano anterior. Preenchi o formulário: nome, data de nascimento, número fiscal e depois os dados bancários "para a transferência". No dia seguinte, dois débitos de 49 € num site estrangeiro.»
Este testemunho, ouvido praticamente na mesma forma num atendimento de apoio a diligências administrativas, resume o essencial do mecanismo. A falsa SMS fiscal não joga com o pânico puro, ao contrário da falsa SMS de multa. Joga com algo mais eficaz: um calendário partilhado por 40 milhões de agregados familiares. Toda a gente sabe que no verão se recebe um aviso de liquidação, que no final do verão chegam os reembolsos do imposto pago a mais, que no final do ano a taxa de retenção na fonte é recalculada.
O burlão não precisa de o conhecer. Basta-lhe saber em que mês estamos.
Porque é que o tema fiscal funciona melhor do que os outros
Um calendário público e, por isso, explorável
A maioria das campanhas de smishing tem de adivinhar o contexto: a sua encomenda, o seu banco, o seu seguro de saúde. A fiscalidade, por seu lado, está sincronizada a nível nacional. Os períodos são anunciados com antecedência pela Direction générale des Finances publiques (DGFiP) e divulgados por toda a imprensa:
- a primavera: abertura da campanha de declaração de rendimentos;
- julho-agosto: disponibilização online dos avisos de liquidação;
- do final de julho ao início de agosto: transferências de reembolso para os agregados que pagaram a mais;
- setembro: ajustamento da taxa de retenção na fonte;
- outono: prazos do imposto sobre imóveis e, depois, do imposto de habitação sobre as residências secundárias.
Enviar 500 000 SMS com «reembolso disponível» na primeira semana de agosto equivale a apostar numa coincidência com probabilidade muito elevada. Uma parte dos destinatários está mesmo à espera de uma transferência.
Duas emoções pelo preço de uma
O smishing fiscal divide-se em duas famílias que se complementam:
| Tipo de mensagem | Mola psicológica | Objetivo real |
|---|---|---|
| «Imposto pago a mais / reembolso pendente» | Ganho, oportunidade, prazo curto | Captar o IBAN e os dados do cartão |
| «Dívida, agravamento, aviso de penhora» | Medo da sanção, urgência | Levar a pagar de imediato com cartão |
| «Atualização da sua área pessoal» | Rotina administrativa | Roubar as credenciais fiscais |
| «Regularização da sua taxa de retenção» | Tecnicidade, incompreensão | Recolher um dossiê de identidade completo |
O primeiro tipo rende dados bancários reutilizáveis durante meses. O segundo rende um pagamento imediato. O terceiro é o mais perigoso a longo prazo: com um número fiscal e uma palavra-passe, um burlão pode consultar a sua situação, alterar os dados bancários de reembolso e obter documentos de identificação úteis para pedir um crédito.
Um vocabulário que ninguém domina verdadeiramente
«Imposto pago a mais», «aviso de situação declarativa», «rol», «taxa não personalizada», «pagamento por conta contemporâneo»: o léxico fiscal é suficientemente opaco para que ninguém se atreva a julgar a verosimilhança de uma mensagem. Quando uma frase parece incompreensível numa SMS bancária, desconfia-se. Quando parece incompreensível numa SMS fiscal, pensa-se que é normal.
O que a DGFiP envia realmente por SMS
Este é o ponto mais útil a reter, e é simples.
A administração fiscal utiliza efetivamente SMS, mas num perímetro muito estreito, essencialmente informativo:
- lembretes de prazos de declaração ou de pagamento, sem ligação para qualquer formulário de preenchimento;
- códigos de utilização única no âmbito da autenticação reforçada da sua área pessoal;
- confirmações de diligências já efetuadas por si.
Em contrapartida, eis o que não faz:
A administração fiscal nunca pede os seus dados bancários, o número do seu cartão, a sua palavra-passe ou uma cópia do documento de identificação por SMS ou por e-mail. Um reembolso de imposto pago a mais é creditado automaticamente na conta já conhecida da administração, sem qualquer diligência da sua parte.
Esta frase consta, com uma formulação próxima, no impots.gouv.fr e nas comunicações do Cybermalveillance.gouv.fr. Basta para desqualificar praticamente todas as mensagens fraudulentas.
Segundo ponto de referência: não existe botão de reembolso. Se pagou a mais, a transferência chega. Se não puder chegar porque o seu IBAN está desatualizado, recebe uma carta-cheque por correio postal. Nunca uma ligação.
Os cinco sinais que denunciam uma falsa SMS fiscal
1. O montante com cêntimos
Contraintuitivo, mas central. Os burlões perceberam que um montante redondo («400 €») soa a falso, por isso escrevem «384,52 €». É precisamente esse nível de precisão, numa SMS não solicitada, que deve alertar: a administração não detalha um saldo numa mensagem de 160 caracteres.
2. O prazo curto e arbitrário
«Nas próximas 48 horas», «antes de 3 de outubro», «sob pena de encerramento do seu processo». O direito fiscal funciona com datas-limite públicas, iguais para todos, e não com contagens decrescentes personalizadas enviadas por SMS.
3. O endereço da ligação
Repare no que precede imediatamente a primeira /. Os serviços oficiais estão alojados em domínios .gouv.fr. Tudo o resto — impots-remboursement.com, dgfip-service.net, impots.gouv.fr.secure-paiement.xyz — é fraudulento. O último exemplo é o mais traiçoeiro: aí, impots.gouv.fr é apenas um subdomínio de um site terceiro.
4. O remetente apresentado
Uma SMS pode exibir um nome de remetente, inclusive falsificado: é o spoofing de remetente. O facto de uma mensagem surgir no mesmo fio de conversa de uma SMS legítima recebida meses antes não prova, portanto, nada. Trata-se de uma fragilidade estrutural das SMS e não de uma falha do seu telemóvel.
5. O pedido de pagamento com cartão
O pagamento dos impostos faz-se por débito direto, transferência ou através da área segura. Uma página que pede um número de cartão de 16 dígitos para liquidar um «agravamento de 32 €» é falsa, sem exceção.
O procedimento correto, em três gestos
Gesto 1: nunca partir da mensagem
É a única regra que resiste a todas as variantes de burla, presentes e futuras. Uma SMS pode informá-lo de que algo se passa; nunca deve ser o seu caminho de acesso. Fecha a mensagem, escreve você mesmo o endereço do site oficial no navegador ou abre a aplicação instalada a partir da loja do seu telemóvel.
Se a informação for verdadeira, consta da sua área pessoal. Se não constar, é falsa. Não há terceira hipótese.
Gesto 2: verificar a partir de um aparelho confortável
Muitos erros vêm do suporte: num ecrã de 6 polegadas, dentro do metro, um endereço truncado é ilegível. Fazer a verificação num computador, ou num tablet com um suporte inclinável para tablet que permita ler com calma, muda realmente a qualidade do juízo. Não é um pormenor: a maioria das vítimas diz ter clicado «no meio de outra coisa».
Gesto 3: denunciar e depois apagar
Dois canais úteis e gratuitos:
- 33700: reencaminhe a SMS para este número e envie depois o número do remetente quando lhe for pedido. É o dispositivo de denúncia conjunta dos operadores franceses.
- Cybermalveillance.gouv.fr e signal.conso.gouv.fr para documentar a campanha; Phishing Initiative para colocar o URL numa lista negra.
Só depois é que deve apagar. Mas, se clicou, guarde uma captura de ecrã: servirá para a apresentação de queixa.
Se preencheu o formulário
A rapidez conta mais do que a precisão. Pela ordem:
- Cancelar o cartão bancário, através da aplicação do seu banco ou do servidor interbancário (0 892 705 705). Peça também o bloqueio de qualquer débito direto SEPA suspeito.
- Alterar a palavra-passe da sua área pessoal impots.gouv.fr e de todas as contas que partilhavam essa palavra-passe. Se o exercício o desanima, um gestor de palavras-passe resolve o problema de uma vez por todas.
- Verificar os seus dados bancários na área fiscal: um acesso fraudulento pode ter alterado a conta de reembolso.
- Apresentar queixa numa esquadra, num posto da guarda ou por via de pré-queixa online. Os bancos exigem frequentemente esse registo para instruir um reembolso.
- Pedir o reembolso ao seu banco: o código monetário e financeiro prevê o reembolso das operações de pagamento não autorizadas, salvo negligência grave. O simples preenchimento de dados num site falsificado não constitui automaticamente negligência grave — é um ponto sobre o qual as associações de consumidores, entre elas a UFC-Que Choisir, obtêm regularmente decisões favoráveis.
- Vigiar a usurpação de identidade durante vários meses: pode exercer o seu direito de acesso ao ficheiro de incidentes de reembolso de créditos a particulares junto do Banque de France.
Um pormenor que ajuda: guarde os documentos do processo numa bolsa de arquivo de documentos dedicada, com as capturas impressas, a data do cancelamento do cartão e a cópia da queixa. Os processos bem organizados avançam bastante mais depressa junto do serviço de reclamações.
Reduzir a superfície de ataque a montante
Separar as diligências administrativas do resto
As campanhas fiscais chegam a toda a gente, mas a sua eficácia depende do seu nível de ruído. Se o seu número recebe quarenta solicitações comerciais por mês, uma falsa SMS fiscal dilui-se na massa e parece legítima. Duas medidas simples:
- inscrever a sua linha no Bloctel para as chamadas de telemarketing;
- responder STOP às SMS publicitárias legítimas, que têm a obrigação legal de incluir esse mecanismo.
Ativar a autenticação reforçada
A área pessoal impots.gouv.fr propõe uma validação por código enviado para o seu telemóvel ou para o seu e-mail. Ativada, torna uma palavra-passe roubada muito menos aproveitável. Para as contas mais sensíveis, uma chave de segurança física FIDO2 elimina pura e simplesmente o interesse do phishing: nada para copiar, logo nada para roubar à distância.
Fazer as atualizações
A Google reforçou em 2026 a deteção de mensagens fraudulentas na aplicação Messages em Android, em França, com a classificação automática de determinadas SMS suspeitas. A Apple propõe, por seu lado, uma filtragem dos remetentes desconhecidos nas definições de Mensagens. Estes filtros não substituem a vigilância, mas reduzem o volume que chega ao seu ecrã — desde que o sistema esteja atualizado.
Ajudar as pessoas menos à vontade
Os públicos mais expostos não são necessariamente os mais idosos: são aqueles que tratam das suas diligências com pressa, muitas vezes a partir do telemóvel. Uma conversa de dez minutos com alguém próximo vale mais do que qualquer configuração. Para quem prefere o papel, um guia prático sobre burlas online pousado junto do telefone fixo faz muitas vezes mais efeito do que um aviso oral.
O que há a reter
| Situação | Reflexo |
|---|---|
| SMS a anunciar um reembolso | Nenhuma diligência: o imposto pago a mais é devolvido automaticamente |
| SMS a anunciar uma dívida e uma ligação de pagamento | Verificar apenas na área pessoal, nunca através da ligação |
| Pedido de IBAN, de cartão ou de documento de identificação | Fraude certa, seja qual for o remetente apresentado |
Ligação que não termina em .gouv.fr antes da / | Fraude |
| Clicou | Cancelamento do cartão, palavra-passe, queixa, reclamação bancária |
O smishing fiscal não vai desaparecer: é demasiado rentável e demasiado fácil de calendarizar. Mas assenta inteiramente numa confusão que pode eliminar de uma só vez. A administração informa-o; não o conduz. Assim que retoma o controlo do caminho de acesso — o seu navegador, a sua aplicação, o endereço que escreve — a mensagem fraudulenta perde a sua única arma.
Fontes úteis: impots.gouv.fr (secção «Attention aux tentatives d'escroquerie»), Cybermalveillance.gouv.fr, DGCCRF, plataforma 33700, Banque de France (ficheiros de incidentes), UFC-Que Choisir.
