« Olá, é o Patrick. Parti o telemóvel, estou a escrever-te do telefone da minha filha. Podes fazer hoje a transferência para o fornecedor das camisolas? A fatura está em anexo no teu e-mail, tem de sair antes das 17h ou perdemos a encomenda para o torneio. Obrigado, depois explico-te. »
O Patrick é, de facto, o presidente do clube. O tesoureiro, um reformado voluntário desde há onze anos, reconheceu o tom, o tratamento informal, a urgência habitual de um início de temporada. Pagou 2 340 € a partir da conta da associação. O verdadeiro Patrick, contactado ao final do dia por telefone, nunca tinha escrito aquela mensagem.
Fala-se muito do smishing que visa os particulares e, mais recentemente, os trabalhadores independentes. Um terceiro alvo permanece quase invisível: o tecido associativo. Em França existem cerca de 1,5 milhões de associações ativas, a grande maioria das quais funciona sem qualquer trabalhador remunerado, com voluntários que gerem uma conta bancária real a partir do telefone pessoal. Nenhum departamento informático, nenhum procedimento escrito, e números de telemóvel afixados por todo o lado — nos cartazes dos torneios, nos panfletos do bingo, no site da câmara municipal.
Porque é que uma associação é um alvo ideal
Os números dos responsáveis são públicos por vocação
Uma associação existe para ser contactável. O número do presidente, do secretário ou do responsável pelas inscrições encontra-se, sem qualquer pirataria:
- no cartaz do arranque das atividades dos clubes e nos folhetos da quermesse;
- no diretório associativo do município, muitas vezes copiado tal e qual para o site da câmara;
- na página de Facebook do clube, nas publicações fixadas e nos comentários;
- nas atas das assembleias gerais publicadas online em PDF, por vezes com a composição completa da direção;
- nas convocatórias enviadas por WhatsApp, reencaminhadas de grupo em grupo até saírem do círculo dos associados;
- no Journal officiel des associations (JOAFE), nos contactos de declaração.
Um golpista não precisa, portanto, de uma fuga de dados. Precisa de uma tarde e de um motor de busca. Sabe quem é o presidente, quem é o tesoureiro e, muitas vezes, quando se realiza a próxima assembleia geral.
Há dinheiro, e ele movimenta-se aos saltos
Ao contrário da imagem romântica do clube sem um tostão, uma associação desportiva de dimensão média recebe várias dezenas de milhares de euros por ano: quotas, subsídios, bar, bingo, patrocinadores locais, loja. Estes fluxos não são regulares — chegam em setembro e depois a cada evento. Uma transferência invulgar de 2 000 € em plena abertura de temporada não choca ninguém.
A governação assenta na confiança, não no procedimento
Numa empresa, uma transferência passa por um circuito de validação. Numa associação, passa muitas vezes por uma mensagem: « podes pagar, eu valido ». O voluntariado funciona na base do relacionamento interpessoal. É precisamente isso que a engenharia social explora: o golpista não ataca um sistema informático, toma de empréstimo uma relação de confiança.
Os quatro cenários mais frequentes
1. O falso presidente (a «fraude do CEO» em versão SMS)
É o cenário da mensagem de abertura. Um SMS de um número desconhecido, em nome do presidente ou de um membro da direção, com três marcadores quase sistemáticos:
- uma mudança de número justificada («telefone partido», «perdi o cartão SIM», «estou no estrangeiro»);
- uma urgência com data e hora (antes das 17h, antes do fecho do mercado, antes do encerramento de uma encomenda);
- um motivo credível e verificável: camisolas, aluguer de pavilhão, sinal do autocarro, taxas de inscrição numa competição.
O pedido nunca é «envia-me dinheiro». É sempre «paga a este fornecedor», o que desloca a responsabilidade e transmite tranquilidade.
2. O falso fornecedor e a mudança de IBAN
Variante mais fria e terrivelmente eficaz: um SMS ou um e-mail que finge vir do fornecedor de catering, da tipografia, da empresa de aluguer de minibus ou da transportadora, anunciando uma alteração das coordenadas bancárias. O texto é profissional, por vezes acompanhado de um documento falso com o cabeçalho correto. A associação paga uma fatura verdadeira… para a conta errada.
O Banco de França, nos relatórios do seu Observatório da segurança dos meios de pagamento, destaca há vários exercícios o aumento das fraudes por manipulação — aquelas em que a própria vítima efetua o pagamento. As associações encaixam totalmente nesta categoria, e é a mais difícil de conseguir reembolsar.
3. O falso associado e a recolha de dados
Outro ângulo: o SMS dirigido não à direção, mas às famílias, fazendo-se passar pelo clube. « Regularização da licença: faltam 18 € no seu processo, regularize antes de domingo para que o seu filho fique coberto pelo seguro. » O link conduz a uma página de pagamento que imita uma plataforma conhecida. O valor é baixo, a carga emocional é forte (o seguro da criança) e o clube só descobre o caso semanas mais tarde.
Para que este cenário funcione, o golpista precisa da lista de números dos pais. E ela circula mais do que se imagina: grupos de WhatsApp abertos, ficheiros Excel enviados em anexo a toda a direção, folhas de cálculo partilhadas com acesso público de leitura, um antigo secretário que guarda a lista no telefone pessoal.
4. O falso subsídio e o falso organismo
Último clássico, em crescimento: o SMS que anuncia um processo de subsídio aprovado, em nome de uma «agência nacional do desporto», de um «fundo de desenvolvimento da vida associativa» ou de uma fundação empresarial. Sinal de alerta: pedem documentos (estatutos, IBAN, documento de identificação do presidente) e, depois, «despesas de processo». Nenhum mecanismo público francês cobra taxas para pagar um subsídio, e nenhum o anuncia por SMS para um número pessoal.
Regra de triagem que funciona em quase todos os casos: um SMS nunca pede uma decisão financeira. Pode informar, recordar, confirmar. A partir do momento em que pede uma ação, muda de estatuto: é uma pista a verificar, não uma instrução.
O que torna o voluntário mais vulnerável do que um trabalhador por conta de outrem
Acumulam-se três fatores, e nenhum deles é uma questão de inteligência.
| Fator | Consequência concreta |
|---|---|
| O telefone é pessoal | Sem filtragem empresarial, sem MDM, as mensagens do clube chegam entre duas mensagens da família |
| O tempo é escasso | Os assuntos do clube são tratados à noite, com cansaço, entre duas tarefas — o estado em que a urgência funciona melhor |
| Os cargos rodam | Um novo tesoureiro eleito em setembro ainda não conhece os hábitos reais do presidente |
| O erro é pessoal | O medo de ter comprometido o dinheiro dos outros leva a calar, logo a atrasar a denúncia |
Este último ponto é o mais caro. Nos casos que pudemos documentar, o prazo médio entre a transferência fraudulenta e o alerta ao banco ultrapassa frequentemente as 48 horas — precisamente porque o voluntário procura primeiro compreender e depois hesita em avisar a direção.
Sete medidas que cabem numa reunião de direção
O objetivo não é burocratizar um clube de petanca. É introduzir alguns atritos nos lugares certos.
1. A regra do retorno de chamada para o número conhecido
Qualquer pedido de pagamento, de alteração de IBAN ou de transferência urgente recebido por SMS, WhatsApp ou e-mail verifica-se com uma chamada feita para o número guardado nos contactos — nunca para o número que enviou a mensagem, nunca através de uma chamada recebida. Basta uma frase inscrita na ata da assembleia geral, e ela neutraliza a fraude do falso presidente.
2. A dupla assinatura acima de um limite
Defina um limite (por exemplo, 500 €) acima do qual duas pessoas da direção têm de validar. A maioria dos bancos oferece validação dupla nas contas associativas; na sua falta, o acordo pode ser materializado por um e-mail de confirmação do presidente. O golpista, por seu lado, não pode ser duas pessoas ao mesmo tempo.
3. Um livro de tesouraria que não viva apenas num telefone
Os clubes mais bem organizados que encontrámos mantêm sempre um duplicado em papel: um simples livro de contabilidade com colunas guardado na sede, onde cada receita e cada despesa é registada à mão no próprio dia. Não é nostalgia: em caso de litígio, é um registo independente do telefone e da conta online, e torna imediatamente visível um pagamento invulgar.
4. Proteger a lista de associados como um ficheiro sensível
Uma lista com 200 números de telefone de pais é um ficheiro de dados pessoais na aceção do RGPD, e a associação é responsável pelo tratamento. Em termos práticos:
- um único detentor designado e uma transmissão ao sucessor a cada mudança de direção;
- não enviar em anexo a toda a direção «para conhecimento»;
- para os envios em grupo, usar a função de difusão que oculta os destinatários em vez de um grupo onde todos veem todos os números;
- um suporte cifrado para as cópias de segurança — uma pen USB segura com encriptação por hardware custa algumas dezenas de euros e evita que um ficheiro de associados fique esquecido na cloud pessoal de um antigo secretário.
A CNIL publica fichas práticas dedicadas às associações sobre a gestão dos ficheiros de associados: são a referência atualizada em caso de dúvida.
5. Um número do clube distinto dos números pessoais
É a medida que mais muda as coisas a longo prazo. Uma linha dedicada — cartão SIM pré-pago num telemóvel simples, ou um segundo número num aparelho com dois SIM — torna-se o ponto de contacto público do clube. Passa para a direção seguinte, absorve o spam e permite distinguir num relance «mensagem do clube» de «mensagem que diz vir do clube» numa linha privada. Para um tesoureiro, é também a garantia de que a sua linha pessoal não aparece num cartaz.
6. Ativar os filtros anti-spam do telefone e, depois, denunciar
No Android, a proteção contra mensagens fraudulentas da aplicação Messages foi reforçada em França em 2026 e deteta parte dos links maliciosos. No iPhone, a filtragem de remetentes desconhecidos isola as mensagens de números fora dos contactos num separador distinto. Estas ferramentas não substituem a regra n.º 1, mas reduzem o volume.
Qualquer SMS fraudulento deve depois ser denunciado ao 33700 (serviço oficial francês de denúncia de spam por SMS, gratuito), reencaminhando a mensagem e, em seguida, o número do remetente. As tentativas que resultem em prejuízo declaram-se na plataforma Cybermalveillance.gouv.fr e, na vertente penal, através de uma queixa. O mecanismo Perceval diz respeito ao uso fraudulento de cartões bancários, não às transferências consentidas.
7. Formar em dez minutos, a cada mudança de direção
Não é preciso um seminário. Os quatro cenários acima, lidos em voz alta numa reunião, bastam para imunizar a maioria dos voluntários. As associações que recebem público ou que trabalham com menores podem ter interesse em guardar na sede um guia prático de cibersegurança, para que o novo secretário não tenha de procurar na Internet numa noite de pânico.
Se a transferência já saiu
As primeiras horas contam mais do que tudo o resto.
- Ligar imediatamente ao banco, por telefone, e pedir uma tentativa de recuperação da transferência (recall). Uma transferência SEPA normal pode às vezes ser bloqueada se ainda não tiver sido executada ou se os fundos ainda estiverem na conta de destino. Uma transferência imediata é irrevogável, mas a comunicação continua a ser útil.
- Avisar o presidente e a direção sem demora, mesmo que a decisão tenha sido tomada sozinho. O prejuízo é da associação, não do voluntário.
- Apresentar queixa, com as capturas de ecrã do SMS, o número do remetente, a ordem de transferência e o extrato bancário. Conservar a mensagem original no telefone: uma captura de ecrã completa, com data e hora, vale mais do que um reencaminhamento.
- Avisar a seguradora da associação: alguns contratos multirriscos para associações incluem uma cobertura de «fraude» ou «desvio de fundos», muitas vezes desconhecida.
- Avisar os associados se os seus dados puderem ter circulado e, em caso de violação de dados pessoais, considerar a notificação à CNIL no prazo de 72 horas.
O que há a retar
Os golpistas não «descobriram» as associações: elas representam simplesmente a melhor relação entre a facilidade de acesso aos números de telefone e a presença real de dinheiro. Face a isto, nenhuma tecnologia substitui dois reflexos de governação: não se decide um pagamento com base numa mensagem e liga-se sempre para o número que já conhecemos.
Uma associação que inscreva estas duas frases no seu regulamento interno, que dedique um número aos seus contactos públicos e que proteja a lista de associados como um ficheiro sensível torna-se um alvo nitidamente menos rentável. E o voluntário recupera o direito de ler um SMS sem se interrogar se ele vai custar 2 000 € ao seu clube.
