« CROUS: falta um documento no seu processo social de estudante. Sem regularização até 12/10, o pagamento da sua bolsa do mês será suspenso. Complete aqui: crous-dse-regularisation[.]fr »
Léa, 19 anos, primeiro ano de licenciatura em Lille, clicou no elétrico. Tinha trocado precisamente três e-mails com o Crous a propósito de um comprovativo de rendimentos dos pais. O site parecia igual ao que tinha usado em junho: logótipo, tipografia, faixa de cookies. Introduziu o seu nome de utilizador, a palavra-passe e, depois, o IBAN «para confirmar a conta de pagamento». No mês seguinte, a bolsa foi para outra conta. Foram precisas seis semanas e uma queixa formal para que a transferência voltasse ao destino certo.
Repete-se com frequência que os jovens «nasceram com um telemóvel na mão» e estão, por isso, protegidos. É exatamente o contrário. Um estudante de primeiro ano é um dos alvos mais rentáveis do outono: em seis semanas, lida com mais procedimentos administrativos novos do que um trabalhador em cinco anos — bolsa, alojamento, subsídio de habitação, seguro de saúde, banco, transportes, inscrição pedagógica, trabalhos em part-time — e não tem qualquer histórico que lhe permita distinguir uma mensagem legítima de uma falsa.
Porque é que o início do ano letivo é uma janela de tiro ideal
Tudo acontece ao mesmo tempo, e tudo passa por SMS
Entre o final de agosto e meados de novembro, um estudante recebe legitimamente mensagens do seu Crous, do banco, da caixa de prestações familiares, da universidade, do operador, do seguro de saúde, de um senhorio, de uma rede de transportes e, às vezes, de um empregador de trabalho em part-time. A maioria destes organismos envia SMS verdadeiros com links verdadeiros.
Resultado: o reflexo «um organismo oficial nunca lhe envia um link por SMS» é falso na prática, e os golpistas sabem-no. A mensagem deles não se destaca, insere-se num fluxo já saturado.
A urgência administrativa é mais eficaz do que o medo
Os cenários que funcionam melhor não ameaçam com uma multa, ameaçam com a perda de dinheiro já prometido:
- bolsa «suspensa» por falta de documento comprovativo;
- subsídio de habitação «à espera de validação da declaração de arrendamento»;
- «valor recebido indevidamente» a reembolsar em 48 horas;
- lugar em residência universitária «libertado a favor de outro candidato»;
- ajuda para a carta de condução ou apoio à mobilidade «não reclamado».
Para quem vive com 500 € por mês, a perspetiva de perder 180 € de bolsa gera um pânico muito mais acionável do que a ameaça de uma multa hipotética.
Os dados necessários são públicos ou fáceis de adivinhar
Um golpista não precisa de conhecer o processo da Léa. Precisa de saber que ela é estudante, o que está à vista de todos:
- os grupos de Facebook e servidores Discord de ajuda mútua por cidade e por curso, onde os números circulam para partilhas de carro, vendas de livros e procura de colegas de casa;
- os anúncios de procura de alojamento publicados com nome, cidade, escola e número de telefone;
- as petições, formulários de inscrição em festas, listas de associações de estudantes;
- as vendas de sebentas e de manuais usados em plataformas generalistas;
- os ficheiros revendidos após uma fuga de dados num operador do setor do alojamento, da mobilidade ou da bilheteira.
O envio é feito depois em massa, por intervalos de números, com uma taxa de sucesso suficiente para ser rentável. Em 2026, o Banque de France documentou o avanço contínuo das fraudes ditas «por manipulação», em que é a própria vítima a realizar a operação: é precisamente o registo destas campanhas.
Os seis cenários que realmente circulam em 2026
1. O falso Crous e o falso processo social de estudante
O mais difundido. A mensagem anuncia um documento em falta ou um pagamento bloqueado, com um prazo de quatro ou cinco dias. O formulário pede as credenciais do portal e, depois, um IBAN de pagamento — o verdadeiro objetivo. Variante mais discreta: nada é roubado de imediato, recolhe-se apenas o nome de utilizador e a palavra-passe, reutilizados em seguida na caixa de correio e nas contas bancárias (muitos estudantes usam a mesma palavra-passe em todo o lado).
2. O falso alojamento e a caução desaparecida
O SMS responde a um anúncio publicado pelo próprio estudante: « Estúdio de 24 m², 420 € com despesas incluídas, ainda disponível, fui transferido para o estrangeiro, visita virtual possível ». O contrato é enviado em PDF, bem feito, por vezes com um número de artigo matricial verdadeiro. Pede-se um mês de caução por transferência «para reservar o alojamento». Todos os outonos, os Crous e os serviços de alojamento das universidades publicam alertas sobre este esquema, que faz vítimas repetidamente por falta de visita presencial.
3. O falso seguro de saúde e o falso reembolso médico
« O seu processo de seguro de saúde complementar para estudantes está incompleto, o seu cartão de pagamento direto vai ser desativado ». O formulário pede número de segurança social, data de nascimento e dados bancários. Lembrete útil: a Ameli nunca pede os seus dados bancários por SMS, e o Cartão Vital é gratuito.
4. O trabalho em part-time que transforma a vítima em intermediária
« Missão remunerada, 2 h/dia, 90 € por dia, receção de encomendas e reenvio » ou « teste de serviços bancários: recebe uma transferência, transfere-a e fica com 10 % ». Já não se trata de roubo de dados, mas de recrutamento de «mula» financeira. A consequência é jurídica: conta bancária encerrada, inscrição no ficheiro do Banque de France e, às vezes, convocatória judicial. Os estudantes que procuram um rendimento complementar são os primeiros visados.
5. A falsa assinatura de transportes ou de plataforma
Recebida logo após uma compra real: « A sua assinatura de estudante não pôde ser renovada, atualize o seu meio de pagamento ». Valor minúsculo, cartão capturado, débitos recorrentes a seguir. É o mesmo molde das falsas renovações de streaming.
6. O SMS do banco seguido de uma chamada
O mais caro. Um SMS sinaliza uma operação suspeita e, minutos depois, um «gestor de conta» telefona, muitas vezes a partir de um número que aparece como sendo o da agência. Pede para validar uma operação na aplicação «para a anular». É a própria vítima a autorizar a transferência.
Regra simples de memorizar e repetir: nenhum gestor de conta bancária lhe pedirá para validar, ler ou ditar um código recebido por SMS. Um código recebido confirma uma operação; ditá-lo é assiná-la.
Como reconhecer estas mensagens em dez segundos
| Sinal | O que significa |
|---|---|
| Um prazo de 24 a 72 h | A administração francesa nunca funciona a esta velocidade |
Um link que não é em .gouv.fr nem no .fr oficial do Crous ou da universidade | Domínio registado na semana anterior |
| Um pedido de IBAN «para verificação» | Nenhum organismo verifica um IBAN através de um formulário web não solicitado |
Um hífen ou uma palavra acrescentada ao domínio (crous-dse-…, ameli-remboursement…) | Imitação típica |
| Uma mensagem que chega à noite ou ao fim de semana | As campanhas circulam fora do horário de expediente para impedir a verificação |
| Um pagamento de alguns euros solicitado | Pretexto para capturar o cartão |
O reflexo que substitui todos os outros: nunca entrar numa conta através de um link recebido. Fecha-se a mensagem, abre-se a aplicação ou escreve-se o endereço oficial à mão. Se a informação for verdadeira, está na conta. Se não estiver lá, não existe.
As configurações a fazer uma vez, em dez minutos
No telemóvel
- Ativar a filtragem de remetentes desconhecidos: iOS, Ajustes → Mensagens → Filtrar remetentes desconhecidos; Android, Google Messages → Proteção contra spam. Em 2026, a Google reforçou em França a deteção automática de fraudes no Messages: vale a pena deixar a opção ativa.
- Desativar a abertura automática das pré-visualizações de links nas notificações do ecrã bloqueado.
- Atualizar o sistema: parte das armadilhas passa por páginas que exploram navegadores antigos.
- Para os estudantes que trabalham muito a partir do telemóvel, um suporte para smartphone de encaixe na secretária não tem nada a ver com segurança, mas ajuda a ler uma mensagem com calma, em vez de o fazer num corredor, de pé, entre duas aulas — e é exatamente nessa situação que se clica.
Nas contas
- Ativar a autenticação em dois fatores na caixa de correio antes de tudo o resto: é ela que permite reiniciar todas as outras contas.
- Usar palavras-passe diferentes. Um gestor de palavras-passe é suficiente; para quem prefere o papel, um caderno de palavras-passe guardado em casa continua a ser infinitamente melhor do que reutilizar o mesmo código em todo o lado.
- Preferir, quando for possível, uma aplicação de autenticação ou uma chave de segurança física USB-C em vez do código por SMS para as contas sensíveis: um número pode ser desviado, uma chave não.
No dinheiro
- Definir limites para os pagamentos online e as transferências na aplicação bancária. Um limite de transferência de 500 € impede mecanicamente a catástrofe.
- Ativar as notificações instantâneas a cada operação.
- Separar a conta que recebe a bolsa da conta usada para compras online, quando o banco o permitir.
Se já aconteceu: as primeiras horas
- Ligar para o serviço de cancelamento do banco imediatamente (número no verso do cartão ou na aplicação), antes mesmo de compreender o que se passou. Pedir o bloqueio das transferências em curso.
- Alterar a palavra-passe da conta afetada e, depois, a da caixa de correio, a partir de outro dispositivo.
- Verificar o IBAN registado no portal do Crous, na CAF e na área bancária: é a alteração mais silenciosa e mais onerosa.
- Denunciar o SMS para o 33700, reencaminhando-o e enviando depois o número do remetente para o mesmo número. O dispositivo alimenta os bloqueios dos operadores.
- Apresentar queixa na polícia ou na gendarmaria, com capturas de ecrã. A plataforma Cybermalveillance.gouv.fr fornece fichas de boas práticas e orienta para os procedimentos adequados; o Perceval (serviço online do Ministério do Interior francês) permite denunciar uma fraude com cartão bancário.
- Contactar o serviço social do Crous ou o serviço de vida estudantil da instituição: um pagamento desviado é um incidente conhecido, para o qual existem apoios de emergência (ajuda específica pontual).
O artigo 133-18 do código monetário e financeiro francês prevê o reembolso das operações não autorizadas. O banco pode recusá-lo invocando negligência grave do utilizador; a jurisprudência recente é, no entanto, favorável às vítimas quando a mensagem imitava a identidade do banco (spoofing). Em caso de recusa, o recurso ao provedor bancário é gratuito e muitas vezes eficaz.
O que se pode dizer a um estudante sem o pôr na defensiva
As campanhas de prevenção clássicas funcionam mal com os 18-25 anos porque os infantilizam. Três formulações resultam melhor:
- «Não és ingénuo, estás ocupado. Os golpistas não visam a ignorância, visam a velocidade.»
- «O ponto fraco não és tu, é o calendário: no início do ano letivo, todos esperam uma mensagem da administração.»
- «Se clicaste, di-lo imediatamente. As primeiras 24 horas mudam tudo, e ninguém te vai julgar.»
É o silêncio que sai caro. Muitos estudantes vítimas esperam várias semanas por vergonha, o tempo suficiente para que os prazos de contestação se fechem.
A retermos
- O início do ano letivo é o pico anual dos SMS fraudulentos dirigidos aos 18-25 anos, porque todos os procedimentos chegam ao mesmo tempo.
- Os cenários mais rentáveis não assustam: ameaçam retirar um dinheiro já esperado (bolsa, subsídio de habitação, apoio).
- Nenhum organismo pede um IBAN, um número de segurança social ou um código recebido por SMS através de um link não solicitado.
- Nunca se verifica a partir da mensagem: fecha-se, abre-se a aplicação ou escreve-se o site oficial à mão.
- Limitar as transferências e ativar a autenticação dupla na caixa de correio reduz os danos ainda antes de eles acontecerem.
- Em caso de clique: cancelamento junto do banco, mudança de palavra-passe, verificação do IBAN registado, denúncia ao 33700, queixa.
Um SMS fraudulento nunca é uma prova de credulidade. É o sinal de que alguém investiu tempo para imitar exatamente a mensagem que estava à espera. A única vantagem duradoura é conhecer o mecanismo antes de o encontrar.
