« A sua encomenda GLS-FR foi retida no centro de triagem: taxas de desalfandegamento de 2,99 € continuam em dívida. Pague nas próximas 48 h para evitar a devolução ao remetente: gls-regularisation-fr[.]top »
Martine, 61 anos, de Angers, estava efetivamente à espera de duas encomendas: um par de sapatos comprado num marketplace e um presente de aniversário enviado pela filha. Pagou os 2,99 € sem hesitar — o valor era tão irrisório que nem se questionou se era justificado. Onze dias mais tarde, o extrato mostrava três débitos de 59,90 € a favor de um «serviço de subscrição» domiciliado em Chipre. Os 2,99 € nunca tinham sido o assunto.
É aí que reside todo o génio desta fraude, e é por isso que ela sobrevive há anos, mesmo quando todos acreditam conhecê-la: não tenta roubar-lhe dinheiro, tenta conseguir que seja o próprio a digitar os seus dezesseis dígitos num teclado. O preço de entrada é deliberadamente ridículo porque um valor ridículo desativa a desconfiança.
Por que a encomenda é o pretexto mais rentável de França
Estatisticamente, está quase sempre à espera de algo
É a base do sistema. O falso SMS de entrega não precisa de conhecer as suas compras: joga com as probabilidades. Com mais de 1,5 mil milhões de encomendas entregues cada ano em França, segundo os dados da Arcep sobre o mercado das encomendas, um adulto conectado tem boas probabilidades de ter um envio a caminho em qualquer momento do mês — e quase certamente entre outubro e janeiro.
O fraudador envia a sua mensagem a centenas de milhares de números. Basta-lhe que alguns pontos percentuais dos destinatários estejam à espera de uma encomenda no momento exato em que o SMS chega. Para esses, a mensagem não parece uma fraude: parece uma explicação.
A transportadora é vaga, e isso é intencional
Provavelmente já notou que estes SMS raramente citam a transportadora correta. Isso acontece porque, no ecossistema do comércio eletrónico, ninguém sabe realmente quem entrega o quê. Encomenda num marketplace, o vendedor expede através de um intermediário, que subcontrata o último quilómetro a um prestador local de cujo nome nunca ouviu falar. Receber um SMS de uma transportadora desconhecida tornou-se banal.
Os nomes explorados mudam constantemente: La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri, e desde 2025-2026 nomes totalmente inventados que soam a «logística» («EuroParcel», «FR-Logistics», «ColisExpress24»). Um nome desconhecido já não o alerta. É exatamente o efeito pretendido.
As alfândegas são uma zona cinzenta para quase todos
Desde o fim da isenção de IVA nas pequenas encomendas importadas e os debates europeus sobre as taxas aplicáveis às plataformas extracomunitárias, a ideia de que «é preciso pagar algo à alfândega por uma encomenda vinda do estrangeiro» entrou nas cabeças. E, por uma vez, não é falso: essas taxas existem realmente.
A Direction générale des douanes et droits indirects (DGDDI) recorda-o no seu site: os direitos e impostos sobre os envios provenientes de países terceiros são cobrados pela transportadora ou pelos correios, no âmbito da entrega, nunca por um SMS com link enviado por um remetente desconhecido. Mas entre «é falso» e «é plausível», o fraudador só precisa do plausível.
O verdadeiro objetivo: o cartão bancário, não os 2,99 €
Por que um valor tão pequeno
Um valor elevado desencadeia uma reflexão. Um valor com dois dígitos depois da vírgula desencadeia um reflexo. Três mecanismos sobrepõem-se:
- O valor abaixo do limiar de dor. Pagar 2,99 € não «custa» nada psicologicamente: mesmo que seja um erro, não é grave. O cérebro decide a favor da tranquilidade.
- A coerência narrativa. Taxas de desalfandegamento de 300 € por um par de sapatos soariam a falso. 2,99 € é exatamente o valor de uma taxa administrativa credível.
- O pagamento como prova de vida do cartão. Uma microtransação que passa valida três coisas para o fraudador: o cartão está ativo, o plafond está disponível e o titular valida pagamentos sem olhar muito.
O que é realmente captado na página falsa
O formulário de pagamento é o coração do dispositivo. Pede sistematicamente mais do que um verdadeiro pagamento de 2,99 € necessitaria:
| Dado solicitado | Utilização real pelo fraudador |
|---|---|
| Número de 16 dígitos, data, CVV | Pagamentos online, revenda do «kit cartão» |
| Nome, endereço completo | Contorno dos controlos AVS, credibilidade das chamadas seguintes |
| Número de telefone | Chamada do falso consultor bancário nos minutos seguintes |
| Banco e credenciais | Tomada de controlo da área de cliente |
| Código recebido por SMS (3-D Secure) | Validação de uma operação muito maior do que 2,99 € |
É este último ponto que faz a diferença entre uma fraude de 3 € e uma fraude de 3 000 €. A página exibe «Confirmação do pagamento de 2,99 € — introduza o código recebido por SMS». O código, por sua vez, foi emitido pelo seu verdadeiro banco para uma operação cujo montante não vê: uma subscrição recorrente, a adição do cartão a uma carteira móvel, ou um carregamento de conta de pagamento.
As três saídas possíveis depois do clique
- A subscrição oculta. O cartão é inscrito num «serviço premium» de 39 €, 49 € ou 59 € por mês, sediado no estrangeiro, com condições gerais em letra minúscula. O débito só aparece ao fim de algumas semanas.
- A revenda do conjunto de dados. As suas informações seguem para um mercado onde são compradas em lotes. O débito pode surgir meses mais tarde, o que torna a ligação com o SMS praticamente impossível de fazer.
- A escalada por telefone. Um «consultor do seu banco» liga-lhe dentro de 48 h, menciona o seu verdadeiro nome, o seu verdadeiro banco e um «débito suspeito de 2,99 €», e leva-o a validar transferências «de anulação». É o cenário mais caro.
Identificar a fraude em doze segundos
Olhe para o domínio, não para o nome exibido
O único elemento impossível de falsificar de forma convincente continua a ser o endereço do site. As verdadeiras transportadoras usam domínios simples e curtos: laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com. Os falsos empilham palavras-chave antes de uma extensão exótica:
laposte-colis-suivi-regularisation[.]icuchronopost-fr[.]supportmondialrelay-paiement-securise[.]topcolissimo[.]fr-tracking[.]cc— aqui o nome verdadeiro é apenas um subdomínio, o site real éfr-tracking.cc
A regra prática: leia o nome de domínio da direita para a esquerda, a partir da extensão. A palavra imediatamente antes do ponto final é o proprietário real. Tudo o que está à esquerda pode dizer qualquer coisa.
O número de rastreio que não rastreia nada
Um verdadeiro número de rastreio é verificável no site oficial da transportadora, introduzido à mão. Os SMS fraudulentos exibem referências com um formato convincente, mas inventadas. Dois minutos bastam: abra você mesmo a aplicação ou o site da transportadora, cole o número e constate que não existe. É o teste mais fiável de todos, e não exige qualquer competência técnica.
Os sinais secundários
- Um prazo de 48 h ou 24 h antes da «devolução ao remetente». As transportadoras guardam as encomendas vários dias e contactam-no por vários canais.
- A ausência do seu nome. Os verdadeiros avisos de passagem mencionam-no quase sempre.
- Um remetente com +33 6 ou +33 7. As transportadoras usam números curtos ou remetentes alfanuméricos, não um telemóvel particular.
- Um pedido de cartão bancário por SMS, quando as verdadeiras taxas aduaneiras são cobradas pelo carteiro, num ponto de recolha, ou na sua área de cliente.
Em caso de dúvida, nunca clique a partir da mensagem. Feche-a, abra a aplicação oficial da transportadora e verifique o estado dos seus envios. Se nada estiver retido, não há nada a pagar.
Reduzir a superfície de ataque antes mesmo do primeiro SMS
Um cartão virtual para tudo o que não é vital
A maioria dos bancos franceses propõe atualmente um número de cartão efémero ou com plafond limitado para as compras online. Utilizar sistematicamente esse número para encomendas em sites desconhecidos muda radicalmente o jogo: mesmo que os seus dados sejam captados numa página falsa, não valem nada quinze dias mais tarde.
Para quem multiplica as compras e perde o fio à meada, um caderno de registo de encomendas mantido à mão basta muitas vezes para saber, num relance, se está realmente à espera de uma encomenda. É básico, mas é precisamente aquilo que o fraudador aposta que não tem.
Um ponto de recolha em vez da caixa de correio
Fazer entregar num ponto de recolha ou num locker limita o número de SMS legítimos que recebe — e, portanto, o ruído em que a mensagem falsa se esconde. Se recebe muitas encomendas em casa e nunca está presente, uma caixa de encomendas segura reduz também os «avisos de passagem» intempestivos que servem de modelo aos fraudadores.
Não ler os SMS sensíveis de qualquer maneira
Parte da armadilha está na leitura: num ecrã de 5 polegadas, a andar, o endereço do site aparece truncado e o olho só vê «laposte». Criar o hábito de verificar as mensagens financeiras parado e, se necessário, com um par de óculos de leitura à mão, evita boa parte dos cliques por reflexo. Para os idosos equipados com um telefone de teclas grandes, aumentar o tamanho da letra nas configurações de acessibilidade é o gesto mais útil — um link em corpo 20 lê-se, um link em corpo 11 adivinha-se.
Bloquear o pagamento, não apenas o telefone
Três configurações a ativar uma vez por todas, na aplicação do seu banco:
- Notificação instantânea de cada operação, mesmo de um euro;
- Plafond de pagamento online reduzido ao que realmente precisa;
- Bloqueio dos pagamentos fora da zona euro se não encomendar no estrangeiro.
Uma fraude que falha num plafond de 150 € não lhe custa nada, mesmo que tenha clicado.
Pagou os 2,99 €: o que fazer
Na primeira hora
- Cancele o cartão através da aplicação bancária ou do serviço interbancário, no 0 892 705 705. Cancelar não anula os débitos já efetuados, mas trava todo o resto.
- Não responda a nenhuma chamada que se apresente como sendo do seu banco nos dias seguintes. Desligue e ligue você mesmo para o número que consta no verso do seu cartão.
- Mude a palavra-passe da sua área bancária e da sua caixa de correio eletrónico, se as introduziu.
- Tire capturas de ecrã do SMS, do endereço do site e do extrato: será o seu processo.
Nos dias seguintes
- Denuncie o SMS para o 33700, reencaminhando-o (gratuito, serviço comum dos operadores franceses contra as mensagens fraudulentas), e depois envie o número do remetente quando lhe for pedido.
- Denuncie o endereço do site na plataforma Phishing Initiative e o facto fraudulento em cybermalveillance.gouv.fr, que propõe um percurso de assistência adaptado aos particulares.
- Apresente queixa online ou na esquadra. O artigo L.133-18 do Code monétaire et financier prevê o reembolso das operações de pagamento não autorizadas; o banco pode, no entanto, invocar negligência grave, e a apresentação de queixa pesa na discussão.
- Vigie os seus extratos durante seis meses. As subscrições ocultas e os débitos diferidos são a verdadeira fatura desta fraude. Se o seu banco recusar, recorra ao mediador bancário e, se for o caso, ao Banque de France.
E se apenas clicou, sem introduzir nada?
O risco é baixo, mas não é nulo. Um simples clique num link de smishing confirma sobretudo que o seu número está ativo: espere um aumento de mensagens nas semanas seguintes. No Android, se alguma aplicação foi instalada fora da Play Store nessa ocasião, desinstale-a imediatamente e verifique as permissões de acesso aos SMS nas configurações. O conselho habitual também se aplica: guardar regularmente os seus dados numa pen USB encriptada permite-lhe reinicializar um telefone suspeito sem perder nada.
O que esta fraude diz sobre todas as outras
O falso SMS da alfândega tornou-se um clássico porque se baseia num princípio que vai além das encomendas: pedir pouco para obter muito. Encontramo-lo nos falsos SMS de multa de 35 €, nas falsas renovações do cartão Vitale por 1 €, nas falsas taxas de reexpedição de 1,79 €. Em cada caso, o valor minúsculo serve de anestésico.
A contramedida é, portanto, comportamental e não técnica: considerar que um valor pequeno pedido por SMS é mais suspeito do que um valor grande. Um fraudador que lhe exige 2 000 € coloca-o em alerta. Aquele que lhe exige 2,99 € conta precisamente com o facto de que não ficará em alerta. Inverter esse reflexo é o essencial do trabalho — e, para as casas onde várias pessoas partilham um cartão ou uma conta, um pequeno guia de segurança digital colocado ao lado do computador da família faz muitas vezes mais bem do que dez recomendações esquecidas.
O resto resume-se a uma frase: nenhuma encomenda se perde por três euros. Se um envio estiver realmente retido, esperará até que tenha verificado.
