« SEGURO DE SAÚDE: o seu novo cartão de terceiro pagador 2027 está disponível. Descarregue-o antes de 31/10 para evitar qualquer interrupção da cobertura: espace-adherent-tp[.]net »
Sylvie, 54 anos, assistente de gestão em Chambéry, recebeu esta mensagem numa terça-feira de manhã. Tinha recebido precisamente três dias antes uma carta verdadeira do seu seguro de saúde sobre a evolução das suas contribuições. O SMS chegava no momento certo, com o vocabulário certo, e não pedia nada além de «descarregar um cartão». Ela indicou o nome, a data de nascimento, o número de Segurança Social, o IBAN «para verificar o débito da contribuição». Seis dias mais tarde, um débito de 480 € seguia para uma entidade desconhecida e o seu número de Segurança Social circulava num ficheiro revendido.
O que torna esta fraude eficaz não é o medo. É a burocracia banal: nesta época do ano, um seguro de saúde que lhe escreve não tem nada de anormal. O SMS falso não cria um acontecimento, insere-se num acontecimento que já existe.
Porque é que o outono é a estação ideal para se fazer passar por um seguro de saúde
O calendário dos contratos de saúde é público e perfeitamente previsível
Em França, a grande maioria dos contratos de seguro de saúde complementar funciona em ano civil: vencimento a 31 de dezembro, atualização das contribuições anunciada no outono, novo cartão de terceiro pagador enviado em dezembro ou janeiro. A lei Chatel obriga aliás as entidades a informar o segurado da sua data-limite de rescisão antes do vencimento, o que concentra as cartas entre setembro e novembro.
Resultado: entre 1 de outubro e 31 de janeiro, milhões de franceses recebem efetivamente mensagens do seu seguro de saúde. Avisos de vencimento, declaração de direitos, novo cartão, renovação de autorização de débito SEPA, «atualização da sua área de aderente». O fraudador não precisa de adivinhar qual é a sua entidade: basta-lhe escrever «SEGURO DE SAÚDE» ou «O SEU SEGURO DE SAÚDE COMPLEMENTAR» e deixar que o destinatário preencha o espaço em branco com o nome do seu.
Quase todos têm cobertura, logo quase todos são um alvo
O seguro de saúde complementar abrange a quase totalidade da população: trabalhadores por conta de outrem através dos contratos coletivos obrigatórios, pensionistas em contrato individual, funcionários públicos, independentes, beneficiários da Complémentaire santé solidaire. Ou seja, um SMS «seguro de saúde» enviado ao acaso atinge um alvo pertinente em praticamente 100 % dos casos — ao contrário de um SMS falso de operadora ou de banco, que muitas vezes erra a marca.
O cartão de terceiro pagador é um objeto que ninguém sabe realmente descrever
Pergunte às pessoas à sua volta como é um cartão de terceiro pagador, quem o emite e o que acontece se não o tivermos. As respostas são vagas. Sabe-se que serve na farmácia, que tem uma data de validade, que tem um número. É exatamente o tipo de documento administrativo mal dominado que faz as delícias do smishing: o destinatário não consegue detetar a incoerência, porque não tem uma referência clara na cabeça.
O que o SMS falso procura realmente obter
Ao contrário do SMS falso de encomenda, que quer o número do seu cartão bancário, o SMS falso de seguro de saúde visa um espólio mais amplo — e frequentemente mais rentável na revenda.
| Dado solicitado | Pretexto apresentado | Utilização real |
|---|---|---|
| Nome, data de nascimento, endereço | «Identificação do aderente» | Construção de um perfil credível para as fraudes seguintes |
| Número de Segurança Social | «Verificação dos seus direitos» | Fraude a prestações, usurpação de identidade médica |
| IBAN + assinatura de autorização de débito | «Confirmação do débito da contribuição» | Débitos SEPA fraudulentos recorrentes |
| Credenciais da área de aderente | «Acesso ao seu cartão» | Desvio dos reembolsos, alteração dos dados bancários |
| Número de cartão bancário | «Taxa de reemissão de 1,90 €» | Subscrição oculta ou teste de cartão |
O detalhe mais subestimado é a autorização de débito SEPA. Muitas vítimas pensam que é preciso o cartão bancário para as debitar. Um IBAN, um nome e uma assinatura eletrónica bastam para criar um débito que passará na conta sem qualquer alerta especial, sobretudo se o descritivo se parecer com o de uma entidade de saúde. O direito ao reembolso existe — voltaremos a isso mais adiante — mas é preciso detetar a linha no extrato.
O número de Segurança Social, o dado que não se pode mudar
O seu cartão bancário é cancelado em dez minutos. O seu número de Segurança Social, por sua vez, é atribuído para toda a vida. Permite a um fraudador parecer legítimo no SMS seguinte, tentar uma usurpação junto de organismos sociais, ou simplesmente aumentar o valor da sua ficha nos mercados de dados roubados. É por esta razão que a Assurance Maladie recorda no ameli.fr que nunca pede dados bancários nem o número de Segurança Social por SMS ou por e-mail.
Os sete sinais que revelam o SMS falso de seguro de saúde
1. O seguro de saúde não é nomeado, ou é mal nomeado
A sua entidade conhece o próprio nome e usa-o. Uma mensagem que diz «o seu seguro de saúde», «o seu seguro complementar» ou «serviço de aderentes» sem nunca citar a marca é anormal. Inversamente, desconfie também dos nomes quase certos: «Harmonie Mutuelles», «MGEN Service», «Mutuelle Générale de France» — uma letra, um plural, uma palavra a mais.
2. Um prazo curto e inventado
«Antes de 31/10», «nas próximas 48 h», «caso contrário, interrupção da cobertura». Nenhum seguro de saúde suspende os seus direitos por não ter descarregado um ficheiro. Os direitos dependem do pagamento da contribuição, não de um clique.
3. Um domínio que não é o da entidade
Os links falsos adotam formas plausíveis: espace-adherent-tp.net, mutuelle-carte2027.info, tierspayant-fr.top. Observe o que precede imediatamente a primeira /: é o único domínio que conta. Se não for o site que conhece, o resto do endereço não tem qualquer importância.
4. Taxas, mesmo que mínimas
«1,90 € de taxa de reemissão», «2,50 € de participação no envio». Um seguro de saúde não cobra o envio do seu cartão através de um link por SMS. O valor baixo nunca é o objetivo: serve para obter dezesseis algarismos.
5. Um formulário que pede mais do que o necessário
Para descarregar um documento, uma área de aderente pede um nome de utilizador e uma palavra-passe. Não o seu IBAN, não o seu número de Segurança Social, não uma fotografia do seu cartão Vitale, não uma selfie com o seu documento de identificação.
6. Um tom que fala de «cobertura interrompida»
A ameaça é sempre a mesma: deixará de ser reembolsado, o farmacêutico recusará o cartão, o seu processo será encerrado. Este registo ansiogénico é um marcador quase sistemático.
7. Um remetente em 06 / 07 ou um número estrangeiro
As entidades francesas utilizam números curtos ou um nome de remetente alfanumérico. Uma mensagem «oficial» enviada a partir de um 07 ou de um +212 deve ser descartada imediatamente. Atenção, no entanto: a falsificação do nome do remetente existe, pelo que um remetente credível não prova nada — é um indício negativo, não uma garantia positiva.
O único método de verificação que funciona
Resume-se a uma frase: nunca verificar uma informação no canal que a traz.
- Feche o SMS sem clicar.
- Pegue no seu cartão de terceiro pagador atual, ou no seu último aviso de vencimento em papel.
- Ligue para o número que aí consta, ou abra a aplicação oficial do seu seguro de saúde que instalou você mesmo.
- Pergunte simplesmente: «tenho alguma ação a realizar no meu contrato?»
Esta verificação leva três minutos e neutraliza a totalidade da fraude, qualquer que seja o seu grau de requinte. Para quem não gosta de procurar os seus papéis, um dossiê com separadores dedicado aos documentos de saúde, guardado perto do telefone, faz uma diferença concreta: verifica-se tanto mais de boa vontade quanto a informação está à mão.
Dois hábitos que reduzem a superfície de ataque
- Guardar o número verdadeiro do seu seguro de saúde nos contactos, com um nome explícito. Uma chamada identificada tranquiliza, uma chamada desconhecida levanta questões.
- Anotar a data de vencimento do seu contrato num local estável. Uma agenda de parede familiar ou um simples caderno de capa dura bastam: quando sabe que o seu vencimento é a 31 de dezembro, um SMS que fala de uma suspensão a 15 de outubro perde instantaneamente toda a credibilidade.
Preencheu o formulário: o que fazer
O prazo conta enormemente. Eis a ordem das prioridades.
Na primeira hora
- Se forneceu um IBAN: ligue ao seu banco, peça uma vigilância da conta e o registo de uma lista negra de beneficiários na sua autorização de débito SEPA. Especifique que nenhuma nova autorização deve ser aceite.
- Se forneceu um número de cartão bancário: cancele-o imediatamente através da aplicação do seu banco ou do serviço interbancário de cancelamento (0 892 705 705).
- Se introduziu credenciais: altere a palavra-passe da área de aderente em questão e de qualquer outra conta onde usava a mesma. É o momento em que um gestor de palavras-passe deixa de ser um gadget e se torna útil: permite saber exatamente onde a palavra-passe comprometida era reutilizada.
- Verifique os seus dados bancários na área de aderente: a manipulação clássica consiste em substituir aí o seu IBAN pelo do fraudador para desviar os seus reembolsos.
Nas 48 horas seguintes
- Denuncie a mensagem reencaminhando-a para o 33700, plataforma oficial de denúncia de SMS fraudulentos operada com os operadores franceses.
- Denuncie o site de recolha no Phishing Initiative e o sucedido em cybermalveillance.gouv.fr, que propõe um percurso de assistência passo a passo.
- Avise o seu seguro de saúde: as entidades mantêm listas de campanhas em curso e alertam os seus aderentes.
- Apresente queixa, online ou na polícia. Dela depende parte dos recursos.
Nas semanas seguintes
- Releia os seus extratos bancários linha por linha durante três meses. Em matéria de débito SEPA não autorizado, o Code monétaire et financier confere-lhe um direito ao reembolso por contestação num prazo de 13 meses (8 semanas sem justificação particular para um débito contestado). Quanto mais depressa agir, mais simples será o processo.
- Se o seu número de Segurança Social foi transmitido, vigie os seus extratos na sua conta ameli e comunique qualquer consulta ou dispensa que não reconheça.
- Conte com uma segunda vaga: as vítimas recebem novas chamadas de falsos «serviços antifraude» ou de falsos consultores. Esse contacto é a continuação lógica da fraude, não uma coincidência.
O caso particular dos contratos coletivos de empresa
Se o seu seguro de saúde é o do seu empregador, está duplamente exposto. Primeiro, porque muitas vezes não conhece nem o nome exato da entidade nem as condições do contrato — é o departamento de RH que gere. Depois, porque os fraudadores exploram esta distância: «O seu empregador alterou o seu contrato de saúde, confirme os seus dados».
A regra mantém-se a mesma, passando por outro canal: nenhuma alteração de contrato coletivo se confirma por SMS. Verifica-se junto do departamento de RH ou do gestor indicado na nota informativa entregue no momento da contratação. Muitos trabalhadores nunca a leram; voltar a consultá-la uma vez por ano leva dez minutos e evita muitas dúvidas.
Proteger um familiar que lida mal com estas mensagens
As pessoas mais afetadas são as que têm muita correspondência de saúde: pensionistas em contrato individual, pessoas com doença de longa duração, cuidadores que gerem o processo de um familiar. Para elas, três gestos simples bastam muitas vezes:
- Instalar a aplicação oficial do seguro de saúde em vez delas, e combinar que nenhum link recebido por SMS será jamais aberto.
- Estabelecer uma regra da «dupla confirmação»: qualquer mensagem que peça um dado pessoal implica uma chamada a uma pessoa de confiança antes de qualquer ação.
- Fornecer um suporte de leitura confortável — um suporte de telemóvel ajustável ou uma lupa com luz ajudam realmente a ler um endereço web por inteiro, o que é a condição para detetar um domínio falso.
A reter
- A época das renovações dos contratos de saúde (outubro → janeiro) é um pico estrutural de SMS falsos de seguros de saúde.
- A fraude não visa em primeiro lugar o seu cartão bancário, mas um conjunto de dados: número de Segurança Social, IBAN, credenciais.
- Nenhuma entidade de saúde pede estas informações por SMS, nem cobra o envio de um cartão de terceiro pagador.
- A verificação faz-se sempre fora do SMS: número que consta no seu cartão, aplicação instalada por você.
- Em caso de clique: cancelamento do cartão ou bloqueio da autorização de débito na primeira hora, denúncia ao 33700, queixa e depois vigilância dos extratos durante três meses.
Um SMS falso de seguro de saúde não se reconhece pela sua falta de jeito — as campanhas de 2026 são limpas, bem escritas e bem encaixadas no calendário. Reconhece-se por uma coisa: pede-lhe para agir dentro do seu próprio link. A partir do momento em que se sai desse link, a fraude deixa de ter qualquer poder.
