Toda a gente conhece o reflexo: chega um SMS suspeito, reencaminha-se para o 33700, apaga-se e passa-se a outra coisa. O gesto é útil — mas deixa no ar uma pergunta que ninguém faz: e depois? Para onde vai essa denúncia? Quem a lê? Dá origem a algo concreto, ou acaba num poço sem fundo?
Este artigo não trata de reconhecer um SMS fraudulento, tema já largamente abordado. Interessa-se pelo que vem a seguir: a arquitetura administrativa francesa da denúncia, os balcões que existem realmente, o que fazem e, sobretudo, a parte que as vítimas descobrem tarde demais — o procedimento de reembolso bancário, os seus prazos legais e os recursos quando a instituição se arrasta. Porque, no direito francês, uma vítima de fraude com meios de pagamento dispõe de muito mais alavancas do que imagina.
O 33700: o que acontece realmente ao seu reencaminhamento
O 33700 é um dispositivo gerido pelos operadores franceses (Orange, SFR, Bouygues Telecom, Free) sob a égide da Fédération française des télécoms, com o apoio dos poderes públicos. É gratuito, mesmo a partir de um tarifário bloqueado.
O procedimento oficial tem duas fases, e é a segunda que muitos esquecem:
- Reencaminhar o SMS suspeito para o 33700.
- Aguardar o SMS de resposta automática e depois reenviar o número do remetente (aquele que aparecia como emissor da mensagem fraudulenta).
Sem esta segunda etapa, a denúncia torna-se largamente inaproveitável: a plataforma recebe um texto, mas não a origem. É o erro mais frequente, e explica boa parte da sensação de inutilidade que os utilizadores experimentam.
Uma vez recebido o conjunto mensagem + número, os dados são agregados. Os operadores podem então:
- cortar a linha emissora quando esta pertence à rede francesa;
- bloquear a montante, ao nível da rede, as mensagens que contenham determinados URL identificados;
- transmitir os elementos às autoridades judiciais no âmbito de investigações.
O 33700 é uma ferramenta de defesa coletiva, não de reparação individual. Protege os próximos destinatários, não a si. É precisamente por isso que nunca dispensa as restantes diligências.
Uma palavra sobre a realidade técnica: uma parte crescente das campanhas de smishing detetadas desde 2025 por equipas como a Unit 42 da Palo Alto Networks já não utiliza cartões SIM franceses. Os envios passam por gateways internacionais, números virtuais rotativos ou equipamento de emissão transportado em viatura. Cortar uma linha torna-se, assim, um jogo do gato e do rato. Isso não torna a denúncia inútil, mas explica por que razão não basta.
Os outros balcões oficiais, e qual escolher
A França multiplicou as plataformas, ao ponto de as vítimas já não saberem a qual recorrer. Eis a repartição real das competências.
| Plataforma | O que trata | O que não faz |
|---|---|---|
| 33700 | SMS e chamadas indesejadas, spam por voz | Não o reembolsa, não recebe queixas |
| Cybermalveillance.gouv.fr | Diagnóstico, ligação a um prestador, fichas de procedimento | Não investiga, não instaura processos |
| PHAROS (internet-signalement.gouv.fr) | Conteúdos ilícitos em linha, sites fraudulentos | Não trata o prejuízo financeiro individual |
| Perceval (service-public.fr) | Uso fraudulento de cartão bancário, sem queixa | Não substitui a diligência junto do banco |
| THESEE | Queixa em linha por burlas na internet | Não abrange todos os tipos de infração |
| Signal Conso | Litígios com um profissional, vendas abusivas | Não trata a fraude penal |
O procedimento certo depende do que perdeu.
Se não introduziu nada
Reencaminhamento para o 33700, eliminação da mensagem, e nada mais. Não vale a pena apresentar queixa por um SMS recebido: não há prejuízo constituído. Em contrapartida, se as mensagens se repetirem de forma massiva, guarde algumas capturas de ecrã: podem alimentar um processo posterior.
Se introduziu credenciais
Alteração imediata das palavras-passe em causa, ativação da autenticação em dois fatores onde for possível, e depois denúncia em Cybermalveillance.gouv.fr, que fornece um percurso de assistência personalizado. Para quem gere uma dezena de contas sensíveis, um caderno de palavras-passe em papel guardado fora de vista continua a ser, paradoxalmente, uma solução mais robusta do que um ficheiro de texto no ambiente de trabalho — desde que nunca saia de casa.
Se comunicou dados bancários
Aqui, a ordem das operações conta, e cada hora pesa.
O procedimento bancário: o que a lei diz realmente
É o ponto menos conhecido e o mais favorável às vítimas. O princípio está fixado no código monetário e financeiro, nos artigos L.133-18 e seguintes, transposição da diretiva europeia relativa aos serviços de pagamento (DSP2).
A regra de base é clara: em caso de operação de pagamento não autorizada, o banco reembolsa imediatamente o ordenante, o mais tardar até ao final do primeiro dia útil seguinte à comunicação. Não é um favor comercial, é uma obrigação legal.
As nuances a conhecer:
- A franquia de 50 € prevista em caso de perda ou roubo não se aplica quando os dados foram desviados à distância sem que o cartão tenha saído da sua posse.
- O banco só pode recusar se demonstrar uma negligência grosseira da sua parte. O ónus da prova cabe-lhe — e a Cour de cassation lembrou, por diversas vezes, que a simples comunicação de um código recebido por SMS, obtida através de um esquema fraudulento sofisticado, não caracteriza automaticamente essa negligência.
- O prazo para contestar é de 13 meses a contar do débito (70 dias se o prestador estiver situado fora do Espaço Económico Europeu).
Na prática, o caminho a seguir:
- Cancelar o cartão sem demora (aplicação bancária, servidor interbancário de cancelamento pelo 0 892 705 705).
- Contestar por escrito, por carta registada com aviso de receção, listando as operações, datas e montantes. É o escrito que faz correr os prazos legais — um telefonema não deixa qualquer prova oponível.
- Declarar no Perceval se o cartão foi utilizado sem ter sido fisicamente roubado. O comprovativo é um elemento do processo.
- Apresentar queixa na esquadra, na gendarmerie, ou através do THESEE quando os factos configurem uma burla em linha.
Quando o banco recusa: os recursos que funcionam
A recusa é frequente, muitas vezes justificada com a fórmula genérica: «validou a operação com o seu dispositivo de autenticação forte». Só por si, não é um argumento válido para encerrar o assunto.
Etapa 1 — O serviço de reclamações
Cada instituição dispõe de um serviço de reclamações distinto do balcão. Escreva-lhe diretamente, invocando o artigo L.133-18 e pedindo a apresentação dos elementos técnicos que justificam a autenticação contestada. O prazo de resposta é regulado: quinze dias úteis em princípio, dois meses no máximo em caso de complexidade.
Etapa 2 — O provedor bancário
Gratuito, independente, acionável em linha. Os seus pareceres não são vinculativos, mas são seguidos na larga maioria dos casos. É necessário ter esgotado previamente o recurso interno. Os contactos figuram obrigatoriamente nos extratos de conta e nas condições gerais.
Etapa 3 — As autoridades de supervisão
A ACPR (Autorité de contrôle prudentiel et de résolution), associada ao Banque de France, não decide litígios individuais, mas recolhe as denúncias e sanciona as práticas desviantes das instituições. Um volume elevado de denúncias sobre o mesmo comportamento produz efeitos — vários bancos endureceram os seus procedimentos de reembolso após campanhas de contestação coordenadas e divulgadas pelas associações de consumidores (UFC-Que Choisir, CLCV).
Etapa 4 — O tribunal
Perante o tribunal judicial, o processo para pequenos litígios continua acessível sem advogado abaixo de determinados limiares. As decisões publicadas nos últimos anos são maioritariamente favoráveis às vítimas de spoofing bancário, desde que o esquema fosse credível e que o banco não demonstre culpa grave.
Um processo vencedor é um processo datado. Capturas de ecrã com data e hora, cartas registadas, comprovativos de queixa, extratos anotados. A qualidade do arquivo pesa mais do que a eloquência da carta.
Constituir um processo sólido
Muitos recursos falham não por falta de direito, mas por falta de provas aproveitáveis. Alguns princípios concretos.
Não apague nada antes de arquivar. O próprio SMS fraudulento é uma peça: mostra o remetente exibido, a hora, o conteúdo. Fotografe o ecrã em vez de se limitar a uma captura, pois a fotografia integra por vezes metadados úteis.
Documente a cronologia. Uma simples tabela de três colunas — hora, acontecimento, prova associada — vale mais do que um relato. Os serviços de reclamações tratam centenas de processos; aquele que se lê em dois minutos é o que avança.
Guarde os originais fora do aparelho. Se o telemóvel foi comprometido, pode ser reposto de fábrica, apreendido ou simplesmente avariar. Uma pen USB encriptada guardada à parte, ou um disco rígido externo dedicado aos documentos sensíveis, evita perder tudo no pior momento. A nuvem não é má ideia, desde que a conta associada não tenha sido ela própria atingida pela fraude.
Mande verificar o estado do aparelho se foi instalada uma aplicação. Um prestador referenciado pela Cybermalveillance.gouv.fr pode elaborar um relatório técnico. É um elemento de peso perante uma seguradora ou um juiz.
A vertente seguro, muitas vezes ignorada
Muitos contratos bancários de gama alta, bem como certos seguros multirriscos habitação ou coberturas de «proteção jurídica», incluem uma vertente de ciberproteção. As garantias cobrem, consoante os casos, a assistência na recuperação de contas, a vigilância contra a usurpação de identidade, e até a assunção de custos processuais.
Releia as suas condições gerais antes de pagar seja o que for a um prestador privado. O prazo de participação à seguradora é geralmente curto — cinco dias úteis em muitos contratos — e conta-se a partir da descoberta dos factos, não da fraude em si.
O que fazer antes para que tudo seja mais simples
O melhor processo é aquele que não é preciso montar. Três hábitos mudam o panorama.
Compartimentar as utilizações. Um cartão bancário virtual com plafond reduzido para as compras em linha limita mecanicamente o prejuízo. A maioria dos bancos disponibiliza-o gratuitamente, basta ativá-lo.
Filtrar a montante. Os sistemas recentes propõem uma triagem automática dos remetentes desconhecidos. Em aparelhos mais antigos ou para as pessoas menos à vontade, uma aplicação de filtragem de SMS indesejados instalada a partir da loja oficial reduz sensivelmente o volume que chega efetivamente ao utilizador.
Proteger o acesso físico. Um telemóvel com o ecrã estalado acaba muitas vezes num reparador com os dados intactos, e um aparelho que se desliga por falta de bateria não permite cancelar o cartão a tempo. Um vidro temperado de proteção e uma bateria externa compacta são menos um gadget do que uma garantia de continuidade operacional no dia em que é preciso agir depressa.
Por fim, nos lares onde se acompanha um familiar idoso, a experiência mostra que o conhecimento dos procedimentos vale mais do que o medo. Um guia prático de cibersegurança para particulares deixado à disposição, consultado com calma, cria reflexos mais duradouros do que um aviso repetido em cima do acontecimento.
Em resumo
| Situação | Diligência prioritária | Prazo a respeitar |
|---|---|---|
| SMS recebido, sem clique | 33700 (mensagem + número) | Imediato |
| Credenciais introduzidas | Alteração das palavras-passe, Cybermalveillance.gouv.fr | Na hora seguinte |
| Dados bancários transmitidos | Cancelamento, contestação escrita, Perceval, queixa | 13 meses no máximo para contestar |
| Banco que recusa | Serviço de reclamações → provedor → ACPR → tribunal | 15 dias a 2 meses por etapa |
| Aplicação instalada | Isolamento do aparelho, peritagem, queixa | Imediato |
Denunciar um SMS fraudulento é participar num esforço coletivo. Fazer valer os seus direitos é outra coisa: uma diligência individual, escrita, documentada, e muito mais eficaz do que se julga. A lei francesa e europeia protege as vítimas de fraude com meios de pagamento bastante melhor do que deixam entender as primeiras recusas dos serviços de apoio ao cliente. Basta saber onde bater à porta, e por que ordem.
E quando precisar de avisar rapidamente alguém próximo de que circula uma campanha de falsos SMS em nome de uma transportadora ou de um banco, uma mensagem curta enviada a partir de um navegador, sem instalar seja o que for, continua a ser a forma mais direta de fazer passar a informação — sobretudo se o aparelho em causa for justamente aquele de que se desconfia.
