Existe uma categoria de vítimas de que se fala muito menos do que das outras: os vendedores. Há anos que se repete aos compradores que devem desconfiar dos anúncios bons demais para ser verdade, dos sinais pedidos antecipadamente, dos vendedores apressados. Mas quando é você que vende a sua velha bicicleta, uma consola de jogos ou um casaco que ficou pequeno, a guarda baixa. Afinal, o que é que lhe podem tirar? Não tem nada a pagar.
É precisamente esse raciocínio que os burlões exploram. Há vários anos que o Cybermalveillance.gouv.fr e a DGCCRF alertam para uma fraude que visa especificamente os particulares que publicaram um anúncio: o falso comprador. Começa quase sempre por um SMS e termina, nos piores casos, com uma conta bancária esvaziada ou um crédito ao consumo contraído em seu nome.
Porque é que o vendedor se tornou o alvo ideal
Esta inversão explica-se por três evoluções muito concretas.
As plataformas protegeram a compra, não a saída da conversa. A Vinted, o Leboncoin, a Rakuten e as restantes implementaram pagamentos integrados, sistemas de garantia (escrow) e devoluções enquadradas. Enquanto a troca se mantém dentro da aplicação, a fraude é difícil. O burlão passa então a ter um único objetivo: fazê-lo sair da mensagem interna. O SMS é a sua ferramenta de saída.
O seu número é muitas vezes visível ou fácil de obter. Em muitos anúncios, o vendedor ainda mostra o seu número para «ser mais rápido». Quando não o mostra, basta muitas vezes uma primeira mensagem no chat da plataforma: «Pode dar-me o seu número? Sou mais rápido a responder por SMS.» Nove em cada dez vendedores aceitam, porque querem vender.
A motivação joga contra si. Um comprador potencial é dinheiro a caminho. Um anúncio publicado há três semanas sem qualquer resposta e, de repente, uma mensagem entusiasmada: o cérebro regista «boa notícia» antes de registar «prudência». Aqui, a engenharia social não procura assustá-lo, procura agradar-lhe. É bem mais eficaz.
A mecânica, passo a passo
O guião é notavelmente padronizado. Depois de o vermos desenrolar-se uma vez, deixamos de cair nele.
1. O contacto fora da plataforma
O primeiro SMS chega de um número de telemóvel comum, por vezes de um número estrangeiro. O tom é caloroso, um pouco desajeitado, muitas vezes com uma formulação ligeiramente estranha:
«Olá, estou interessado no seu artigo ainda está disponível? Posso pagar já estou com pressa vou viajar em trabalho.»
Três sinais já estão presentes: a urgência, a ausência de perguntas sobre o próprio objeto (estado, dimensões, defeitos) e a saída da plataforma.
2. O preço aceite sem discussão
O burlão nunca negoceia. Um verdadeiro comprador particular tenta quase sempre conseguir dez ou vinte euros de desconto. Já o falso comprador aceita o preço anunciado — por vezes até oferece mais «pela reserva». Não tem qualquer intenção de pagar, o montante é-lhe indiferente.
3. O pretexto da entrega
Segue-se o elemento central do esquema: ele não se pode deslocar. Militar em missão, enfermeira de serviço, emigrante que compra para a mãe, pessoa com mobilidade reduzida. O pretexto varia, a consequência é sempre a mesma: é preciso recorrer a uma entrega e, portanto, a um «serviço de pagamento seguro».
É aí que o burlão propõe tratar ele próprio do envio, através de uma transportadora que conhece bem, e lhe anuncia que vai receber um link.
4. O link armadilhado
O SMS seguinte contém um endereço. Imita o nome de um serviço conhecido: uma plataforma de anúncios, um operador de pagamentos, uma transportadora. Os nomes de domínio são improvisados, mas credíveis à primeira vista: um hífen a mais, uma extensão exótica, uma palavra acrescentada («-secure», «-pagamento», «-entrega»).
A página que aparece é uma cópia cuidada. Logótipo, cores, avisos legais, por vezes até um falso chat de apoio. E uma mensagem tranquilizadora: «O pagamento do comprador foi validado. Introduza os seus dados bancários para receber os fundos.»
5. O formulário que leva tudo
O formulário pede o número completo do cartão bancário, a data de validade e o código de três dígitos. Por vezes pede ainda as credenciais do banco online, a data de nascimento, um documento de identificação «para verificação antibranqueamento».
Repare bem neste ponto, porque é o cerne do raciocínio a reter: nunca se recebe dinheiro dando o código de segurança do cartão. O código de três dígitos no verso do cartão serve exclusivamente para autorizar um débito. Para receber uma transferência, basta um IBAN — e um IBAN sozinho não permite esvaziar uma conta.
6. A chamada de confirmação
Poucos minutos depois, o telefone toca. Por vezes aparece no ecrã o nome do seu banco, graças à falsificação do número de origem (spoofing). Uma voz calma, profissional, explica-lhe que foi detetada uma operação suspeita e que é preciso validar — ou, pelo contrário, anular — a operação na sua aplicação bancária.
Na realidade, o burlão está a pagar com o seu cartão, ou a adicionar o seu cartão a uma carteira digital no telemóvel dele, e precisa que você valide a autenticação forte. Sem o seu clique na aplicação, nada acontece. Com o seu clique, o banco considera a operação como autorizada por si, o que dificulta bastante o reembolso.
As variantes que circulam em 2026
A fraude do falso comprador não é estática. Instalaram-se várias declinações.
| Variante | Pretexto do SMS | O que o burlão procura |
|---|---|---|
| Pagamento em excesso | «Enganei-me, enviei 800 € em vez de 80, devolva-me a diferença» | Uma transferência real da sua parte, em troca de um comprovativo falso |
| Custos de entrega a adiantar | «A transportadora pede 45 € que lhe serão reembolsados» | Um pequeno pagamento imediato, repetido junto de dezenas de vendedores |
| Verificação de identidade | «A plataforma exige um documento de identificação para libertar os fundos» | Os seus documentos, revendidos ou usados para abrir um crédito |
| Falso apoio ao cliente | «O seu anúncio foi denunciado, regularize em 24 h» | As credenciais da sua conta, para publicar anúncios fraudulentos em seu nome |
| Código de confirmação | «Vou enviar-lhe um código, reencaminhe-mo para provar que é mesmo você» | O código de uso único recebido por SMS, a chave da sua conta |
A última linha merece atenção especial. O código recebido por SMS de um serviço que não solicitou nunca se transmite, a ninguém, sob pretexto nenhum. É a regra mais simples e mais universal da segurança móvel.
Os sinais que o devem fazer parar
Eis a lista que pode reler antes de cada venda. Basta um único elemento para justificar o fim da conversa.
- O comprador quer sair do chat da plataforma logo nas primeiras trocas.
- Não faz nenhuma pergunta concreta sobre o objeto.
- Aceita o preço sem negociar, ou oferece mais.
- Não se pode deslocar, por uma razão comovente.
- Envia um link para «receber» ou «desbloquear» o seu dinheiro.
- O formulário pede o código de segurança do cartão, uma palavra-passe ou um código recebido por SMS.
- O português está correto, mas ligeiramente estranho, com construções típicas de tradução automática.
- A pressão temporal é constante: «rapidamente», «antes desta noite», «parto amanhã».
Estes elementos não são provas isoladas, mas a sua acumulação é inequívoca. Um comprador honesto nunca assinala quatro caixas em oito.
Vender sem se expor: as boas práticas
Mantenha a conversa onde ela começou
Enquanto a troca se mantiver dentro da aplicação, a plataforma conserva um registo, pode suspender uma conta e por vezes intervir em caso de litígio. Assim que a conversa passa para SMS ou para uma mensagem externa, perde essa rede de segurança.
Se fizer mesmo questão de trocar mensagens por SMS — para combinar um encontro, por exemplo — evite divulgar o seu número principal no corpo do anúncio, onde é recolhido por robôs. Aliás, um serviço de envio de SMS online pode dar-lhe jeito para confirmar a hora de um encontro sem expor a sua linha pessoal.
Prefira a entrega em mãos
Para objetos de algum valor, a entrega em mãos continua a ser o método mais seguro. Escolha um local público e movimentado, durante o dia. Algumas esquadras e postos policiais disponibilizam pontos de encontro para transações entre particulares; informe-se localmente.
Conte as notas ou, melhor ainda: utilize uma transferência imediata que verifica na sua aplicação bancária antes de entregar o objeto. Um SMS de confirmação, uma captura de ecrã ou um e-mail não provam absolutamente nada: esses elementos falsificam-se em três minutos.
Documente o que vende
Antes do envio, fotografe o objeto de todos os ângulos, a embalagem fechada e a etiqueta de expedição. Em caso de litígio sobre o estado ou sobre a realidade do envio, esse processo faz a diferença. Para objetos frágeis ou de valor, plástico-bolha e caixas de expedição resistentes custam alguns euros e evitam semanas de discussão. Uma balança de cozinha ou uma balança de bagagem eletrónica permite-lhe também declarar o peso correto e evitar custos extra da transportadora.
Compartimente o seu dinheiro
É a medida mais eficaz e a menos praticada. A maioria dos bancos e neobancos oferece hoje um cartão virtual de uso único ou um limite de pagamento ajustável em dois cliques. Reduzir o plafond do seu cartão principal para algumas centenas de euros, ainda que o aumente pontualmente, limita mecanicamente a dimensão de uma fraude.
Na mesma lógica, não mantenha a totalidade das suas poupanças na conta associada ao cartão. Uma conta poupança separada, sem cartão associado, é uma barreira simples e gratuita.
Proteja o próprio equipamento
Parte destas fraudes tem êxito porque o telemóvel está mal protegido: bloqueio desativado, atualizações adiadas há meses, aplicações instaladas fora das lojas oficiais. Ative as atualizações automáticas, bloqueie o aparelho com código ou biometria e desconfie das aplicações de seguimento de encomendas descarregadas fora da Play Store ou da App Store.
Para as entregas em mãos, em que se tira o telemóvel em plena rua, um suporte de telemóvel antirroubo ou simplesmente uma capa com alça reduz o risco de roubo por esticão — um cenário bem mais banal do que a fraude bancária, e igualmente dispendioso quando toda a sua vida digital cabe no aparelho. Uma capa antichoque reforçada protege também o ecrã durante as deslocações e manipulações.
O que fazer se já forneceu os seus dados
A ordem importa. Os primeiros minutos determinam grande parte daquilo que irá recuperar.
- Cancele o cartão imediatamente. A partir da sua aplicação bancária, se a função existir, ou então por telefone. O serviço interbancário francês de cancelamento de cartão bancário está disponível através do 0 892 705 705.
- Altere as palavras-passe envolvidas. Conta da plataforma, e-mail associado, banco online. Utilize credenciais únicas; um gestor de palavras-passe evita ter de as memorizar.
- Verifique as operações recentes e comunique por escrito ao seu banco cada débito não autorizado.
- Apresente queixa, na polícia ou através da plataforma de queixa eletrónica prévia do ministério da Administração Interna. O comprovativo é indispensável para o que se segue.
- Denuncie o SMS ao 33700 reencaminhando a mensagem e enviando depois o número do remetente quando o serviço o solicitar. O serviço é gratuito e alimenta os bloqueios efetuados pelos operadores.
- Denuncie o endereço fraudulento no Phishing Initiative e o perfil na plataforma em causa.
- Em caso de uso fraudulento da sua identidade, recorra à plataforma Perceval (service-public.fr) para as fraudes com cartão bancário e verifique junto do Banque de France se foi aberto um crédito em seu nome.
No plano jurídico, o código monetário e financeiro prevê o reembolso das operações não autorizadas. O banco pode recusar invocando negligência grave, mas a Cour de cassation lembrou várias vezes que a sofisticação da fraude — nomeadamente a falsificação do número de telefone do banco — pesa na avaliação. Nunca considere uma primeira recusa como definitiva: recorrer ao mediador bancário é gratuito.
Três frases a guardar na memória
Se só devesse reter três ideias deste artigo:
- Nunca se dá o código de segurança do cartão para receber dinheiro. Basta um IBAN para receber uma transferência.
- Um código recebido por SMS não se transmite a ninguém, nem sequer a quem se apresenta como o seu banco ou como a plataforma.
- Um link enviado por um comprador nunca é uma forma de ser pago. O pagamento, quando existe, chega à sua conta sem que tenha de clicar seja onde for.
O resto — os pretextos comoventes, os militares em missão, as enfermeiras de serviço — não passa de decoração à volta destes três mecanismos. Depois de os compreendermos, a burla torna-se quase transparente. E vender a velha bicicleta volta a ser aquilo que deveria ser: uma transação banal entre duas pessoas.
Para aprofundar, as fichas práticas do Cybermalveillance.gouv.fr sobre phishing e os guias da DGCCRF sobre compras entre particulares são gratuitos, atualizados regularmente e escritos numa linguagem acessível. Para os familiares menos à vontade com o digital, um guia em papel de iniciação ao smartphone continua a ser muitas vezes mais eficaz do que uma longa explicação ao telefone.
