Há burlas que desaparecem ao fim de seis meses. A da encomenda, essa, resiste desde 2020 e não dá sinais de abrandamento. Todos os anos, os serviços do Cybermalveillance.gouv.fr colocam-na entre os motivos de consulta mais frequentes do grande público, e a plataforma 33700 continua a receber dezenas de milhares de denúncias mensais só sobre este tema.
A sua longevidade não tem nada de acidental. Assenta numa combinação quase perfeita: um contexto credível (todos recebemos encomendas), uma quantia irrisória (menos de três euros, portanto pouco suspeita), uma urgência artificial («no prazo de 48 horas») e uma marca de confiança usurpada. Compreender o seu funcionamento interno, passo a passo, continua a ser a melhor vacina.
Porquê a encomenda e não outra coisa
Os burlões trabalham com taxas de conversão. Um cenário só lhes interessa se falar a uma larga fração da população no momento exato em que a mensagem chega.
A encomenda cumpre todos os requisitos:
- A frequência. Segundo a Fevad (Fédération du e-commerce et de la vente à distance), foram encomendados vários milhares de milhões de pacotes nos últimos anos. Num dado instante, uma proporção considerável da população está efetivamente à espera de uma entrega. A mensagem cai, portanto, «a calhar» sem que o burlão tenha a mínima informação sobre si.
- A banalidade do remetente. Chronopost, Colissimo, DHL, UPS, Mondial Relay, Vinted: nomes que vemos passar sem pensar duas vezes. A marca não desencadeia qualquer alerta.
- O valor insignificante. Pedir 1,99 € ou 2,99 € desarma a desconfiança. Ninguém pensa «estão a tentar roubar-me». Pensa-se «mais taxas, que chatice».
- A sazonalidade. O volume dispara durante os saldos, na Black Friday, nas festas de fim de ano e — período muitas vezes esquecido — no regresso às aulas, quando as compras escolares e informáticas voltam a acelerar.
Junte-se a isso o cansaço do fim do dia, um ecrã de smartphone consultado com uma só mão no metro, e a margem de erro torna-se enorme.
Anatomia de uma mensagem armadilhada
Tomemos um exemplo típico, reconstituído a partir de denúncias públicas:
Colissimo: a sua encomenda não pôde ser entregue, morada incompleta. Queira regularizar as taxas de reexpedição (1,95 €) antes de 24/08: colissimo-suivi-fr[.]net/xk9
Estão aqui empilhados quatro ingredientes.
1. Um remetente credível. Surge por vezes sob a forma de um nome alfanumérico («COLISSIMO»), outras vezes sob a forma de um número de telemóvel. O primeiro caso resulta frequentemente de spoofing de remetente; o segundo de um cartão SIM pré-pago descartável. Em ambos os casos, o que aparece no seu ecrã nunca é prova de identidade.
2. Um problema que o coloca em falta. «Morada incompleta», «encomenda em espera», «pagamento recusado». A formulação atribui-lhe subtilmente a responsabilidade: é você quem tem de corrigir, logo é você quem tem de agir.
3. Um prazo curto. Dois a quatro dias. Suficiente para parecer razoável, demasiado curto para lhe permitir verificar com calma no dia seguinte.
4. Um link disfarçado. O nome de domínio assemelha-se ao da transportadora, mas afasta-se sempre dele: um hífen acrescentado, uma extensão exótica (.net, .top, .icu, .cc), um subdomínio enganador do tipo laposte.suivi-colis.xyz. Lembrete útil: num endereço web, o que conta é o que precede imediatamente a primeira /, lido da direita para a esquerda.
O que acontece depois do clique
A página de destino é geralmente uma cópia muito bem cuidada do site da transportadora. O formulário pede o seu nome, a sua morada, o seu número de telefone e, depois, o cartão bancário para «pagar» os famosos dois euros.
Os dois euros não são o espólio. Servem de teste: a transação confirma que o cartão está ativo e que você está disposto a validar. O verdadeiro objetivo é duplo.
- Constituir um conjunto de dados monetizável: nome, morada postal, número de telemóvel, número de cartão, data de validade, código de segurança. Este bloco revende-se tal e qual.
- Desencadear uma segunda vaga. Alguns dias mais tarde, um «consultor antifraude do seu banco» telefona-lhe, cita o seu nome, o seu banco e a sua última operação — a de 1,95 € — para o levar a validar pagamentos ou a «pôr os seus fundos em segurança». É nesta etapa que as perdas se contam aos milhares de euros. O Banque de France e a DGCCRF alertam regularmente para este encadeamento, por vezes designado falso consultor bancário.
Por outras palavras: o SMS da encomenda não é a burla. É a porta de entrada.
As variantes que circulam em 2026
O cenário de base diversificou-se. As principais declinações observadas:
| Variante | Pretexto | Sinal de alerta |
|---|---|---|
| Taxas alfandegárias | Encomenda de fora da UE retida na alfândega | A alfândega nunca exige um pagamento por SMS com link |
| Reexpedição | Morada incompleta ou inexistente | Uma transportadora deixa um aviso de passagem, não um link de pagamento |
| Cacifo de levantamento | «Código de levantamento expirado, gere-o novamente» | Nenhum código se regenera mediante pagamento |
| Aplicação a instalar | «Siga a sua encomenda na nossa app» através de um ficheiro fora da loja oficial | Instalação fora da App Store / Google Play = perigo |
| Reembolso | «A sua encomenda perdeu-se, reclame o seu reembolso» | Um reembolso nunca pede o código de segurança |
A variante «aplicação» é a mais perigosa em Android: o ficheiro proposto instala um software malicioso capaz de ler os seus SMS recebidos e, portanto, de intercetar os códigos de validação bancária. No iPhone, o ataque passa antes por uma página web que imita o ecrã de autenticação.
Um pormenor que muitos ignoram: as verdadeiras taxas alfandegárias são devidas à transportadora no momento da entrega da encomenda, ou pagas a partir da área de cliente oficial da transportadora — nunca através de um link recebido por mensagem. As regras aplicáveis são publicadas pela Direction générale des douanes et droits indirects, que recorda no seu site nunca solicitar pagamentos por SMS.
Sete verificações que demoram trinta segundos
Perante uma mensagem deste tipo, a ideia não é tornar-se especialista em cibersegurança, mas instalar alguns reflexos mecânicos.
- Está mesmo à espera de uma encomenda? Se não, a questão está resolvida. E se sim, lembre-se: uma transportadora legítima conhece a sua morada, uma vez que o vendedor lha transmitiu.
- Não clique. Escreva o endereço. Abra você mesmo o site da transportadora, ou a aplicação oficial, e cole o seu número de seguimento. O verdadeiro seguimento está sempre acessível sem link.
- Leia o nome de domínio em voz baixa.
chronopost.fr, sim.chronopost-livraison-fr.top, não. - Verifique o número de seguimento. Um verdadeiro número Colissimo segue um formato preciso (duas letras, nove algarismos, duas letras para o internacional, por exemplo). As mensagens falsas omitem frequentemente um, ou apresentam um incoerente.
- Desconfie do valor ridículo. Quanto mais baixa é a quantia, mais deve perguntar-se porque lha reclamam por mensagem em vez de o fazerem no site.
- Repare na linguagem. Acentos em falta, maiúsculas no meio de uma frase, construções traduzidas à letra: estes indícios vão rareando com as ferramentas de redação automática, mas ainda subsistem.
- Consulte um motor de busca. Copiar uma frase da mensagem entre aspas basta muitas vezes para fazer aparecer dezenas de testemunhos idênticos.
Reduzir a superfície de exposição a montante
Não se pode impedir que as mensagens cheguem, mas é possível limitar os estragos e o número de tentativas.
Compartimente as suas compras online. Um cartão bancário virtual de utilização única, proposto pela maioria dos bancos, torna uma fuga de número inconsequente. Alguns preferem um cartão pré-pago recarregável dedicado às compras em sites pouco conhecidos: o plafond limita mecanicamente o prejuízo.
Utilize um endereço de e-mail secundário para as encomendas. Absorverá as fugas de bases de clientes, frequentes nos pequenos comerciantes online.
Proteja o próprio terminal. Um smartphone com o ecrã estalado lê-se mal, e um ecrã pouco legível favorece os erros de leitura de um endereço web. Uma simples película de vidro temperado e uma capa de proteção antichoque prolongam a vida do aparelho e, indiretamente, a qualidade da sua vigilância. No mesmo espírito, um telefone cuja bateria aguenta o dia evita consultas apressadas em modo de poupança de energia; uma bateria externa compacta tem mais efeitos protetores do que se imagina, nem que seja por lhe dar tempo de telefonar ao banco.
Ative os filtros nativos. Tanto o Android como o iOS propõem uma triagem das mensagens de remetentes desconhecidos e uma denúncia com um só gesto. No iPhone: Definições → Mensagens → Filtrar remetentes desconhecidos. No Android, a aplicação Mensagens da Google integra uma deteção de spam ativável nos parâmetros de proteção.
Forme quem o rodeia. As pessoas menos à vontade com o digital estão sobrerrepresentadas entre as vítimas. Um telefone sénior de teclas grandes, com uma interface simplificada, reduz o risco de clique acidental num link. E para quem quiser aprofundar, um guia prático de cibersegurança para principiantes surte muitas vezes mais efeito do que uma explicação oral repetida dez vezes.
Clicou e pagou: o que fazer
O tempo conta mais do que a vergonha. Eis a ordem das operações.
Na primeira hora
- Contacte o seu banco (número de oposição no verso do cartão, ou serviço de urgência interbancário) e cancele o cartão.
- Altere a palavra-passe da conta de e-mail associada e depois a da sua área bancária, a partir de outro aparelho, se possível.
- Se instalou uma aplicação fora da loja oficial, desligue os dados móveis e desinstale-a; em caso de dúvida, uma reposição de fábrica continua a ser a única garantia.
Nas 48 horas seguintes
- Denuncie a mensagem reencaminhando-a para o 33700, serviço gratuito gerido pelos operadores franceses, ou através da aplicação dedicada. Depois, denuncie o endereço web na plataforma Phishing Initiative.
- Apresente queixa, online através do serviço de pré-queixa ou na esquadra. O comprovativo será exigido pelo seu banco.
- Declare o incidente no Cybermalveillance.gouv.fr, que orienta para os procedimentos adequados.
Nos dias seguintes
- Vigie os seus extratos diariamente durante um mês.
- Lembre-se do artigo L133-18 do Code monétaire et financier: em caso de operação não autorizada comunicada sem demora, o banco deve reembolsar imediatamente, salvo se demonstrar uma negligência grave da sua parte. Um pagamento obtido por engano não é, em si, uma negligência grave — vários acórdãos da Cour de cassation recordaram-no nos últimos anos, nomeadamente em matéria de falso consultor bancário.
- Nunca mais dialogue com um «serviço antifraude» que lhe telefone espontaneamente. Desligue e marque você mesmo o número que consta do seu contrato.
O que uma verdadeira transportadora nunca faz
Para terminar, uma lista curta a reter. Uma transportadora legítima:
- nunca pede o seu número de cartão bancário por SMS;
- nunca reclama o código de segurança de três algarismos, seja qual for a situação;
- nunca leva a instalar uma aplicação a partir de um link recebido por mensagem;
- nunca ameaça destruir ou devolver a encomenda no prazo de 24 horas;
- não lhe telefona a seguir para «proteger» a sua conta bancária.
O SMS continua a ser uma ferramenta extraordinariamente prática: direta, universal, legível em qualquer aparelho. É precisamente por isso que é cobiçada pelos fraudadores. Enviar uma mensagem curta a alguém próximo, avisar de um atraso, transmitir um código: estes usos legítimos não têm qualquer razão para desaparecer. Basta ter uma regra em mente, válida para toda a mensageria móvel — uma mensagem que contém ao mesmo tempo um link e uma urgência merece ser tratada como falsa até prova em contrário.
Recursos oficiais
- Cybermalveillance.gouv.fr — fichas de reflexos e diagnóstico online
- 33700 — plataforma de denúncia de SMS e chamadas fraudulentas, gratuita
- Phishing Initiative — denúncia de endereços web maliciosos
- DGCCRF — alertas ao consumidor e procedimento de queixa
- Direction générale des douanes et droits indirects — regras reais de desalfandegamento de encomendas
