Há uma altura do ano em que os burlões nem sequer precisam de ser bons: basta-lhes estar ali no momento certo. Esse momento é a partida de férias, o fim-de-semana de regresso, a ponte do feriado, a semana dos grandes fluxos rodoviários. Não porque os veraneantes sejam mais ingénuos, mas porque se encontram num estado mental muito particular: estão à espera de mensagens, muitas mensagens, de pessoas que não conhecem.
Uma confirmação de alojamento. Um código de acesso a uma caixa de chaves. Um aviso da companhia aérea. Um SMS do rent-a-car. Uma ligação de seguimento do transfer. Na vida normal, uma mensagem de um número desconhecido a pedir que se clique num link dispara um alarme. Em viagem, tornou-se rotina. É exactamente essa normalização que o smishing — o phishing por SMS, tal como o define a Cybermalveillance.gouv.fr — explora durante os períodos de férias.
Porque é que viajar baixa as defesas
As campanhas de SMS fraudulentos assentam num princípio simples: enviar um cenário plausível a centenas de milhares de números e esperar que o acaso faça coincidir a mensagem com a situação real do destinatário. Em período de férias, esse acaso torna-se quase uma certeza.
Somam-se quatro factores.
Está realmente à espera de mensagens de desconhecidos. Um anfitrião do Airbnb, uma agência imobiliária, um parque de campismo, um estacionamento de aeroporto: são todos interlocutores legítimos que lhe escrevem a partir de números que nunca viu. O filtro mental «não conheço este número» deixa de funcionar.
O tempo é curto. Um SMS que anuncia um problema com a reserva três dias antes da partida não deixa margem para adiar. A urgência nem sequer precisa de ser fabricada: já está no seu calendário.
As condições de leitura são más. De pé numa fila de embarque, numa área de serviço, com sol no ecrã e uma criança a puxar-lhe a manga. Ninguém verifica a ortografia de um nome de domínio nestas condições.
O telemóvel está fragilizado. Bateria fraca, rede instável em zona rural, wi-fi de hotel partilhado. Um smartphone a 8 % leva-nos a agir depressa, a clicar em vez de verificar, a pensar «depois vejo isso com calma».
É também por isso que uma bateria externa de viagem não é um acessório de conforto mas uma verdadeira ferramenta de segurança: um telemóvel carregado é um telemóvel com o qual se pode dar ao luxo de ligar para o número real do hotel em vez de clicar na ligação recebida.
Os cinco cenários sazonais mais frequentes
1. A reserva que «não foi validada»
A mensagem chega alguns dias antes da chegada: «A sua reserva de 12/08 não pôde ser confirmada, o pagamento foi recusado. Regularize no prazo de 24 h para evitar o cancelamento.» A ligação aponta para uma página que imita fielmente uma conhecida plataforma de reservas.
A armadilha é dupla. Primeiro, o medo de perder o alojamento, por vezes reservado há meses. Depois, o montante reduzido: não lhe pedem 800 €, pedem-lhe que «revalide» o cartão ou que pague uma caução de 50 €. A DGCCRF e as próprias plataformas recordam regularmente uma regra intransponível: nenhum pagamento legítimo é feito fora da plataforma de reserva. Um proprietário que insiste numa transferência directa, uma ligação de pagamento enviada por SMS ou um pagamento com cartão-presente são, na quase totalidade dos casos, sinal de burla.
2. O falso aviso de portagem por pagar
O cenário disparou com a generalização da portagem em fluxo livre, esse sistema sem barreira em que se paga a posteriori num site oficial. A mensagem é curta: «Passagem não paga a 09/08 na A79. Montante: 4,20 €. Regularização em 72 h antes de agravamento.»
Está tudo calibrado: o montante é realista, a auto-estrada existe, o prazo é plausível. Muitos condutores simplesmente não sabem se pagaram ou não a passagem. A regra: nunca se paga uma portagem em fluxo livre a partir de uma ligação recebida por SMS. Escreve-se à mão o endereço do site oficial da concessionária em causa, ou usa-se a aplicação do próprio identificador de via verde. O mesmo vale para os falsos avisos de contra-ordenação: o site oficial da Agence nationale de traitement automatisé des infractions é o único ponto de entrada, e nunca lhe enviará um SMS com uma ligação de pagamento.
3. O voo alterado e o falso cartão de embarque
«O seu voo AF1234 foi alterado. Consulte o seu novo cartão de embarque.» A ligação pede o número da reserva, o nome, por vezes o passaporte e o cartão bancário para «as despesas de reemissão».
Aqui, não é apenas o dinheiro que está em jogo, são os dados de identidade. Um processo de viagem completo — nome, data de nascimento, número de passaporte, morada — é revendido e serve depois para abrir contas ou contrair créditos. O reflexo certo: abrir a aplicação oficial da companhia ou consultar o painel de informações. Uma alteração de voo real aparece sempre no seu processo, nunca apenas num SMS.
4. A caixa de chaves e o código de acesso
Mais discreto, mais perverso. Na véspera da chegada recebe uma mensagem: «Olá, houve uma alteração de última hora na entrega das chaves, confirme aqui a sua identidade.» A ligação recolhe um documento de identificação digitalizado e, por vezes, um IBAN «para a devolução da caução».
O sinal que deve alertar: uma mudança de canal. Se toda a conversa decorreu na mensageria da plataforma e de repente passa para SMS, isso é uma bandeira vermelha. Os burlões recolhem os anúncios públicos e contactam os viajantes às cegas, na esperança de acertar em alguém que reservou mesmo.
5. O apoio bancário durante a viagem
É a variante mais cara. Depois de um primeiro SMS de alerta («tentativa de pagamento no estrangeiro de 749 €»), segue-se logo uma chamada, muitas vezes de um número apresentado como sendo o do seu banco graças ao spoofing. Um interlocutor calmo pede-lhe que «bloqueie a operação» ditando os seus códigos ou validando uma notificação na aplicação.
A regra recordada pela Fédération bancaire française e pelos próprios bancos é absoluta: um gestor de conta nunca lhe pedirá que valide uma operação, que comunique um código recebido por SMS ou que instale um software de acesso remoto. Desliga-se e liga-se para o número que consta no verso do cartão.
A tabela de triagem em dez segundos
Quando chega uma mensagem e não tem nem tempo nem calma para investigar, esta triagem chega na esmagadora maioria dos casos.
| O que diz a mensagem | Reacção legítima | Reacção arriscada |
|---|---|---|
| Um pagamento falhou | Abrir por si próprio a aplicação em causa | Clicar na ligação fornecida |
| Há um montante a pagar em 24-72 h | Escrever à mão o endereço oficial | Pagar a partir da ligação |
| Pedem-lhe um documento de identificação | Passar pela mensageria da plataforma | Enviar uma digitalização por SMS |
| Um gestor liga-lhe depois de um SMS | Desligar e ligar para o número do cartão | Ficar em linha e validar |
| A ligação contém um nome de marca estranho | Ignorar e apagar | «Só espreitar» a página |
Um ponto técnico muitas vezes mal compreendido: o endereço mostrado numa ligação encurtada não significa nada. As campanhas usam massivamente encurtadores e nomes de domínio que incluem a marca legítima como subdomínio. Um endereço do tipo secure-colissimo.paiement-xyz.top nada tem a ver com o serviço que imita: o que conta é o que precede imediatamente a extensão, não o que aparece no início.
Preparar o telemóvel antes de partir
A melhor protecção em viagem prepara-se na véspera da partida, com calma, em casa.
Faça o ponto da situação dos canais oficiais. Guarde nos contactos o número do seu banco, o do seguro e o do alojamento. Um número já memorizado aparece com um nome: se uma chamada supostamente do banco surgir de um número não identificado, a dúvida é imediata.
Bloqueie a pré-visualização das notificações. Os códigos de validação de uso único aparecem por defeito no ecrã bloqueado. Num comboio, numa fila de espera ou num quarto partilhado, isso basta para comprometer uma conta. A definição encontra-se nos parâmetros de notificações, em «Pré-visualizações» ou «Mostrar conteúdo». Na mesma lógica, um filtro de privacidade para ecrã de smartphone torna o ecrã ilegível de lado — útil tanto no avião como numa esplanada.
Leve consigo autonomia para não depender de postos públicos. Os postos de carregamento USB abertos dos aeroportos e das estações colocam um problema real: uma porta de dados não controlada pode, em certas configurações, ser desviada. Um simples carregador USB com ficha de parede, ou um cabo de carregamento sem transferência de dados, elimina a questão. Não é paranoia, é a mesma lógica de não ligar uma pen USB encontrada no chão.
Faça uma cópia de segurança antes de partir. Um telemóvel perdido ou roubado durante as férias é um acesso potencial às mensagens, ao correio electrónico e às aplicações bancárias. Uma cópia de segurança actualizada e a activação da localização remota mudam completamente o desfecho. Preveja também como proteger fisicamente o aparelho: areia, água salgada e sacos de praia fazem mais estragos do que se pensa, e uma capa estanque para smartphone custa menos do que substituir um ecrã.
Wi-fi de hotel, redes públicas e portais falsos
O wi-fi gratuito do parque de campismo ou do átrio do hotel merece uma menção à parte. Hoje, o principal risco já não é tanto a intercepção de dados — a maioria dos sites e aplicações cifra as comunicações — mas o falso portal cativo: aquela página que se abre a pedir que «se identifique» antes de aceder à rede e que por vezes exige um e-mail, uma palavra-passe ou até um cartão bancário «para verificação».
Bastam três regras:
- Um portal cativo legítimo nunca pede a palavra-passe do seu e-mail nem o número do cartão.
- Confirme o nome exacto da rede na recepção. Uma rede chamada «Hotel_Wifi_Free» ao lado da verdadeira «Hotel-Wifi» é uma armadilha clássica.
- Para operações sensíveis — banco, impostos, compras — prefira a sua ligação móvel. A partilha de ligação a partir do seu próprio tarifário é mais segura do que uma rede aberta, e um cartão SIM pré-pago local continua a ser uma boa opção para estadias longas fora da Europa.
Se a mensagem já foi aberta
Abrir um SMS fraudulento não representa, por si só, qualquer perigo. O risco começa no clique e torna-se sério quando se introduzem informações.
- Clicou apenas, sem introduzir nada. Feche a página, não volte lá, não preencha nada. Verifique que nenhuma aplicação se instalou sem o seu conhecimento, sobretudo em Android, onde continua a ser possível instalar a partir de fontes externas.
- Introduziu dados bancários. Cancele o cartão imediatamente através da aplicação do banco ou do número no verso do cartão. A partir do estrangeiro, esse número continua contactável. Guarde as capturas de ecrã.
- Enviou um documento de identificação. Comunique a situação e vigie qualquer abertura de conta em seu nome. Apresentar queixa, mesmo à distância, constitui um elemento útil.
- Denuncie a mensagem. Em França, o número 33700 recebe as denúncias de SMS fraudulentos: reencaminhe a mensagem para o 33700 e envie depois o número do remetente quando lhe for pedido. O serviço é gratuito. Também pode fazer uma denúncia na plataforma oficial Cybermalveillance.gouv.fr, que orienta para os procedimentos adequados, e em internet-signalement.gouv.fr (PHAROS) no caso de conteúdos ilícitos.
- Avise quem lhe está próximo. As campanhas visam gamas inteiras de números. Se a recebeu, é provável que as pessoas que partiram ao mesmo tempo que si também a tenham recebido.
O caso particular dos viajantes séniores
As pessoas mais velhas viajam muitas vezes com referências digitais menos sólidas e, sobretudo, com o receio de «fazer asneira», o que as leva a obedecer em vez de verificar. Três ajustes simples ajudam muito.
Combinar antes da partida um interlocutor de confiança contactável em caso de dúvida: uma chamada de trinta segundos a um filho ou a um vizinho desarma qualquer burla. Escrever num papel guardado na carteira os números verdadeiros do banco e do seguro, porque em situação de stress ninguém anda a remexer no telemóvel. E, para quem não precisa de um smartphone em viagem, um telemóvel de teclas grandes reduz mecanicamente a superfície de ataque: sem navegador, sem ligações clicáveis, sem aplicação bancária.
Uma regra cabe numa frase e cobre 95 % das situações: nunca se paga nem se autentica a partir de uma ligação recebida, seja qual for o remetente apresentado. Volta-se sempre ao canal que fomos nós próprios a escolher.
O que há a reter
As burlas por SMS de férias não são mais sofisticadas do que as outras. Estão apenas melhor sincronizadas com a sua vida. O remédio não passa por se tornar especialista em segurança informática, mas por reintroduzir um pequeníssimo intervalo entre a leitura e a acção: abrir a aplicação por si próprio, escrever o endereço por si próprio, ligar por si próprio para o número oficial.
Esse intervalo custa trinta segundos. É exactamente aquilo que os burlões não se podem dar ao luxo de lhe deixar.
