Há uma conversa que a maioria das famílias nunca tem. Fala-se do preço do aparelho, do tarifário, do tempo de ecrã, por vezes do bullying entre colegas. Esquece-se sistematicamente o ponto de entrada mais banal e mais utilizado pelos burlões: as mensagens SMS.
Não é um esquecimento inocente. Um adulto que recebe uma mensagem falsa do banco dispõe de um capital de experiência: já viu passar tentativas, sabe mais ou menos como funciona uma transferência, sabe que um gestor de conta não pede códigos por telefone. Um adolescente de doze anos que recebe o primeiro aparelho não tem nada disso. Tem um número novinho em folha, uma confiança intacta naquilo que aparece no ecrã e uma forte motivação para não alertar os pais quando algo corre mal — porque teme sobretudo que lhe confisquem o telemóvel.
É esta combinação que interessa aos fraudadores. Não a ingenuidade: o silêncio.
Porque é que um número «novo» não fica novo por muito tempo
Muitos pais partem do princípio de que um número nunca usado em lado nenhum ficará sossegado. Na prática, entra nos circuitos em poucas semanas.
As campanhas de smishing — o phishing por SMS, tal como o define a Cybermalveillance.gouv.fr — não visam indivíduos. Varrem gamas inteiras de números, gerados automaticamente, incluindo os que acabaram de ser atribuídos pelos operadores. Receber uma falsa SMS de entrega de encomenda numa linha ativada há dez dias não tem nada de excecional: é a norma.
A isto acrescentam-se os mecanismos próprios dos hábitos adolescentes:
- Os registos em série. Jogos móveis, plataformas de streaming, aplicações de edição de fotografias, passatempos nas redes sociais. O número serve de identificador em todo o lado, e cada serviço é um potencial ponto de fuga.
- Os grupos abertos. Servidores de conversação, grupos de turma que vão crescendo, trocas em torno de um jogo online. Um número que circula num grupo de trezentas pessoas já não é confidencial.
- As fugas de dados. A CNIL e a Cybermalveillance.gouv.fr documentam regularmente violações que atingem plataformas de grande consumo, incluindo aquelas cujo público é muito jovem. Os números expostos acabam revendidos em lotes.
Por outras palavras, a questão não é saber se o seu adolescente vai receber uma SMS fraudulenta, mas quando — e sobretudo em que estado de espírito estará no momento em que a ler.
Os cenários que visam especificamente os jovens
As burlas por SMS adaptam-se ao alvo. As que atingem os adolescentes não se parecem com as que visam os reformados.
O falso prémio e a «oferta» dentro do jogo
Uma mensagem anuncia a atribuição de moeda virtual, de skins, de uma conta premium, de um bilhete para um concerto. Um link leva a uma página que pede as credenciais da conta de jogo e, por vezes, um número de cartão «para verificação de idade». A conta roubada é depois revendida — e para um adolescente que investiu dois anos nela, a perda é dolorosa.
A falsa subscrição a cancelar
«A sua subscrição renova-se por 49,90 € esta noite. Cancele aqui.» Ninguém quer ver 49,90 € desaparecerem. O reflexo de pânico é idêntico ao dos adultos, com um fator agravante: o receio de que os pais descubram um débito inexplicado.
O falso recrutador e o emprego de verão
A partir dos quinze ou dezasseis anos, as propostas de «missões remuneradas» por SMS ou por mensagem chegam em massa. Testar aplicações, publicar avaliações, receber e reencaminhar encomendas. Esta última variante, o «mulling» de encomendas, transforma o jovem em cúmplice involuntário de uma rede de fraude, com consequências penais reais. O Ministério do Interior francês e a plataforma Pharos alertam regularmente para estes recrutamentos.
O pedido de dinheiro em nome de um familiar
A variante «Olá mãe, parti o telemóvel, este é o meu novo número» funciona nos dois sentidos. Um adolescente pode ser abordado em nome de um primo, de um amigo, de um avô. Raramente tem o reflexo de confirmar por outro canal.
A chantagem com imagens íntimas
O caso mais grave e o mais silenciado. Uma conversa que começa por uma SMS ou uma mensagem privada, deriva para a troca de imagens e depois passa a ameaça de divulgação. A associação e-Enfance, que opera o 3018 (número nacional francês contra as violências digitais, gratuito e confidencial), aponta este cenário como um dos mais frequentes entre menores. A vergonha faz o resto: a vítima paga ou cala-se.
O que se decide ainda antes do primeiro cartão SIM
A preparação não começa no dia da compra. Começa no momento da escolha do dispositivo.
O tipo de aparelho conta. Nem todas as crianças precisam de um smartphone completo aos onze anos. Para uma primeira linha destinada essencialmente a contactar os pais à saída da escola, um telemóvel simples de teclas cumpre a função sem abrir a caixa de mensagens a todas as campanhas de phishing com links clicáveis. Não é uma posição retrógrada: é uma redução da superfície de ataque. A passagem ao smartphone faz-se depois, quando os reflexos já estão instalados.
O tipo de tarifário também conta. Um cartão SIM pré-pago sem carregamento automático limita mecanicamente os estragos de uma subscrição fraudulenta ou de um serviço de valor acrescentado. Muitas fraudes dirigidas aos jovens assentam em micro-débitos recorrentes que passam despercebidos numa fatura familiar, mas que se tornam imediatamente visíveis numa linha pré-paga.
A proteção física também, de forma indireta. Um aparelho partido é um aparelho que o adolescente vai querer mandar reparar discretamente, eventualmente através de um anúncio classificado ou de um «reparador» encontrado online — ocasião clássica de perda de dados. Uma capa de proteção reforçada e uma película de vidro temperado custam alguns euros e evitam esta cadeia de acontecimentos. Não é cibersegurança, é prevenção pela base.
A conversa que vale mais do que todos os controlos parentais
As ferramentas de controlo parental filtram sites, limitam horários, bloqueiam instalações. Nenhuma bloqueia uma SMS armadilhada bem escrita. A única proteção que se aguenta é o reflexo do próprio adolescente.
Três ideias a transmitir, formuladas de forma simples.
Uma mensagem que mete pressão é uma mensagem suspeita. Uma empresa a sério nunca exige uma ação nas próximas duas horas. A urgência é uma ferramenta de manipulação, não uma característica dos serviços legítimos.
Nunca se clica num link recebido por SMS. Sem exceções. Se a mensagem parece vir de um serviço que realmente se utiliza, abre-se a aplicação ou escreve-se o endereço do site à mão. Esta regra tem a vantagem de ser absoluta e, por isso, memorizável.
Um código recebido por SMS não se transmite a ninguém. Nem a um amigo, nem a um «apoio técnico», nem a alguém que se apresente como familiar. É a regra mais fácil de enunciar e a mais frequentemente violada.
E uma quarta, a mais importante de todas:
«Se caíres na esparrela, não vais ser castigado. Resolvemos o problema juntos.»
Esta frase, dita com antecedência e cumprida no dia em que for preciso, vale mais do que qualquer software. Toda a mecânica da chantagem digital assenta na certeza do fraudador de que a vítima não se atreverá a falar. Retirar essa certeza desarma metade dos cenários.
As configurações a fazer em conjunto, no dia da ativação
Meia hora, uma única vez, e o essencial fica em ordem. A fazer com o adolescente, e não por ele: o objetivo é que perceba porquê.
| Configuração | Porquê | Onde |
|---|---|---|
| Código PIN do cartão SIM ativado | Impede o uso da linha se o aparelho for roubado | Definições → Segurança / SIM |
| Bloqueio de ecrã + biometria | Protege o conteúdo em caso de perda | Definições → Ecrã de bloqueio |
| Pré-visualização das notificações ocultada | Um código recebido não aparece com o ecrã desligado | Definições → Notificações |
| Filtragem de remetentes desconhecidos | Isola as SMS de números não registados | Mensagens → Opções |
| Bloqueio de serviços de valor acrescentado | Corta as subscrições por SMS | Área de cliente do operador |
| Autenticação de dois fatores por aplicação | Mais robusta do que o código por SMS | Contas Google / Apple |
| Atualizações automáticas | Corrige as falhas exploradas | Definições → Sistema |
Dois pontos merecem uma palavra a mais.
O bloqueio dos serviços de valor acrescentado é gratuito e pede-se diretamente ao operador. Neutraliza toda uma família de fraudes assentes em subscrições por SMS contratadas com um clique. Poucos pais sabem que esta opção existe.
A autenticação por aplicação em vez de por SMS merece ser instalada logo de início nas contas que importam (e-mail, contas de jogo, redes sociais). Ganhar o hábito desde já evita ter de mudar mais tarde. Para as contas mais sensíveis de uma família, alguns pais chegam a optar por uma chave de segurança física FIDO2, que continua a ser o padrão mais resistente ao phishing.
Aprender a detetar, não apenas a obedecer
Uma regra imposta sem explicação aguenta-se até à primeira mensagem verdadeiramente convincente. O treino funciona melhor.
Um exercício simples, a fazer uma vez por mês durante cinco minutos: abrir em conjunto as SMS recebidas de números desconhecidos e analisá-las em voz alta.
- Quem é suposto estar a escrever? Um serviço que se utiliza realmente, ou um nome vagamente plausível?
- O que pede a mensagem? Uma informação, uma ação urgente, um pagamento?
- Para onde leva o link? Sem clicar: o endereço contém o verdadeiro nome de domínio, ou um encurtador, ou uma extensão exótica?
- O que é que não bate certo? Erros, tratamento por tu invulgar, formulação traduzida automaticamente, ausência do nome do destinatário.
Este método tem uma vantagem: transforma uma proibição numa competência. Experiências realizadas em empresas com ferramentas francesas de simulação de SMS armadilhadas mostram que a exposição repetida a mensagens falsas, num enquadramento seguro, reduz nitidamente a taxa de cliques. O princípio funciona igualmente bem em casa.
Para as famílias que queiram ir mais longe, um guia de sensibilização digital para pais constitui um bom apoio de conversa, sobretudo quando as questões ultrapassam a simples SMS: reputação online, dados pessoais, exposição nas redes.
Quando acontece mesmo assim: o que fazer
Um adolescente clicou, introduziu as suas credenciais ou transmitiu um código. Não é um drama, é uma urgência curta.
- Cortar a ligação do aparelho (modo de voo) se tiver sido instalada alguma aplicação desconhecida.
- Mudar as palavras-passe das contas afetadas, a partir de outro aparelho, começando pelo endereço de e-mail principal — é a chave de tudo o resto.
- Verificar as sessões ativas nas definições de segurança das contas e terminar sessão nos aparelhos desconhecidos.
- Avisar o banco se tiverem sido introduzidos dados bancários, e cancelar o cartão. O reembolso de uma operação não autorizada está previsto na lei, desde que se atue depressa.
- Denunciar a mensagem ao 33700 (reencaminhamento da SMS, seguido do envio do número do remetente), o dispositivo oficial dos operadores franceses contra as SMS fraudulentas.
- Denunciar o conteúdo na plataforma Pharos caso se trate de conteúdo ilícito, e ligar para o 3018 em caso de chantagem com imagens ou de assédio.
- Apresentar queixa se existir prejuízo financeiro. O serviço Perceval permite, além disso, denunciar uma fraude com cartão bancário.
Um ponto a não esquecer: em caso de chantagem com imagens, nunca se paga. O pagamento nunca põe fim às exigências, apenas as confirma. O 3018 acompanha as famílias na remoção dos conteúdos, com procedimentos acelerados junto das plataformas.
Continuar contactável sem expor tudo
Existe uma zona intermédia, muitas vezes ignorada, entre «dar o número» e «não comunicar».
Para os registos em serviços de baixa confiança — um jogo descarregado uma única vez, um passatempo, uma plataforma descoberta na véspera —, o melhor é não dar número nenhum. Quando um serviço o exige mesmo, mais vale um endereço de e-mail dedicado do que um número pessoal: um endereço deita-se fora, um número guarda-se durante anos.
E para as situações em que se quer enviar uma mensagem pontual sem envolver a própria linha — avisar um clube, contactar alguém que se cruzou uma vez, confirmar um encontro —, um serviço de envio de SMS online sem registo dá jeito, desde que se conheçam os seus limites: é um uso pontual e rastreável, não é uma ferramenta de anonimato e muito menos um meio para enviar mensagens a quem não as quer receber. Este ponto merece ser dito claramente a um adolescente, porque a fronteira entre a brincadeira entre amigos e o assédio atravessa-se sem se dar por isso, e é penalmente punida.
O verdadeiro objetivo: uma autonomia que não dependa de si
Um controlo parental acaba aos dezoito anos. As campanhas de smishing, não. A questão não é, portanto, construir uma cerca, mas transmitir um reflexo que sobreviva ao momento em que já ninguém estiver a olhar por cima do ombro.
Isso implica aceitar duas coisas incómodas. A primeira é que um adolescente bem preparado vai, ainda assim, cair um dia — tal como adultos muito competentes caem regularmente, porque os cenários são bons e o cansaço existe. A segunda é que a medida mais eficaz não é técnica: é a garantia de que ele poderá falar do assunto sem consequências.
Um telemóvel, um cartão SIM, um tarifário, uma capa. E uma frase, repetida vezes suficientes para servir no dia em que contar: na dúvida, não se clica, fala-se.
