«URGENTE — As nossas equipas estão no terreno. Cada donativo de 10 € garante 3 dias de água potável a uma família. Apoie-nos: don-solidarite-urgence[.]org — Obrigado pela sua generosidade.»
Nenhuma ameaça. Nenhum prazo de 48 horas. Nenhum agravamento. Apenas uma frase que o coloca do lado certo da história e um link que promete transformar a sua culpa difusa num gesto concreto.
É exatamente por isso que este SMS é temível. Todas as campanhas de smishing que aprendemos a identificar — a multa por pagar, a encomenda retida, a conta bancária suspensa — assentam no medo. O cérebro acaba por associar «SMS inesperado + stress» a «burla». O falso apelo a donativos contorna completamente esse reflexo: não lhe provoca medo, dá-lhe prazer. E um leitor que se sente generoso não se sente em perigo.
Uma fraude que segue a atualidade de perto
As campanhas de falsos donativos não são contínuas: são pontuais, ligadas a acontecimentos. Surgem nas 24 a 72 horas seguintes a um facto marcante, quando a cobertura mediática está no auge e a verificação é mais difícil.
Os gatilhos habituais:
- uma catástrofe natural amplamente noticiada (sismo, inundações, incêndios);
- um conflito ou uma crise humanitária que domina os telejornais;
- um drama local muito comentado (acidente, desaparecimento, angariação para uma família);
- os momentos altos do calendário solidário francês: campanha de inverno das associações de apoio aos mais desfavorecidos, Téléthon, recolhas alimentares de fim de ano, períodos de dedução fiscal em dezembro.
Este último ponto é subestimado. Em dezembro, milhões de lares franceses fazem realmente um donativo para beneficiar da redução de imposto prevista no artigo 200.º do Code général des impôts. Um SMS a pedir donativos recebido a 20 de dezembro não tem nada de anormal: muitas associações legítimas comunicam efetivamente nessa altura. O burlão insere-se num fluxo já existente, que é sempre a melhor posição para um fraudador.
O Cybermalveillance.gouv.fr, o dispositivo público de apoio às vítimas de atos de cibermalícia, recorda regularmente que o phishing por SMS — o smishing — figura entre as ameaças mais reportadas pelos particulares e que os burlões adaptam sistematicamente os seus pretextos à atualidade. A solidariedade é simplesmente um dos disfarces mais fáceis de vestir: não exige nem logótipo administrativo complexo, nem referência de processo credível.
O que o burlão procura realmente
Imaginamos que o objetivo é ficar com o seu donativo de 20 €. É o cenário menos rentável para ele e, ainda assim, o mais tranquilizador para si. A realidade é muitas vezes mais ampla.
O donativo pontual desviado
Versão mais simples: a página de pagamento recebe o valor, agradece calorosamente e chega mesmo, por vezes, a enviar um falso recibo fiscal em PDF. A vítima não se apercebe de nada durante meses — até ao momento da declaração de impostos, quando a administração fiscal não reconhece a entidade.
A captura dos dados bancários
O formulário de «donativo» pede o número do cartão, a data de validade e o código de segurança. Uma vez obtidos estes três elementos, o montante realmente debitado deixa de ter qualquer relação com os 10 € anunciados. Algumas páginas levam a perversidade ao ponto de propor o «donativo mensal» pré-selecionado por defeito, o que torna o débito recorrente perfeitamente legítimo aos olhos do banco.
A validação de autenticação desviada
É a variante mais dispendiosa. Introduz os dados do cartão, chega um verdadeiro código de confirmação do seu banco e valida-o na aplicação bancária julgando confirmar um donativo. Só que a transação que está a autenticar não é a que aparece no ecrã. Como foi o próprio a validar na sua aplicação, a contestação posterior torna-se claramente mais difícil.
A qualificação do seu perfil
Mesmo sem pagamento, o simples facto de clicar e começar a preencher o formulário sinaliza que o seu número está ativo, que é recetivo a causas humanitárias e, muitas vezes, que pertence a determinada faixa etária. Esse perfil é revendido. É assim que uma pessoa que clicou uma vez passa a receber três SMS solidários por semana e, depois, chamadas telefónicas de «fundações» desconhecidas.
Uma regra simples: um clique num link fraudulento não custa apenas aquilo que paga nesse dia. Custa também o lugar que o seu número passará a ocupar nos ficheiros revendidos entre burlões.
Os sinais que denunciam o falso apelo a donativos
A mensagem é curta, cordial, sem erros ortográficos grosseiros. A era do texto mal traduzido está largamente ultrapassada. É preciso, por isso, olhar para outro lado.
O nome de domínio. É o ponto de controlo número um. As grandes associações francesas usam domínios curtos e estáveis: croix-rouge.fr, restosducoeur.org, secourspopulaire.fr, unicef.fr, medecinsdumonde.org, fondation-abbe-pierre.fr. Um link do tipo don-croixrouge-urgence.net, soutien-restos2026.info ou secours-populaire-france.help é falso, por mais verosímil que pareça. Os burlões jogam com os hífenes acrescentados, as extensões exóticas e os subdomínios enganadores.
A ausência de canal alternativo. Uma verdadeira campanha de donativos deixa-lhe sempre várias portas: o site oficial, um número de telefone, um formulário em papel, um donativo por cheque. Um SMS que oferece apenas o seu link, sem nunca mencionar o site principal da associação, é suspeito à partida.
A urgência sentimental hiperespecífica. «Faltam 4 horas para financiar os cobertores.» As associações sérias comunicam sobre programas, não sobre contagens decrescentes ao minuto.
O meio de pagamento. Nenhuma associação reconhecida pede um donativo por transferência instantânea para um IBAN de particular, por cartão-presente, por criptomoeda ou através de um link de pagamento entre particulares. É um sinal eliminatório imediato.
O remetente apresentado. O nome que aparece no topo do ecrã não prova absolutamente nada. O spoofing — a usurpação do identificador de remetente — permite mostrar «CROIX-ROUGE» ou «UNICEF» em vez de um número. Pior ainda: a mensagem fraudulenta chega por vezes a inserir-se no mesmo fio de conversa dos verdadeiros SMS da organização, o que lhe confere uma credibilidade máxima.
A verificação em três minutos, sem stress
A boa notícia é que um donativo nunca é urgente. Ninguém perde uma vantagem por doar trinta minutos mais tarde. Esse tempo disponível é a sua melhor arma.
- Não toque no link. Nem sequer para «ver». Algumas páginas desencadeiam redirecionamentos ou tentam instalar uma aplicação.
- Abra você mesmo o site da associação, escrevendo o nome no seu navegador. Se a campanha anunciada por SMS existir, estará na página inicial. Se não constar, a resposta está dada.
- Verifique se a entidade está habilitada a emitir um recibo fiscal. O site da associação indica-o, e a administração fiscal especifica no impots.gouv.fr as condições da redução de imposto por donativos a instituições.
- Consulte o Comité de la Charte / Don en confiance, o organismo francês de certificação voluntária das associações que apelam à generosidade do público. O seu diretório online lista as entidades certificadas. Não é uma garantia absoluta — muitas associações honestas não têm o selo —, mas é uma referência útil.
- Doe pelo canal que você escolheu, nunca por aquele que lhe foi proposto.
Para quem prefere um registo em papel, ter à mão um caderno de notas A5 onde se anotam os donativos efetuados, a data e a entidade evita duplicações e facilita muito a declaração de impostos na primavera.
O caso particular do donativo por SMS legítimo
Existem em França verdadeiras campanhas de donativos por SMS, reguladas pelos operadores. Funcionam segundo um esquema muito reconhecível: pedem-lhe que envie uma palavra-chave para um número curto de cinco algarismos (tipo 92xxx), e o montante, fixo, é debitado na sua fatura telefónica ou no seu saldo pré-pago.
As diferenças em relação à fraude são nítidas:
| Donativo por SMS legítimo | Falso apelo a donativos |
|---|---|
| É você que envia a mensagem, a iniciativa é sua | Recebe uma mensagem não solicitada |
| Número curto de 5 algarismos, anunciado publicamente | Link web para um domínio desconhecido |
| Montante fixo e indicado (5, 10 €…) | Montante livre, formulário de cartão bancário |
| Nenhum dado bancário solicitado | Cartão, código de segurança, por vezes documento de identidade |
| Campanha divulgada na televisão, na rádio, em cartazes | Campanha conhecida só por si, por SMS |
Retenha a linha mais importante: um donativo legítimo por SMS nunca pede o seu cartão bancário num formulário web aberto a partir de um link recebido.
Porque é que os familiares idosos estão mais expostos
Não é uma questão de credulidade, é uma questão de sociologia do donativo. Os estudos sobre a generosidade em França mostram regularmente que os doadores regulares são maioritariamente pessoas com mais de 60 anos, muitas vezes fiéis a duas ou três associações há décadas. Estão habituadas a ser solicitadas — por correio, por telefone, por e-mail — e esse fluxo de pedidos torna um apelo adicional perfeitamente banal.
Acresce um fator prático: ler um endereço web completo no ecrã de um smartphone, com os seus hífenes e a sua extensão, pressupõe uma acuidade visual e um à-vontade técnico que não são evidentes. Muitos utilizadores veem «croix-rouge» no URL e ficam por aí. Neste ponto, aumentar o tamanho da letra do telemóvel nas definições de acessibilidade muda mais coisas do que qualquer software: um texto maior torna o domínio fraudulento visível. Uma lupa de leitura com LED pousada na mesa da sala presta o mesmo serviço para a correspondência em papel, que continua a ser o principal canal de solicitação solidária.
Para os familiares equipados com um aparelho que os ultrapassa, um telemóvel de teclas grandes limita mecanicamente a superfície de ataque: sem navegador moderno, sem formulário de pagamento, sem instalação de aplicações. O SMS fraudulento continua a chegar, mas não leva a lado nenhum.
Por fim, a conversa conta mais do que o equipamento. Combinar uma regra familiar simples — «nunca se doa a partir de um link, doa-se sempre pelo site ou por cheque» — protege melhor do que uma lista de sinais para memorizar. Um guia prático sobre burlas digitais pousado ao lado do telefone serve de lembrete discreto, sem dar a impressão de controlo.
O que fazer se já doou
O reflexo mais importante é o primeiro: não perder tempo a sentir vergonha.
- Contacte imediatamente o seu banco para cancelar o cartão utilizado. O serviço de cancelamento está disponível 24 horas por dia. Peça explicitamente o bloqueio do cartão e a contestação das operações.
- Não valide mais nenhuma notificação da sua aplicação bancária nas horas seguintes. Se surgir um pedido de validação sem que tenha iniciado seja o que for, recuse-o.
- Denuncie o SMS através do 33700, o dispositivo nacional de denúncia de SMS e chamadas indesejadas: reencaminhe a mensagem para o 33700 e responda depois com o número do remetente quando lhe for pedido. O serviço é gratuito.
- Denuncie o endereço fraudulento no Phishing Initiative (phishing-initiative.fr) e participe os factos na plataforma oficial THESEE, acessível a partir do service-public.fr, dedicada às burlas online.
- Apresente queixa na esquadra ou na gendarmerie. É muitas vezes indispensável para obter o reembolso.
- Avise a associação usurpada. As grandes associações dispõem de equipas dedicadas e apresentam queixa por sua vez; a sua denúncia alimenta essas diligências.
Quanto ao reembolso, o artigo L133-18 do Code monétaire et financier estabelece o princípio: em caso de operação de pagamento não autorizada, o banco reembolsa imediatamente o pagador. O ponto de atrito incide sobre a «negligência grave» — daí a importância de documentar com precisão o que introduziu e validou. Guarde capturas de ecrã do SMS, da página de pagamento e das suas trocas com o banco. Um disco rígido externo portátil ou uma simples pasta arquivada permite manter estas provas fora do telemóvel, caso este venha a ser reposto de fábrica.
Doar continua a ser uma boa ideia
Seria absurdo concluir que é preciso deixar de doar. Aliás, as associações francesas constatam um efeito secundário desagradável destas fraudes: a desconfiança geral acaba por erodir os donativos legítimos, incluindo os efetuados por canais perfeitamente seguros.
A postura correta não é a desconfiança, é o domínio do canal. Escolha você mesmo duas ou três causas, visite os respetivos sites, estabeleça um donativo regular ou anote os seus contactos, e considere por defeito que qualquer solicitação recebida sem ser esperada — SMS, e-mail, chamada, mensagem numa aplicação — não passa de um convite a ir verificar noutro lado.
Um burlão precisa que clique dentro do enquadramento dele. A partir do momento em que decide que o donativo será feito no seu, a burla deixa de ter qualquer efeito. E a generosidade, essa, chega a bom porto.
