Sai de uma reunião ou de uma consulta médica. O telemóvel vibra: «Recebeu 1 nova mensagem de voz. Ouça-a: [link]». Nada de inquietante. Ninguém o ameaça, ninguém lhe reclama 2,99 €, não há qualquer encomenda retida na alfândega. Apenas alguém que tentou contactá-lo enquanto estava indisponível.
É exatamente por isso que funciona.
Há dois anos que a notificação de mensagem de voz se instalou entre os iscos mais rentáveis do smishing em França. Não desencadeia medo nem euforia — as duas emoções que aprendemos a identificar. Desencadeia algo muito mais difícil de combater: a curiosidade banal.
Porque é que esta mensagem passa por baixo de todos os radares
As campanhas de sensibilização, tanto as da Cybermalveillance.gouv.fr como as dos bancos, assentam numa lista de sinais: urgência, ameaça, erro ortográfico, pedido de dinheiro, remetente desconhecido. A falsa mensagem de voz não assinala nenhuma destas casas.
Repare no que ela propõe realmente:
- Nenhuma urgência. Uma mensagem de voz está à espera. Continuará à espera amanhã. Não há contagem decrescente, logo não há desconfiança acionada.
- Nenhuma transação. Não lhe pedem cartão bancário, nem transferência, nem identificação. Pelo menos, não de imediato.
- Um facto 100 % plausível. Perdeu certamente chamadas esta semana. A mensagem nem precisa de ser credível: é-o mecanicamente.
- Um gesto habitual. Ouvir o atendedor de chamadas faz parte da rotina de qualquer utilizador de telemóvel há trinta anos.
Acrescente-se que vários operadores franceses enviam verdadeiras notificações por SMS de mensagens de voz, por vezes com um link para o seu serviço de «visual voicemail». O utilizador deixa de ter qualquer referência fiável para distinguir o verdadeiro do falso. Ensinaram-lhe a desconfiar dos links, mas é o próprio operador que lhos envia.
A regra que continua válida: uma mensagem de voz legítima ouve-se a partir do seu telemóvel, ligando para o seu atendedor ou através da aplicação oficial do seu operador. Nunca a partir de um link recebido por SMS.
O que acontece depois do clique: três cenários
O link nem sempre conduz ao mesmo sítio. Os fraudadores testam, segmentam e adaptam consoante o sistema operativo detetado pela página de destino. Dominam três famílias de consequências.
1. A página de recolha de credenciais
É a versão mais simples. O link abre uma página que reproduz a interface do seu operador: logótipo, cores, menções legais copiadas e coladas. A mensagem é sempre a mesma: «Inicie sessão na sua área de cliente para ouvir a mensagem.»
Introduz o nome de utilizador e a palavra-passe. Vão diretamente parar às mãos do burlão. Ora a área de cliente de um operador é uma mina: contém a sua morada, os seus dados bancários, a faturação detalhada e, sobretudo, a possibilidade de encomendar um novo cartão SIM ou de alterar opções. Entramos então no terreno do desvio de linha telefónica.
2. A aplicação para instalar
Versão mais agressiva, dirigida principalmente ao Android. A página anuncia que «a audição requer a aplicação Mensagem de Voz Visual» e propõe um ficheiro para descarregar fora da Play Store.
O ficheiro instalado é um cavalo de Troia bancário. As famílias conhecidas dos investigadores de segurança — as variantes derivadas do FluBot, desmantelado em 2022 pela Europol mas largamente copiado desde então, ou as estirpes do tipo Anatsa assinaladas por vários fabricantes de antivírus — funcionam todas segundo o mesmo princípio:
| O que a aplicação pede | O que faz realmente com isso |
|---|---|
| Acesso aos SMS | Interceta os códigos de validação bancária |
| Acesso aos contactos | Reenvia o mesmo SMS armadilhado a toda a sua lista |
| Serviço de acessibilidade | Sobrepõe falsos ecrãs de início de sessão às suas aplicações reais |
| Exibição sobre outras aplicações | Captura o que escreve, incluindo as palavras-passe |
É este último ponto que confere gravidade ao caso: a vítima não perde dinheiro no momento do clique, mas três dias mais tarde, quando abre a aplicação bancária e introduz os códigos num falso ecrã perfeitamente imitado.
3. O reencaminhamento para um número de valor acrescentado
Variante mais discreta: o link exibe um botão «Ligar para o atendedor» que marca um número começado por 0899 ou 0891. A chamada é faturada a vários euros por minuto, com uma voz gravada que o faz esperar o máximo de tempo possível. O prejuízo é modesto, algumas dezenas de euros, mas massivo à escala de uma campanha.
O sinal de alerta que quase ninguém observa: o endereço
Uma mensagem de voz real nunca remete para um domínio exótico. Os fraudadores usam endereços curtos, muitas vezes criados na véspera, que se apropriam de palavras tranquilizadoras.
Exemplos de padrões detetados em campanhas recentes:
messagerie-vocale-espaceclient.xyzrepondeur-orange-fr.infovoicemail-sfr.online- encurtadores de links genéricos que ocultam o destino real
O reflexo útil cabe numa frase: o nome de domínio é o que está escrito imediatamente antes da primeira /. Em orange.fr-messagerie.xyz/ecoute, o domínio não é orange.fr, é fr-messagerie.xyz. Tudo o que vem antes é apenas cenário.
Num ecrã de smartphone, esta leitura é penosa: a barra de endereço é curta, o texto minúsculo e metade do URL fica truncada. É uma das razões pelas quais a fraude móvel funciona melhor do que a fraude por e-mail. Para quem franze os olhos diante do ecrã, um suporte de telemóvel ajustável em altura pousado na secretária muda mesmo o jogo: lê-se um endereço com calma, em vez de o adivinhar de braço estendido.
O que fazer, concretamente, quando este SMS chega
Não fazer nada já é uma ação válida
Se não tem a certeza, ignore a mensagem e ligue normalmente para o seu atendedor. Na quase totalidade das linhas francesas, basta marcar o 888 (Orange), o 123 (SFR), o 660 (Bouygues) ou o 740 (Free) — ou premir longamente a tecla 1. Se houver uma mensagem verdadeira, ela está lá. Se não houver nada, acabou de concluir a sua investigação em oito segundos.
Denuncie para o 33700
Reencaminhe o SMS suspeito para o 33700, plataforma oficial de denúncia de SMS e chamadas fraudulentas gerida pelos operadores sob a égide dos poderes públicos. O serviço responde-lhe a pedir o número do remetente: reencaminhe-o também. É gratuito e é isso que permite encerrar os números emissores.
Pode igualmente apresentar uma denúncia em Cybermalveillance.gouv.fr e, no caso de um site fraudulento, na plataforma Phishing Initiative ou através de internet-signalement.gouv.fr (PHAROS).
Bloqueie e apague
Tanto no iPhone como no Android, o bloqueio de um remetente faz-se com dois toques a partir da conversa. Isso não trava a campanha — os fraudadores mudam de número a cada hora — mas limpa o seu histórico e evita que um familiar menos atento, a quem empreste o aparelho, clique por acidente.
Se já clicou
O clique isolado, sem introdução de dados nem instalação, raramente é dramático. O perigo começa na etapa seguinte. Eis a ordem das operações.
- Corte a rede. Modo avião imediato, o tempo necessário para retomar o controlo. Isso interrompe a exfiltração de dados em curso.
- Verifique a lista de aplicações instaladas. Definições → Aplicações, ordenadas por data de instalação. Qualquer aplicação desconhecida surgida nos minutos seguintes ao clique deve ser desinstalada. No Android, se a aplicação recusar a desinstalação, reinicie em modo de segurança.
- Mude as palavras-passe envolvidas, começando pela área de cliente do operador, o e-mail e o banco — a partir de outro aparelho, não do telemóvel suspeito. Um computador portátil de casa serve perfeitamente.
- Avise o seu banco. Cancele os meios de pagamento se introduziu dados bancários. Recorde-se que o artigo L133-18 do Código Monetário e Financeiro francês impõe o reembolso das operações não autorizadas, salvo negligência grave demonstrada pelo banco.
- Avise os seus contactos. Estes programas propagam-se pela lista de contactos: uma simples mensagem de grupo «não cliquem no que vos enviei» evita uma dezena de vítimas secundárias.
- Apresente queixa em caso de prejuízo financeiro, juntando as capturas de ecrã do SMS e das transações.
Nos casos mais graves — aplicação maliciosa instalada há vários dias, comportamento anormal persistente — a reposição total do telemóvel continua a ser a única garantia. Daí o interesse de ter os dados já a salvo: um disco rígido externo para smartphone ou uma simples cópia de segurança na nuvem ativa transformam uma catástrofe numa tarde desagradável.
Proteger um familiar que recebe muitas destas mensagens
As pessoas mais expostas não são as menos inteligentes, são as mais solicitadas e as mais isoladas perante o ecrã. Um familiar idoso que recebe três notificações por dia acabará estatisticamente por abrir uma.
Algumas alavancas eficazes, por ordem de rendimento:
- Ativar o filtro anti-spam integrado. No iPhone: Definições → Mensagens → Filtrar remetentes desconhecidos. No Android, o Google Messages propõe desde 2025 uma proteção reforçada contra links perigosos que convém verificar se está ativa nas definições de segurança.
- Desativar a instalação de aplicações de fontes desconhecidas no Android. É o trinco que bloqueia 90 % dos cavalos de Troia descritos acima.
- Combinar um reflexo único: «em caso de dúvida, envias-me uma foto da mensagem antes de tocares em seja o que for». Nada de regras complexas, apenas uma.
- Simplificar o equipamento quando fizer sentido. Para uma utilização limitada a chamadas e SMS, um telemóvel sénior com teclas grandes elimina pura e simplesmente a superfície de ataque do navegador web.
- Pôr o saber no papel. Um guia prático de segurança digital deixado na mesa de centro é consultado muito mais vezes do que um link enviado por mensagem, sobretudo por quem já desconfia dos ecrãs.
O que esta burla nos ensina sobre todas as outras
A falsa mensagem de voz não é tecnicamente sofisticada. A sua força está noutro lado: ela insere-se num hábito em vez de o perturbar.
É esta a grande mudança da fraude móvel nos últimos dois ou três anos. As primeiras vagas de smishing gritavam: conta bloqueada, multa por pagar, encomenda retida. Jogavam com o pânico, e o pânico acaba por educar — habituamo-nos, desenvolvemos anticorpos. As campanhas atuais fazem o contrário: sussurram. Uma mensagem de voz, uma atualização de aplicação, uma confirmação de marcação, um reembolso de alguns euros. Nada de alarmante, logo nada a examinar.
Perante isto, a lista de sinais de alerta já não chega. É preciso substituí-la por uma regra de circulação, muito mais fácil de reter e de transmitir:
Nunca se acede a um serviço pelo caminho que uma mensagem nos propõe. Vai-se lá pelo caminho que já conhecemos: o número do atendedor, a aplicação instalada, o endereço escrito à mão, o número do gestor de conta.
Esta regra não exige qualquer competência técnica. Não depende da qualidade da falsificação, da ortografia, do logótipo nem do nome de domínio. Funciona tão bem contra o falso atendedor como contra o falso estafeta, o falso banco ou o falso serviço de finanças. E tem o mérito de caber numa frase que se pode repetir tanto a um adolescente como a um avô.
O próximo SMS a anunciar uma mensagem de voz há de chegar. Talvez amanhã. A resposta certa não será adivinhar se é verdadeiro: será ligar para o seu atendedor, como se fazia antes de alguém ter a ideia de lhe enviar um link.
