Início de setembro. As crianças voltaram à escola, o contrato do seguro de saúde complementar da empresa mudou de seguradora no dia 1 do mês e tem três receitas para renovar antes do fim da semana. O telemóvel vibra: «Assurance Maladie: o seu cartão Vitale está a expirar. Encomende o seu novo cartão antes de 15/09 para evitar a suspensão dos seus reembolsos: [link]».
Não tem qualquer motivo para achar isto estranho. Sabe que algo está a mudar na sua cobertura de saúde, apenas não sabe exatamente o quê. É precisamente essa zona cinzenta que os burlões exploram.
A fraude do falso SMS de saúde não é nova, mas tem uma sazonalidade temível: dispara em setembro e em janeiro, os dois momentos em que os franceses recebem efetivamente cartas do seu plano de saúde, do seu empregador ou da sua caixa de segurança social. A mensagem falsa não se insinua no silêncio: insinua-se no ruído.
Porque é que a saúde é um terreno de caça ideal
A maioria das campanhas de smishing assenta em três pilares: um organismo que toda a gente conhece, uma quantia de dinheiro modesta e uma consequência desagradável em caso de inação. O setor da saúde cumpre os três com uma facilidade incómoda.
Toda a gente está abrangida. Ao contrário de um falso SMS bancário — que falha o alvo nove em cada dez vezes porque não é cliente do banco citado —, uma mensagem que evoca a Assurance Maladie atinge 100 % dos destinatários. Os burlões nem sequer precisam de conhecer o seu perfil.
O vocabulário administrativo é opaco. Cartão Vitale, terceiro pagador, teletransmissão, seguro de saúde obrigatório, taxa fixa de participação, ALD… Poucas pessoas dominam realmente estes mecanismos. Perante uma mensagem que utiliza estas palavras corretamente, o reflexo natural não é a dúvida, mas a deferência.
A consequência mete medo sem ser dramática. «Os seus reembolsos serão suspensos» não é uma ameaça de penhora. É apenas suficientemente incómodo para se resolver o problema de imediato, e não suficientemente grave para se telefonar ao cônjuge ou ao contabilista antes de clicar.
Acrescente-se a isto que a Assurance Maladie, através do Ameli, envia SMS verdadeiros — nomeadamente para consultas de rastreio, lembretes de vacinação ou a disponibilização de um documento. O utente não dispõe, portanto, de uma regra simples do tipo «o Ameli nunca envia SMS». A fronteira é difusa, e o difuso beneficia sempre o atacante.
Os quatro cenários com que se vai deparar este ano
1. O «novo cartão Vitale» a encomendar
É o cenário dominante desde o anúncio da implementação do cartão Vitale desmaterializado na aplicação carte Vitale. A mensagem anuncia a expiração do seu cartão físico, ou a obrigação de «migrar» para a versão digital, e propõe-lhe um formulário.
O que o formulário reclama, por ordem: apelido, nome próprio, data de nascimento, número de segurança social, morada e depois — ao fim de três ecrãs, quando já está comprometido — um pagamento de «despesas de processo» de 1,50 € a 4,90 €. A quantia é irrisória, e é aí que está todo o interesse: serve unicamente para capturar o número do seu cartão bancário, a data de validade e o código de segurança.
A reter: o cartão Vitale não tem qualquer data de validade e o seu fabrico é inteiramente gratuito. Qualquer pedido de pagamento relacionado com um cartão Vitale é, por construção, uma fraude.
2. O falso reembolso do plano de saúde
«O seu seguro de saúde complementar: está pendente um reembolso de 47,82 €. Indique o seu IBAN para o receber.» O montante com duas casas decimais é um detalhe de encenação notavelmente eficaz: dá a impressão de um cálculo real, resultante de uma contagem verdadeira.
Aqui, o burlão não pede dinheiro — promete-o. Esta inversão desativa boa parte da vigilância. O IBAN recolhido serve depois para débitos fraudulentos, para alimentar processos de usurpação de identidade ou para ser revendido.
3. A «atualização do terceiro pagador»
Variante mais técnica, muitas vezes enviada no início do ano letivo, quando os contratos coletivos mudam. O SMS convida-o a «reativar a teletransmissão entre o seu plano de saúde e a sua caixa». O site de destino imita uma área de aderente e pede as suas credenciais de acesso à área do plano de saúde.
Estas credenciais têm um valor particular: uma área de aderente contém o seu histórico de cuidados, os seus beneficiários, o seu IBAN e, por vezes, os dados do seu empregador. É um dossiê de identidade completo, muito mais rico do que um simples número de cartão bancário.
4. O falso rastreio ou a falsa convocatória
Mais raro, mas em progressão: um SMS a anunciar um rastreio organizado (cancro colorretal, cancro da mama) com um link para «confirmar a sua participação». Explora o facto de a Santé publique France e a Assurance Maladie conduzirem efetivamente campanhas deste tipo. A finalidade é idêntica: recolha de dados pessoais de saúde, revendidos ou utilizados para fraudes posteriores dirigidas.
Como detetar a falsificação em dez segundos
Existem alguns marcadores fiáveis, desde que se saiba onde olhar. O primeiro reflexo nunca é ler o texto: é ver para onde leva o link.
| O que vê | O que isso significa |
|---|---|
| Um link encurtado (bit.ly, tinyurl, cutt.ly) | Um organismo público nunca usa encurtadores |
Um domínio do tipo ameli-remboursement.info | O domínio verdadeiro é ameli.fr, ponto final |
.ameli.fr.securite-xyz.com | O verdadeiro nome de domínio é o que antecede o último ponto: aqui, securite-xyz.com |
| Um remetente com número 06 ou 07 | Os organismos oficiais usam um nome de remetente ou um número curto |
| Um pedido de pagamento, mesmo de 1 € | Nenhum ato administrativo de saúde se paga por SMS |
O terceiro ponto da tabela é o mais importante e o menos conhecido. Os burlões constroem endereços que contêm o verdadeiro nome do organismo para enganar o olhar. A regra mecânica: leia o nome de domínio da direita para a esquerda, a partir do .fr ou do .com. O que estiver imediatamente antes é o verdadeiro proprietário do site.
Num ecrã pequeno, esta leitura é penosa, e isso é intencional. Muitos utilizadores que recebem diariamente mensagens administrativas acabam por consultar essa correspondência a partir de um tablet de ecrã grande, onde o endereço completo permanece legível sem apertar os olhos — um detalhe trivial que evita boa parte dos erros por distração.
A armadilha específica dos idosos e dos cuidadores
As pessoas idosas acumulam três fatores de vulnerabilidade neste tema preciso: fazem realmente um uso intensivo do sistema de saúde, recebem efetivamente muitas cartas da sua caixa e do seu plano de saúde, e foram educadas para responder às administrações.
O problema não é a ingenuidade. Um reformado que recebe três extratos de reembolso por mês não tem qualquer razão estrutural para considerar uma quarta mensagem suspeita. Aplica uma rotina legítima a uma mensagem ilegítima.
Alguns ajustes concretos para um familiar idoso:
- Estabelecer uma regra única e absoluta: «não se clica em nenhum link recebido por SMS, nunca, seja qual for o remetente». Uma regra sem exceções é infinitamente mais eficaz do que uma lista de critérios a avaliar.
- Instalar em conjunto a aplicação carte Vitale ou a app Ameli oficial, a partir da loja de aplicações, e explicar que tudo passa a partir dali.
- Escrever o número da sua caixa num suporte físico, ao lado do telefone. Um caderno de notas com carateres grandes pousado junto ao aparelho resolve metade das situações: em vez de clicar, a pessoa telefona.
- Verificar a legibilidade do equipamento. Muitos erros de leitura vêm de um ecrã demasiado escuro ou de uma apresentação demasiado pequena. Um par de óculos de leitura com lupa pousado ao lado do telefone é por vezes mais útil do que um antivírus.
- Combinar uma «segunda opinião» sistemática: qualquer mensagem que fale de dinheiro ou de saúde dá origem a um telefonema ao cuidador antes de qualquer ação. Sem censura, sem julgamento, como um reflexo partilhado.
O objetivo não é transformar um familiar num especialista em cibersegurança. É reduzir o número de decisões que ele tem de tomar sozinho, com urgência, num ecrã de seis polegadas.
Quanto valem realmente estes dados
Subestima-se enormemente o valor de um número de segurança social. Ao contrário de uma palavra-passe, não se muda. Ao contrário de um cartão bancário, não se cancela. Acompanha-o para toda a vida e codifica o seu sexo, o seu ano e mês de nascimento e o seu departamento de nascimento.
Associado ao seu nome, à sua morada e à sua data de nascimento, permite:
- abrir processos junto de organismos que verificam mal a identidade;
- dar credibilidade a um ataque posterior — um burlão que lhe telefona citando o seu número de segurança social torna-se instantaneamente «oficial» aos seus olhos;
- alimentar campanhas de fraude muito mais dirigidas, em que a mensagem já não diz «caro cliente», mas o seu nome, a sua cidade e a sua caixa de inscrição.
É o ponto cego de muitas vítimas: «não perderam nada» porque nenhum pagamento foi debitado. Na realidade, entregaram a matéria-prima da fraude seguinte, aquela que chegará dentro de três ou seis meses e que, essa sim, será perfeitamente credível.
Os canais certos, de uma vez por todas
A melhor defesa contra uma mensagem falsa não é detetá-la melhor: é conhecer o caminho verdadeiro de cor, para nunca mais precisar de avaliar um SMS.
Para tudo o que diz respeito à Assurance Maladie, um único ponto de entrada: o site ameli.fr ou a aplicação Ameli, abertos a partir dos seus favoritos ou da loja de aplicações do seu telemóvel. Nunca a partir de um link recebido. O 36 46 permite contactar um consultor para esclarecer uma dúvida.
Para o seu seguro de saúde complementar, o número consta do seu cartão de terceiro pagador, aquele que está na sua carteira. É a única fonte de informação que ninguém pode falsificar à distância.
Quanto ao cartão Vitale, retenha três factos que bastam para afastar 100 % das fraudes do género:
- Não expira.
- É gratuito.
- Encomenda-se a partir da sua conta Ameli ou na farmácia, não através de um link.
Para denunciar, reencaminhe o SMS para o 33700, serviço oficial operado pelos operadores franceses em articulação com as autoridades. Receberá uma resposta automática a pedir o número do remetente: transmita-o. A denúncia é gratuita e alimenta as listas de bloqueio. O Cybermalveillance.gouv.fr propõe, além disso, um percurso de assistência caso já tenha transmitido informações.
Se já preencheu o formulário
Sem pânico, mas com método, por esta ordem.
Se forneceu os seus dados bancários: telefone imediatamente ao seu banco para cancelar o cartão, ou utilize a função de bloqueio de cartão na sua aplicação bancária — muitas vezes é mais rápido do que uma chamada. Vigie depois os microdébitos de alguns cêntimos, frequentemente testes que antecedem uma operação mais pesada.
Se forneceu as credenciais do plano de saúde ou do Ameli: mude a palavra-passe a partir do site oficial e mude-a em todos os sítios onde a tenha reutilizado. Se não faz ideia da lista, é o momento de adotar um gestor de palavras-passe, ou, no mínimo, um caderno de códigos confidenciais guardado numa gaveta — uma solução antiquada, mas infinitamente superior a três palavras-passe idênticas.
Se apenas forneceu os seus dados de identidade: nada a «reparar» tecnicamente, mas tenha isso em conta nos meses seguintes. Considere suspeita qualquer chamada ou mensagem que o cite com precisão e lhe peça uma ação. Um burlão bem informado não é um interlocutor legítimo.
Em todos os casos: apresente queixa, online ou na esquadra. Mesmo que o processo não avance individualmente, alimenta as estatísticas que desencadeiam as investigações agrupadas. E será exigido pelo seu banco para qualquer reembolso.
O verdadeiro reflexo, aquele que não custa nada
Resume-se a uma frase: nunca se trata um assunto de saúde a partir de um SMS.
Não é uma questão de vigilância nem de competência técnica. É uma questão de canal. Uma mensagem recebida no seu telemóvel não é uma fonte de informação, é uma notificação — na melhor das hipóteses, um lembrete para verificar noutro sítio. No dia em que esse reflexo estiver enraizado, a qualidade da mensagem falsa deixa de ter qualquer importância: seja grosseira ou perfeitamente imitada, acaba no mesmo sítio, reencaminhada para o 33700 e depois apagada.
O resto — os erros ortográficos, os logótipos, as construções estranhas — são indícios úteis, mas são indícios que os burlões corrigem todos os anos. O canal, esse, não vai mudar.
