Primeira semana de setembro. Preencheu catorze formulários em três dias, assinalou uma caixa para a fotografia de turma, pagou a quota da associação de pais e criou uma conta num portal das famílias cuja palavra-passe já esqueceu. O telemóvel vibra: «Serviço de cantina — saldo negativo detetado na conta do seu filho. Regularize até 08/09 para manter o acesso ao refeitório escolar: [link]».
Não lhe parece absurdo. De facto, pagou alguma coisa na semana passada, sem ter a certeza de que era mesmo a cantina. Já não sabe se o débito direto foi renovado. E a ideia de o seu filho ficar sem almoço na quinta-feira é suficiente para fazer pender a balança.
O smishing escolar não assenta em nenhuma proeza técnica. Assenta em algo bem mais banal: em setembro, os pais perderam o fio às suas próprias diligências.
Porque é que o regresso às aulas é uma janela de tiro ideal
As campanhas de burla por SMS seguem o calendário. As falsas encomendas explodem em novembro-dezembro, as falsas multas depois dos fins de semana prolongados, os falsos reembolsos de impostos no verão. Setembro pertence à escola — e o terreno é particularmente favorável por três razões.
O volume de mensagens legítimas é anormalmente elevado. Entre a aplicação da vida escolar, o portal das famílias da câmara municipal, a associação de pais, o clube desportivo e o transporte escolar, uma família pode receber uma dezena de comunicações oficiais em quinze dias. Uma mensagem fraudulenta introduzida neste fluxo não destoa.
Os circuitos de pagamento estão fragmentados. Consoante o município, a cantina paga-se num portal municipal, através de um prestador privado, por débito direto, por cartão ou numa tesouraria. Nenhum pai sabe de cor o nome do prestador da sua cidade. Esse desconhecimento normal é exatamente o que o burlão explora: nem sequer precisa de imitar a entidade certa, já que a vítima não sabe qual esperar.
O que está em jogo é uma criança. É a verdadeira diferença face a um SMS bancário falso. Podemos adiar para amanhã a verificação de uma conta. Não adiamos para amanhã algo que possa privar o nosso filho de uma refeição, impedi-lo de ir a uma visita de estudo ou excluí-lo de uma atividade. A alavanca não é o medo de perder dinheiro, é o medo de ser um mau pai ou uma má mãe.
Os cenários mais frequentes este ano
As formulações mudam, a mecânica mantém-se. Eis as variantes que mais aparecem nas denúncias do regresso às aulas.
| Pretexto | Mensagem tipo | O que lhe pedem realmente |
|---|---|---|
| Dívida na cantina | «Saldo negativo, regularize em 48 h» | Dados do cartão bancário num portal falso |
| Material escolar ou manuais | «Encomenda de manuais incompleta, valor em falta» | Pequeno pagamento + dados bancários |
| Visita de estudo / viagem | «Sinal da viagem não registado» | Transferência para um IBAN fraudulento |
| Seguro escolar | «Falta o comprovativo obrigatório, subscreva aqui» | Subscrição falsa + identidade completa |
| Transporte escolar | «Passe de autocarro não validado, reative o seu cartão» | Credenciais do portal regional |
| Fotografia de turma | «A sua encomenda de fotografias expira» | Pagamento num site clonado |
| Conta do portal da escola | «O seu acesso será desativado, volte a autenticar-se» | Credenciais reutilizáveis noutros serviços |
Duas tendências merecem atenção especial.
A primeira é a burla do apoio financeiro. Algumas mensagens anunciam um remanescente do abono de família para o regresso às aulas, um «subsídio de cantina» ou um apoio distrital por levantar. O princípio é o mesmo dos falsos reembolsos da segurança social ou dos serviços de saúde: promete-se dinheiro para obter um IBAN e um documento de identificação, que servirão depois para abrir um crédito ou desviar pagamentos verdadeiros. Convém dizê-lo com clareza: os apoios ao regresso às aulas são pagos automaticamente pelos organismos competentes às famílias elegíveis, sem qualquer diligência por SMS e sem links para clicar.
A segunda é a mensagem de emergência supostamente enviada pelo estabelecimento: «incidente na escola, consulte a nota às famílias», com um link. Este pretexto não pede dinheiro. Visa a instalação de uma aplicação ou a recolha de credenciais, apoiando-se numa emoção que curto-circuita qualquer raciocínio. Nenhuma escola comunica um alerta de segurança através de um link externo enviado de um número de telemóvel desconhecido.
O que torna estas mensagens credíveis
O nome do remetente não prova nada
Muitos destes SMS surgem com um nome de remetente em texto — «ESCOLA», «CANTINA», «CÂMARA» — em vez de um número. Esta usurpação de cabeçalho, ou spoofing, é tecnicamente trivial através de certos gateways internacionais. Pior: quando o nome apresentado coincide com um remetente já presente no seu histórico, a mensagem falsa pode inserir-se na mesma conversa dos SMS verdadeiros da escola, logo por baixo da mensagem legítima recebida na semana anterior.
É este o ponto que mais espanta os pais. O fio da conversa não é prova de autenticidade: o seu telemóvel agrupa as mensagens por nome apresentado, não por identidade verificada.
As informações pessoais também não provam nada
Algumas mensagens citam o nome próprio da criança, o município, por vezes o nome da escola. Parece impossível sem acesso aos ficheiros do estabelecimento — e, no entanto, estes dados circulam: fugas de dados de prestadores de atividades extracurriculares, listas de distribuição de associações, inscrições em atividades, redes sociais onde os pais publicam fotografias e nomes de escolas a cada regresso às aulas. Um nome conhecido não é uma assinatura.
A regra que se mantém sempre válida: uma informação exata dentro de uma mensagem não valida a mensagem. Valida apenas que o remetente teve acesso a essa informação, de uma forma ou de outra.
O montante é deliberadamente irrisório
12,40 €. 6,90 €. 23 €. Os valores exigidos são calibrados para não despertar desconfiança: pequenos demais para justificar um telefonema à câmara, plausíveis o suficiente para corresponderem a algumas refeições. O objetivo quase nunca é esse pagamento. O objetivo é a introdução do número do seu cartão, da data de validade e do código de segurança numa página clonada — dados que serão depois usados em operações muito mais pesadas, com validação desviada por um falso gestor de conta que lhe telefonará dias mais tarde.
A verificação em trinta segundos
Não precisa de ser especialista. Precisa de um único hábito: nunca usar o caminho proposto pela mensagem.
- Não clique no link. Nem sequer para «só espreitar». Algumas páginas tentam um descarregamento automático em Android.
- Abra você mesmo o portal habitual. Através da aplicação já instalada, do favorito guardado, ou escrevendo o endereço da câmara municipal. Se existir mesmo uma dívida, aparecerá aí.
- Telefone à secretaria da escola ou ao serviço de educação da câmara para o número que consta de um documento em papel recebido no início do ano, nunca para o número indicado no SMS.
- Observe o domínio do link sem o abrir, com uma pressão longa que mostra o URL. Os endereços oficiais terminam com
.gov.pt, o.ptdo município, ou o nome do prestador conhecido — nunca com sufixos exóticos ou nomes de domínio intermináveis. - Pergunte a outro pai ou mãe. Uma mensagem aos pais representantes da turma basta muitas vezes para saber em trinta segundos se toda a turma recebeu o mesmo SMS.
Este último ponto é subestimado. As campanhas de smishing escolar são massivas: se o seu vizinho de andar recebeu a mesma mensagem apesar de o filho andar noutra escola, a dúvida desfaz-se instantaneamente.
O fator agravante: o telemóvel da criança
Setembro é também o mês em que muitas crianças recebem o primeiro aparelho. Ora, as mensagens fraudulentas não se ficam pelos pais: os adolescentes recebem as suas próprias versões — códigos de jogo falsos, falsas ofertas de tarifários, falsos prémios de concursos — e são estatisticamente mais rápidos a clicar.
Três precauções valem mais do que um longo discurso:
- Configure a filtragem de remetentes desconhecidos na aplicação de Mensagens (tanto o Android como o iOS oferecem uma triagem automática das mensagens de remetentes não guardados).
- Desative a instalação de aplicações fora da loja oficial nos aparelhos Android.
- Preveja um suporte físico para as palavras-passe: um caderno de palavras-passe guardado em casa continua a ser, para muitas famílias, mais seguro do que um ficheiro «códigos.txt» nas notas do telemóvel.
E se o aparelho se destina a um uso muito controlado, um telemóvel simples com teclas grandes, sem navegador nem instalação de aplicações, reduz mecanicamente a superfície de ataque — a mensagem armadilhada pode chegar, mas não leva a lado nenhum. É também a solução que muitas famílias adotam para um avô ou avó que recebe estas mesmas mensagens sem ter as referências para as filtrar.
Proteger o aparelho que recebe estas mensagens
Um smartphone que serve de porta de entrada única para a vida administrativa da família merece algumas precauções materiais elementares, muitas vezes negligenciadas.
Mantenha o sistema atualizado. A maioria das páginas de phishing explora a credulidade, não falhas técnicas — mas as que tentam instalar software espião visam versões antigas sem correções.
Proteja o ecrã e a estrutura. Um telemóvel com o ecrã partido acaba por ser substituído à pressa, muitas vezes recuperando cópias de segurança à pressa e reinstalando aplicações ao acaso: é aí que se infiltram os erros de segurança. Uma película de proteção em vidro temperado e uma capa antichoque nada têm de glamorosas, mas evitam esse género de transição precipitada.
Vigie a autonomia. Um aparelho que se desliga no pior momento priva-o do acesso às aplicações bancárias e à autenticação em duas etapas, precisamente quando precisaria de verificar algo. Um powerbank compacto na mochila resolve o problema durante o dia de aulas.
Se clicou, ou pagou
O pior reflexo é o silêncio por vergonha. Estas mensagens são concebidas por profissionais para enganar pessoas atentas; cair na armadilha não é uma falha de inteligência.
Na primeira hora:
- Contacte o seu banco para cancelar o cartão utilizado e comunicar a operação.
- Altere a palavra-passe do portal em causa e de qualquer outro serviço onde usasse a mesma.
- Não atenda nenhuma chamada de quem se apresente como o seu banco: o falso gestor de conta aparece quase sempre depois da introdução dos dados.
Nos dias seguintes:
- Denuncie a mensagem junto do operador e das autoridades competentes (em Portugal, a Linha Internet Segura e as forças de segurança recebem estas comunicações; em França, a plataforma oficial de denúncia de SMS fraudulentos é o 33700, para onde se reencaminha o SMS, indicando depois o número do remetente quando solicitado).
- Apresente queixa, online ou numa esquadra. O comprovativo é frequentemente exigido pelo banco.
- Consulte os serviços públicos de apoio a vítimas de cibercrime, que propõem um diagnóstico guiado e orientam para as diligências adequadas, bem como as linhas gratuitas de informação sobre burlas.
- Avise a escola: pode alertar as outras famílias, o que trava a campanha muito mais eficazmente do que uma denúncia isolada.
A legislação sobre serviços de pagamento prevê o reembolso das operações não autorizadas, salvo negligência grave do cliente. Comunicar voluntariamente os seus códigos num site fraudulento é muitas vezes qualificado de negligência pelos bancos, mas a jurisprudência tem evoluído a favor das vítimas de spoofing convincente. Insista e não hesite em recorrer ao provedor do cliente ou ao mediador bancário em caso de recusa.
O reflexo a instalar de uma vez por todas
O regresso às aulas passará e os pretextos mudarão: o Halloween, as prendas de Natal, as inscrições de janeiro, as viagens escolares da primavera. O que não mudará é a estrutura da armadilha.
Uma entidade real + um prazo curto + um montante pequeno + um link. Assim que estes quatro elementos coabitam na mesma mensagem, considere-a falsa até prova em contrário — e vá procurar a prova noutro sítio que não a própria mensagem.
Explique-o aos seus filhos, aos seus pais, às outras famílias da turma. Um livro de divulgação sobre cibersegurança familiar pode ajudar a lançar as bases com os adolescentes, mas o essencial cabe numa frase que toda a gente consegue reter: nunca se verifica uma mensagem com a própria mensagem.
E se precisar de avisar rapidamente outros pais de que está a circular uma campanha, um simples SMS enviado a partir de um serviço online, sem instalar seja o que for, cumpre perfeitamente a função. A melhor defesa coletiva contra uma campanha de smishing continua a ser a velocidade a que a informação circula entre vizinhos.
