«BANCO: tentativa de transferência de 1 249,00 € para um beneficiário desconhecido. Se não reconhece esta operação, não faça nada, um gestor de conta vai ligar-lhe.»
Esta SMS tem uma particularidade temível: não lhe pede nada. Nenhum link para clicar, nenhum formulário para preencher, nenhum código para introduzir. Limita-se a instalar um medo — o de ver o dinheiro desaparecer — e a anunciar uma solução que chega sozinha. Dois minutos depois, o telefone toca. No ecrã aparece o número do seu balcão, aquele que está impresso no verso do seu cartão bancário. E é aí que a vítima baixa todas as defesas.
É o que se chama a burla do falso gestor bancário, ou «fraude do CEO em versão para particulares». Representa hoje uma das burlas mais dispendiosas para as famílias: os montantes subtraídos raramente se contam em dezenas de euros, mas em milhares, por vezes em dezenas de milhares. O Banco de France e o Observatoire de la sécurité des moyens de paiement alertam regularmente para esta «fraude por manipulação», na qual é a própria vítima que executa as operações fraudulentas.
Porque é que esta SMS não parece uma burla
As campanhas clássicas de smishing — a falsa encomenda, a falsa multa, o falso cartão de saúde — assentam todas num link armadilhado. Aprendemos a desconfiar dos links. Os burlões adaptaram-se.
A SMS da burla do falso gestor de conta foi concebida para passar por todos os filtros mentais que construímos:
- Não contém nenhum link: é impossível «clicar por engano».
- Não pede nenhum dado: nada para introduzir, logo, aparentemente, nada a roubar.
- Diz-lhe explicitamente para não fazer nada: o que, paradoxalmente, inspira confiança. Um burlão quereria fazê-lo agir, pensamos nós.
- Aparece muitas vezes no fio de conversa já existente do seu banco, a seguir às mensagens verdadeiras com códigos de validação.
Este último ponto merece explicação. As SMS profissionais utilizam um «remetente alfanumérico»: em vez de um número, lê-se «MeuBanco», «Finanças» ou «Correios». Este campo não é autenticado de ponta a ponta: um fraudador pode preenchê-lo à vontade através de determinados gateways internacionais. Resultado: o telemóvel, que organiza as mensagens por nome de remetente, arruma a mensagem falsa junto das verdadeiras. A mensagem fraudulenta herda assim toda a credibilidade acumulada por meses de mensagens legítimas.
A SMS não é a burla. A SMS é a encenação que torna a chamada credível.
A chamada: trinta minutos de teatro bem ensaiado
A chamada que se segue é o coração do dispositivo. Utiliza o spoofing telefónico: a identificação do número que liga é falsificada para reproduzir o do seu banco. Desde a aplicação da lei Naegelen e do mecanismo de autenticação de números implementado pela Arcep, os operadores franceses filtram uma parte destas chamadas usurpadas — mas subsistem ângulos mortos, nomeadamente através de chamadas encaminhadas por operadores estrangeiros.
Do outro lado da linha, a voz é calma, profissional, quase entediada pela rotina. Nunca lhe pede a palavra-passe. É precisamente isso que a torna credível.
Etapa 1: estabelecer a autoridade
O falso gestor apresenta-se com um nome, um número de identificação, por vezes um serviço («serviço antifraude, plataforma de Nantes»). Enuncia informações que supostamente só ele conheceria: os quatro últimos dígitos do seu cartão, a sua data de nascimento, o nome do seu balcão, por vezes as suas últimas operações. Estes dados provêm de fugas de bases de clientes ou de um phishing anterior.
Etapa 2: inverter o ónus da prova
«Para sua segurança, tenho de verificar que estou mesmo a falar com o titular.» É a si que cabe provar a sua identidade, quando foi ele que ligou. Esta inversão é um clássico da engenharia social: coloca a vítima na posição de quem pede.
Etapa 3: criar a urgência controlada
«Estão três tentativas de pagamento em processamento. Tenho 12 minutos antes que a compensação interbancária as valide definitivamente.» A contagem decrescente impede qualquer verificação, qualquer telefonema a alguém próximo, qualquer distanciamento.
Etapa 4: o pedido decisivo
Assume uma destas formas:
| O que pede o falso gestor de conta | O que acontece na realidade |
|---|---|
| «Valide a notificação na sua aplicação para anular a operação» | Está a validar uma transferência ou a adição de um beneficiário |
| «Diga-me o código de 6 dígitos que acabei de lhe enviar» | Ele valida um pagamento online com o seu cartão |
| «Vamos transferir os seus fundos para uma conta-tampão segura» | Está a transferir as suas poupanças para uma conta-mula |
| «Instale esta aplicação de assistência para eu fazer um diagnóstico» | Ele assume o controlo remoto do seu telemóvel |
| «Um estafeta vai passar para recolher o seu cartão a destruir» | Ele recolhe o cartão, ainda utilizável |
A «conta-tampão», a «conta-caução» ou o «cofre-forte do banco central» não existem. Nenhum banco, nenhuma instituição, nenhuma autoridade dispõe de uma conta de espera para a qual um particular deva transferir as suas economias. É essa a ficção central da burla.
Os sinais que denunciam o falso gestor de conta
Alguns elementos nunca mentem, mesmo quando tudo o resto parece autêntico.
1. Um verdadeiro gestor de conta nunca lhe pede que valide seja o que for durante a chamada. Nem um código recebido por SMS, nem uma notificação na aplicação, nem uma impressão digital. A autenticação forte serve para autorizar uma operação, nunca para a anular. Se lhe pedem para validar a fim de anular, está a ser burlado. É o único critério a reter, se retiver apenas um.
2. Um verdadeiro gestor de conta aceita que lhe ligue de volta. O falso, nunca. Invocará a fila de espera, a linha saturada, a perda do processo, a responsabilidade que recairia sobre si. A resposta certa é invariável: «Vou desligar e ligar para o número que está no verso do meu cartão.»
3. Um verdadeiro gestor de conta não o faz instalar software. As aplicações de controlo remoto são ferramentas legítimas desviadas do seu uso. Um banco nunca lhe pedirá que instale uma.
4. Um verdadeiro gestor de conta não lhe pede que minta. «Se o seu banco lhe ligar, diga que é uma compra de mobiliário»: esta frase, muito frequente nos guiões de fraude por transferência, é uma confissão completa.
5. A pressão temporal é sempre artificial. Uma transferência suspeita pode ser contestada durante treze meses, nos termos da legislação monetária e financeira. Nenhuma operação se joga por doze minutos.
O gesto que deita tudo por terra: desligar e ligar de volta
Existe uma contramedida de uma simplicidade absoluta, e basta para fazer fracassar todo o guião: desligar e depois ligar o próprio para o número oficial.
Desligar não é falta de educação. Também não é «correr um risco»: se a chamada era legítima, o banco voltará a contactá-lo ou encontrará registo do incidente. Em contrapartida, impõe-se uma precaução nas linhas fixas antigas: alguns burlões mantinham-se em linha para simular o sinal de marcação. No telemóvel, esse risco é nulo desde que a chamada seja efectivamente terminada; em caso de dúvida, use outro aparelho ou espere trinta segundos antes de marcar o número.
Para quem ainda usa muito o telefone fixo, sobretudo as pessoas idosas, um telefone fixo com filtragem de chamadas e bloqueio de números desconhecidos elimina grande parte destas solicitações antes mesmo de o telefone tocar. O princípio é o mesmo que para as SMS: menos contactos não solicitados, menos ocasiões de cair na armadilha.
Três números a conhecer, e a guardar antes de precisar deles:
- O número do seu balcão, copiado do verso do seu cartão bancário ou de um extracto em papel — nunca de uma SMS ou de um resultado de motor de busca, onde por vezes aparecem números falsos.
- O 0 892 705 705: serviço interbancário de cancelamento de cartão, disponível 24 horas por dia.
- O 17 119: número nacional dedicado às vítimas de ciberataques e burlas online, gratuito, aberto todos os dias.
O que fazer na hora seguinte a uma operação fraudulenta
O tempo de reacção condiciona directamente as hipóteses de recuperar os fundos. Uma transferência SEPA não é instantaneamente irreversível: um pedido de devolução de fundos (recall) pode por vezes ser desencadeado pelo banco emissor se o dinheiro ainda não tiver sido levantado da conta de destino.
- Cancelar imediatamente o cartão e, se necessário, pedir o bloqueio das transferências a débito.
- Alterar as credenciais do banco online a partir de um aparelho diferente daquele que possa estar comprometido.
- Desinstalar qualquer aplicação instalada durante a chamada e depois verificar as aplicações com permissões alargadas nas definições do telemóvel.
- Redigir uma declaração escrita e datada com hora para o banco: hora da chamada, número apresentado, nome dado pelo interlocutor, montantes, IBAN de destino se aparecer. Envio por carta registada com aviso de recepção. Um simples bloco de notas A5 guardado junto ao telefone permite anotar estes elementos a quente, enquanto a memória ainda está fresca — é muitas vezes o que faz a diferença no processo.
- Apresentar queixa junto das autoridades policiais. A apresentação de queixa não é uma condição legal para o reembolso, mas reforça o processo.
- Denunciar a SMS reencaminhando-a para o serviço de denúncia de mensagens fraudulentas, e a chamada fraudulenta na plataforma de defesa do consumidor.
O que diz a lei sobre o reembolso
É o ponto que a maioria das vítimas desconhece, e que certos bancos se guardam bem de explicar.
A legislação monetária e financeira (artigos L133-18 e seguintes) estabelece um princípio claro: em caso de operação de pagamento não autorizada, o banco deve reembolsar imediatamente, o mais tardar no primeiro dia útil após a comunicação. Só pode recusar se demonstrar uma negligência grave do cliente — e cabe-lhe a ele apresentar essa prova, não ao cliente provar a sua inocência.
Ora, a Cour de cassation proferiu várias decisões favoráveis às vítimas de spoofing. Num acórdão notável de 2024, a secção comercial considerou que o facto de ter comunicado dados de segurança a um interlocutor que se apresentava como gestor de conta, num contexto em que o número apresentado era o do banco, não caracterizava automaticamente uma negligência grave. Por outras palavras: quando a usurpação é tecnicamente credível, a culpa não recai mecanicamente sobre a vítima.
Na prática:
- Se o banco recusar, dirija-se primeiro ao seu serviço de reclamações, por escrito.
- Depois ao provedor bancário da instituição (gratuito, resposta em 90 dias, em princípio).
- Em último recurso, ao tribunal competente em matéria de protecção do consumidor. Associações como a UFC-Que Choisir e a CLCV acompanham regularmente este tipo de processos.
Atenção a uma nuance importante: a protecção é claramente mais sólida para as operações não autorizadas (pagamento efectuado sem o seu conhecimento) do que para as transferências que a própria vítima ordenou sob manipulação. A distinção é técnica, mas é discutível em juízo — tanto mais que a directiva europeia sobre serviços de pagamento, actualmente em revisão, prevê alargar a indemnização aos casos de fraude por usurpação da identidade de uma instituição.
Preparar o terreno antes de ser visado
Esta burla atinge indistintamente, mas resulta melhor quando a pessoa está sozinha, apressada ou pouco familiarizada com os mecanismos bancários. Algumas disposições tomadas a frio mudam radicalmente o desfecho.
Limitar as transferências. A maioria dos bancos permite fixar um limite diário de transferência nas definições da aplicação. Baixar esse limite para um montante realista (500 ou 1 000 €) transforma uma catástrofe num incidente. Aumentá-lo exige um prazo — prazo que é precisamente o inimigo do burlão.
Isolar as poupanças. Uma conta-poupança não associada às transferências imediatas, ou cujos movimentos exijam uma deslocação ao balcão, coloca a salvo o essencial do património.
Combinar uma palavra-passe familiar. Uma frase conhecida apenas de vocês, a pedir sempre que alguém próximo lhe telefone por causa de uma urgência financeira. Vale igualmente contra a burla do falso filho em apuros.
Escrever a regra em papel. Um caderno de notas com índice alfabético pousado junto ao telefone, com os números verdadeiros e a frase «Desligo sempre e ligo eu», ajuda consideravelmente as pessoas que perdem a lucidez sob pressão. É básico, e é eficaz.
Informar-se sem se assustar. Existem excelentes livros de divulgação sobre cibersegurança para particulares, escritos sem jargão, que explicam os mecanismos de manipulação mais do que a técnica. O Cybermalveillance.gouv.fr publica, além disso, fichas de boas práticas gratuitas e imprimíveis, para afixar em casa ou em casa de um familiar idoso.
Proteger o próprio aparelho. Um telemóvel danificado ou fora de serviço no pior momento significa a impossibilidade de cancelar rapidamente o cartão. Uma capa de protecção reforçada e uma bateria externa de emergência não são acessórios de conforto neste contexto: são garantias de poder agir.
Em resumo
A burla do falso gestor bancário não assenta num ataque informático nem numa falha técnica. Assenta num encadeamento: uma SMS que cria a inquietação, uma chamada que traz o alívio, uma autoridade que tranquiliza, uma urgência que impede de reflectir.
Uma única frase desactiva todo o dispositivo, e merece ser repetida em voz alta até se tornar um reflexo:
«Vou desligar e ligar eu próprio para o número que está no verso do meu cartão.»
Nenhum gestor de conta legítimo se ofenderá. Nenhum burlão lhe sobreviverá.
