«Colissimo — A sua encomenda não pôde ser entregue.» A mensagem aparece, mas há algo diferente. Ao lado do nome do remetente, um pequeno logótipo redondo com as cores da empresa. Por baixo, uma etiqueta azul: «Verificado». E três botões propostos: «Seguir a minha encomenda», «Reagendar», «Contactar o apoio ao cliente».
Já não é um SMS. É uma mensagem RCS — e assemelha-se muito mais a uma conversa do WhatsApp do que ao texto simples de 160 caracteres que conhecemos há trinta anos. Desde que a Apple integrou o padrão no iOS no final de 2024 e a Google o generalizou no Android, a aplicação de mensagens nativa do seu telemóvel mudou discretamente de natureza. A maioria dos utilizadores nunca deu por isso.
Esta mudança é uma boa notícia para a segurança. Mas cria também uma situação perigosa: um público que aprende a confiar em pequenos logótipos e em selos de «verificado» sem saber o que estes garantem realmente — nem, sobretudo, o que não garantem.
RCS: de que estamos exatamente a falar?
A sigla significa Rich Communication Services, «serviços de comunicação enriquecidos». É um padrão promovido pela GSMA, a associação mundial dos operadores móveis, pensado desde 2008 para substituir o SMS e o MMS, tecnicamente arcaicos face às aplicações de mensagens pela internet.
Na prática, o RCS traz quatro coisas que o SMS nunca conseguiu fazer:
- Mensagens sem limite de tamanho, com fotografias, vídeos e ficheiros em resolução total;
- As confirmações de leitura e o indicador «a escrever», como nas aplicações de mensagens;
- A passagem pela internet (Wi-Fi ou dados móveis) em vez do canal de sinalização da rede telefónica;
- Remetentes profissionais identificados, com logótipo, nome completo, cor de marca e selo de verificação.
É este último ponto que aqui nos interessa. No ecossistema RCS, uma empresa que queira enviar-lhe mensagens já não pode limitar-se a pagar um gateway e escrever «SFR» ou «CPAM» no campo do remetente. Tem de passar por um processo de registo: verificação da identidade jurídica, validação do logótipo, controlo pelo operador ou pela Google. É a componente chamada RCS Business Messaging.
No papel, isto resolve o problema histórico do SMS: a ausência total de autenticação do remetente.
O pecado original do SMS, e porque é que o RCS o corrige
É preciso perceber até que ponto o SMS é um protocolo ingénuo. Criado no final dos anos 1980 para uso entre assinantes de uma mesma rede, nunca previu qualquer mecanismo de verificação do emissor. Quando uma empresa envia uma mensagem, preenche um campo de texto livre chamado sender ID. Esse campo não é verificado por ninguém na cadeia técnica.
É exatamente isso que torna possível o spoofing: a usurpação do nome do remetente. Um burlão que escreva «AMELI» nesse campo verá a sua mensagem aterrar no fio de conversa já existente da Assurance Maladie no seu telemóvel, mesmo por baixo das mensagens verdadeiras. O Cybermalveillance.gouv.fr, o dispositivo nacional francês de assistência às vítimas de atos de cibermalevolência, documenta este mecanismo há anos nas suas fichas sobre smishing.
Perante isto, a França criou em outubro de 2023 o registo de nomes de remetentes de SMS, operado pela Association Française du Multimédia Mobile (AF2M) sob a tutela da Arcep. Qualquer empresa que queira usar um nome alfanumérico tem agora de o declarar, e os operadores bloqueiam os envios cujo remetente não esteja registado. É um verdadeiro progresso, mas continua a ser nacional: os envios que transitam por gateways estrangeiros ou por falsas antenas de rede (os famosos SMS Blasters) contornam em parte o dispositivo.
O RCS vai mais longe, porque a verificação não é declarativa, mas criptográfica e visual: o logótipo e o selo são enviados pela plataforma, não por quem emite a mensagem. Um burlão não os pode fabricar no texto da sua mensagem.
O que o selo «verificado» garante — e o que não garante
É o cerne da questão e a fonte da maioria dos mal-entendidos.
O que o selo garante:
A entidade que lhe escreve forneceu documentos de identidade da empresa e foi validada pela plataforma. O logótipo apresentado pertence-lhe. A mensagem não foi fabricada por um terceiro a fazer-se passar por ela.
O que o selo não garante de todo:
- Que o conteúdo da mensagem é honesto. Uma sociedade comercial realmente registada pode perfeitamente enviar-lhe uma oferta enganosa, uma subscrição armadilhada ou uma solicitação agressiva. A verificação incide sobre a identidade, não sobre a intenção.
- Que a ligação contida na mensagem é segura. Nada impede que uma mensagem legítima aponte para uma página comprometida.
- Que todas as mensagens não verificadas são fraudulentas. Muitas pequenas estruturas, associações, consultórios médicos ou oficinas continuam a enviar simples SMS. A ausência de selo não é um sinal de fraude.
Esta nuance é essencial de transmitir, sobretudo aos públicos mais expostos. Passámos dez anos a ensinar aos idosos que «o cadeado verde no navegador não quer dizer que o site é honesto». O selo RCS está a tornar-se o novo cadeado verde: um indício útil, transformado em prova absoluta por quem não sabe o que ele mede.
As novas superfícies de ataque abertas pelo RCS
Passar do texto simples para uma mensagem enriquecida desloca mecanicamente o terreno de jogo. Três evoluções merecem atenção.
1. A mensagem que já não parece uma mensagem
Um SMS fraudulento identificava-se pela sua fealdade: erros ortográficos, URL estranho em texto visível, ausência de qualquer formatação. Uma mensagem RCS pode mostrar um carrossel de imagens, botões de ação, um mapa interativo, uma cor de marca. O erro de ortografia continua lá, mas está diluído numa interface cuidada que inspira confiança.
O reflexo «vejo a ligação antes de clicar» torna-se, aliás, mais difícil: num botão de ação, o URL de destino simplesmente não é visível. Carrega em «Seguir a minha encomenda» sem nunca ver para onde isso o leva.
2. O regresso do ficheiro anexado
O SMS transportava apenas uma ligação. O RCS transporta ficheiros, até várias centenas de megabytes. Reencontra-se assim nas mensagens do telemóvel um vetor que se julgava reservado ao correio eletrónico: o anexo armadilhado. No Android, um ficheiro APK enviado numa conversa e apresentado como «a aplicação de acompanhamento do seu processo» continua a ser um dos principais modos de instalação de software espião bancário, como documentam regularmente as equipas da ANSSI e as empresas de segurança móvel.
3. A dependência da internet
O RCS passa pelos dados. Uma mensagem enviada quando está numa zona sem cobertura ou sem plafond de dados passa automaticamente para SMS clássico — logo, sem selo, sem logótipo, sem encriptação. Esta comutação silenciosa cria uma incoerência visual que os burlões podem explorar: «a sua mensagem chegou em modo degradado, clique para a consultar». Manter o telemóvel carregado e ligado tem aqui uma verdadeira função de segurança, o que explica o sucesso das baterias externas de bolso entre os grandes utilizadores de telemóvel.
E a encriptação, nisto tudo?
É o tema pior compreendido. O SMS não é encriptado ponta a ponta: circula em claro na infraestrutura do operador, que tecnicamente o pode ler, e fica algum tempo armazenado nos seus servidores. É aliás por essa razão que os especialistas desaconselham há muito receber os códigos de autenticação bancária por SMS.
O RCS herdou durante muito tempo esta fragilidade. A Google acrescentou a encriptação ponta a ponta na sua própria aplicação Messages, mas apenas entre dois utilizadores dessa aplicação. Desde a publicação do perfil RCS Universal Profile 3.0 pela GSMA em 2025, a encriptação ponta a ponta está prevista ao nível do próprio padrão, incluindo entre Android e iPhone. A sua implementação efetiva depende das atualizações dos sistemas operativos e das aplicações.
Retenhamos duas coisas:
| SMS clássico | RCS (perfil recente) | |
|---|---|---|
| Remetente autenticado | Não (registo AF2M em França) | Sim para profissionais verificados |
| Encriptação ponta a ponta | Não | Sim, consoante as versões |
| Transporte | Rede do operador | Internet |
| Anexos | Não | Sim |
| Legível sem rede de dados | Sim | Não |
A encriptação protege as suas trocas privadas da interceção. Não protege rigorosamente nada contra a burla: um burlão que lhe escreve diretamente escreve-lhe num canal encriptado, o que não torna a sua mentira mais segura. Confundir confidencialidade com fiabilidade é o erro de raciocínio mais frequente neste tema.
Os reflexos a atualizar em 2026
A chegada do RCS não torna obsoleto nenhum dos reflexos existentes. Acrescenta alguns.
1. Verificar o canal, não a mensagem. A regra de ouro mantém-se: nenhuma administração, nenhum banco, nenhuma transportadora lhe pedirá para introduzir as suas credenciais ou os seus dados bancários a partir de uma mensagem recebida. Seja qual for o logótipo apresentado, fecha-se e vai-se pelos próprios meios ao site oficial ou à aplicação.
2. Premir longamente em vez de tocar. Na maioria das aplicações de mensagens, uma pressão longa sobre um botão de ação ou uma ligação mostra o endereço de destino sem o abrir. Ganhe este hábito: é a única forma de ver para onde leva um botão RCS.
3. Desconfiar de qualquer ficheiro recebido numa conversa. Nenhum serviço público, nenhum banco distribui a sua aplicação de outra forma que não pela App Store ou pela Play Store. Um ficheiro de instalação recebido por mensagem é fraudulento, sem exceção.
4. Olhar para a coerência, não para a estética. Uma mensagem profissional verificada que o trate por tu, que o ameace com um prazo de 24 horas ou que lhe peça uma «regularização de 1,99 €» é suspeita, seja qual for a sua apresentação. A urgência e o micropagamento são os dois marcadores mais constantes da burla.
5. Ter o 33700 à mão. O serviço nacional francês de denúncia de SMS e chamadas fraudulentas, operado pelos operadores sob a tutela dos poderes públicos, aceita o reencaminhamento de mensagens indesejadas. Em paralelo, a plataforma Pharos e o site cybermalveillance.gouv.fr continuam a ser os pontos de entrada para os casos mais graves.
6. Fazer limpeza nas aplicações de mensagens. Muitos telemóveis Android alojam duas aplicações capazes de receber mensagens, o que multiplica os pontos de entrada e baralha as referências. Manter apenas uma, atualizada, simplifica consideravelmente a vigilância.
O caso particular dos idosos e dos utilizadores pouco à vontade
Cada evolução de interface produz um efeito secundário: reinicia as referências de quem levou anos a construí-las. Uma pessoa de 80 anos que finalmente tinha percebido que «uma mensagem verdadeira do meu banco nunca contém uma ligação» vê-se agora perante balões coloridos, botões, logótipos e miniaturas.
Algumas medidas simples reduzem o risco:
- Desativar o RCS nas definições da aplicação Mensagens se o utilizador não lhe der qualquer uso. O telemóvel volta ao SMS clássico, mais pobre mas mais legível.
- Bloquear a instalação de aplicações de fontes desconhecidas, opção presente nas definições de segurança do Android, que neutraliza a maior parte dos ataques por anexo.
- Para utilizações realmente limitadas, considerar um telemóvel para seniores com teclas grandes, cuja função de mensagens permanece voluntariamente básica: menos funções significa também menos superfície de ataque.
- Anotar num caderno de palavras-passe em papel guardado em casa as credenciais importantes, em vez de as armazenar em notas do telemóvel ou de ter de as pedir de novo com urgência — um momento que os burlões exploram.
- Instalar um suporte de telemóvel de secretária junto ao posto de trabalho doméstico, para que a pessoa ganhe o hábito de ler as mensagens com calma, sentada, em vez de o fazer na rua, a andar. A precipitação é o principal fator de clique.
O que há a reter
O RCS é uma melhoria real. A autenticação dos remetentes profissionais torna muito mais difícil a usurpação grosseira de «CPAM» ou «La Poste» que fez a fortuna do smishing durante dez anos. A encriptação ponta a ponta, à medida que se vai implementando, colmata uma fragilidade estrutural do SMS.
Mas nenhuma melhoria técnica alguma vez eliminou uma burla: desloca-a. As campanhas fraudulentas migram para os números de telemóvel comuns, para o WhatsApp, para as mensagens das plataformas de venda, para os falsos códigos QR. E sobretudo apoiam-se naquilo que a técnica nunca corrigirá: o medo, a urgência, o cansaço, a confiança depositada num logótipo.
A pergunta a fazer perante uma mensagem não é, portanto, «será que parece verdadeira?», mas «será que me pede algo que não fui eu a iniciar?». Essa pergunta funciona indiferentemente num SMS de 1995 e numa mensagem enriquecida de 2026.
