«BANQUE DE FRANCE: na sequência de um incidente de pagamento, o seu processo é objeto de um procedimento de registo FICP. Regularização obrigatória em 48 h: bdf-regularisation-dossier[.]com»
A mensagem chega numa terça-feira de manhã, entre uma notificação de entrega e um lembrete de consulta. Não fala de encomendas, nem de multas, nem de cartão de saúde. Fala de algo bem mais íntimo: a sua solvência. E visa um ponto que a maioria das burlas ignora — a vergonha.
Porque um registo no Banque de France não é um mero aborrecimento administrativo. É uma palavra que ninguém se atreve a pronunciar, uma situação que não se conta nem aos próximos nem aos colegas. Os burlões perceberam-no: quando uma vítima tem medo de falar do assunto à sua volta, não beneficia de qualquer travão de segurança. Clica sozinha, paga sozinha e cala-se depois.
O que o Banque de France comunicou realmente
Esta campanha não é uma hipótese de laboratório. O Banque de France publicou várias vezes alertas no seu site oficial sobre mensagens fraudulentas — SMS, e-mails, chamadas — que usurpam a sua identidade e evocam um registo ou um processo de sobre-endividamento. A instituição recorda aí uma regra simples, a reter antes de mais nada:
O Banque de France nunca pede, por SMS ou por e-mail, qualquer pagamento, dados bancários, cópia de documento de identificação ou credenciais de acesso.
As comunicações relativas a um registo passam pelo correio postal — através da sua instituição bancária, que é o organismo declarante — ou pelos canais oficiais do Banque de France que o próprio utilizador contactou. Nunca por um link recebido espontaneamente no telemóvel.
Outro ponto crucial, muitas vezes ignorado: o Banque de France não regista ninguém por sua própria iniciativa. Mantém os ficheiros, mas a inscrição é declarada por um banco ou uma instituição de crédito na sequência de um incidente concreto (prestações de crédito não pagas, cheque sem provisão, decisão da comissão de sobre-endividamento). A instituição é um escrivão, não um fiscal que o venha surpreender por mensagem.
Os três ficheiros que os burlões misturam de propósito
A mensagem fraudulenta funciona tanto melhor quanto mais confuso é o vocabulário bancário para a maioria de nós. Eis o que realmente significam as siglas brandidas pelos fraudadores.
| Ficheiro | O que regista | Origem da inscrição | Duração máxima |
|---|---|---|---|
| FICP (Ficheiro dos incidentes de reembolso de créditos a particulares) | Incumprimentos caracterizados num crédito, processos de sobre-endividamento | Declaração da instituição credora ou da comissão de sobre-endividamento | 5 anos (até 7 anos para um plano de sobre-endividamento) |
| FCC (Ficheiro central de cheques) | Cheques sem provisão, retiradas de cartão bancário por uso abusivo | Declaração do banco | 5 anos (levantamento imediato após regularização) |
| FNCI (Ficheiro nacional de cheques irregulares) | Cheques roubados, perdidos, contas encerradas | Declaração do banco | Variável |
Nos SMS fraudulentos, estas siglas são usadas indiferentemente, por vezes inventadas («ficheiro FBF», «registo nacional de incidentes»). É um excelente indício: uma verdadeira carta bancária é precisa, datada e menciona nominalmente o organismo declarante.
A anatomia da mensagem armadilhada
Nas dezenas de variantes observadas, a estrutura mantém-se notavelmente estável. Assenta em quatro peças.
- Uma autoridade emprestada. «Banque de France», por vezes «BDF», por vezes «Serviço nacional de regularização bancária» — uma entidade que não existe. O remetente pode exibir um nome em vez de um número: é spoofing de cabeçalho, tecnicamente trivial de executar.
- Um prazo muito curto. 24 h, 48 h, «antes do encerramento do processo». A urgência é o ingrediente universal do smishing: impede a verificação.
- Uma consequência desproporcionada. «Bloqueio das suas contas», «interdição bancária de 5 anos», «penhora do salário». Nenhuma destas medidas é desencadeada por SMS.
- Um link único. Domínio comprido, vários hífenes, extensão exótica (.info, .icu, .top) ou nome de domínio que imita o oficial
banque-france.fracrescentando-lhe uma palavra (banque-france-regularisation).
O site de destino é muitas vezes uma cópia caprichada: logótipo, tipografia institucional, avisos legais copiados. Pede os seus dados pessoais, o número de segurança social, um documento de identificação digitalizado e depois um IBAN — e acaba por propor um «pagamento de taxas de levantamento do registo» de 29 a 99 €. Não existem quaisquer taxas para ser eliminado de um ficheiro do Banque de France.
Porque este cenário atinge perfis muito diferentes
Imagina-se facilmente que só as pessoas em dificuldade financeira mordem o isco. É falso, e é justamente o contrário que torna a fraude rentável.
As pessoas efetivamente registadas recebem a mensagem como uma confirmação daquilo que já sabem. Clicam porque a mensagem «encaixa» na sua situação — e porque esperam uma saída rápida.
As pessoas que não estão de todo registadas entram em pânico de outra forma: perguntam-se se um crédito esquecido, uma fiança dada a alguém próximo ou uma usurpação de identidade não terá criado um incidente à sua revelia. A dúvida basta para as fazer clicar.
Os seniores e as pessoas pouco à vontade com o digital estão sobre-expostos. Segundo os trabalhos do Défenseur des droits e do Crédoc sobre a iliteracia digital, vários milhões de franceses continuam a ter dificuldades nas diligências em linha. Perante uma mensagem institucional, o reflexo é obedecer, não verificar. Nas famílias, é útil ter estabelecido a regra antecipadamente: nenhuma mensagem financeira se resolve sozinho. Uma agenda telefónica de formato grande pousada junto ao telefone fixo, com o número direto da agência bancária e o de um familiar de referência, vale mais do que qualquer filtro técnico: transforma um reflexo de pânico num reflexo de telefonema.
Os trabalhadores independentes e os microempresários, por fim, vivem com o receio permanente de um incidente de pagamento de um cliente. A mensagem visa-os com eficácia no final de cada trimestre.
Verificar gratuitamente se está registado: a única boa reação
É a resposta mais eficaz a este tipo de SMS e não custa nada. O direito de acesso aos ficheiros do Banque de France é gratuito e garantido pelo RGPD, bem como pela lei francesa Informatique et Libertés.
Existem três vias:
- Em linha, através do serviço de acesso aos ficheiros de incidentes disponibilizado no site oficial do Banque de France, com autenticação via FranceConnect.
- Presencialmente, numa das sucursais do Banque de France, munido de um documento de identificação válido.
- Por correio, para a morada indicada no site oficial, com cópia do documento de identificação.
Nos três casos: nenhum pagamento, nenhum intermediário, nenhum link recebido por SMS. Se descobrir uma inscrição que contesta, o interlocutor a contactar é a instituição declarante — o seu banco — depois, em caso de desacordo persistente, o próprio Banque de France e, se for caso disso, a CNIL.
Um pormenor com a sua importância: para estas diligências, vai precisar de digitalizar ou fotografar comprovativos. Mais vale fazê-lo bem, fora de qualquer site duvidoso — um scanner portátil de documentos ou simplesmente uma aplicação oficial no telemóvel permite constituir um processo em condições para enviar pelos canais oficiais, sem nunca depositar os seus documentos numa plataforma desconhecida.
Os sinais que o devem travar em três segundos
Antes mesmo de ler o conteúdo, bastam alguns reflexos de triagem.
- Uma administração nunca coloca um link de pagamento num SMS. Nem o Banque de France, nem a DGFiP, nem a Assurance Maladie.
- O tratamento por tu institucional não existe, tal como não existem erros de concordância nem maiúsculas aleatórias («O Seu Processo está Pendente»).
- Um número francês começado por 06 ou 07 para uma mensagem institucional é uma aberração: os organismos usam números curtos ou cabeçalhos alfanuméricos.
- O link encurtado (bit.ly, tinyurl e afins) nunca é utilizado por uma instituição pública.
- A mensagem conhece-o de menos ou de mais. Nem o seu nome completo, nem a referência do processo? Suspeito. Ao invés, uma mensagem hiperpersonalizada pode denunciar uma fuga de dados anterior.
Vale a pena recordar um ponto técnico: a apresentação do remetente não prova nada. Um SMS fraudulento pode inserir-se num fio de conversa já existente com o seu verdadeiro banco se o cabeçalho usurpado for idêntico. O fio de conversa não é, portanto, garantia de autenticidade — é uma das ideias feitas mais perigosas em matéria de smishing.
O que fazer se já clicou
A cronologia conta mais do que a gravidade aparente.
Na primeira hora: se introduziu credenciais bancárias, ligue imediatamente para o número que consta no verso do cartão ou na aplicação bancária oficial — nunca para um número encontrado no SMS. Cancele o cartão. O serviço interbancário de perda e roubo (0 892 705 705) permite bloquear um cartão com urgência.
Durante o dia: altere a palavra-passe do seu espaço bancário a partir de um aparelho seguro e ative a autenticação de dois fatores, se ainda não o fez. Para quem gere muitas contas, uma chave de segurança física FIDO2 constitui o nível de proteção mais robusto, bem superior ao código recebido por SMS — precisamente porque não depende da rede móvel.
Nas 48 horas seguintes: denuncie a mensagem ao 33700, a plataforma oficial de combate ao spam por SMS, reencaminhando o texto recebido e depois o número do remetente. Faça em seguida uma participação em cybermalveillance.gouv.fr e, em caso de prejuízo financeiro, uma queixa junto da polícia ou da gendarmerie. O serviço Perceval, acessível através do site service-public.fr, permite denunciar uma fraude com cartão bancário.
Durante a semana: se enviou um documento de identificação, considere que existe risco de usurpação. Exerça o seu direito de acesso aos ficheiros do Banque de France para verificar que não foi contraído nenhum crédito em seu nome e vigie os seus extratos durante vários meses.
Recordemos, por fim, o princípio estabelecido pelo Code monétaire et financier: em caso de operação de pagamento não autorizada comunicada sem demora, o banco deve, em princípio, reembolsar o titular, salvo negligência grave da sua parte. Uma jurisprudência agora abundante da Cour de cassation esclareceu que a simples comunicação de um código recebido por SMS, num contexto de fraude sofisticada, não basta para caracterizar essa negligência grave. Por outras palavras: não desista de reclamar.
Proteger alguém próximo sem o melindrar
É muitas vezes a parte mais delicada. Falar de dinheiro, de dívidas ou de registo de incidentes com um pai idoso ou um jovem adulto recém-independente toca no amor-próprio. Algumas abordagens funcionam melhor do que o sermão:
- Partir de si. «Recebi este SMS, quase caí durante dez segundos» abre a conversa onde «tem cuidado» a fecha.
- Criar um canal de recurso. Uma palavra-passe familiar, ou simplesmente a regra «nunca se trata uma mensagem financeira sozinho», desarma a urgência artificial.
- Facilitar a chamada em vez do clique. Junto das pessoas idosas, um telemóvel sénior com teclas grandes com alguns números programados em memória direta reduz mecanicamente a tentação de responder a um link: o primeiro reflexo volta a ser telefonar a alguém.
- Proteger o aparelho. Um smartphone atualizado, protegido por bloqueio biométrico e, eventualmente, com um cartão SIM pré-pago dedicado a utilizações sensíveis limita os estragos em caso de perda ou roubo.
Por fim, a cultura geral continua a ser a melhor proteção. Um bom livro sobre cibersegurança no dia a dia, deixado numa mesa de apoio, ensina mais a uma família do que dez alertas ministeriais — porque explica o porquê dos mecanismos em vez de enumerar proibições.
O que é preciso reter
O falso SMS de registo no Banque de France não inventa nada do ponto de vista técnico: é smishing clássico. A sua força está noutro lado, na escolha do pretexto. Ao tocar na reputação financeira, isola a vítima e neutraliza o reflexo mais eficaz contra a burla — perguntar a outra pessoa o que pensa do assunto.
Bastam três frases para ficar imunizado:
- O Banque de France nunca notifica um registo por SMS.
- O levantamento de um registo é sempre gratuito e passa pela instituição declarante.
- Consultar os ficheiros de incidentes é um direito gratuito, exercível em linha, numa sucursal ou por correio.
O resto — os links, os prazos de 48 horas, as «taxas de processo» — não passa de cenário. Um cenário muito bem pintado, mas apenas cenário.
