«DGFiP: na sequência do recálculo da sua nota de liquidação, tem direito a um reembolso de 284,17 €. Indique os seus dados até 18/09: impots-remboursement-gouv[.]net»
Não há nada a temer nesta mensagem. Nenhuma ameaça, nenhuma encomenda retida, nenhuma multa que duplica, nenhum gestor bancário aflito do outro lado da linha. Apenas uma quantia de dinheiro que lhe pertence e que lhe propõem recuperar. E é precisamente por isso que é temível.
A esmagadora maioria das campanhas de prevenção contra o smishing ataca o registo do medo: a falsa encomenda, a falsa multa, o falso saldo negativo. Ensina-se o público a desconfiar da urgência que gera ansiedade. Ninguém, ou quase ninguém, ensina a desconfiar de uma boa notícia. Os burlões, esses, perceberam-no há muito tempo.
O isco do reembolso: uma mecânica psicológica invertida
As burlas clássicas provocam uma reação de stress. O stress leva a clicar depressa, mas também desencadeia, em muitas pessoas, um reflexo de verificação: telefona-se ao cônjuge, procura-se na internet, consulta-se o seguimento oficial da encomenda. O medo é mau conselheiro, mas é barulhento — alerta quem está à volta.
A perspetiva de um reembolso produz o efeito inverso. Instala um clima de confiança e discrição. Ninguém telefona à filha para lhe anunciar que vai receber 284 €. Ninguém pergunta ao colega «também recebeste isto?». Pensa-se simplesmente: bem, faz sentido, este ano a minha situação mudou.
Três enviesamentos bem documentados na psicologia da decisão combinam-se aqui:
- O enviesamento de confirmação: a maioria das famílias tem, num momento ou noutro, a sensação vaga de ter pago alguma coisa a mais. A mensagem vem confirmar uma intuição preexistente, não a cria.
- A reciprocidade: um organismo que lhe devolve dinheiro apresenta-se como benevolente. Custa suspeitar de um benfeitor.
- A fraca vigilância sobre montantes médios: 284 € não é suficiente para parecer bom demais para ser verdade, nem tão pouco que leve a desistir do processo. Os burlões calibram este número com enorme cuidado.
O Cybermalveillance.gouv.fr, o dispositivo nacional francês de assistência às vítimas, coloca o phishing no topo dos motivos de consulta dos particulares há vários anos consecutivos, considerando todos os suportes. E entre os pretextos utilizados, o reembolso ocupa um lugar estruturalmente forte porque se recicla indefinidamente: impostos, seguro de saúde, prestações sociais, Segurança Social, fornecedor de energia, operadora de telecomunicações, companhia aérea, portagens.
O calendário fiscal e social, a agenda de trabalho dos burlões
Uma burla de reembolso nunca cai por acaso. Acompanha o calendário administrativo, porque uma mensagem credível é uma mensagem que chega no momento certo.
| Período | Pretexto mais utilizado | Porque funciona |
|---|---|---|
| Julho – setembro | Nota de liquidação, imposto pago a mais | As notas reais chegam, as regularizações também |
| Setembro – outubro | Regresso às aulas: abonos, apoios, bolsas | Multiplicação das diligências familiares |
| Novembro – janeiro | Acerto da fatura de energia | Leituras anuais e alterações tarifárias |
| Todo o ano | Reembolso do seguro de saúde | Fluxo permanente de comparticipações |
| Após uma mudança de casa | Valor a devolver pela operadora ou seguradora | Rescisões e acertos proporcionais bem reais |
A regra é simples: se está à espera de uma carta de um organismo, este mês, um burlão também o sabe. Não o visa pessoalmente, visa estatisticamente milhões de pessoas, das quais uma fração está efetivamente à espera desse tipo de notícia. Num envio em massa, alguns pontos percentuais de coincidências bastam para rentabilizar a operação.
A armadilha técnica: por que motivo «paga» para ser reembolsado
É aqui que entra a parte mais contraintuitiva do cenário, e aquela que apanha até pessoas atentas. A página fraudulenta não pede dinheiro. Pede para onde enviar o dinheiro. Ou seja, os seus dados bancários — e, muitas vezes, bastante mais.
O percurso-tipo desenrola-se em quatro ecrãs:
- Identificação: nome próprio, apelido, data de nascimento, morada, por vezes número de identificação fiscal ou número de segurança social. Nada de alarmante à primeira vista, o organismo é suposto conhecê-lo.
- Dados bancários: IBAN e, depois, «para uma transferência imediata», o número do cartão, a data de validade e o código de segurança no verso. É o momento decisivo: nenhum organismo público reembolsa seja o que for através de um cartão bancário.
- Número de telefone: apresentado como necessário para a confirmação. Na realidade, permitirá ao burlão telefonar-lhe em seguida, fazendo-se passar pelo seu banco.
- Validação: um pequeno débito de «verificação» de 1 € ou 2 €, supostamente para «testar» o cartão. Esse pagamento desencadeia, na verdade, a associação do seu cartão à carteira digital do burlão.
Esta última etapa é a mais moderna e a menos conhecida. Desde a generalização da autenticação forte imposta pela diretiva europeia DSP2, um simples número de cartão já não basta para debitar uma conta: é preciso validar na aplicação bancária. Os burlões deslocaram, portanto, o seu objetivo. Já não procuram pagar diretamente com o seu cartão, mas sim adicioná-lo a um telemóvel que lhes pertence, para depois pagarem por aproximação nas lojas, com toda a discrição, até que dê por isso.
Daí a chamada telefónica que se segue muitas vezes ao formulário, minutos ou horas depois: uma voz calma, profissional, que lhe pede para «validar a notificação que acabou de receber». Valida. Acabou de autorizar a associação.
Sete sinais que denunciam um falso SMS de reembolso
Nenhum destes indícios é decisivo isoladamente. Bastam dois deles em conjunto para classificar a mensagem.
- Uma ligação que não termina em
.gouv.fr. Os sites da administração francesa terminam sempre em.gouv.fr, nunca em-gouv.net,gouv-fr.comouimpots-service.info. O hífen é o disfarce preferido do falso domínio. - Um montante exato com cêntimos. Serve para imitar o realismo contabilístico. As verdadeiras notificações da DGFiP, aliás, não comunicam montantes por SMS.
- Um pedido de dados bancários. A administração fiscal, os serviços de apoio social e a segurança social já conhecem o seu IBAN: forneceu-o quando tratou dos seus processos. Não voltam a pedi-lo por SMS.
- Um prazo curto. Um reembolso legítimo não caduca em 72 horas. É urgência artificial, transposta do registo do medo.
- A palavra «criptograma», «CVV» ou «os 3 dígitos no verso». Esse código serve exclusivamente para pagar, nunca para receber.
- Um remetente alfanumérico imitado. Uma mensagem fraudulenta pode surgir com um nome de remetente credível e, por vezes, inserir-se no fio de conversa de um organismo real. O fio de conversa não é, portanto, prova de autenticidade.
- Uma ortografia quase perfeita. Os erros grosseiros desapareceram. Deixe de procurar o erro de concordância: procure o domínio.
Regra de sobrevivência, válida para qualquer SMS administrativo: nunca se clica na mensagem, volta-se sempre pelos próprios meios ao site oficial — impots.gouv.fr, caf.fr, ameli.fr, urssaf.fr — ou à aplicação já instalada no telemóvel. Se o reembolso existe, está lá. Se não está lá, não existe.
Os públicos mais expostos, e porquê
Os reformados e as pessoas pouco à vontade com o digital
A retenção na fonte tornou a fiscalidade mais opaca para muitas famílias: já nem sempre se sabe o que se paga, nem porquê. O anúncio de uma regularização parece, por isso, plausível. Acresce um fator prático: ler um endereço web truncado num ecrã pequeno é objetivamente difícil. Muitas famílias resolvem parte do problema aumentando de forma permanente o tamanho da letra no telemóvel, ou instalando um suporte de telemóvel ajustável junto ao cadeirão, para que o ecrã seja lido a boa distância e não com o braço esticado. Ver claramente um nome de domínio já é metade da vigilância.
Os estudantes e jovens ativos
Bolsas, apoios à habitação, ajudas à mobilidade, reembolsos de transportes: esta população acumula fluxos administrativos de pequeno montante e um forte hábito do tudo-móvel. Uma transferência anunciada de 120 € parece-lhes perfeitamente banal.
Os independentes e microempresários
Recebem realmente mensagens da segurança social, trocam realmente IBAN e gerem a tesouraria ao dia. Um falso «excesso de contribuições pagas» encontra aí terreno ideal. Para eles, separar as utilizações é um verdadeiro ganho de segurança: um segundo telemóvel dedicado à atividade profissional, ou no mínimo um cartão SIM pré-pago reservado aos contactos administrativos, reduz mecanicamente a superfície de exposição.
O que fazer se já clicou, ou se já introduziu os seus dados
O tempo conta mais do que a vergonha. Eis a ordem das prioridades.
- Cancele o cartão imediatamente junto do seu banco, através da aplicação ou do número que consta no verso do cartão — nunca um número recebido por SMS. Em França, o serviço interbancário de bloqueio de cartões está disponível permanentemente através do 0 892 705 705.
- Verifique os dispositivos associados na sua área bancária: a maioria dos bancos lista agora os telemóveis associados ao seu cartão para pagamentos móveis. Elimine qualquer dispositivo desconhecido.
- Altere as palavras-passe das contas envolvidas, sobretudo se reutilizou a mesma noutros sítios. Um caderno de palavras-passe em papel guardado em casa continua a ser, para muitas famílias, uma solução mais realista do que uma memorização aproximativa — desde que nunca seja fotografado nem transportado.
- Denuncie a mensagem. Em França, o número 33700 é o serviço oficial de denúncia de SMS indesejados e fraudulentos: reencaminhe a mensagem para o 33700 e, depois, envie o número do remetente quando o serviço lho pedir. Pode também denunciar o endereço fraudulento na plataforma Phishing Initiative e comunicar os factos no portal oficial de denúncia do Ministério do Interior.
- Apresente queixa junto das autoridades policiais se tiver havido um débito. É uma condição frequentemente exigida para obter o reembolso.
- Peça o reembolso. A legislação monetária e financeira prevê que, em caso de operação de pagamento não autorizada, o banco reembolse o titular, salvo negligência grave da sua parte. O Banco de França e a autoridade de supervisão prudencial lembraram por diversas vezes que o simples facto de ter sido vítima de uma manipulação não caracteriza automaticamente essa negligência grave. Se o seu banco recusar, recorra ao respetivo provedor do cliente.
Reduzir o risco de forma duradoura, sem se tornar paranoico
O objetivo não é desconfiar de tudo, mas sim tornar a dúvida fácil. Bastam alguns hábitos.
- Instalar as aplicações oficiais (impots.gouv, ameli, CAF – Mon Compte) e ganhar o reflexo de verificar dentro delas, em vez de num link. É o gesto que, só por si, neutraliza 90 % destas campanhas.
- Ativar as notificações bancárias em tempo real para cada operação, incluindo os pequenos montantes: é o débito de 1 € que denuncia a associação fraudulenta.
- Manter o telemóvel atualizado, tanto o sistema como o navegador. Os filtros antiphishing integrados bloqueiam parte dos domínios sinalizados.
- Não deixar a bateria ditar as decisões. Uma parte nada negligenciável dos cliques impulsivos ocorre quando se quer «despachar isto depressa» antes que o telemóvel se desligue. Um powerbank compacto na mala é também tempo de reflexão ganho.
- Falar das tentativas recebidas. O principal fator de proteção, em todos os estudos sobre fraude, continua a ser o facto de se ter conversado sobre isso com alguém. Um livro de divulgação sobre cibersegurança no dia a dia, deixado na mesa da sala, abre mais conversas em família do que um longo sermão.
Por fim, uma frase a reter e a transmitir, sobretudo aos pais e avós: nenhum organismo público lhe pedirá alguma vez o número do cartão bancário para lhe entregar dinheiro. Um reembolso é feito por transferência, para um IBAN já conhecido, sem que tenha de fazer o que quer que seja. Qualquer mensagem que se afaste desta regra é uma burla, seja qual for o logótipo, o tom ou o montante anunciado.
A boa notícia, a verdadeira, é que esta burla desmorona-se assim que é nomeada. Não assenta em nenhuma proeza técnica: apenas no facto de nos terem ensinado a desconfiar das ameaças, e nunca dos presentes.
