«ALERTA DE SEGURANÇA: foram detetadas 3 ameaças no seu dispositivo. Os seus dados bancários estão expostos. Contacte imediatamente o suporte autorizado através do 01 84 XX XX XX.»
Está a ler esta mensagem no ecrã do próprio aparelho que estaria alegadamente infetado. É essa a grande força do guião: a prova e o sintoma confundem-se. E, ao contrário de 90 % dos SMS fraudulentos que dissecamos aqui, este não contém nenhum link. Nenhum domínio estranho, nenhum [.]info a detetar, nada sobre o qual passar o rato. Apenas um número de telefone começado por 01, perfeitamente francês, que só espera uma coisa: que o senhor ligue.
Esta variante tem nome no jargão da cibersegurança: callback phishing, ou phishing por retorno de chamada. Inverte a lógica habitual. Já não é o burlão que o empurra para um site, é o senhor que marca voluntariamente o número dele. E, a partir daí, já não está perante um formulário, mas perante um ser humano treinado.
Porque é que os burlões estão a abandonar o link armadilhado
O link clicável foi durante muito tempo a arma absoluta do smishing. É-o cada vez menos, por três razões muito concretas.
Os filtros melhoraram. Os operadores franceses e os sistemas antispam integrados no iOS e no Android analisam agora os URL contidos nas mensagens. Um domínio criado na véspera, alojado num país exótico e a imitar uma marca conhecida tem uma esperança de vida que se conta em horas. Já um SMS sem link praticamente não desencadeia qualquer alerta automático: contém apenas texto e um número de telefone nacional.
O público foi educado — mas para um único reflexo. As campanhas de prevenção da Cybermalveillance.gouv.fr difundiram massivamente uma mensagem simples: «não clique no link». Excelente conselho, mas que cria um ponto cego. Muita gente interiorizou «link = perigo» sem interiorizar «número desconhecido = perigo». Ligar parece até ser o comportamento prudente: prefere-se «confirmar com uma pessoa a sério» em vez de clicar.
O ser humano converte melhor do que um formulário. Uma página de phishing captura um nome de utilizador e uma palavra-passe. Um burlão ao telefone obtém muito mais: o nome do seu banco, a sua disponibilidade, o seu nível de competência técnica, o seu estado emocional — e sobretudo a sua cooperação ativa durante trinta a quarenta minutos. A Banque de France, nos seus trabalhos sobre as fraudes nos meios de pagamento, sublinha aliás a clara progressão das burlas ditas «por manipulação», em que a própria vítima realiza as operações fraudulentas. Este SMS é uma porta de entrada típica.
O desenrolar típico de uma chamada para o «suporte»
Os cenários variam, mas a mecânica é notavelmente estável. Eis a sequência descrita pela maioria das vítimas.
1. A criação de confiança técnica
Do outro lado da linha, uma voz calma, um ligeiro ruído de call center ao fundo — muitas vezes recriado artificialmente para dar credibilidade à ideia de um verdadeiro centro de assistência. Dão-lhe um «número de processo», perguntam-lhe o nome, o modelo do telemóvel. Eventualmente leem-lhe uma referência encontrada no SMS. Nada de sensível é pedido nesta fase: é deliberado. O objetivo é instalá-lo numa relação de serviço normal.
2. A demonstração da infeção
O falso técnico leva-o a abrir um ecrã banal do seu aparelho: a lista de aplicações recentes, o registo de acessos de uma conta, as definições de rede. Depois interpreta. «Está a ver esta linha? É uma ligação a partir do estrangeiro.» Trata-se quase sempre de elementos perfeitamente normais, mas ilegíveis para um não especialista. O procedimento é idêntico ao utilizado há quinze anos nas burlas do falso suporte Windows, simplesmente transposto para o telemóvel.
3. A instalação do controlo remoto
É o ponto de viragem. Pedem-lhe que instale uma aplicação «de diagnóstico», com um nome tranquilizador, disponível nas lojas oficiais porque se trata de verdadeiros softwares de teleassistência desviados da sua utilização. Uma vez concedidas as permissões de acessibilidade, o interlocutor vê o seu ecrã e pode agir sobre ele.
4. A «colocação em segurança» dos fundos
O guião termina quase sempre com a mesma frase: as suas poupanças estariam ameaçadas, é preciso transferi-las para uma «conta segura» — por vezes apresentada como uma conta da Banque de France ou uma conta de garantia. Noutras variantes, levam-no a validar uma operação na sua aplicação bancária enquanto o burlão a controla à distância, ou pedem-lhe que dite os códigos recebidos por SMS para «anular» um débito.
Nenhum serviço de apoio ao cliente, nenhum banco, nenhum operador, nenhuma administração pública lhe pedirá alguma vez que instale um software de controlo remoto no seu telemóvel pessoal, nem que transfira dinheiro para uma «conta de segurança». Estes dois pedidos são, por si só, a assinatura da burla.
Quem recebe estas mensagens e porque é que funcionam
Este guião visa prioritariamente dois perfis, por razões opostas.
As pessoas pouco à vontade com a tecnologia, que interiorizaram a ideia de que um telemóvel pode «apanhar um vírus» sem saberem concretamente o que isso significa. Para elas, a existência de um número de assistência é coerente com tudo o que conhecem: o router da internet, os eletrodomésticos, o seguro. Ligar para um suporte faz parte do repertório de gestos normais. É por isso que acompanhar um familiar idoso conta mais do que qualquer software: um guia prático sobre segurança digital deixado à mão, com os números oficiais anotados nele, costuma surtir mais efeito do que um longo discurso.
As pessoas, pelo contrário, bastante conectadas, que gerem muitas contas, recebem alertas de segurança legítimos permanentemente e para quem mais uma notificação não desperta qualquer desconfiança particular. Nestas, não é a ignorância que pesa, é a fadiga de alertas.
Seis sinais que denunciam o falso suporte
| Sinal observado | O que faz um serviço verdadeiro | O que faz o burlão |
|---|---|---|
| O canal de entrada | É o senhor que o contacta através da aplicação oficial ou do número no verso do cartão | Impõe-lhe um número fornecido na mensagem |
| O vocabulário | Preciso, com nuances, «vamos verificar» | Alarmista, com números, «3 ameaças detetadas» |
| O ritmo | Pode voltar a ligar mais tarde | Cada minuto conta, não se desliga a chamada |
| O software | Nenhum a instalar | Uma aplicação de «diagnóstico» indispensável |
| Os códigos recebidos por SMS | Nunca pedidos oralmente | Ditados «para validar a anulação» |
| O destino dos fundos | Nenhum, o seu dinheiro não se mexe | Uma conta «segura», uma angariação, criptomoedas |
Um pormenor adicional merece atenção: a própria natureza do alerta. Um telemóvel realmente comprometido não o avisaria por SMS com um número de telefone para marcar. Os alertas de segurança autênticos do Android ou do iOS aparecem nas definições do sistema ou na aplicação em causa, nunca sob a forma de mensagem de texto vinda de um remetente desconhecido.
O que fazer imediatamente se já ligou
A ordem importa. Eis os gestos, do mais urgente ao menos urgente.
- Corte a ligação. Modo avião ou desligar o aparelho. Se houver um software de controlo remoto ativo, isso põe fim à sessão em curso.
- Desinstale a aplicação instalada durante a chamada, bem como qualquer aplicação que não reconheça, e revogue as permissões de acessibilidade nas definições.
- Ligue para o seu banco a partir de outro aparelho, marcando o número que consta no verso do seu cartão bancário — nunca o que lhe foi comunicado. Peça o bloqueio das operações e o cancelamento do cartão.
- Mude as palavras-passe das contas sensíveis a partir de um aparelho seguro: primeiro o e-mail principal, depois o banco, depois as contas de compras. Um gestor de palavras-passe evita reutilizar em todo o lado a mesma combinação, que é exatamente o que o burlão espera.
- Apresente queixa junto das autoridades policiais, munido das capturas de ecrã, do número para o qual ligou, dos horários e dos montantes. A plataforma oficial Cybermalveillance.gouv.fr encaminha igualmente para prestadores de proximidade.
- Denuncie o SMS no 33700, o serviço nacional francês de denúncia de spam por SMS e chamadas, reencaminhando a mensagem. Denuncie também o número para o qual ligou: é assim que ele é retirado de circulação mais depressa.
Em caso de transferência efetuada, o artigo L. 133-18 do código monetário e financeiro francês obriga o banco a reembolsar uma operação não autorizada. A dificuldade, nas fraudes por manipulação, reside no facto de a operação ter sido validada pelo próprio cliente: os bancos invocam então a negligência grave. Nem por isso desista. A Fédération bancaire française e o Médiateur national de l'Assurance et des banques tratam regularmente este tipo de litígio, e várias decisões consideraram a instituição responsável quando a manipulação era particularmente sofisticada.
Reduzir a superfície de ataque antes da próxima mensagem
Nenhuma proteção confere imunidade, mas algumas configurações fazem baixar consideravelmente o risco.
Tranque a porta de entrada bancária. A autenticação forte da sua aplicação bancária deve assentar numa validação biométrica ou num código introduzido na aplicação, nunca num código transmitido oralmente. Verifique também o limite de transferências: um limite baixo, aumentado pontualmente quando precisa, reduz mecanicamente o prejuízo.
Isole as contas críticas. Uma chave de segurança física compatível com FIDO2, ligada por USB ou aproximada por NFC, torna inútil o roubo das suas credenciais no seu e-mail principal. É o investimento mais rentável para quem gere várias contas sensíveis, porque a caixa de correio é a chave de todo o resto.
Não deixe que o telemóvel seja o único ponto de acesso. Se o seu telemóvel é o seu único meio de autenticação em todo o lado, a sua compromissão equivale à perda de tudo. Manter um segundo fator noutro sítio — um tablet, um computador ou um caderno com códigos de recuperação guardado fora de vista — separa os riscos.
Mantenha as atualizações em dia. Um sistema atualizado bloqueia vetores de ataque conhecidos. E uma bateria gasta que obriga a adiar as atualizações para poupar energia é um problema de segurança indireto: um powerbank compacto costuma bastar para quebrar esse ciclo.
O caso particular dos familiares idosos
É neste público que a burla do falso suporte causa mais estragos, porque combina três alavancas: o medo de «fazer mal» com a tecnologia, o respeito pela autoridade presumida de um técnico e o isolamento no momento da chamada.
Algumas medidas simples, mais eficazes do que qualquer discurso:
- Escrever os números verdadeiros num suporte físico. O número do banco, do médico, do apoio ao cliente do operador, anotados numa ficha colocada junto ao telefone. A regra passa a ser: «só se liga para o que está na ficha».
- Instaurar um reflexo de pausa. «Antes de instalar seja o que for ou de mexer em dinheiro, liga-me.» Uma simples regra familiar, verbalizada uma vez, desarma a urgência artificial.
- Simplificar o equipamento quando faz sentido. Para uma utilização limitada às chamadas, um telemóvel de teclas grandes reduz drasticamente a superfície de exposição: não há aplicações para instalar, nem controlo remoto possível.
- Ativar a filtragem de chamadas. Os operadores oferecem opções de bloqueio de chamadas e mensagens indesejadas, muitas vezes gratuitas e raramente ativadas.
O que este SMS revela sobre a evolução das burlas
A passagem do link para a chamada não é um pormenor técnico, é uma mudança de natureza. Os burlões perceberam que a defesa tecnológica progride mais depressa do que a defesa humana. Filtrar um URL malicioso é um problema resolvido; impedir alguém de confiar numa voz calma ao telefone não é, e nunca o será por completo.
Daí o único reflexo verdadeiramente robusto, aquele que funciona qualquer que seja o cenário, qualquer que seja a marca imitada, qualquer que seja a sofisticação da mensagem: nunca se liga de volta para um número comunicado numa mensagem não solicitada. Desliga-se, procura-se por si próprio o número oficial, marca-se. Este gesto custa trinta segundos. Anula sozinho toda a cadeia descrita neste artigo.
E se a tentação de ligar para «tirar a limpo» continuar forte, lembre-se da pergunta que resolve tudo: porque é que um serviço que tivesse realmente detetado uma ameaça no seu aparelho precisaria de si para a tratar?
