«Já paguei, valide a entrega»: a burla do falso comprador nos sites de anúncios classificados

«Olá, fico com a sua bicicleta pelo preço pedido, não é preciso negociar. Já efetuei o pagamento seguro através da plataforma, vai receber um SMS para validar a receção dos fundos. A minha transportadora passa amanhã de manhã.»

A mensagem é educada, rápida, sem regateio. É precisamente isso que deveria dar o alerta — e é precisamente isso que tranquiliza. Depois de três semanas com o anúncio online e quatro curiosos que ofereceram metade do preço, um comprador que diz logo que sim parece uma bênção, não uma armadilha.

A burla do falso comprador tem uma particularidade que a torna temível: inverte os papéis. Todas as campanhas de prevenção nos ensinaram a desconfiar quando compramos online. Quase ninguém nos explicou que também se pode ser roubado a vender. E, no entanto, é hoje um dos cenários de smishing mais comuns, e já não visa apenas os principiantes.

O cenário completo, passo a passo

Ao contrário do falso SMS de entrega que chega do nada, esta burla vai-se construindo. Começa sempre por um anúncio real, publicado por si, numa plataforma real. O burlão não fabrica nada: explora aquilo que você colocou online.

Etapa 1 — O contacto-relâmpago. Poucos minutos ou poucas horas depois da publicação, chega uma mensagem através do serviço de mensagens interno do site. O comprador aceita o preço anunciado, não faz qualquer pergunta técnica sobre o artigo e diz-se «muito interessado». Invoca muitas vezes um constrangimento: vai partir em viagem, está a comprar para um familiar, não se pode deslocar.

Etapa 2 — A saída da plataforma. É o momento decisivo. O comprador pede o seu número de telemóvel «para ser mais rápido» ou «porque a aplicação está com problemas». Você dá-o, a conversa passa para SMS ou para uma aplicação de mensagens encriptada. Acabou de sair do espaço onde a plataforma arquiva, modera e pode suspender uma conta.

Etapa 3 — O comprovativo de pagamento. O burlão envia uma captura de ecrã de uma transferência efetuada, por vezes um falso e-mail de confirmação com as cores da plataforma. Estes documentos são bem feitos: logótipo correto, tipo de letra correto, menções legais copiadas. Não têm qualquer valor, mas criam a sensação de que o processo avança.

Etapa 4 — O SMS armadilhado. Chega uma mensagem, alegadamente automática, com um link: «O seu pagamento de 480 € está pendente. Clique para validar a receção dos fundos na sua conta.» O domínio imita o da plataforma ou o de um serviço de pagamento conhecido, com uma variação minúscula.

Etapa 5 — O formulário. A página pede o número do seu cartão bancário, a data de validade, o código de segurança e, por vezes, o seu saldo disponível «para verificar a compatibilidade do depósito». Depois pede-lhe para validar uma notificação na aplicação do seu banco.

Etapa 6 — O débito. Essa validação não autoriza uma receção, autoriza um pagamento a sair ou o registo do seu cartão numa carteira digital controlada pelo burlão. Os débitos sucedem-se, por vezes espaçados ao longo de vários dias para não desencadear alertas.

A mentira central: nunca se «valida» um recebimento

Convém gravar isto algures, porque é o único ponto em que toda a burla assenta.

Receber dinheiro nunca exige comunicar o número do seu cartão bancário, o código de segurança, nem validar uma operação na aplicação do seu banco.

Uma transferência recebida chega sozinha. Um reembolso chega sozinho. Um pagamento através de uma plataforma de venda chega à carteira da plataforma e só depois à sua conta, na sequência de um pedido de levantamento que você inicia a partir da aplicação oficial, entrando você mesmo na sua conta.

Os dados de um cartão bancário servem exclusivamente para debitar esse cartão. O código de três dígitos no verso só existe para provar que tem fisicamente o cartão consigo no momento de uma compra. Nenhum sistema no mundo precisa dele para lhe entregar dinheiro. A Cybermalveillance.gouv.fr, o dispositivo nacional francês de assistência às vítimas de atos de cibermalveillance, repete este princípio em todas as suas fichas dedicadas ao phishing.

O corolário prático: assim que um interlocutor, seja ele quem for, junta as palavras «receber» e «cartão bancário» na mesma frase, a conversa termina.

As variantes que circulam em 2026

O cenário de base tem várias declinações. Eis as formas mais frequentemente assinaladas.

Variante	Pretexto	O que lhe pedem
O pagamento a mais	«Paguei 800 € em vez de 80 €, devolva-me a diferença»	Uma transferência sua para um IBAN desconhecido
Os custos de envio	«A transportadora exige que o vendedor adiante os custos, depois são devolvidos»	Um pagamento de 30 a 60 € com cartão
O seguro da encomenda	«O artigo tem de ser segurado, a plataforma reembolsa-o depois»	Um pagamento + os seus dados bancários
A conta profissional	«A sua conta tem de passar a estatuto de vendedor verificado»	Um documento de identidade + um NIB + um cartão
O falso litígio	«O comprador contestou, regularize no prazo de 24 h»	Um início de sessão numa falsa área de cliente

A variante do pagamento a mais merece atenção especial: não passa por um link armadilhado. O burlão envia um falso comprovativo de transferência, você constata «um erro» e o seu reflexo de honestidade leva-o a devolver o dinheiro de imediato. A transferência inicial nunca existiu, ou será anulada. A sua devolução, essa, é bem real e irrecuperável.

Porque é que os vendedores caem, mesmo os prudentes

Há razões estruturais, e nada têm a ver com ingenuidade.

O contexto tornou a troca plausível. Você estava à espera de um comprador. O SMS chega no momento exato em que faz sentido. É aquilo a que os investigadores em segurança chamam o contexto de expectativa: uma mensagem fraudulenta que coincide com uma ação real da vítima multiplica a sua taxa de sucesso.

O burlão conhece pormenores verdadeiros. O modelo da bicicleta, a cor do sofá, o preço pedido, por vezes o seu nome próprio: está tudo no seu anúncio. Estes elementos dão à mensagem um verniz de autenticidade que nenhum SMS falso genérico alcança.

A pressão temporal faz parte do comércio. «A minha transportadora passa amanhã» não tem nada de anormal numa transação. A urgência não é percecionada como manipulação, mas como logística.

O vendedor está em posição de quem precisa. Quer livrar-se do objeto, muitas vezes para recuperar uma quantia já mentalmente gasta. Esta assimetria afetiva desativa o espírito crítico muito mais eficazmente do que uma ameaça.

Ler o URL: os três segundos que salvam

Quando chega um link, existe um método simples para o examinar sem clicar. Leia o endereço da direita para a esquerda, começando na primeira /.

O domínio real é o que precede imediatamente a primeira /, recuando até ao ponto anterior à extensão. Todo o resto é decorativo.

• https://leboncoin.paiement-securise[.]xyz/valider → o domínio real é paiement-securise.xyz. A marca é apenas um subdomínio, ou seja, texto que qualquer pessoa pode escrever.
• https://secure-paypa1[.]com/confirm → o 1 substitui o l. Num ecrã de 6 polegadas, a andar na rua, ninguém repara.
• https://bit[.]ly/3xK9pL → um encurtador esconde totalmente o destino. Um serviço legítimo de pagamento nunca usa um destes num SMS transacional.

Esta verificação exige um ecrã legível e boa luz. Muita gente clica porque não distingue os caracteres: se tem dificuldade em ler textos pequenos, aumentar o tamanho da letra do sistema faz mesmo diferença, tal como uma película antirreflexo para smartphone quando se consulta o telemóvel no exterior. Não é um pormenor cosmético: boa parte do smishing assenta em diferenças tipográficas de um único caractere.

Outro hábito útil: nunca abrir um link sensível nos transportes ou a andar. A vigilância visual cai a pique e é estatisticamente aí que ocorrem os cliques acidentais.

Os sinais de alerta a saber de cor

Nenhum sinal é suficiente sozinho. Dois sinais em conjunto é burla até prova em contrário.

• O comprador não negoceia e não faz qualquer pergunta sobre o artigo. Um comprador verdadeiro quer saber se a bicicleta foi revista, se a garantia ainda está ativa, se o ecrã tem riscos.
• Quer sair do serviço de mensagens da plataforma. Sempre, de imediato, com um pretexto técnico.
• Impõe a sua transportadora. Um «estafeta privado» que ele próprio paga, que passa muito depressa e para o qual você tem de adiantar custos.
• O pagamento passa por um canal invulgar. Um link enviado por SMS, um e-mail de confirmação recebido antes de se ter inscrito seja no que for, um pedido de NIB fora da aplicação.
• O português é quase perfeito — mas não totalmente. Um «queira validar a sua receção de fundo» no singular, uma maiúscula mal colocada, uma fórmula de cortesia traduzida à letra.
• O número é um telemóvel normal, apesar de a mensagem se dizer automática. As notificações reais das plataformas chegam de um remetente alfanumérico ou de um número curto.

Se já clicou e introduziu os seus dados

O tempo conta mais do que tudo o resto. Eis a ordem exata.

1. Cancelar o cartão imediatamente. Ligue para o número de cancelamento indicado no verso do seu cartão ou na aplicação do seu banco. Em França, o serviço interbancário nacional de oposição a cartão bancário está disponível no 0 892 705 705, 24 h por dia. Faça-o antes mesmo de avisar quem quer que seja.

2. Alterar as palavras-passe envolvidas. A da plataforma de anúncios, a do seu banco se a tiver introduzido, e a do seu e-mail se a palavra-passe era reutilizada. Ative a autenticação de dois fatores em todo o lado onde seja possível. Para quem acumula dezenas de contas, um caderno de palavras-passe em papel guardado fora de vista continua a ser uma solução imperfeita, mas infinitamente mais segura do que um ficheiro «códigos.txt» no ambiente de trabalho.

3. Denunciar a mensagem. Em França, reencaminhe o SMS fraudulento para o 33700, a plataforma nacional de denúncia de spam por chamada e SMS. É gratuito e alimenta o bloqueio dos números. O site signal-arnaques.com e a plataforma Pharos (internet-signalement.gouv.fr) também aceitam denúncias.

4. Apresentar queixa. Numa esquadra, num posto da autoridade, ou através da queixa online. Leve as capturas de ecrã do anúncio, da conversa e do SMS. Sem queixa, a esperança de reembolso é praticamente nula.

5. Pedir o reembolso ao seu banco. O artigo L133-18 do Código Monetário e Financeiro francês prevê o reembolso das operações de pagamento não autorizadas comunicadas sem demora. Os bancos invocam muitas vezes a «negligência grave» do cliente quando foi ele próprio a introduzir os dados. Esta recusa não é definitiva: o Tribunal de Cassação recordou várias vezes que cabe ao banco provar a negligência grave, e não ao cliente provar a sua ausência. Em caso de recusa, recorra ao provedor bancário e, eventualmente, aos tribunais.

6. Vigiar os extratos durante vários meses. Os dados de cartão revendidos em mercados paralelos podem ser explorados muito tempo depois. Há quem acrescente uma vigilância simples: extrato em papel arquivado num dossiê com separadores em vez de uma pilha de correspondência, para detetar uma anomalia de um mês para o outro.

Vender online sem expor o seu número

A melhor proteção consiste em nunca dar à burla a oportunidade de começar. Bastam alguns hábitos.

Ficar no serviço de mensagens da plataforma, sem exceção. Nenhuma razão invocada justifica sair de lá. Se o comprador insiste, acabou de se desqualificar sozinho.

Privilegiar a entrega em mão com pagamento em dinheiro ou transferência imediata recebida e verificada na sua aplicação. Verificada significa: abre o seu banco e vê o montante creditado. Não uma captura de ecrã apresentada pelo comprador.

Nunca adiantar custos. Nenhuma transportadora legítima pede ao vendedor que pague para receber dinheiro.

Limpar as fotografias do anúncio. Uma matrícula, um número de porta, uma fatura pousada ao fundo, uma encomenda com a sua morada: são todas informações que servem depois para personalizar o ataque. Para objetos em grande plano, fotografar sobre um fundo neutro — um simples fundo fotográfico dobrável resolve — evita expor o interior da sua casa.

Usar um número secundário quando a plataforma o exige. Um cartão SIM pré-pago dedicado aos anúncios classificados isola o seu número principal, aquele que está associado ao seu banco e às suas contas. Se o número secundário acabar numa lista de spam, deita-o fora.

Arquivar as conversas. Capturas de ecrã do anúncio, da conversa e da identidade da conta do comprador. Estes elementos serão indispensáveis em caso de queixa.

O ponto cego: o comprador também pode ser vítima

Acontece o burlão usar uma conta pirateada pertencente a um utilizador legítimo, com o seu histórico, as suas avaliações positivas e a sua antiguidade. A reputação apresentada não é, portanto, uma garantia absoluta: reduz o risco, não o elimina.

Da mesma forma, um perfil criado no próprio dia e com zero avaliações não é necessariamente fraudulento — toda a gente começa em algum lado. É a combinação entre um perfil novo, a ausência de negociação e um pedido para sair da plataforma que constitui o conjunto de indícios.

O que há a reter

A burla do falso comprador não explora qualquer falha técnica. Explora uma assimetria de vigilância: todos aprendemos a desconfiar a comprar, ninguém nos avisou de que também era preciso desconfiar a vender.

A regra que resume tudo cabe numa frase: receber dinheiro nunca exige nada mais do que esperar. Nenhum link para clicar, nenhum cartão para introduzir, nenhuma validação para confirmar, nenhum custo para adiantar. No dia em que alguém lhe explicar o contrário, com logótipos perfeitos e um português impecável, saberá exatamente o que tem à sua frente.