# «Já paguei, valide a entrega»: a burla do falso comprador nos sites de anúncios classificados

> Está a vender um artigo usado e um comprador apressado envia-lhe um link por SMS para «validar a receção do pagamento». Análise completa da burla do falso comprador, dos sinais de alerta e do que fazer se já clicou.

- Source: https://www.envoyer-sms-gratuit.com/pt/blog/2026-09-16/arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement
- Published: 2026-09-16 (16 de setembro de 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: pt
- Categories: Guide
- Tags: Cybersécurité, SMS, Guide, Cas d'usage, France 2026, Smartphone, Protection des données

---
«Olá, fico com a sua bicicleta pelo preço pedido, não é preciso negociar. Já efetuei o pagamento seguro através da plataforma, vai receber um SMS para validar a receção dos fundos. A minha transportadora passa amanhã de manhã.»

A mensagem é educada, rápida, sem regateio. É precisamente isso que deveria dar o alerta — e é precisamente isso que tranquiliza. Depois de três semanas com o anúncio online e quatro curiosos que ofereceram metade do preço, um comprador que diz logo que sim parece uma bênção, não uma armadilha.

A burla do falso comprador tem uma particularidade que a torna temível: inverte os papéis. Todas as campanhas de prevenção nos ensinaram a desconfiar quando **compramos** online. Quase ninguém nos explicou que também se pode ser roubado a **vender**. E, no entanto, é hoje um dos cenários de smishing mais comuns, e já não visa apenas os principiantes.

![Homem de camisola bege a consultar o telemóvel na rua, com um copo de café na mão](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/hero.jpg)

## O cenário completo, passo a passo

Ao contrário do falso SMS de entrega que chega do nada, esta burla vai-se construindo. Começa sempre por um anúncio **real**, publicado por si, numa plataforma **real**. O burlão não fabrica nada: explora aquilo que você colocou online.

**Etapa 1 — O contacto-relâmpago.** Poucos minutos ou poucas horas depois da publicação, chega uma mensagem através do serviço de mensagens interno do site. O comprador aceita o preço anunciado, não faz qualquer pergunta técnica sobre o artigo e diz-se «muito interessado». Invoca muitas vezes um constrangimento: vai partir em viagem, está a comprar para um familiar, não se pode deslocar.

**Etapa 2 — A saída da plataforma.** É o momento decisivo. O comprador pede o seu número de telemóvel «para ser mais rápido» ou «porque a aplicação está com problemas». Você dá-o, a conversa passa para SMS ou para uma aplicação de mensagens encriptada. Acabou de sair do espaço onde a plataforma arquiva, modera e pode suspender uma conta.

**Etapa 3 — O comprovativo de pagamento.** O burlão envia uma captura de ecrã de uma transferência efetuada, por vezes um falso e-mail de confirmação com as cores da plataforma. Estes documentos são bem feitos: logótipo correto, tipo de letra correto, menções legais copiadas. Não têm qualquer valor, mas criam a sensação de que o processo avança.

**Etapa 4 — O SMS armadilhado.** Chega uma mensagem, alegadamente automática, com um link: «O seu pagamento de 480 € está pendente. Clique para validar a receção dos fundos na sua conta.» O domínio imita o da plataforma ou o de um serviço de pagamento conhecido, com uma variação minúscula.

**Etapa 5 — O formulário.** A página pede o número do seu cartão bancário, a data de validade, o código de segurança e, por vezes, o seu saldo disponível «para verificar a compatibilidade do depósito». Depois pede-lhe para validar uma notificação na aplicação do seu banco.

**Etapa 6 — O débito.** Essa validação não autoriza uma receção, autoriza um **pagamento a sair** ou o registo do seu cartão numa carteira digital controlada pelo burlão. Os débitos sucedem-se, por vezes espaçados ao longo de vários dias para não desencadear alertas.

## A mentira central: nunca se «valida» um recebimento

Convém gravar isto algures, porque é o único ponto em que toda a burla assenta.

> Receber dinheiro **nunca** exige comunicar o número do seu cartão bancário, o código de segurança, nem validar uma operação na aplicação do seu banco.

Uma transferência recebida chega sozinha. Um reembolso chega sozinho. Um pagamento através de uma plataforma de venda chega à carteira da plataforma e só depois à sua conta, na sequência de um pedido de levantamento que **você** inicia a partir da aplicação oficial, entrando você mesmo na sua conta.

Os dados de um cartão bancário servem exclusivamente para **debitar** esse cartão. O código de três dígitos no verso só existe para provar que tem fisicamente o cartão consigo no momento de uma compra. Nenhum sistema no mundo precisa dele para lhe entregar dinheiro. A Cybermalveillance.gouv.fr, o dispositivo nacional francês de assistência às vítimas de atos de cibermalveillance, repete este princípio em todas as suas fichas dedicadas ao phishing.

O corolário prático: assim que um interlocutor, seja ele quem for, junta as palavras «receber» e «cartão bancário» na mesma frase, a conversa termina.

## As variantes que circulam em 2026

O cenário de base tem várias declinações. Eis as formas mais frequentemente assinaladas.

| Variante | Pretexto | O que lhe pedem |
|---|---|---|
| O pagamento a mais | «Paguei 800 € em vez de 80 €, devolva-me a diferença» | Uma transferência sua para um IBAN desconhecido |
| Os custos de envio | «A transportadora exige que o vendedor adiante os custos, depois são devolvidos» | Um pagamento de 30 a 60 € com cartão |
| O seguro da encomenda | «O artigo tem de ser segurado, a plataforma reembolsa-o depois» | Um pagamento + os seus dados bancários |
| A conta profissional | «A sua conta tem de passar a estatuto de vendedor verificado» | Um documento de identidade + um NIB + um cartão |
| O falso litígio | «O comprador contestou, regularize no prazo de 24 h» | Um início de sessão numa falsa área de cliente |

A variante do pagamento a mais merece atenção especial: não passa por um link armadilhado. O burlão envia um falso comprovativo de transferência, você constata «um erro» e o seu reflexo de honestidade leva-o a devolver o dinheiro de imediato. A transferência inicial nunca existiu, ou será anulada. A sua devolução, essa, é bem real e irrecuperável.

## Porque é que os vendedores caem, mesmo os prudentes

Há razões estruturais, e nada têm a ver com ingenuidade.

**O contexto tornou a troca plausível.** Você estava à espera de um comprador. O SMS chega no momento exato em que faz sentido. É aquilo a que os investigadores em segurança chamam o *contexto de expectativa*: uma mensagem fraudulenta que coincide com uma ação real da vítima multiplica a sua taxa de sucesso.

**O burlão conhece pormenores verdadeiros.** O modelo da bicicleta, a cor do sofá, o preço pedido, por vezes o seu nome próprio: está tudo no seu anúncio. Estes elementos dão à mensagem um verniz de autenticidade que nenhum SMS falso genérico alcança.

**A pressão temporal faz parte do comércio.** «A minha transportadora passa amanhã» não tem nada de anormal numa transação. A urgência não é percecionada como manipulação, mas como logística.

**O vendedor está em posição de quem precisa.** Quer livrar-se do objeto, muitas vezes para recuperar uma quantia já mentalmente gasta. Esta assimetria afetiva desativa o espírito crítico muito mais eficazmente do que uma ameaça.

![Jovem sentado num banco de madeira num parque, a consultar o smartphone](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-1.jpg)

## Ler o URL: os três segundos que salvam

Quando chega um link, existe um método simples para o examinar sem clicar. Leia o endereço **da direita para a esquerda**, começando na primeira `/`.

O domínio real é o que precede imediatamente a primeira `/`, recuando até ao ponto anterior à extensão. Todo o resto é decorativo.

- `https://leboncoin.paiement-securise[.]xyz/valider` → o domínio real é `paiement-securise.xyz`. A marca é apenas um subdomínio, ou seja, texto que qualquer pessoa pode escrever.
- `https://secure-paypa1[.]com/confirm` → o `1` substitui o `l`. Num ecrã de 6 polegadas, a andar na rua, ninguém repara.
- `https://bit[.]ly/3xK9pL` → um encurtador esconde totalmente o destino. Um serviço legítimo de pagamento nunca usa um destes num SMS transacional.

Esta verificação exige um ecrã legível e boa luz. Muita gente clica porque não distingue os caracteres: se tem dificuldade em ler textos pequenos, aumentar o tamanho da letra do sistema faz mesmo diferença, tal como uma [película antirreflexo para smartphone](https://www.amazon.fr/s?k=film+protection+%C3%A9cran+antireflet+smartphone&tag=ds050-21) quando se consulta o telemóvel no exterior. Não é um pormenor cosmético: boa parte do smishing assenta em diferenças tipográficas de um único caractere.

Outro hábito útil: nunca abrir um link sensível nos transportes ou a andar. A vigilância visual cai a pique e é estatisticamente aí que ocorrem os cliques acidentais.

## Os sinais de alerta a saber de cor

Nenhum sinal é suficiente sozinho. Dois sinais em conjunto é burla até prova em contrário.

- **O comprador não negoceia e não faz qualquer pergunta sobre o artigo.** Um comprador verdadeiro quer saber se a bicicleta foi revista, se a garantia ainda está ativa, se o ecrã tem riscos.
- **Quer sair do serviço de mensagens da plataforma.** Sempre, de imediato, com um pretexto técnico.
- **Impõe a sua transportadora.** Um «estafeta privado» que ele próprio paga, que passa muito depressa e para o qual você tem de adiantar custos.
- **O pagamento passa por um canal invulgar.** Um link enviado por SMS, um e-mail de confirmação recebido antes de se ter inscrito seja no que for, um pedido de NIB fora da aplicação.
- **O português é quase perfeito — mas não totalmente.** Um «queira validar a sua receção de fundo» no singular, uma maiúscula mal colocada, uma fórmula de cortesia traduzida à letra.
- **O número é um telemóvel normal, apesar de a mensagem se dizer automática.** As notificações reais das plataformas chegam de um remetente alfanumérico ou de um número curto.

## Se já clicou e introduziu os seus dados

O tempo conta mais do que tudo o resto. Eis a ordem exata.

**1. Cancelar o cartão imediatamente.** Ligue para o número de cancelamento indicado no verso do seu cartão ou na aplicação do seu banco. Em França, o serviço interbancário nacional de oposição a cartão bancário está disponível no **0 892 705 705**, 24 h por dia. Faça-o antes mesmo de avisar quem quer que seja.

**2. Alterar as palavras-passe envolvidas.** A da plataforma de anúncios, a do seu banco se a tiver introduzido, e a do seu e-mail se a palavra-passe era reutilizada. Ative a autenticação de dois fatores em todo o lado onde seja possível. Para quem acumula dezenas de contas, um [caderno de palavras-passe em papel](https://www.amazon.fr/s?k=carnet+de+mots+de+passe+papier&tag=ds050-21) guardado fora de vista continua a ser uma solução imperfeita, mas infinitamente mais segura do que um ficheiro «códigos.txt» no ambiente de trabalho.

**3. Denunciar a mensagem.** Em França, reencaminhe o SMS fraudulento para o **33700**, a plataforma nacional de denúncia de spam por chamada e SMS. É gratuito e alimenta o bloqueio dos números. O site **signal-arnaques.com** e a plataforma **Pharos** (internet-signalement.gouv.fr) também aceitam denúncias.

**4. Apresentar queixa.** Numa esquadra, num posto da autoridade, ou através da queixa online. Leve as capturas de ecrã do anúncio, da conversa e do SMS. Sem queixa, a esperança de reembolso é praticamente nula.

**5. Pedir o reembolso ao seu banco.** O artigo L133-18 do Código Monetário e Financeiro francês prevê o reembolso das operações de pagamento não autorizadas comunicadas sem demora. Os bancos invocam muitas vezes a «negligência grave» do cliente quando foi ele próprio a introduzir os dados. Esta recusa não é definitiva: o Tribunal de Cassação recordou várias vezes que cabe ao banco **provar** a negligência grave, e não ao cliente provar a sua ausência. Em caso de recusa, recorra ao provedor bancário e, eventualmente, aos tribunais.

**6. Vigiar os extratos durante vários meses.** Os dados de cartão revendidos em mercados paralelos podem ser explorados muito tempo depois. Há quem acrescente uma vigilância simples: extrato em papel arquivado num [dossiê com separadores](https://www.amazon.fr/s?k=classeur+%C3%A0+compartiments+documents&tag=ds050-21) em vez de uma pilha de correspondência, para detetar uma anomalia de um mês para o outro.

![Homem de camisa escura, com a mão no rosto, a consultar o smartphone diante de uma fachada metálica](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-2.jpg)

## Vender online sem expor o seu número

A melhor proteção consiste em nunca dar à burla a oportunidade de começar. Bastam alguns hábitos.

**Ficar no serviço de mensagens da plataforma, sem exceção.** Nenhuma razão invocada justifica sair de lá. Se o comprador insiste, acabou de se desqualificar sozinho.

**Privilegiar a entrega em mão com pagamento em dinheiro ou transferência imediata recebida e verificada na sua aplicação.** Verificada significa: abre o seu banco e vê o montante creditado. Não uma captura de ecrã apresentada pelo comprador.

**Nunca adiantar custos.** Nenhuma transportadora legítima pede ao vendedor que pague para receber dinheiro.

**Limpar as fotografias do anúncio.** Uma matrícula, um número de porta, uma fatura pousada ao fundo, uma encomenda com a sua morada: são todas informações que servem depois para personalizar o ataque. Para objetos em grande plano, fotografar sobre um fundo neutro — um simples [fundo fotográfico dobrável](https://www.amazon.fr/s?k=fond+photo+pliable+studio+produit&tag=ds050-21) resolve — evita expor o interior da sua casa.

**Usar um número secundário quando a plataforma o exige.** Um [cartão SIM pré-pago](https://www.amazon.fr/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds050-21) dedicado aos anúncios classificados isola o seu número principal, aquele que está associado ao seu banco e às suas contas. Se o número secundário acabar numa lista de spam, deita-o fora.

**Arquivar as conversas.** Capturas de ecrã do anúncio, da conversa e da identidade da conta do comprador. Estes elementos serão indispensáveis em caso de queixa.

## O ponto cego: o comprador também pode ser vítima

Acontece o burlão usar uma conta pirateada pertencente a um utilizador legítimo, com o seu histórico, as suas avaliações positivas e a sua antiguidade. A reputação apresentada não é, portanto, uma garantia absoluta: reduz o risco, não o elimina.

Da mesma forma, um perfil criado no próprio dia e com zero avaliações não é necessariamente fraudulento — toda a gente começa em algum lado. É a **combinação** entre um perfil novo, a ausência de negociação e um pedido para sair da plataforma que constitui o conjunto de indícios.

## O que há a reter

A burla do falso comprador não explora qualquer falha técnica. Explora uma assimetria de vigilância: todos aprendemos a desconfiar a comprar, ninguém nos avisou de que também era preciso desconfiar a vender.

A regra que resume tudo cabe numa frase: **receber dinheiro nunca exige nada mais do que esperar**. Nenhum link para clicar, nenhum cartão para introduzir, nenhuma validação para confirmar, nenhum custo para adiantar. No dia em que alguém lhe explicar o contrário, com logótipos perfeitos e um português impecável, saberá exatamente o que tem à sua frente.

{/* image-sources: https://images.pexels.com/photos/5648374/pexels-photo-5648374.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/5384455/pexels-photo-5384455.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/13801812/pexels-photo-13801812.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}