«Código de verificação: 748 219. Não comunique este código a ninguém, incluindo a um assistente.»
Não pediu nada. No entanto, o SMS vem de um remetente que reconhece — o nome do seu banco, de um marketplace, de um serviço de pagamentos. Lê-o duas vezes, encolhe os ombros. E vinte e cinco segundos depois, o telefone toca.
Do outro lado da linha, uma voz serena, um ligeiro ruído de call center ao fundo, o seu nome pronunciado corretamente. «Bom dia, serviço de segurança. Detetámos uma tentativa de pagamento de 847 euros na sua conta a partir de um dispositivo desconhecido. Acabou de receber um código por SMS: é o código de anulação. Pode ditar-mo para que eu bloqueie a operação?»
Esse código não anula nada. Autoriza. E o SMS que o avisava dizia exatamente a verdade — só que já estava dentro do guião de outra pessoa.
O código de utilização única, último ferrolho antes do vazio
Desde a entrada em vigor da diretiva europeia dos serviços de pagamento (DSP2), que impõe a autenticação forte do cliente, quase todas as operações sensíveis passam por um segundo fator: um código enviado por SMS, uma notificação a validar na aplicação bancária, por vezes uma impressão digital.
Esse código — fala-se de OTP, one-time password, palavra-passe de utilização única — tornou-se o ponto de passagem obrigatório de qualquer fraude. Um burlão que disponha do seu nome de utilizador e da sua palavra-passe, obtidos numa fuga de dados ou através de um site falso, já não consegue fazer nada sozinho. Falta-lhe uma coisa: os seis dígitos que só você recebe.
Daí uma inversão completa da estratégia criminosa. Já não se trata de piratear um sistema, mas de convencer um ser humano a ler seis dígitos em voz alta. É infinitamente menos dispendioso e, infelizmente, mais eficaz.
O Banco de França e o Observatório da segurança dos meios de pagamento notam-no ano após ano: a fraude «com manipulação da vítima» progride enquanto a fraude puramente técnica recua. O atacante já não precisa de ser informático. Precisa de ser ator — ou de ter um robô que o seja por ele.
Os «OTP bots»: quando a burla se torna uma subscrição mensal
É a verdadeira mudança dos últimos dois anos, e é pouco conhecida do grande público. O roubo de códigos de verificação industrializou-se sob a forma de serviços chave na mão, vendidos em canais de mensagens privados a tarifas mensais.
O princípio é de uma simplicidade deprimente. O burlão dispõe das suas credenciais (compradas num lote de dados roubados). Liga-se à sua área de cliente, o que desencadeia o envio automático do verdadeiro SMS pelo verdadeiro serviço. No mesmo instante, introduz o seu número no robô e escolhe um cenário: «banco», «entrega», «plataforma de criptomoedas», «operador de telecomunicações».
O robô liga para o seu número, reproduz uma voz sintética — muitas vezes excelente, num português sem sotaque, com o ambiente sonoro de um centro de atendimento — e pede-lhe que digite ou dite o código que acabou de receber. Assim que o faz, o código chega ao burlão em tempo real, que o introduz antes de expirar. Toda a operação demora menos de noventa segundos.
Três pormenores tornam este dispositivo temível:
- A sincronização é perfeita. O SMS legítimo e a chamada chegam pela ordem certa, com alguns segundos de intervalo. O cérebro liga automaticamente os dois acontecimentos.
- O SMS é autêntico. Vem realmente do seu banco, do remetente correto, com a formatação correta. Nada a detetar, nenhum link duvidoso para passar o rato por cima: não há link nenhum.
- O número apresentado é falsificado. Graças ao spoofing, a chamada parece provir do número impresso no verso do seu cartão bancário.
Por outras palavras, todos os reflexos que nos ensinam há dez anos — verificar o link, verificar o remetente, verificar o número — são neutralizados de uma só vez.
Os cinco cenários mais frequentes
1. O falso assistente de «segurança»
O clássico. Teria sido detetado um pagamento suspeito, é preciso anulá-lo. O código serviria supostamente para «bloquear», «rejeitar», «proteger». Um banco nunca pede um código para anular seja o que for: a anulação faz-se do lado dele, sem a sua intervenção.
2. A confirmação de entrega
Uma encomenda estaria retida, um horário por confirmar. O código serviria alegadamente para «validar a morada». Na prática, valida muitas vezes a criação de uma conta ou a associação de um cartão bancário a uma carteira digital.
3. A venda entre particulares
Está a vender um objeto. O comprador envia-lhe um código «para verificar que não é um robô» antes de se deslocar. É um código de inscrição num serviço externo, associado ao seu número — que servirá depois para montar outras fraudes em seu nome.
4. O falso apoio ao cliente do operador
Propõem-lhe um desconto, um gesto comercial, uma migração de tarifário. O código pedido é na realidade aquele que autoriza a transferência da sua linha para outro cartão SIM. Esta variante conduz diretamente ao controlo total do seu número.
5. A «reativação» de uma conta congelada
Uma conta de e-mail, uma plataforma de anúncios classificados, um serviço de pagamento móvel: anunciam-lhe um bloqueio e «ajudam-no» a desbloquear. O código desbloqueia efetivamente alguma coisa — o acesso do burlão.
Porque é que pessoas prudentes caem na mesma
É preciso abandonar a ideia de que estas burlas visam apenas pessoas pouco à vontade com a tecnologia. Os cenários exploram mecanismos cognitivos universais, perfeitamente documentados.
A urgência elimina a verificação. Uma quantia importante, uma conta em perigo, um prazo de dois minutos: o cérebro passa ao modo reação. Os estudos sobre a tomada de decisão sob stress mostram uma queda nítida da capacidade de considerar hipóteses alternativas.
A coerência tranquiliza mais do que a autenticidade. Recebe um SMS, ligam-lhe a propósito desse SMS: os dois elementos confirmam-se mutuamente. Chama-se a isto a ilusão de corroboração. Ora, ambos provêm da mesma fonte — o burlão limitou-se a desencadear o primeiro.
A autoridade desarma a contestação. Uma voz calma, um vocabulário técnico («cancelamento», «rejeição de operação», «nível 2»), um número conhecido. Interromper alguém que parece estar a ajudá-lo exige um esforço social real.
A formulação do código é contornada. «Não comunique este código a ninguém» é apresentado pelo burlão como uma instrução destinada às outras chamadas: «Claro, tem toda a razão em desconfiar. É precisamente por isso que sou eu a ligar-lhe a partir do número oficial.» A dúvida é absorvida, invertida, transformada em prova de seriedade.
A regra única que basta para bloquear tudo
Pode esquecer as listas de dez conselhos. Uma só frase protege contra todos estes cenários:
Um código recebido por SMS nunca se diz, nunca se digita num teclado telefónico, nunca se reencaminha. É introduzido apenas por si, num ecrã, numa aplicação ou num site que abriu você próprio.
Nenhuma exceção. Nem para um gestor de conta bancária, nem para um polícia, nem para um técnico, nem para um estafeta, nem para um comprador. Nenhum profissional legítimo precisa desse código, porque nenhum profissional legítimo está a agir em seu lugar na sua conta.
Corolário igualmente importante: um código recebido sem motivo é um sinal de alerta, não um engano. Se chega sem que tenha feito nada, isso significa que alguém já possui as suas credenciais e está a tentar entrar. A reação correta não é ignorar o SMS, é mudar imediatamente a palavra-passe do serviço em causa, a partir da aplicação oficial.
Retomar o controlo: os gestos concretos
Desligar e depois ligar você mesmo
É o gesto mais eficaz e o mais difícil de executar. Desliga-se, espera-se um minuto completo (alguns burlões mantêm a linha aberta) e depois marca-se o número que consta no verso do cartão bancário ou na aplicação. Se o incidente fosse real, continuará lá daqui a cinco minutos.
Para quem recebe muitas chamadas indesejadas, um telefone fixo com filtragem de chamadas — que bloqueia os números não registados ou impõe uma mensagem prévia — elimina boa parte do ruído. É um investimento modesto para um familiar idoso que não se atreve a desligar na cara de um interlocutor educado.
Abandonar o SMS na autenticação sempre que possível
O SMS continua a ser o fator de autenticação mais fraco: pode ser intercetado por desvio da linha, é legível num ecrã bloqueado e é vulnerável à manipulação aqui descrita. Quando um serviço o permitir, prefira uma aplicação de autenticação (validação na app bancária, gerador de códigos) ou, para as contas mais sensíveis, uma chave de segurança física FIDO2, que tem o mérito de não mostrar nada que se possa ditar a um desconhecido.
Bloquear a pré-visualização das mensagens
Por defeito, muitos telemóveis mostram o conteúdo dos SMS no ecrã bloqueado. Um código visível sem desbloquear é um código exposto a quem quer que olhe para o aparelho — num comboio, num open space, numa sala de espera. A definição encontra-se nas notificações: escolha «ocultar o conteúdo». Um filtro de privacidade para ecrã de smartphone complementa utilmente a medida para quem consulta o telemóvel nos transportes.
Proteger a própria linha
Uma vez que o SMS chega ao seu cartão SIM, o cartão SIM torna-se um alvo. Duas precauções: ativar o código PIN do cartão (desativado por defeito em muitos utilizadores) e pedir ao operador o bloqueio da portabilidade, uma opção que impede a transferência da linha sem validação reforçada. Quem separa os seus usos apreciará um telemóvel dual SIM, que permite reservar um número dedicado aos serviços bancários, nunca divulgado em anúncios nem em formulários.
Escrever a regra num suporte físico
Parece ingénuo e, no entanto, é o que melhor funciona junto das pessoas vulneráveis. Um cartão impresso colocado junto ao telefone fixo com três linhas: «Nunca dito um código. Desligo. Ligo eu mesmo para o meu banco.» Várias associações de prevenção distribuem este tipo de lembrete. Um guia prático sobre cibersegurança no dia a dia, deixado na mesa de centro, faz muitas vezes mais pela vigilância familiar do que um longo discurso.
Se deu o código
Não há razão para vergonha — estes cenários são concebidos por profissionais que fazem disto o seu trabalho a tempo inteiro. Em contrapartida, há uma urgência.
| Prazo | Ação |
|---|---|
| Imediatamente | Ligar para o serviço de cancelamento do banco (número no verso do cartão) e mandar bloquear o cartão e o acesso online |
| Na primeira hora | Alterar a palavra-passe do serviço em causa e da caixa de e-mail associada, a partir de outro dispositivo se possível |
| Nas 24 h seguintes | Comunicar na plataforma oficial de denúncia de fraudes e apresentar queixa na polícia |
| Nos 13 meses seguintes | Contestar por escrito junto do banco as operações não autorizadas |
Algumas referências úteis:
- O 3018 (chamada e serviço gratuitos) acompanha as vítimas de violências digitais; o Info Escroqueries, através do 0 805 805 817, informa sobre os procedimentos.
- Os SMS fraudulentos denunciam-se no 33700, serviço comum aos operadores franceses.
- O site cybermalveillance.gouv.fr, dispositivo nacional de assistência, disponibiliza fichas de reação e um diretório de prestadores certificados.
- O Code monétaire et financier prevê o reembolso das operações de pagamento não autorizadas, salvo negligência grave do cliente. A noção de negligência grave é apreciada caso a caso: o facto de se ter sido vítima de uma manipulação elaborada, com falsificação do número do banco, já foi considerado a favor do cliente pela Cour de cassation. Guarde tudo: capturas de ecrã, horários das chamadas, número apresentado, conteúdo dos SMS.
O que esta burla anuncia para o futuro
O código de utilização única por SMS está a viver os seus últimos anos como norma de segurança. As autoridades europeias de supervisão bancária já incentivam a migração para métodos que ligam a autenticação ao dispositivo e à própria operação — uma validação na aplicação que mostra o montante e o beneficiário, muito mais difícil de desviar por telefone.
Entretanto, a vulnerabilidade não está nem no telemóvel nem na rede: está na conversa. Um burlão não rouba um código, obtém-no. O que significa que uma única decisão — recusar educadamente, desligar, ligar você mesmo — basta para fazer falhar uma cadeia de ataque inteira, robôs de voz incluídos.
O SMS que o avisa tem razão. É a chamada a seguir que mente.
