«AGÊNCIA: a transferência da sua caução (1 180,00 €) foi rejeitada pelo seu banco. Confirme os seus dados bancários no prazo de 48h para evitar o encerramento do processo: http://espace-locataire-remb.fr/xk29»
Entregou as chaves há três semanas. A vistoria de saída correu bem, mas o agente falou numa «pequena retenção por causa das paredes do quarto». Desde então, silêncio absoluto. Insistiu uma vez por e-mail, sem resposta. E então chega este SMS, com o valor certo — ou quase — e uma explicação que encaixa exatamente naquilo que estava à espera.
Clica. Porque já pagou a primeira renda da nova casa, a caução do novo contrato, a carrinha de mudanças, e porque precisa desses 1 180 euros agora.
É toda a arte desta burla: ela não cria a angústia, instala-se em cima dela.
Porque é que o fim do contrato é uma janela de tiro ideal
A maioria das campanhas de smishing chega a frio: uma encomenda que não está à espera, uma multa que não recebeu, uma conta bancária cujo bloqueio lhe anunciam. Funcionam por volume, na esperança de calhar a alguém que, naquele dia, estava mesmo à espera de uma encomenda.
O falso SMS da caução funciona de outra maneira. Visa uma população que está realmente à espera de dinheiro, que sabe que o pagamento pode demorar, e que muitas vezes desconhece o procedimento exato.
Recordemos o enquadramento legal, porque é ele a matéria-prima da burla. A lei francesa de 6 de julho de 1989, que rege as relações de arrendamento, obriga o senhorio a devolver a caução:
- no prazo de um mês após a entrega das chaves, se a vistoria de saída estiver conforme com a de entrada;
- no prazo de dois meses em caso de diferenças que justifiquem retenções.
Ultrapassado esse prazo, o senhorio deve acrescentar 10 % da renda mensal sem encargos por cada mês de atraso iniciado. É o que recordam o serviço público e a ANIL (Agence nationale pour l'information sur le logement), que recebe todos os anos milhares de perguntas sobre este tema preciso.
Resultado: entre o dia da entrega das chaves e o dia da transferência existe uma zona de flutuação de trinta a sessenta dias durante a qual está à espera, não sabe quando o dinheiro entrará, e acha perfeitamente normal receber uma informação da agência. Foi essa zona que os burlões identificaram.
Como é que eles sabem que está de mudanças
É a pergunta que surge sempre. Quatro fontes principais, e nenhuma delas pressupõe uma pirataria sofisticada.
Os anúncios imobiliários públicos. Quando uma casa volta ao mercado de arrendamento, o anúncio contém a morada aproximada, a renda, a área, a data de disponibilidade. Um burlão que cruze essa data com um ficheiro de números pode visar às cegas um bairro inteiro: em cem envios, um punhado de destinatários estará realmente em fim de contrato.
As fugas de dados. As plataformas de procura de casa, os sites que põem inquilinos e proprietários em contacto, os serviços de mudanças online, todos tiveram incidentes. O processo de candidatura que constitui contém nome, telefone, rendimentos, entidade patronal — um resumo ideal para um cenário credível.
As mudanças de morada. Subscrever uma nova box de internet, um contrato de eletricidade, um reencaminhamento de correio: cada diligência multiplica as cópias dos seus dados em sistemas diferentes, com níveis de segurança diferentes.
Os grupos de entreajuda de mudanças. Nas redes sociais, é frequente publicar «deixo o meu T2 no bairro X no dia 30, alguém procura?» com um número à vista. É informação de acesso livre.
Nenhuma destas fontes dá o montante exato da sua caução. É por isso que o SMS fraudulento mostra muitas vezes um número plausível mas falso — e esse é um dos primeiros sinais a detetar.
Anatomia da mensagem armadilhada
As variantes parecem-se bastante. Eis os padrões recorrentes identificados nas denúncias públicas e na plataforma 33700, dedicada à sinalização de SMS e chamadas indesejadas.
| O que diz o SMS | O que procura provocar | A realidade |
|---|---|---|
| «Transferência rejeitada pelo seu banco» | Sente-se responsável por um problema técnico | Uma transferência rejeitada gera uma carta ou uma chamada, nunca um link por SMS |
| «Confirme o seu IBAN em 48h» | Urgência artificial, medo de perder o dinheiro | Nenhum prazo legal se extingue em 48h no caso de uma caução |
| «Processo em vias de encerramento» | Medo de ter de recomeçar tudo | O processo não se «encerra»: o prazo legal corre, com penalizações |
| «Taxa de processamento de 1,90 €» | Fazer passar um cartão bancário por uma formalidade | Nenhuma taxa pode ser cobrada para lhe devolver o seu dinheiro |
| «Área do inquilino segura» | Dar a impressão de um portal oficial | O URL é um nome de domínio comprado poucos dias antes |
Coexistem dois mecanismos de captação. O primeiro, o mais simples, pede o seu IBAN: servirá para montar outras fraudes, nomeadamente débitos diretos SEPA fraudulentos, ou para ser revendido. O segundo, mais agressivo, reclama o número do seu cartão bancário a pretexto de «despesas de processo» de um ou dois euros — uma quantia irrisória que desarma a vigilância, mas que entrega os dados necessários a um débito muito mais pesado, frequentemente completado por uma chamada para lhe extorquir o código de validação.
Os seis sinais que o devem travar
1. O canal. Uma agência imobiliária ou um senhorio nunca pede dados bancários por SMS. O IBAN circula através do processo de arrendamento, por carta, ou por uma área de cliente à qual se liga por iniciativa própria, escrevendo o endereço.
2. O montante. Compare ao cêntimo com o seu contrato de arrendamento. A caução de um arrendamento sem mobília está limitada a uma renda mensal sem encargos; em mobilado, pode chegar a duas. Se o valor indicado não corresponder exatamente, é adivinhação.
3. O link. Olhe para o que precede a primeira «/» depois do nome de domínio. espace-locataire-remb.fr, agence-remboursement-2026.com, restitution-caution.net: estes domínios não têm nada a ver com o nome da sua agência. Os burlões apostam em palavras tranquilizadoras, não numa identidade verdadeira.
4. A ausência de referência do processo. Uma agência conhece o seu número de contrato, a morada da casa, a data exata da vistoria. Um SMS autêntico menciona-o. Um SMS fraudulento fica-se pelo vago: «a sua habitação», «o seu processo».
5. O prazo imposto. 24h, 48h, «até sexta-feira». Nenhum procedimento de devolução funciona assim. A urgência é o marcador mais fiável da fraude.
6. O remetente. Um nome de remetente alfanumérico («AGÊNCIA», «IMMO-SERV») pode ser falsificado com grande facilidade — e pode até aparecer no mesmo fio de conversa que uma mensagem verdadeira da sua agência, o que continua a ser a armadilha mais desconcertante para as vítimas.
O reflexo que anula a burla em três minutos
Resume-se a uma frase: nunca responda pelo canal que o contacta.
Recebeu o SMS? Feche-o. Pegue no contrato que assinou, ou no e-mail de confirmação da agência, e ligue para o número que lá consta. Não o número contido no SMS, nem o que encontra no topo de uma pesquisa online — o dos seus próprios documentos.
É exatamente por isso que é útil sair da desmaterialização total no momento de uma mudança de casa. Guardar uma cópia em papel do contrato, das vistorias de entrada e de saída, do IBAN transmitido, num classificador de foles arrumado com os documentos importantes, faz poupar um tempo precioso no dia em que é preciso verificar uma informação sob pressão. O número da agência está lá, impresso, não modificável, não falsificável.
Segundo reflexo: documentar. Fotografe a vistoria de saída, guarde a data de entrega das chaves, aponte o nome do agente presente. Em caso de litígio real sobre a devolução, estes elementos valem muito mais do que uma recordação. Muitos inquilinos descobrem tarde de mais que não têm qualquer registo do estado da casa à entrada: uma simples fita métrica laser e uma série de fotografias com data e hora no momento da entrada bastam para documentar áreas e defeitos já existentes.
E se já tiver clicado?
Acontece, inclusive a pessoas muito informadas — um SMS recebido num metro cheio, entre duas caixas de cartão, não se lê com a mesma atenção que um e-mail à frente de um ecrã.
Apenas abriu a página
Sem introduzir nada, o risco é baixo. Feche o separador, não volte lá. Por precaução, verifique se o seu telemóvel não instalou alguma aplicação fora das lojas oficiais.
Introduziu o seu IBAN
Um IBAN por si só não permite esvaziar uma conta, mas autoriza tentativas de débito direto SEPA fraudulento. Três ações:
- avise o seu banco e peça a criação de uma lista branca de credores autorizados, ou no mínimo uma vigilância reforçada;
- vigie os seus extratos durante vários meses, incluindo os pequenos montantes recorrentes;
- saiba que um débito direto SEPA não autorizado pode ser contestado e reembolsado no prazo de treze meses (oito semanas sem justificação específica), nos termos do Code monétaire et financier.
Introduziu os dados do seu cartão bancário
Aqui, é preciso agir depressa.
- Cancele o cartão imediatamente junto do seu banco, ou através do servidor interbancário de declaração de perda e roubo (0 892 705 705).
- Não atenda nenhuma chamada de alguém que se apresente como o seu gestor de conta nas horas seguintes: a segunda fase da burla consiste quase sempre em telefonar-lhe para obter o código de confirmação.
- Sinalize o SMS ao 33700 (ou por SMS, reencaminhando a mensagem para o 33700 e enviando depois o número do remetente).
- Apresente queixa, online através do dispositivo THESEE para burlas online, ou na esquadra.
- Declare o incidente em cybermalveillance.gouv.fr, que orienta para os passos adequados.
Em caso de operação não autorizada comunicada dentro dos prazos, o banco tem de reembolsar, salvo se provar negligência grave da sua parte. As decisões da Cour de cassation destes últimos anos lembraram várias vezes que ter sido enganado por uma mensagem que imita a instituição não constitui, em si, negligência grave. É um ponto a conhecer: muitas vítimas desistem de contestar porque se sentem culpadas.
Proteger o seu número durante uma mudança de casa
O período é propício às fugas de dados. Alguns hábitos limitam os estragos.
Separe os seus números. Para os anúncios, os grupos de entreajuda e as visitas, usar um número secundário evita que a sua linha principal acabe em bases de dados revendidas. Um segundo telemóvel com um cartão SIM pré-pago, reservado para este tipo de diligências temporárias, continua a ser o método mais simples — e serve depois de telefone de recurso.
Nunca divulgue um documento de arrendamento sem ocultar dados. As declarações de IRS, recibos de vencimento e documentos de identificação enviados a um «proprietário» conhecido online alimentam diretamente os cenários de fraude posteriores. Tape os números fiscais e os IBAN com um marcador de ocultação antes de qualquer cópia.
Bloqueie o acesso físico ao telemóvel. Uma mudança de casa é um apartamento aberto, desconhecidos a circular, um telemóvel pousado em cima de uma caixa. Um código de seis dígitos em vez de quatro, e o bloqueio automático aos trinta segundos, custam alguns segundos por dia e eliminam um vetor de ataque inteiro.
Antecipe a falta de bateria. No dia D, o seu telemóvel é o seu único elo com a agência, a empresa de aluguer da carrinha e os seus próximos — e um telemóvel descarregado leva a pedir emprestado o de terceiros ou a ligar-se a um Wi-Fi público duvidoso. Uma bateria externa de 20 000 mAh na mochila evita essa situação.
O que este cenário diz sobre a evolução das burlas por SMS
O falso SMS da caução pertence a uma família em ascensão: as burlas contextuais. Não inventam um acontecimento, inserem-se num acontecimento real da sua vida — uma mudança de casa, um internamento, um regresso às aulas, uma herança.
Cybermalveillance.gouv.fr documenta há vários anos esta passagem do smishing em massa para um phishing mais direcionado, em que a personalização substitui o volume. A lógica é económica: mais vale cem mensagens credíveis enviadas a pessoas que estão efetivamente à espera de uma transferência do que dez mil mensagens genéricas.
A pergunta útil já não é «esta mensagem está bem escrita?», mas «por que canal deveria eu normalmente receber esta informação?».
Uma caução devolve-se por transferência bancária, sem qualquer ação da sua parte, porque a agência já dispõe do seu IBAN — deu-lho para o débito das rendas. Este simples raciocínio basta para derrubar toda a encenação.
E se a sua caução estiver mesmo a demorar? Não é um SMS que resolverá o problema, mas uma carta registada com aviso de receção a interpelar o senhorio, e depois, se for o caso, o recurso à comissão departamental de conciliação. A ANIL e as ADIL departamentais acompanham gratuitamente os inquilinos nesta diligência. É mais lento do que um link clicável, mas é a única via que acaba por lhe devolver o seu dinheiro.
