«CAF: o seu processo n.º ALL-77204 está suspenso devido a falta de coordenadas bancarias. Atualize o seu IBAN ate 25/09 para evitar a interrupcao do pagamento: http://caf-allocataire-maj.fr/rib»
São 18h40, chega das compras e a mensagem aparece entre duas notificações. Não tratou de nada com a CAF este mês. Mas mudou de banco em julho. Ou a sua filha saiu de casa. Ou o seu quociente familiar mudou depois da última declaração de rendimentos. Num processo de beneficiário há sempre um pormenor que não está perfeitamente atualizado.
E sobretudo: se o pagamento falhar, não é um simples aborrecimento administrativo. É a renda do dia 5, a cantina, a gasolina para ir trabalhar. É exatamente sobre essa tensão que a burla se apoia.
Porque é que a CAF se tornou um alvo preferencial
A Caisse nationale des allocations familiales (CNAF) e a sua rede de caixas locais pagam prestações a cerca de 13,7 milhões de beneficiários em França. Abono de família, apoio personalizado à habitação, prémio de atividade, RSA, subsídio de apoio familiar, subsídio de educação da criança com deficiência: é o maior ficheiro de beneficiários do país a seguir ao da Segurança Social na saúde.
Para um burlão, esta dimensão muda tudo. Quando envia 100 000 SMS ao acaso usurpando a identidade de um banco regional, talvez atinja 3% de clientes reais. Quando usurpa a CAF, atinge uma fração enorme da população — e, sobretudo, uma população que, estatisticamente, tem necessidade imediata do dinheiro em causa.
Acrescente-se três ingredientes específicos:
- Um vocabulário administrativo intimidante. «Reposição de direitos», «dívida», «valor recebido em excesso», «quociente familiar», «declaração trimestral de rendimentos», «regularização». Quem sabe espontaneamente o que desencadeia um reembolso e o que desencadeia um pedido de pagamento?
- Pagamentos com datas fixas e esperados. O calendário de pagamentos da CAF é público: o pagamento é feito, em geral, no dia 5 de cada mês. Um SMS que chega no dia 28 ou no dia 2 encaixa exatamente na ansiedade da transferência que está para vir.
- Uma relação digital por defeito. Desde a generalização da conta de beneficiário em linha e da aplicação móvel, a CAF comunica efetivamente por e-mail e por notificação. O falso infiltra-se num fluxo legítimo.
Aliás, a CNAF publica regularmente alertas no seu site caf.fr e nas suas contas oficiais: recorda que nunca pede coordenadas bancárias completas, número de cartão, nem palavra-passe por SMS ou por e-mail.
Os quatro cenários que circulam
1. A suspensão do processo
O mais frequente. Um número de processo credível, um prazo-limite de três ou quatro dias, uma ligação para uma página que reproduz fielmente o aspeto de caf.fr. Pedem-lhe o número de beneficiário, a data de nascimento e depois um IBAN «a confirmar» — na realidade, para roubar, ou para substituir pelo do burlão numa sessão verdadeira desviada.
2. O valor recebido a mais, a devolver
Uma variante agressiva: a CAF ter-lhe-ia pago 428,30 € a mais e tem de regularizar em linha, sob pena de «cobrança coerciva». O montante é sempre preciso, nunca redondo. O pagamento é feito com cartão bancário numa página de pagamento falsa, muitas vezes seguida de uma chamada «do serviço de cobranças» para o levar a validar uma operação maior.
3. O subsídio excecional
O espelho positivo: teria direito a um «complemento de solidariedade» ou a um «apoio excecional de regresso às aulas» de 180 €, a reclamar antes de expirar. Para o receber, é preciso… introduzir o cartão bancário, alegadamente para «verificar a identidade do titular». Esta versão prolifera na época do regresso às aulas e em dezembro.
4. O falso conselheiro que liga de volta
A mais perigosa. O SMS limita-se a semear a dúvida; a seguir, um humano telefona a partir de um número que aparece como o da sua caixa local (falsificação do identificador de chamadas, tecnicamente trivial). Já sabe o seu nome e a sua cidade — por vezes obtidos numa fuga de dados anterior. Pede-lhe que leia um código recebido por SMS «para autenticar a chamada». Na realidade, esse código valida um pagamento, uma alteração de dados ou a adição de um dispositivo ao seu banco em linha.
O Banco de França, no relatório anual do Observatório da segurança dos meios de pagamento, sublinha a progressão contínua destas burlas por manipulação: já não é a técnica que quebra a segurança, é a vítima que, de boa-fé, abre ela própria a porta.
Os sinais que não enganam
Há marcadores fiáveis e há outros falsos. Comecemos por desmontar uma ideia feita: a ortografia já não é um critério. Os geradores de texto atuais produzem SMS impecáveis. Algumas mensagens falsas estão mais bem redigidas do que as verdadeiras.
Eis o que continua a ser sólido:
| Elemento | SMS legítimo da CAF | SMS fraudulento |
|---|---|---|
| Ligação | Remete para caf.fr ou para a aplicação; muitas vezes nem sequer tem ligação | caf-allocataire.xyz, caf-regularisation.com, caf.fr.secure-maj.net |
| Pedido | Convida-o a consultar a sua área pessoal | Pede IBAN, cartão bancário, palavra-passe, documento de identificação |
| Urgência | Prazos administrativos longos, cartas de insistência | 24 a 72 horas, ameaça de suspensão |
| Pagamento | A CAF nunca recebe pagamentos por cartão através de uma ligação em SMS | Página de pagamento com cartão imediata |
| Remetente | Nome curto («CAF») ou número oficial | Número de telemóvel 06/07, indicativo estrangeiro ou nome usurpado |
O ponto mais importante é o do subdomínio. caf.fr.verification-dossier.com não pertence à CAF: o domínio real é sempre o que precede imediatamente o último ponto antes da primeira /. Aqui, verification-dossier.com. É a armadilha mais eficaz de todo o smishing, porque o ecrã de um telemóvel trunca o endereço e mostra precisamente a parte tranquilizadora.
Um pormenor prático: ler um URL completo num ecrã estalado ou num visor de 5 polegadas com letra demasiado pequena é quase uma proeza. Muitas vítimas contam ter «visto caf.fr» sem ter visto o resto. Substituir um vidro partido ou colocar um vidro temperado de proteção não é um gesto de cibersegurança, mas um ecrã legível faz parte das condições mínimas para verificar uma ligação antes de lhe tocar.
O que a CAF faz realmente — e o que nunca faz
Para reconhecer o falso, é preciso conhecer o verdadeiro. Alguns pontos de referência do funcionamento oficial da rede das CAF:
- As notificações de direitos e as decisões importantes chegam à área «Mon compte» em caf.fr e, no caso das mais formais, por carta postal.
- Uma dívida (valor recebido em excesso) é notificada por carta, com indicação das vias e prazos de recurso, e é recuperada por retenção nas prestações seguintes ou por um título de pagamento dirigido à caixa. Nunca por cartão bancário através de uma ligação recebida por SMS.
- Uma alteração de IBAN faz-se a partir da área pessoal autenticada ou via FranceConnect. A CAF não lhe telefona para lho ditar.
- A CAF nunca pede a sua palavra-passe nem o código de utilização única enviado pelo seu banco.
- As chamadas feitas por um conselheiro existem, mas um conselheiro nunca exige uma operação financeira imediata.
Em caso de dúvida, o único método correto é ignorar a mensagem e voltar por um canal que domina: a aplicação CAF instalada a partir da loja oficial do seu telemóvel, o endereço caf.fr escrito à mão ou o 3230 — o número nacional do serviço público, sem sobretaxa.
Quem cai mesmo na armadilha
Imaginamos facilmente vítimas idosas e pouco à vontade com o digital. Os dados das plataformas públicas contam outra coisa. As pessoas atingidas pelos falsos SMS de organismos sociais são muitas vezes ativas, pais jovens, em situação de trabalho precário ou de guarda partilhada, ou seja, exatamente aquelas cujo processo sofre alterações frequentes e cujo orçamento mensal não tem qualquer margem.
Três fatores agravantes aparecem repetidamente nos testemunhos:
- A multitarefa. O SMS é lido no autocarro, entre duas crianças, na caixa de uma loja. A atenção disponível é de alguns segundos.
- A vergonha antecipada. Muitos receiam ter «cometido um erro na declaração». Essa culpa difusa leva a regularizar depressa e discretamente, sem falar do assunto.
- O hábito do balcão digital. Quando toda a relação passa por um ecrã, mais um ecrã não desencadeia qualquer alerta.
Existe um contra-reflexo muito simples e muito eficaz: proibir-se qualquer decisão financeira nos cinco minutos seguintes a uma mensagem inesperada. Cinco minutos chegam para que o medo passe e a incoerência apareça.
Proteger o telemóvel sem se tornar especialista
Nenhuma ferramenta substitui a vigilância, mas algumas configurações reduzem claramente a superfície de exposição.
Ativar a filtragem de remetentes desconhecidos. No iPhone, Definições → Aplicações → Mensagens → «Filtrar remetentes desconhecidos». No Android, a aplicação Mensagens da Google oferece uma proteção antispam que se ativa nas definições. As mensagens suspeitas ficam isoladas num separador à parte, o que quebra o efeito de surpresa.
Nunca abrir uma ligação a partir da notificação. Habitue-se a fechar o SMS, abrir a aplicação oficial e procurar aí a informação. Se a mensagem for verdadeira, a informação está lá.
Bloquear a validação dos pagamentos. A maioria dos bancos permite definir limites para os pagamentos em linha e exigir uma validação biométrica na aplicação. É a última barreira quando tudo o resto cedeu.
Guardar o que importa. Uma pen USB para smartphone ou um pequeno disco rígido externo permitem conservar offline os documentos de um processo de beneficiário (certidões, comprovativos, IBAN) sem depender de uma conta que possa ser comprometida.
Preparar o terreno para os familiares menos à vontade. Para um pai ou mãe idosos, ou para alguém pouco habituado ao digital, um telemóvel com teclas grandes, sem navegador de internet, elimina simplesmente o risco de clicar numa ligação armadilhada. Muitas famílias fazem essa escolha e dão-se muito bem com ela.
E para quem quer compreender em vez de sofrer, um guia prático de cibersegurança para o grande público em francês — existem vários, incluindo escritos por antigos investigadores — surte mais efeito do que mais uma aplicação de segurança instalada e depois esquecida.
Se já clicou: o que fazer, pela ordem certa
O reflexo mais caro é esperar. Eis a sequência a seguir.
- Pare tudo. Feche a página, não introduza mais nada, não responda a uma eventual chamada «do serviço de fraude».
- Ligue imediatamente para o seu banco, através do número que consta no verso do cartão. Peça o cancelamento do cartão e a vigilância da conta. Se já saiu uma transferência, peça expressamente um procedimento de devolução de fundos.
- Denuncie o SMS para o 33700, o dispositivo nacional de denúncia de spam por chamada e SMS: reencaminhe a mensagem para o 33700 e depois envie o número do remetente quando lho pedirem. É gratuito e alimenta o bloqueio das campanhas em curso.
- Apresente queixa. No caso de fraude bancária, a plataforma Perceval (através de service-public.fr) permite denunciar a utilização fraudulenta do seu cartão. Para uma burla em linha mais ampla, o dispositivo THESEE permite apresentar queixa em linha.
- Avise a CAF através da sua área pessoal ou pelo 3230, para verificar que não foi registada nenhuma alteração de IBAN no seu processo.
- Denuncie o site fraudulento em Phishing Initiative e em Cybermalveillance.gouv.fr, que acompanha gratuitamente as vítimas e orienta para os passos adequados.
- Mude as suas palavras-passe se tiver introduzido credenciais reutilizadas noutro sítio. Um gestor de palavras-passe, mesmo gratuito, evita a armadilha da palavra-passe única usada em dez sites.
A reter: no direito francês, o artigo L133-18 do Código Monetário e Financeiro obriga o banco a reembolsar uma operação de pagamento não autorizada, salvo negligência grave do cliente. O facto de se terem comunicado dados na sequência de uma mensagem fraudulenta sofisticada foi considerado, em várias ocasiões pelo Tribunal de Cassação, como não estabelecendo automaticamente essa negligência grave. Não desista de pedir o reembolso só porque «a culpa foi sua».
Falar de dinheiro já é uma forma de proteção
O que dá força à burla da CAF não é a sua técnica — essa é rudimentar. É o silêncio que instala. Ninguém conta de bom grado que teme perder o apoio à habitação, nem que acreditou dever 428 € a um organismo social.
O melhor antivírus é aqui uma frase dita em voz alta: «Recebi um SMS estranho da CAF, também recebeste?» Numa casa, numa família, numa associação de bairro, é muitas vezes essa pergunta que corta a burla pela raiz.
E se quiser avisar rapidamente vários familiares de que está a circular uma campanha, basta uma simples mensagem — essa, pelo menos, não vai conter nenhuma ligação armadilhada.
