«Aviso de multa não pago»: o golpe do falso SMS da ANTAI que faz você pagar uma multa inexistente

« ANTAI : votre avis de contravention n° 7841556230 demeure impaye. Montant 35 EUR, majoration a 75 EUR le 30/09. Reglement immediat : https://antai-avis-paiement.com »

A mensagem chega numa terça-feira, às 8h12, durante o trajeto da manhã. Nenhum erro de ortografia evidente, nenhuma promessa mirabolante, nenhuma encomenda fantasma. Apenas um número de processo com dez dígitos, um valor plausível, um prazo-limite dentro de dois dias e um tom administrativo perfeitamente neutro.

É exatamente o que o smishing francês produz de melhor em 2026: um golpe que já não procura seduzir você, mas lembrá-lo de uma obrigação que talvez você realmente tenha esquecido. E nesse terreno, a multa de trânsito é um alvo de ouro: a cada ano, várias dezenas de milhões de avisos de multa são emitidos na França. Estatisticamente, há boas chances de que o destinatário tenha efetivamente dirigido, estacionado ou ultrapassado algo em algum lugar.

A ANTAI, essa sigla que todo mundo já viu sem memorizar

A Agence nationale de traitement automatisé des infractions é um organismo público ligado ao Ministério do Interior francês. É ela que edita e envia os avisos de multa resultantes do controle automatizado (radares) e do auto de infração eletrônico, e que administra o site oficial antai.gouv.fr. O pagamento, por sua vez, passa pelo amendes.gouv.fr, operado pela Direction générale des finances publiques.

Duas siglas, dois sites, um sistema que poucos motoristas realmente dominam. É precisamente essa zona nebulosa que os criminosos exploram. Quando um SMS fala de ANTAI, você reconhece vagamente o nome — ele aparece nas correspondências que você já recebeu — sem ser capaz de dizer por qual canal essa agência deve entrar em contato com você.

A resposta, no entanto, é simples e merece ser memorizada:

A ANTAI e a DGFiP nunca enviam SMS nem e-mail contendo um link de pagamento de multa. Um aviso de multa chega por correio postal, no endereço que consta no certificado de registro do veículo.

Existe, sim, um serviço de informação por SMS ou e-mail, mas é opcional, mediante adesão explícita através da conta do usuário, e não contém link de pagamento direto. Em outras palavras: se você não solicitou nada, não deve receber nada.

Anatomia de um aviso falso: os sete ingredientes

As campanhas observadas no último ano seguem um modelo notavelmente estável. Identificá-lo é vacinar-se.

Ingrediente	O que faz o criminoso	O que faz a administração real
Número do processo	Uma sequência de 10 a 12 dígitos gerada ao acaso	Um número de aviso real, impresso em correspondência em papel
Valor	35 €, 45 €, 68 € — sempre plausível, nunca redondo	Valores legais fixados pelo código de trânsito
Agravamento	Anunciado em 24, 48 ou 72 horas	Agravamento após 45 dias (ou 60 dias online)
Remetente	Um número de celular de 10 dígitos, ou um nome curto usurpado	Nenhum SMS de pagamento, ponto
Link	antai-avis-paiement.com, amendes-gouv-fr.net, paiement-antai.info	antai.gouv.fr e amendes.gouv.fr, nunca outra coisa
Tom	Administrativo, seco, sem fórmula de cortesia	Administrativo também — é aí que está a armadilha
Meio de pagamento	Apenas cartão de crédito, formulário imediato	Cartão, débito automático, selo desmaterializado, cheque

O detalhe mais revelador é o prazo. A legislação francesa prevê um prazo de 45 dias para pagar uma multa de valor fixo antes do agravamento (ampliado para 60 dias em caso de pagamento por via digital). Nenhum procedimento real lhe dá 48 horas. Quando uma mensagem administrativa comprime o tempo, nunca é a administração que está falando.

O segundo indício é o nome de domínio. Toda administração francesa online usa um domínio em .gouv.fr, e apenas uma autoridade pública pode obter um. Um site em .com, .net, .info, .top ou .online que pretende receber uma multa estatal é falso, sem exceção e sem discussão possível. O hífen é o truque preferido dos criminosos: amendes-gouv.fr não tem nada a ver com amendes.gouv.fr. O que importa é o que vem imediatamente antes da primeira barra.

O que acontece depois do clique

Ao contrário do que se pensa, o objetivo quase nunca são os 35 euros anunciados. Isso é a isca.

A página de pagamento é uma cópia cuidadosa da interface do amendes.gouv.fr: faixa tricolor, Marianne, avisos legais copiados e colados, cadeado HTTPS bem visível — um certificado de criptografia se obtém gratuitamente em poucos minutos e não prova absolutamente nada sobre a honestidade do site. Você digita o número do aviso (que será «reconhecido», evidentemente), depois os dezesseis dígitos do seu cartão, a data de validade e o código de segurança.

Três cenários se desenrolam então, às vezes combinados:

• O pequeno débito de confirmação. 35 € realmente saem da conta. O criminoso verifica assim que o cartão está ativo e o tranquiliza: você «pagou», o assunto está encerrado na sua cabeça.
• O grande débito adiado. Seus dados bancários são revendidos ou reutilizados alguns dias ou algumas semanas depois, para compras online muito mais volumosas.
• O falso gerente do banco. É a sequência mais temível. Algumas horas depois, uma ligação: «Setor de fraude do seu banco, detectamos uma tentativa de pagamento suspeita de 35 € em favor de um site fraudulento.» O falso gerente sabe o valor, a hora, a descrição — já que foi ele quem organizou o débito. Ele então pede que você valide uma operação no seu aplicativo bancário, ou que dite o código recebido por SMS, «para bloquear a operação». Na verdade, trata-se do cadastro de um novo beneficiário ou da validação de uma transferência.

A Banque de France e o Observatoire de la sécurité des moyens de paiement alertam há vários exercícios sobre essa virada: a fraude não se baseia mais no roubo técnico de dados, mas na manipulação da vítima, que valida ela mesma a operação. Uma transferência autorizada pelo cliente é, juridicamente, muito mais difícil de reembolsar do que um débito não autorizado.

Por que esse roteiro funciona tão bem com os motoristas

Três mecanismos psicológicos se combinam.

A incerteza legítima. Ninguém se lembra com precisão de todos os seus estacionamentos dos últimos seis meses. A dúvida — «e se eu tivesse realmente esquecido alguma coisa?» — basta para levar ao clique no link. É uma diferença importante em relação ao golpe da encomenda: a gente sabe se está esperando uma encomenda, nunca sabe se foi flagrada por um radar.

O medo do agravamento, não da multa. 35 €, a gente paga sem pensar. 75 €, aí dói. O criminoso não vende a punição, vende a economia obtida ao agir rápido.

A ancoragem documental. As pessoas que recentemente venderam ou compraram um veículo, mudaram de endereço ou receberam uma multa verdadeira são hiper-receptivas. Ora, os vazamentos de dados que afetam plataformas de mobilidade, locadoras, sites de carona compartilhada ou concessionárias alimentam listas segmentadas. Algumas mensagens mencionam agora uma placa de veículo exata: não é mais obra do azar, é fruto de um banco de dados.

A verificação em três minutos, sem nunca clicar

O método cabe numa regra: nunca se verifica uma informação no canal que a trouxe. Saia do SMS.

1. Abrir você mesmo um navegador e digitar manualmente antai.gouv.fr, ou amendes.gouv.fr. Nunca copiar e colar da mensagem, nunca buscar por palavras-chave (os sites falsos compram anúncios no topo dos resultados).
2. Usar o serviço «consultar meu processo de infração» em antai.gouv.fr: ele pede o número do aviso que consta na correspondência em papel. Sem correspondência, sem número de aviso → nenhuma multa no seu nome por esse canal.
3. Acessar sua área em impots.gouv.fr ou consultar seus extratos: as multas agravadas não pagas acabam aparecendo nas comunicações com o Tesouro público francês, sempre por correio.
4. Ligar para o centro automatizado de constatação das infrações de trânsito cujos contatos figuram no aviso em papel — nunca um número informado por SMS.

Um reflexo complementar: no smartphone, pressionar longamente o link (sem soltar) exibe a URL completa em uma prévia, o que permite ler o domínio real sem abrir a página. Se você consulta frequentemente suas mensagens ao ar livre, dentro de um veículo ou sob luz intensa, uma simples película protetora de tela antirreflexo evita apertar os olhos e clicar às cegas em um link mal lido — é um detalhe, mas muitos erros de vigilância são, antes de tudo, erros de legibilidade. Os condutores que recebem esse tipo de mensagem ao volante têm todo o interesse em deixar o telefone em um suporte magnético para carro e só tocá-lo com o veículo parado: a urgência fabricada da mensagem nunca deixou a estrada mais segura.

Denunciar: os canais oficiais

A denúncia não é um gesto simbólico. Ela alimenta os mecanismos de bloqueio.

• 33700: encaminhe o SMS suspeito para esse número (gratuito) e, em seguida, envie o número do remetente na mensagem seguinte. É a plataforma interoperadoras de denúncia de spams por voz e SMS, apoiada pela Arcep e pelas operadoras francesas. Ela permite o encerramento dos números emissores.
• Cybermalveillance.gouv.fr: o dispositivo nacional de assistência às vítimas oferece um diagnóstico guiado e o contato com prestadores locais. Também publica fichas de boas práticas sobre smishing.
• Phishing Initiative / internet-signalement.gouv.fr (PHAROS): para denunciar o endereço do site falso e contribuir para sua inclusão nas listas de bloqueio dos navegadores.
• SignalConso, operado pela DGCCRF, para as práticas comerciais enganosas associadas.

Você pagou: o procedimento de urgência, na ordem

O tempo conta mais do que a vergonha. Alguns minutos podem mudar tudo.

1. Bloquear o cartão imediatamente junto ao seu banco (número no verso do cartão, ou no aplicativo). Solicite o bloqueio do cartão e a verificação das operações pendentes.
2. Nunca atender uma ligação recebida que se apresente como sendo do seu banco nas horas seguintes. Desligue e ligue você mesmo para o número oficial. Nenhum atendente legítimo lhe pedirá um código de validação, uma senha ou uma transferência «de segurança».
3. Registrar boletim de ocorrência na delegacia, na gendarmeria ou por meio da pré-denúncia online. Guarde uma captura de tela do SMS, a URL, a hora e o valor.
4. Solicitar o reembolso com base nos artigos L.133-18 e seguintes do código monetário e financeiro francês. Para uma operação não autorizada, o banco deve reembolsar imediatamente, salvo negligência grave da sua parte — noção que ele terá de comprovar. A Fédération bancaire française e o ouvidor da sua instituição podem ser acionados em caso de recusa.
5. Trocar as senhas das contas vinculadas (e-mail, área bancária, contas em lojas online), ativando em todos os lugares a autenticação em duas etapas. Um gerenciador de senhas torna a operação viável; um livro sobre cibersegurança para o público em geral ajuda a compreender a lógica de tudo isso uma vez por todas.

Proteger os condutores mais expostos

Os relatos das associações de prevenção convergem: os públicos mais afetados não são os menos familiarizados com a tecnologia, mas os mais apressados. Executivos em viagem, profissionais autônomos, entregadores, pais com horários alternados — aqueles que tratam suas mensagens entre duas tarefas.

Alguns ajustes reduzem mecanicamente a superfície de exposição:

• Ativar a filtragem de remetentes desconhecidos: iOS e Android oferecem ambos a possibilidade de relegar a uma aba separada as mensagens provenientes de números fora da lista de contatos.
• Nunca salvar o cartão de crédito no navegador do celular: a digitação manual cria uma fricção de dez segundos, mais que suficiente para recobrar o juízo.
• Limitar os pagamentos online pelo aplicativo bancário e ativar as notificações instantâneas para cada operação.
• Usar um cartão virtual de uso único para pagamentos em sites pouco familiares, serviço oferecido pela maioria dos bancos franceses.
• Para um parente idoso ou pouco à vontade com tecnologia, um celular com teclas grandes sem navegador de internet elimina pura e simplesmente o risco de clique, sem privá-lo do uso do SMS.

Por fim, uma palavra sobre a preservação das provas. Muitas vítimas apagam a mensagem por um reflexo de constrangimento. É um erro: o SMS, a URL e o registro de data e hora são os únicos elementos materiais do caso. Uma captura de tela, um caderno de anotações para registrar a data e a hora, e está feito — tanto o banco quanto os investigadores vão pedir isso a você.

O que é preciso reter

O golpe do falso aviso de multa não é tecnicamente mais sofisticado do que os outros. Sua força está em outro lugar: ele se apoia em uma administração real, um motivo plausível e uma culpa difusa. Não pede que você acredite em um ganho, apenas que admita uma possível negligência — o que é infinitamente mais fácil.

Três frases bastam para se proteger de forma duradoura:

• Uma multa chega por correio, nunca por SMS com link de pagamento.
• O prazo legal é de 45 dias, nunca 48 horas.
• Um pagamento ao Estado é feito em um domínio .gouv.fr, nunca em outro lugar.

O resto — o número do processo, a placa, o valor, o tom — é apenas cenário. E um cenário, por cuidadoso que seja, nunca resiste a três minutos de verificação feita em outro lugar que não a própria mensagem.