«PARABENS! O seu numero foi sorteado entre os nossos clientes fieis. O seu premio (smartphone de ultima geracao) esta reservado ate hoje a noite. Resta 1 exemplar: https://fidelite-recompense-cadeau.com/lot»
Este não o ameaça. Não fala de multas, nem de contas bloqueadas, nem de encomendas retidas na alfândega. Dá-lhe os parabéns. E é precisamente isso que o torna temível: aprendemos, coletivamente, a desconfiar dos SMS que metem medo. Nunca aprendemos a desconfiar dos SMS que dão prazer.
A burla do falso passatempo é uma das mais antigas do panorama do smishing e uma das raras que não precisa de usurpar a identidade de um serviço público para funcionar. Não rouba necessariamente os seus dados bancários. Muitas vezes faz bem pior em termos de duração: instala-lhe um débito recorrente que não dará por ele durante meses.
Porque é que a boa notícia passa melhor do que a ameaça
As campanhas de smishing que jogam com o medo — multa, entrega falhada, conta suspensa — têm um defeito: também desencadeiam desconfiança. Uma pessoa inquieta procura verificar. Liga ao banco, pergunta a alguém próximo, escreve o nome do serviço num motor de busca.
Uma pessoa lisonjeada, essa, não verifica da mesma maneira. Verifica se o prémio é real, não se o remetente é real. Toda a sua atenção se concentra no objeto da recompensa, nunca na identidade de quem a promete. É um desvio de atenção que os burlões exploram desde os primórdios do marketing telefónico e que a Cybermalveillance.gouv.fr classifica sem ambiguidade entre as variantes do phishing: pouco importa a emoção usada, o mecanismo continua a ser a recolha de dados ou de dinheiro por engano.
Juntam-se três alavancas muito concretas:
- A escassez artificial. «Resta 1 exemplar», «oferta válida até hoje à noite», «apenas 3 vencedores». A contagem decrescente elimina o tempo de reflexão, exatamente como nos falsos SMS de multa.
- A designação pessoal. «O seu número foi sorteado» dá a ilusão de uma seleção. Na realidade, a mensagem parte para dezenas de milhares de números ao mesmo tempo.
- O valor irrisório. Não lhe pedem 500 €, pedem-lhe 1,95 € de «portes de envio». Um montante demasiado baixo para acionar uma verdadeira vigilância — e é esse todo o objetivo do esquema.
As cinco fachadas mais comuns
O cenário do presente declina-se em famílias bastante estáveis, que se repetem de campanha para campanha.
1. O sorteio da grande superfície. O SMS menciona uma cadeia de supermercados, um distribuidor de eletrónica ou uma marca de vestuário muito conhecida. O prémio é um vale de compras de 500 € ou uma «encomenda mistério». O argumento: é cliente, logo é elegível.
2. O aniversário da marca. «Pelos nossos 40 anos, oferecemos 1 000 prémios.» O pretexto é verificável na aparência (a marca existe mesmo e faz anos em alguma altura), inverificável na prática.
3. O programa de fidelização do operador. A mensagem apresenta-se como vinda do seu operador móvel e fala de «pontos de fidelização prestes a expirar» convertíveis em presente. É a versão mais credível, porque os programas de fidelização dos operadores existem realmente.
4. O teste de produto. «Foi selecionado para testar gratuitamente um novo aspirador robô / uma escova de dentes conectada / uma máquina de café.» Basta «cobrir as despesas de envio». Este formato prospera porque os programas de teste de produtos também existem, em verdadeiros painéis de consumidores.
5. O reembolso promocional. Variante invertida: não lhe oferecem nada, devolvem-lhe dinheiro de uma compra anterior. A mensagem imita um serviço pós-venda.
Em todos os casos, a página de destino segue o mesmo esqueleto: uma roda da fortuna ou um questionário de satisfação com três perguntas, uma animação de vitória e depois um formulário.
A verdadeira armadilha não é o prémio, é o formulário
É aqui que a burla do presente se distingue das outras. O objetivo nem sempre é esvaziar uma conta numa única operação. É muitas vezes fazê-lo assinar, sem o ver, uma subscrição de renovação automática.
O desenrolar típico:
- Você «ganha» na roda viciada (cai sempre num prémio).
- Pedem-lhe nome, apelido, morada, data de nascimento, e-mail, número de telemóvel. Muitos dados, justificados pelo «envio do prémio».
- Pedem-lhe 1,95 € ou 2,99 € de portes, a pagar com cartão bancário.
- Em letras minúsculas, por baixo do botão de pagamento: a menção de um serviço «premium» faturado, por exemplo, a 39,90 € por mês, cancelável a qualquer momento, com período experimental de 48 horas incluído.
- O prémio nunca chega. O débito mensal, esse, começa.
O montante de 1,95 € não é um preço: é um teste de validade do cartão. Confirma que o número, a data de validade e o código de segurança estão corretos, e serve de suporte à autorização dos débitos seguintes.
Um presente gratuito que exige um cartão bancário não é um presente. O pedido de dados bancários para «cobrir as despesas» é o sinal de paragem, seja qual for o montante apresentado.
Algumas variantes não pedem cartão nenhum. Pedem para «confirmar por SMS», enviando uma palavra-chave para um número curto de valor acrescentado, ou para validar um código recebido — o que desencadeia uma subscrição de um serviço de conteúdos faturado na fatura do operador. É o mecanismo histórico dos SMS de valor acrescentado, desviado do seu propósito.
Os sinais que denunciam a mensagem em dez segundos
Mesmo antes de abrir o link, vários indícios se acumulam.
| Sinal | O que revela |
|---|---|
| Nenhuma menção ao seu nome | O envio é massivo, não personalizado |
| Remetente = número de telemóvel com 9 ou 10 dígitos | As marcas usam nomes de remetente ou números curtos |
Nome de domínio longo e híbrido (fidelite-cadeau-lot-2026.xyz) | Domínio descartável criado para a campanha |
| «Resta 1 exemplar» | Escassez fabricada, alavanca clássica de pressão |
| Prémio sem relação com a marca citada | Montagem genérica reutilizada de campanha em campanha |
| Erros de acentuação, ausência de cedilhas | Gateway de envio estrangeiro em texto sem acentos |
| Nenhum regulamento do passatempo acessível | Um passatempo legal publica sempre um |
Este último ponto é o mais sólido juridicamente. Uma operação promocional séria dispõe de um regulamento consultável, identifica o organizador (denominação social, morada) e nunca condiciona a entrega de um prémio a um pagamento. A DGCCRF recorda regularmente que as loterias publicitárias não devem induzir o consumidor em erro quanto às suas hipóteses de ganho nem quanto aos custos reais.
E há um teste de bom senso, infalível: participou? Não se ganha num jogo em que não se inscreveu. Se a mensagem não lhe consegue recordar quando e como participou, é porque não houve jogo nenhum.
Porquê consigo, e como obtiveram o seu número
A pergunta surge sempre: «Como é que conhecem o meu número?» Dominam três circuitos.
As fugas de dados. As grandes brechas dos últimos anos puseram a circular ficheiros com nome, apelido, e-mail, número de telemóvel e por vezes morada. A CNIL publica regularmente esse balanço. O seu número não foi adivinhado: foi comprado.
Os passatempos anteriores, verdadeiros ou falsos. Cada formulário preenchido numa página de «participação gratuita» alimenta bases de dados revendidas. O falso concurso de ontem financia o SMS de hoje.
A geração aleatória. As gamas de números de telemóvel são públicas na sua estrutura. Um gateway pode compor mecanicamente milhões de combinações, sem qualquer dado pessoal.
Nos dois primeiros casos, a mensagem pode conter o seu nome próprio — o que aumenta enormemente a sua credibilidade sem provar seja o que for sobre o remetente. É o mesmo deslize dos falsos SMS de entrega que citam uma morada exata: o dado deixou de ser garantia de legitimidade.
Os reflexos concretos, por ordem
Não clique, nem por curiosidade. Abrir a página basta para confirmar que o número está ativo, se o link contiver um identificador único. A curiosidade paga-se em volume de SMS recebidos nas semanas seguintes.
Denuncie ao 33700. É o dispositivo oficial francês de denúncia de SMS e chamadas indesejadas, apoiado pela Arcep e pelos operadores. Reencaminhe a mensagem para o 33700 e responda depois ao SMS de confirmação com o número do remetente. O serviço é gratuito e alimenta realmente o bloqueio dos números emissores.
Denuncie o endereço fraudulento no Phishing Initiative e registe uma participação em cybermalveillance.gouv.fr se interagiu com a página. Para as burlas consumadas, a plataforma THESEE (service-public.fr) permite apresentar queixa online.
Verifique pelo canal oficial. Se o SMS invocar o seu operador, a sua loja ou o seu banco, use a aplicação instalada no telemóvel ou o número que consta no verso do cartão — nunca o link. Este reflexo é mais fácil de manter quando o telemóvel continua utilizável: um carregador de parede USB-C evita os finais de bateria que levam a «despachar» num ecrã em modo de sobrevivência.
Não ligue de volta para números de valor acrescentado. Uma chamada «para confirmar o seu prémio» para um número especial ou um número curto pode ser faturada ao minuto.
Se já forneceu o seu cartão bancário
O tempo conta mais do que tudo.
- Cancele o cartão imediatamente junto do seu banco, através da aplicação ou do número de emergência da instituição. Em França, o servidor interbancário de bloqueio está disponível no 0 892 705 705.
- Peça a anulação do débito e a revogação da autorização. Um pagamento não autorizado deve ser reembolsado pelo banco nas condições previstas na lei; a ACPR e o Banco de França recordam regularmente este enquadramento, inclusive quando a vítima foi manipulada.
- Procure débitos recorrentes nos três últimos extratos: um descritivo anónimo de 39,90 € repete-se muitas vezes todos os meses sem chamar a atenção.
- Apresente queixa e guarde tudo: captura do SMS, URL, data e hora, extratos. Um extrato anotado à mão num bloco de notas A5 datado serve perfeitamente para reconstituir a cronologia ao balcão.
- Vigie as suas outras contas: o mesmo endereço de e-mail e a mesma palavra-passe noutros sítios são uma porta aberta.
Se o débito passar pela fatura do seu operador, conteste junto do apoio ao cliente e peça o bloqueio dos serviços de SMS de valor acrescentado e das compras na fatura. Esse bloqueio é gratuito e definitivo enquanto não o levantar.
Proteger as pessoas mais expostas
Os falsos prémios atingem todos os perfis, mas duas populações pagam mais caro: as pessoas idosas isoladas, para quem um contacto personalizado tem um valor social, e os adolescentes, que por vezes pagam sem se aperceberem do carácter recorrente de uma subscrição.
Algumas medidas simples mudam a situação:
- Desativar as compras na fatura do operador nas linhas dos menores e das pessoas vulneráveis. É o gesto mais eficaz, e é gratuito.
- Privilegiar um cartão com autorização sistemática ou um cartão pré-pago recarregável para as compras online: o plafond limita mecanicamente os estragos de uma subscrição escondida.
- Ativar o filtro anti-spam de SMS proposto pelo iOS e pelo Android, e bloquear o remetente depois da denúncia.
- Criar um espaço de conversa. Um guia prático sobre burlas digitais deixado à mão, com a regra «nenhum presente se paga», vale mais do que um aviso oral esquecido uma semana depois.
- Manter o ecrã legível. Grande parte dos cliques acidentais vem de uma leitura apressada num ecrã estalado ou sujo; um vidro temperado de proteção não impede a burla, mas torna a dúvida mais fácil de esclarecer quando se relê um link caráter a caráter.
Para os seniores equipados com um aparelho de teclas, um telemóvel com teclas grandes também simplifica a vida: menos aplicações, menos navegadores, menos superfícies de ataque — mesmo que o SMS, esse, chegue sempre.
O que há a reter
O falso passatempo por SMS não é uma burla de segunda categoria. É simplesmente mais paciente do que as outras: não procura uma transferência em dez minutos, procura uma autorização de débito que dure um ano.
Três frases bastam para se proteger de forma duradoura:
- Não se ganha num jogo em que não se inscreveu.
- Um prémio que exige portes de envio por cartão bancário não é um prémio.
- Uma mensagem que proíbe pensar — «resta 1 exemplar», «até hoje à noite» — é uma mensagem que sabe que não sobreviveria à reflexão.
O resto é hábito. Reencaminhar para o 33700 leva vinte segundos, bloquear o remetente cinco, e falar disso com quem está à nossa volta custa ainda menos. É exatamente isso que faz baixar o rendimento destas campanhas: não uma melhor tecnologia, mas um reflexo coletivo.
