«OLA, o seu equipamento (processo RP-77421) foi recepcionado e avaliado em 189 EUR. Confirme os seus dados bancarios para desencadear a transferencia em 48h: https://reprise-mobile-validation.net/rp77421»
Esta não o ameaça com nada. Nenhuma multa, nenhuma conta encerrada, nenhuma encomenda retida na alfândega. Pelo contrário: anuncia-lhe uma boa notícia. O seu telemóvel antigo, aquele que meteu numa caixa há dez dias, vale 189 € e o dinheiro está a caminho. Falta apenas uma formalidade administrativa: indicar o IBAN para onde deve ser transferida a quantia.
E é exactamente por isso que esta SMS funciona melhor do que a maioria das outras. As fraudes mais rentáveis não são as que metem medo. São as que chegam no momento exacto em que está à espera de uma mensagem deste tipo, com um conteúdo idêntico, ponto por ponto, àquele que esperava.
Porque é que a retoma de telemóveis se tornou um terreno de caça
Em poucos anos, revender o smartphone antigo tornou-se um reflexo generalizado. Prémio de retoma junto do operador na renovação do contrato, programa de recompra do fabricante, plataformas especializadas em recondicionados, quiosques automáticos nos centros comerciais, vales de compra nos hipermercados: os circuitos multiplicaram-se e cada um funciona com as suas próprias regras.
Faça-se honestamente a pergunta. Se expediu um aparelho há duas semanas, consegue dizer de memória:
- o nome exacto da empresa que o compra (muitas vezes um intermediário de que nunca ouviu falar antes do processo de encomenda);
- o número de processo atribuído ao seu envio;
- o montante finalmente retido após a peritagem, que difere quase sempre da estimativa online;
- o prazo anunciado para o pagamento e por que meio: transferência, vale de compra, desconto na factura, PayPal;
- o endereço de e-mail ou o número a partir do qual a plataforma comunica?
Na grande maioria dos casos, não. E é precisamente esse vazio de informação que o fraudador vem preencher. Não precisa de saber a que plataforma enviou o seu aparelho. Envia a mensagem para dezenas de milhares de números sabendo que uma pequena fracção dos destinatários está, naquele instante, na janela de espera perfeita.
Os recondicionados têm ainda uma particularidade: são virtuosos e bem vistos. Fala-se deles em termos de economia circular, de ecologia, de bom senso. Resultado: a desconfiança diminui. Ninguém pensa «atenção, a compra de telemóveis usados é suspeita».
Anatomia da mensagem
Circulam três grandes variantes e não têm todas o mesmo objectivo final.
1. O pedido de IBAN «para desencadear a transferência»
É a mais directa. O link conduz a um formulário com cores credíveis que pede nome, apelido, endereço e, depois, o IBAN completo e, às vezes, um documento de identificação «para conformidade anti-branqueamento».
Muitas vítimas tranquilizam-se com um raciocínio lógico mas falso: «um IBAN só serve para receber dinheiro». Na realidade, um IBAN associado ao seu nome, ao seu endereço e a uma cópia de um documento de identificação constitui um kit de usurpação muito completo. Permite tentar débitos directos SEPA fraudulentos, abrir contas ou subscrições em seu nome e, sobretudo, alimentar um dossiê de engenharia social que tornará ultra-credível uma chamada posterior do «seu banco».
2. O falso «complemento de custos» ou «valor pago em excesso»
Variante mais traiçoeira: explicam-lhe que o aparelho chegou com o ecrã mais danificado do que o declarado, que um «adiantamento» já lhe foi pago por erro e que é preciso regularizar 3,90 € de despesas de processo. A pequena quantia desarma a desconfiança. O que conta não são os 3,90 €: é a introdução do número do cartão bancário na página de pagamento, muitas vezes seguida de um pedido de validação 3-D Secure desviado.
3. O falso «problema de identificação do envio»
Aqui, dizem-lhe que a encomenda chegou bem mas que o aparelho está bloqueado e que é preciso «desactivar a protecção» ou fornecer as suas credenciais da conta Apple ou Google para finalizar a peritagem. Objectivo: apoderar-se de uma conta online inteira. É de longe a versão mais prejudicial, porque essa conta contém muitas vezes fotografias, contactos, cópias de segurança e meios de pagamento.
Nenhuma plataforma de compra séria lhe pedirá, por SMS ou por e-mail, as credenciais da sua conta Apple, Google ou Samsung. O desbloqueio é feito por você, antes da expedição, a partir das suas próprias definições.
Os sinais que não enganam
As SMS falsas de retoma partilham uma série de marcadores quase imutáveis.
| Sinal | O que faz uma plataforma verdadeira | O que faz a fraude |
|---|---|---|
| Remetente | Nome de marca curto ou número coerente, mensagem consultável na sua área de cliente | Número de telemóvel comum, número estrangeiro ou nome de remetente aproximativo |
| Link | Domínio oficial da marca, às vezes sem link nenhum | Domínio composto: reprise-mobile-validation.net, rachat-mon-tel-fr.com |
| Dados bancários | Já introduzidos no momento da encomenda, na sua área de cliente | Exigidos com urgência através de um formulário externo |
| Tom | Informativo, sem contagem decrescente | «em 48h», «último aviso», «processo anulado sem resposta» |
| Montante | Corresponde à sua estimativa, detalhado num relatório de peritagem | Redondo, lisonjeiro, muitas vezes superior ao que esperava |
| Ortografia | Acentuação presente, formatação cuidada | Acentos em falta, maiúsculas estranhas, espaços antes dos pontos |
A ausência de acentos é um indício recorrente, mas não confie nisso cegamente: os kits de smishing estão a profissionalizar-se e cada vez mais mensagens são redigidas num português impecável. A Cybermalveillance.gouv.fr recorda-o regularmente nas suas fichas sobre o phishing por SMS: o único critério verdadeiramente fiável é a verificação por um canal que você próprio escolhe.
O reflexo a instalar de uma vez por todas
Resume-se a uma frase: nunca se verifica uma mensagem a partir da própria mensagem.
- Não clique. Nem mesmo para «ver como é».
- Abra o seu histórico de encomendas. Não o link da SMS: o seu e-mail de confirmação original ou a aplicação da plataforma que você próprio instalou.
- Compare o número de processo. Se não corresponder exactamente, o assunto está encerrado.
- Verifique o seguimento da encomenda junto do transportador, através do site dele. Se o aparelho ainda estiver em trânsito, nenhuma avaliação pode ter sido feita.
- Ligue para o serviço de apoio ao cliente para o número que consta na sua factura, nunca para o indicado na SMS.
- Denuncie a mensagem junto do serviço oficial de denúncia de SMS fraudulentas dos operadores, reencaminhando a SMS e enviando depois o número do remetente quando lhe for pedido. Pode também apresentar uma denúncia na plataforma oficial das autoridades.
Se está a acompanhar um familiar idoso neste tipo de procedimento, imprima-lhe estas seis etapas e coloque a folha onde ele consulta os seus papéis. Um bom e velho caderno de notas em papel junto do telefone fixo continua a ser a ferramenta mais eficaz para anotar, no momento do envio, o nome da empresa, o número do processo e o montante anunciado. Três linhas manuscritas bastam para desarmar a fraude inteira, porque voltam a preencher o vazio de informação.
Antes de expedir: preparar o aparelho já é proteger-se
Grande parte das fraudes deste tipo só funciona porque o processo de retoma foi mal preparado. Alguns gestos, feitos na ordem certa, tornam a SMS falsa inofensiva.
Fazer cópia de segurança e depois dissociar
- Faça uma cópia de segurança completa. Um disco duro externo portátil permite guardar uma cópia local das suas fotografias e documentos, independente da nuvem — útil precisamente no dia em que uma conta é comprometida.
- Desassocie a conta Apple, Google ou Samsung e desactive a localização do aparelho. É responsabilidade sua, não do comprador. Um telemóvel ainda ligado à sua conta é ingerível para a oficina e é o pretexto ideal para as falsas mensagens de «desbloqueio».
- Desactive o eSIM ou retire o cartão SIM físico, bem como o cartão de memória.
- Faça uma reposição de fábrica e depois volte a ligar o aparelho para verificar que arranca no ecrã de primeira configuração.
Documentar o estado real
O falso «complemento de custos» assenta numa zona cinzenta: não consegue provar em que estado o aparelho partiu. Fotografe-o de todos os ângulos, com o ecrã ligado, antes de o embalar. Anote o IMEI, visível nas definições ou na caixa original.
Para a expedição, um envelope de expedição com bolhas com as dimensões adequadas e um acondicionamento cuidado evitam danos em trânsito — que seriam, esses sim, um motivo real de reavaliação em baixa. Guarde o comprovativo de entrega do transportador até ao pagamento efectivo.
Proteger o telemóvel que fica consigo
Um detalhe passa muitas vezes despercebido: o valor de retoma depende sobretudo do estado do ecrã e da saúde da bateria. No aparelho que acabou de comprar, uma película de vidro temperado colocada no primeiro dia e uma capa antichoque resistente alteram radicalmente a estimativa obtida dois ou três anos mais tarde. É simultaneamente económico e, indirectamente, uma protecção: menos avarias, menos assistência técnica, menos janelas de ansiedade nas quais um fraudador se pode infiltrar.
Se já respondeu
Sem pânico, mas com método. A ordem importa.
Forneceu um IBAN. Avise o seu banco, peça uma vigilância da conta e, dependendo dos casos, a criação de uma lista de autorização dos débitos directos SEPA. Verifique os extractos todas as semanas durante dois meses: os débitos fraudulentos são frequentemente pequenos montantes testados antes de uma operação maior. Um débito directo SEPA não autorizado pode ser contestado junto do seu banco num prazo de 13 meses (8 semanas sem justificação específica): é um direito previsto pela regulamentação europeia.
Introduziu os dados de um cartão bancário. Cancele-o imediatamente e peça depois o reembolso. A Directiva europeia sobre os serviços de pagamento (DSP2) estabelece o princípio do reembolso das operações não autorizadas.
Forneceu credenciais de uma conta. Mude a palavra-passe a partir de outro aparelho, revogue as sessões activas, active uma autenticação de dois factores robusta. Prefira uma aplicação de autenticação ou uma chave de segurança física ao simples código por SMS, vulnerável ao SIM swap.
Em todos os casos. Apresente queixa, mesmo que nada tenha sido debitado: a queixa é muitas vezes exigida pelo banco e pela seguradora. Denuncie o número junto do serviço oficial dos operadores e guarde uma captura de ecrã da SMS com a respectiva data.
O que esta fraude diz sobre as outras
A falsa SMS de retoma não é uma esquisitice isolada. É a ilustração de um mecanismo que encontramos em todas as famílias de smishing: o fraudador não cria uma situação, insinua-se numa situação já existente. A encomenda aguardada, a reparação em curso, a mudança de operador, a venda de um carro, o fim de um contrato de arrendamento. Sempre que um procedimento envolve vários intervenientes, prazos pouco claros e um pagamento por vir, abre-se uma janela.
Daí uma regra simples a transmitir a quem está à sua volta, incluindo às pessoas menos à vontade com a tecnologia: uma mensagem que lhe anuncia dinheiro e lhe pede uma informação bancária na mesma SMS deve, em todos os casos, ser ignorada. Uma quantia que lhe é realmente devida chegará de qualquer forma, sem que tenha de clicar em nada. Para os familiares que queiram limitar a superfície de exposição, um telemóvel com teclas grandes sem navegador de internet elimina pura e simplesmente a possibilidade de clicar num link armadilhado — uma opção pragmática quando a utilização se limita às chamadas e às SMS.
Os recondicionados são uma boa ideia. Revender o aparelho antigo também. Basta guardar três informações escritas em algum lugar e nunca verificar uma mensagem a partir da própria mensagem. Dois hábitos, e toda esta família de fraudes desmorona-se.
