«SERVICO AO CLIENTE: apos o encerramento da sua linha, foi detetado um valor cobrado em excesso de 47,80 EUR na sua ultima fatura. Introduza os seus dados antes de 12/10 para obter o reembolso: https://espace-regularisation-mobile.net/rb4780»
Este não tem nada de espetacular. Nada de polícia, nenhuma encomenda retida na alfândega, nenhuma conta à beira de ser encerrada. Apenas uma quantia pequena, um pouco estranha, com cêntimos — 47,80 €, não 50 € — e um procedimento administrativo banal. O género de mensagem que se trata a andar, entre duas estações de metro.
E se mudou de operadora ou rescindiu uma linha nos últimos meses, chega no pior momento possível: aquele em que já não sabe muito bem em que ponto está.
Por que razão a rescisão é um ângulo morto perfeito
A portabilidade do número tornou a mudança de operadora extremamente simples. Um código de portabilidade obtido com uma chamada, uma adesão na nova operadora, e a transferência faz-se em poucos dias. Simples de fazer, sim. Simples de compreender do ponto de vista contabilístico, muito menos.
Porque por trás dessa transição fluida acontecem várias coisas ao mesmo tempo:
- uma última fatura proporcional na antiga operadora, calculada sobre um número de dias muitas vezes pouco intuitivo;
- por vezes encargos de rescisão residuais, ou ao contrário o seu reembolso pela nova operadora no âmbito de uma campanha promocional;
- um eventual depósito de garantia ou um adiantamento de consumo a devolver;
- um débito direto que continua a correr um mês a mais antes de ser cancelado, e depois um reembolso que chega mais tarde;
- opções faturadas num mês incompleto, consumos fora do plano do período de transição, descontos decrescentes que param de repente.
Resultado: uma última fatura que quase ninguém verifica linha por linha, e uma sensação difusa de talvez ter pago um pouco a mais. Essa sensação é o combustível da fraude.
Pior: os reembolsos verdadeiros existem. Os reguladores das comunicações tratam regularmente litígios de faturação entre clientes e operadoras, as associações de defesa do consumidor como a DECO publicam dossiês inteiros sobre os erros da última fatura, e acontece efetivamente que uma operadora reembolse espontaneamente um valor cobrado em excesso. O falso SMS não inventa, portanto, uma situação absurda. Ele imita um acontecimento credível que talvez já tenha vivido.
Anatomia da mensagem
As variantes circulam sob várias formas, mas a estrutura mantém-se muito estável.
| Elemento | O que faz o fraudador | Por que funciona |
|---|---|---|
| Remetente | Um número de telemóvel, um número curto desconhecido, ou um nome de remetente alfanumérico vagamente credível | O leitor não conhece de memória os números de envio da sua antiga operadora |
| Montante | Uma quantia pequena e precisa, com cêntimos | Um número redondo parece inventado; 47,80 € parece calculado |
| Referência | Um número de processo ou de nota de crédito fictício | Dá um ar de sistema de informação real |
| Prazo | 48 h, 72 h, ou uma data-limite próxima | Impede a verificação a frio |
| Ação | «Introduza os seus dados» | Formulação neutra que esconde o pedido de IBAN e de cartão |
| Link | Um domínio com -regularisation, -remboursement, espace-client- | Parece um URL de operadora sem o ser |
Note a ausência de pressão agressiva. É intencional. Uma ameaça desperta desconfiança; uma boa notícia modesta desperta a rotina. O fraudador não quer que pense, quer que despache a tarefa.
O que acontece realmente depois do clique
O formulário que se abre nunca pede tudo de uma vez. Avança por etapas, cada uma parecendo inofensiva depois da anterior.
Etapa 1: a identidade
Nome, apelido, endereço postal, data de nascimento, antigo número de linha, por vezes o nome da antiga operadora. Nada de secreto, aparentemente — e é exatamente aí que está o problema. Este bloco de informação constitui uma base de usurpação reutilizável para uma tentativa de SIM swap ou para uma chamada de «falso consultor» algumas semanas mais tarde, na qual o fraudador recitará os seus dados para estabelecer credibilidade.
Etapa 2: o IBAN
Lógico: vão reembolsá-lo, é preciso uma conta. Só que um IBAN comunicado neste contexto serve para montar débitos diretos SEPA fraudulentos, muitas vezes de pequenos montantes mensais junto de prestadores fictícios, que passam ao lado do radar durante meses.
Etapa 3: o cartão bancário
É a rutura lógica que ninguém deteta, porque está diluída num percurso que parecia legítimo. Explicam-lhe que é necessária uma «verificação de 1 €» para validar a conta. Os dados introduzidos seguem diretamente para um painel de controlo, e uma tentativa de pagamento é lançada no minuto seguinte.
Etapa 4: o código de validação
O seu banco envia-lhe então um verdadeiro código 3-D Secure, ou empurra uma notificação na aplicação bancária. O site falso pede-lhe que o copie, por vezes ligando-lhe a seguir para «o acompanhar». É o momento em que as poucas dezenas de euros esperadas se transformam numa operação de várias centenas, ou mesmo milhares de euros.
Nenhuma entidade, nenhuma operadora, nenhum banco lhe pedirá jamais que introduza ou dite um código de validação recebido por SMS. Esse código autoriza uma operação; nunca confirma uma identidade.
Os cinco sinais que denunciam o SMS falso
1. Um reembolso não se pede, paga-se
É o ponto mais simples e mais decisivo. Quando uma operadora deteta um valor cobrado em excesso, já possui os seus dados bancários: os do débito direto que utilizava. Reembolsa nessa mesma conta, ou credita uma nota de crédito na fatura seguinte. Voltar a dar-lhe um IBAN não tem qualquer utilidade técnica. A partir do momento em que uma mensagem lhe pede dados bancários para lhe enviar dinheiro, a questão está resolvida.
2. O link não leva à operadora
Olhe para o domínio, não para o texto exibido. A regra: leia da direita para a esquerda a partir da /. O domínio verdadeiro é o que precede imediatamente a primeira barra. Em espace-regularisation-mobile.net/orange, o domínio é espace-regularisation-mobile.net — «orange» é apenas uma pasta que qualquer pessoa pode criar.
3. O canal não corresponde aos hábitos da operadora
As operadoras comunicam sobre faturação principalmente por e-mail e na área de cliente, por vezes por carta nos litígios. Um reembolso anunciado apenas por SMS, sem rasto em nenhum outro lugar, é uma anomalia.
4. A urgência é injustificada
Um valor cobrado em excesso não expira. Em direito do consumo, uma quantia paga indevidamente continua reclamável durante anos. Uma data-limite a cinco dias para um reembolso não tem qualquer fundamento.
5. O montante é demasiado pequeno para justificar um procedimento
Uma operadora não monta um formulário seguro para lhe devolver 47,80 €. Faz uma transferência. A desproporção entre a quantia e o procedimento pedido é, em si mesma, um sinal.
A verificação em três minutos
O reflexo a instalar é sempre o mesmo: sair da mensagem.
- Não toque no link. Nem para «ver como é»: algumas páginas já recolhem informações técnicas e a sua simples visita confirma que o número está ativo.
- Abra a sua área de cliente pela aplicação oficial já instalada ou escrevendo você mesmo o endereço da operadora. Uma nota de crédito ou um reembolso verdadeiros aparecem lá sistematicamente.
- Releia a sua última fatura. Continua disponível para descarregar vários meses após a rescisão. Se guarda os seus documentos importantes, um dossiê para papéis administrativos evita ter de procurar tudo numa caixa de correio com 40 000 mensagens no dia em que surgir uma dúvida.
- Verifique o seu extrato bancário dos últimos dois meses: um débito a mais aparece a preto e branco, e um reembolso também.
- Ligue ao serviço de apoio ao cliente para o número que consta de uma fatura antiga — nunca o do SMS.
Se nada corroborar a mensagem: é falsa. Ponto final.
Denunciar, depois apagar
A denúncia leva quinze segundos e alimenta um dispositivo real. Em França, o 33700 é o serviço de denúncia de SMS indesejados e fraudulentos, gerido pelas operadoras sob a tutela da associação SMS+. Encaminhe a mensagem para o 33700 e responda depois ao SMS automático com o número do remetente. O número emissor pode em seguida ser bloqueado.
Pode igualmente:
- denunciar o endereço fraudulento na Phishing Initiative (serviço operado em França para fazer fechar as páginas de phishing);
- apresentar uma denúncia na plataforma PHAROS do Ministério do Interior;
- consultar o Cybermalveillance.gouv.fr, que publica fichas de boas práticas gratuitas e um percurso de assistência às vítimas.
Depois apague a mensagem e siga em frente. É inútil responder «STOP» a um fraudador: essa indicação só tem valor na prospeção comercial legal.
Se já introduziu alguma coisa
O fator determinante é o tempo. Agir na primeira hora muda radicalmente o desfecho.
Se forneceu os dados do seu cartão: cancele-o imediatamente através da aplicação bancária ou da linha de cancelamento do seu banco. Depois vigie cada operação. Nos termos da legislação sobre serviços de pagamento, uma operação de pagamento não autorizada deve ser reembolsada pelo banco, salvo negligência grave do titular.
Se forneceu um IBAN: avise o seu banco e peça a criação de uma vigilância ou de uma lista branca sobre os débitos diretos. Um débito direto SEPA não autorizado é contestável durante 13 meses (8 semanas para um reembolso sem justificação, segundo as regras SEPA).
Se ditou um código de validação: considere que está uma operação em curso. Ligue ao banco sem esperar e apresente queixa. A apresentação de queixa condiciona muitas vezes a instrução do processo de indemnização.
Se instalou uma aplicação proposta pela página: desligue os dados móveis e o Wi-Fi, desinstale-a, e depois mude as suas palavras-passe a partir de outro aparelho. Para as contas mais sensíveis, uma chave de segurança física FIDO2 constitui a proteção mais robusta contra o desvio de códigos, porque já não há nada para copiar nem para ditar.
Reduzir a superfície de ataque para a próxima vez
Este tipo de SMS não vai desaparecer. Em compensação, é possível reduzir a probabilidade de ele chegar até si e, sobretudo, de acertar no alvo.
Trate bem a saída de uma operadora. No momento da rescisão, aponte num caderno o código de portabilidade, a data exata da portabilidade, o montante da última fatura anunciada e a data do último débito. Um simples caderno de notas com espiral deixado junto ao computador basta: três linhas escritas no dia certo dispensam-no de qualquer hesitação seis semanas mais tarde, quando um SMS mencionar um valor cobrado em excesso.
Limite a divulgação do seu número. Como a WeLiveSecurity recorda regularmente, os fraudadores obtêm números através de fugas de bases de dados, formulários de concursos, listas inversas e revenda de ficheiros. Um número secundário ou um cartão SIM pré-pago dedicado aos formulários comerciais separa eficazmente os usos.
Ative os filtros do seu telefone. O Android reforçou a sua deteção de fraudes por SMS, e o iOS propõe a triagem dos remetentes desconhecidos. Estes filtros não são infalíveis, mas retiram uma parte do ruído.
Proteja o próprio aparelho. Um smartphone que cai, se estraga ou vai para reparação é um smartphone que escapa ao seu controlo — e uma passagem pela assistência técnica é precisamente o momento em que chegam os falsos SMS de reparação. Um vidro temperado de proteção e uma capa antichoque custam menos do que uma intervenção e, sobretudo, evitam entregar o aparelho a um terceiro.
Fale sobre isto com quem o rodeia. Este cenário visa particularmente as pessoas que mudaram de operadora recentemente — logo, muitos pensionistas que passaram para um tarifário mais barato. Um guia prático de segurança digital deixado numa mesa de apoio costuma iniciar a conversa melhor do que um longo discurso, e permite estabelecer a única regra a retar: nunca se dão dados bancários a partir de um link recebido por SMS.
A retar
- Um valor cobrado em excesso real é reembolsado na conta que a operadora já conhece: nunca lhe pedirão o IBAN para isso.
- A rescisão cria uma zona de nebulosidade contabilística de várias semanas: é precisamente essa a janela que os SMS falsos visam.
- O montante com cêntimos e a ausência de ameaça não são provas de autenticidade, são técnicas.
- Verifique sempre na área de cliente oficial, nunca a partir do link da mensagem.
- Denuncie ao 33700, bloqueie, apague.
Um SMS que lhe anuncia dinheiro não é mais fiável do que um SMS que lho reclama. É até muitas vezes o contrário: a boa notícia desarma a vigilância melhor do que qualquer ameaça. Antes de introduzir o que seja, ponha o telefone na mesa e vá verificar noutro lugar. Três minutos, e a fraude desmorona-se por si própria.
