«O seu novo cartão bancário foi emitido. Para finalizar o envio, confirme o seu código secreto.» A mensagem chega numa manhã qualquer, entre um lembrete de consulta e uma promoção de supermercado. Parece administrativa, quase entediante. E é precisamente isso que a torna eficaz: a renovação de um cartão bancário é um acontecimento banal, que ninguém anda realmente a vigiar na agenda.
Esta fraude ocupa um lugar à parte na família do smishing. Não se limita a roubar credenciais online: na sua versão mais elaborada, termina com a visita de um falso estafeta à sua casa, que sai dali com o seu cartão verdadeiro e o seu código. Vejamos passo a passo.
Porque é que a renovação do cartão é um pretexto perfeito
Um cartão bancário tem uma validade de dois a quatro anos, consoante o banco. A sua substituição acontece, portanto, num momento que não anotou, sem qualquer ação da sua parte, e às vezes com uma carta separada para o código. Três ingredientes de sonho para um golpista:
- Não está à espera de nada, mas também não lhe parece estranho. Um SMS sobre um cartão a caminho não levanta qualquer suspeita em particular.
- O vocabulário bancário é opaco. «Emissão do cartão», «disponibilização», «ativação do suporte»: termos técnicos que soam verdadeiros.
- A data de validade está impressa no seu cartão. Se o golpista tiver acesso a uma base de dados divulgada ou já o levou a introduzir os seus dados num site falso, pode fazer coincidir a mensagem com um prazo plausível.
A isto junta-se um detalhe que desarma muitas vítimas: o SMS chega muitas vezes no mesmo fio de conversa que as mensagens autênticas do banco. É o spoofing do remetente, uma técnica que permite exibir qualquer nome de emissor. O seu telefone arquiva então a mensagem falsa ao lado dos verdadeiros códigos de confirmação de transferência. Nenhum indício visual o alerta.
Um SMS que aparece na conversa «O MEU BANCO» não é, por isso, enviado pelo seu banco. O remetente alfanumérico é um simples campo de texto, não uma prova de identidade.
As três variantes do cenário
Variante 1: «Confirme o seu código secreto»
O link do SMS conduz a uma página com as cores do banco. Pedem-lhe o seu identificador, a palavra-passe e depois — é aqui que está o cerne da armadilha — o seu código secreto de 4 dígitos, supostamente para «validar a associação do cartão». Nenhum banco pede jamais este código online, nem por telefone, nem por SMS. Nunca. É o único segredo que não partilha com ninguém, nem mesmo com o seu gestor de conta.
Nos minutos seguintes, as suas credenciais servem para criar um pagamento online. Um falso gestor liga-lhe então para «bloquear uma operação suspeita» e fazê-lo ditar o código recebido por SMS. Esse mecanismo foi detalhado no nosso artigo sobre os códigos de verificação ditados ao telefone.
Variante 2: «Devolva o seu cartão antigo»
Mais rara, mas muito mais onerosa. Depois do SMS e de uma chamada, um «estafeta mandatado pelo serviço de segurança» aparece em sua casa dentro de uma hora, às vezes em quinze minutos. Recolhe o cartão antigo «para destruição segura», num envelope, e pede-lhe para escrever o código num papel anexo ou para o dizer em voz alta «para verificação».
O cartão não é destruído: meia hora depois está a ser usado em levantamentos em caixas automáticas e compras em lojas. A polícia e várias federações bancárias alertam regularmente para este modo de operação, às vezes chamado «fraude do falso estafeta» ou «golpe do falso funcionário bancário». Nenhuma instituição manda um estafeta recolher um cartão em casa do cliente.
Variante 3: «Taxa de envio seguro a pagar»
Aqui não se pede nenhum código: apenas «2,90 € de despesas de envio registado». Uma quantia ridícula, concebida para não acionar qualquer alarme mental. O verdadeiro espólio é o formulário de pagamento: número de cartão completo, data de validade, código de segurança. O pequeno débito serve também para testar se o cartão está ativo antes de uma série de operações bem mais pesadas. É a mesma mecânica da fraude do reembolso indevido.
Os sinais que traem o SMS falso
Nenhum destes indícios é decisivo isoladamente, mas a sua acumulação não engana.
| Sinal | O que faz um banco verdadeiro | O que faz o golpista |
|---|---|---|
| Código secreto | Nunca o pede, sob nenhum pretexto | Exige-o para «ativar» ou «verificar» |
| Link no SMS | Raríssimo, e nunca para um formulário de introdução de cartão | Link curto, domínio parecido |
| Urgência | Deixa-lhe semanas, insiste por carta | Contagem decrescente de 24 ou 48 horas |
| Visita a casa | Não existe para recolher um cartão | Estafeta «do serviço de segurança» |
| Canal alternativo | Remete-o para o balcão ou a aplicação | Dá-lhe um número para ligar de volta |
Olhe também para o domínio do link, por inteiro, antes da primeira barra. Os golpistas apostam em endereços como banco-seguranca-cliente.com ou em subdomínios intermináveis que empurram o nome verdadeiro para fora do ecrã. Num ecrã pequeno, esse truncamento é temível; muitos leitores saem-se melhor consultando as mensagens sensíveis num ecrã maior, ou mantendo à mão uma lupa de aumento com LED para reler um endereço em letras minúsculas.
A regra de ouro: desligar e ligar você mesmo
Todo o edifício da fraude assenta numa única coisa: que você permaneça no canal de comunicação deles. O link que enviam, o número que dão, a pessoa que lhe liga de volta.
A contramedida é de uma simplicidade absoluta:
- Nunca use o link nem o número fornecidos. Mesmo que pareçam corretos.
- Abra a sua aplicação bancária ou escreva à mão o endereço do seu banco. Qualquer operação realmente em curso aparecerá lá.
- Ligue para o número impresso no verso do seu cartão ou para o do seu balcão, anotado num extrato em papel.
- Não se apresse. Nenhuma decisão bancária legítima se decide em dez minutos.
Para quem não está habituado a navegar numa aplicação, é útil escrever uma vez por todas o número do balcão e o do cancelamento de cartão num cartão de papel, guardado num porta-cartões com bloqueio RFID que fica na carteira. O reflexo torna-se mecânico: lê-se a ficha, liga-se, não se clica.
Se um «estafeta» toca à sua porta
Esta situação merece um protocolo próprio, porque põe em jogo tanto a sua segurança física como o seu dinheiro.
- Não abra. Fale através da porta ou do intercomunicador.
- Nunca entregue um cartão bancário, um cheque, dinheiro ou joias a uma pessoa cuja visita não foi pedida por você.
- Peça tempo: «Vou ligar ao meu banco e depois entro em contacto.» Um golpista insistirá; neste cenário, um profissional verdadeiro não existe.
- Registe tudo: hora, descrição, veículo, matrícula se visível.
- Ligue para as autoridades se a pessoa insistir ou se recusar a sair.
Para as pessoas idosas que vivem sozinhas, um olho mágico digital com ecrã torna este controlo muito menos stressante: vê-se quem toca sem se aproximar da porta, e depois é possível descrever o indivíduo com precisão. É um equipamento modesto que muda a dinâmica de uma abordagem ao domicílio. Os nossos conselhos complementares estão no guia proteger os idosos das fraudes por SMS.
O que fazer se já deu alguma coisa
O fator determinante é o tempo. As primeiras horas contam mais do que todo o resto.
Nos minutos seguintes
Cancele o cartão. Pela sua aplicação bancária (função de bloqueio imediato do cartão) e depois por telefone junto do seu banco. O serviço interbancário de cancelamento está disponível no 0 892 705 705, 24 horas por dia, se não conseguir contactar a sua instituição.
Mude as suas credenciais bancárias a partir de um dispositivo seguro, e nunca pelo link recebido.
Não responda mais a nenhuma chamada que se apresente como sendo do seu banco. Os golpistas voltam a ligar muitas vezes, às vezes fazendo-se passar pelo serviço de fraude, para obter um último código.
Nas 24 horas seguintes
Apresente queixa na polícia, ou faça uma pré-queixa online no portal do Ministério do Interior. A apresentação de queixa é uma condição quase sistemática para um reembolso.
Conteste as operações por escrito junto do seu banco. O Código monetário e financeiro francês (artigos L.133-18 e seguintes) prevê o reembolso das operações de pagamento não autorizadas. Atenção: se o banco provar uma negligência grave — nomeadamente a comunicação voluntária do código secreto — pode recusar. Daí a importância de descrever com precisão a manipulação sofrida, o spoofing do número, o falso gestor de conta, o cenário de urgência.
Denuncie a mensagem. Encaminhe o SMS fraudulento para o 33700, o dispositivo nacional francês de denúncia de spam por SMS, gerido pelos operadores. Denuncie também o endereço do site na plataforma Phishing Initiative e o caso global em cybermalveillance.gouv.fr, o dispositivo nacional de assistência a vítimas de atos de cibermalevolência. O nosso artigo denunciar um SMS fraudulento detalha todo o percurso.
Nos dias seguintes
- Vigie os seus extratos durante várias semanas: alguns débitos aparecem com atraso.
- Se as suas credenciais estavam reutilizadas noutros sítios, mude-as. Um caderno de palavras-passe em papel, guardado numa gaveta fechada, continua a ser uma solução aceitável para quem recusa os gestores digitais — em todo o caso muito melhor do que a mesma palavra-passe em todo o lado.
- Em caso de litígio persistente com o seu banco, recorra ao mediador bancário da instituição e, se necessário, à ACPR (Autorité de contrôle prudentiel et de résolution).
Três hábitos que fecham a porta de forma duradoura
Saber a data de validade do seu cartão. Está impressa nele. Se um SMS anuncia uma renovação quando o seu cartão ainda é válido por dezoito meses, a dúvida é imediata. Anote essa data na sua agenda e o assunto fica resolvido por três anos.
Ativar as notificações de pagamento na aplicação bancária. Cada operação dispara um alerta no telefone. Um levantamento fraudulento torna-se visível em segundos, em vez de semanas. É a medida gratuita mais eficaz que existe.
Separar os usos. Uma conta à ordem com um limite modesto para as compras do dia a dia, e as poupanças noutra conta não associada ao cartão. O prejuízo máximo fica assim limitado por construção. Para quem paga sobretudo online, os cartões virtuais de uso único propostos pela maioria dos bancos acrescentam uma camada útil.
E para os pagamentos sem contacto nos transportes ou em locais com muita gente, uma capa anti-RFID para cartão bancário limita a leitura à distância — um risco marginal comparado com o smishing, mas o reflexo custa pouco.
O que esta fraude diz sobre o panorama de 2026
O Banque de France registou ao longo de vários trimestres um aumento das fraudes por manipulação, aquelas em que a própria vítima realiza a operação depois de ter sido enganada, em detrimento das fraudes puramente técnicas. É exatamente o registo da falsa renovação de cartão: nenhuma pirataria, nenhum software malicioso, apenas um cenário credível e uma pressão temporal.
As ferramentas de deteção progridem em paralelo: os sistemas de análise de mensagens integrados nos telefones Android e iOS sinalizam cada vez melhor os links suspeitos, e os operadores filtram uma parte crescente das campanhas. Mas esses filtros não veem a chamada telefónica que vem a seguir, nem o estafeta que toca à porta. O último elo continua a ser humano.
A boa notícia é que a defesa cabe numa frase, transmissível a qualquer pessoa em dez segundos: ninguém, nunca, pede o seu código secreto, e ninguém vem buscar o seu cartão a casa. Repita-a aos seus pais, aos seus avós, aos seus filhos que abrem a primeira conta. Vale mais do que todos os softwares do mundo.
Se precisar de avisar rapidamente alguém próximo de uma campanha em curso, um SMS curto e factual funciona muitas vezes melhor do que uma longa chamada. Pode enviar um gratuitamente a partir da nossa página inicial, sem registo — algumas palavras do género «Se receberes um SMS sobre o teu cartão bancário, não cliques, liga-me» podem evitar um péssimo quarto de hora.
