«Olá, recebemos a sua mensagem. Um consultor vai contactá-lo em privado para regularizar o seu processo.» A resposta chega quatro minutos depois da sua publicação, debaixo da reclamação que escreveu já no limite da paciência na conta oficial de uma grande cadeia. Logótipo correto, nome quase idêntico, tom impecável. Só que essa conta não pertence à marca, e o «consultor» que lhe vai escrever dentro de um minuto procura apenas uma coisa: o seu número de telefone e, depois, os seus dados bancários.
Esta fraude ocupa um lugar particular na família do smishing. Na maioria dos casos clássicos, o golpista atira ao acaso: envia milhares de SMS na esperança de acertar em alguém que esteja justamente à espera de uma encomenda ou de uma multa. Aqui é o contrário. Foi você que anunciou publicamente que estava à espera de alguma coisa. Ao golpista basta infiltrar-se na conversa.
Porque é que uma queixa pública é uma mina de ouro
Quando escreve «@Operadora já estou há três semanas à espera do reembolso do router que devolvi, é inadmissível», acabou de oferecer gratuitamente várias informações preciosas:
- O nome da empresa em causa. O golpista sabe exatamente que disfarce vestir.
- A natureza do litígio. Reembolso, encomenda perdida, fatura contestada, avaria não resolvida: o pretexto já está escrito.
- Um valor, às vezes. Muitas reclamações indicam uma quantia exata, o que permite repeti-la palavra por palavra para dar credibilidade ao processo falso.
- O seu estado emocional. Uma pessoa irritada, que já ligou três vezes sem resultado, é infinitamente mais recetiva a um interlocutor que lhe diz finalmente «eu trato disso».
Este último ponto é o verdadeiro motor da fraude. Os golpistas não vendem um medo, como nos falsos SMS de multas: vendem um alívio. É uma inversão clássica da engenharia social, em que a vítima se sente ajudada no momento exato em que está a ser roubada.
As próprias plataformas facilitam a deteção. As menções públicas a uma marca podem ser consultadas por qualquer pessoa, em tempo real, sem ferramentas sofisticadas. Um golpista que vigie as menções a cinco ou seis grandes cadeias dispõe diariamente de centenas de alvos pré-qualificados, já em situação de litígio.
A mecânica, passo a passo
1. A conta falsa que responde antes da verdadeira
As contas fraudulentas imitam a grafia oficial: um sublinhado acrescentado, um «oficial» colado ao nome, um zero no lugar de um O, por vezes a mesma fotografia de perfil copiada tal e qual. A sua vantagem decisiva é a rapidez. Um verdadeiro serviço de apoio ao cliente responde em algumas horas, ou no dia útil seguinte. O falso responde em menos de cinco minutos, inclusive num domingo à noite.
2. O desvio para a mensagem privada
O falso consultor pede quase de imediato para continuar «em privado, por razões de confidencialidade». O argumento parece legítimo, e é-o mesmo nos serviços de apoio ao cliente verdadeiros. Mas aqui tem outra função: retirar a conversa da zona pública, onde outro utilizador, ou o verdadeiro community manager da marca, poderia dar o alerta.
3. O pedido do número de telefone
É o eixo central da fraude. «Para que o nosso serviço trate o seu processo, indique-nos o seu número de telemóvel e o nome que consta no contrato.» O número muda tudo: permite passar para um canal mais íntimo, mais credível e, sobretudo, desencadear verdadeiros SMS de autenticação em serviços onde o golpista tentará iniciar sessão.
4. O SMS que parece oficial
Alguns minutos mais tarde, chega um SMS. Pode exibir um nome de remetente parecido com o da marca: é o spoofing de remetente, uma falsificação que permite mostrar praticamente qualquer etiqueta. A mensagem contém um link para um «formulário de reembolso» ou uma «validação de processo».
5. O formulário falso e o débito verdadeiro
O formulário pede-lhe o IBAN «para efetuar o reembolso», depois o número do cartão «para verificar a identidade do titular» e, às vezes, uma transferência de 1 € «de controlo bancário». Nas variantes mais elaboradas, segue-se uma chamada telefónica, durante a qual lhe pedem para ditar o código de seis dígitos recebido por SMS — esse código que, na realidade, valida um pagamento ou a adição do seu cartão num telefone desconhecido. Detalhámos este mecanismo no nosso artigo sobre os códigos de verificação ditados ao telefone.
Nenhum serviço de apoio ao cliente legítimo lhe pedirá o seu código secreto, o código de seis dígitos recebido por SMS ou uma transferência «de verificação». Um reembolso nunca exige um número de cartão bancário: basta um IBAN, e este já é conhecido do seu fornecedor se for cliente.
Os setores mais expostos
Não todas as reclamações apresentam o mesmo risco. Os golpistas privilegiam os litígios em que um fluxo de dinheiro é plausível e em que o cliente já está à espera de algo:
| Tipo de reclamação pública | Cenário típico de fraude |
|---|---|
| Encomenda perdida ou não entregue | «Taxas de reencaminhamento» de alguns euros a pagar |
| Fatura de operadora contestada | «Gesto comercial» que exige um IBAN e um cartão |
| Rescisão mal processada | «Reembolso do valor pago a mais» através de um formulário falso |
| Encomenda online anulada | «Validação do reembolso» com código SMS para ditar |
| Avaria de um aparelho na garantia | «Voucher de compensação» a ativar através de um pagamento |
| Transportes, atraso de trem ou de voo | Processo falso de indemnização que pede os dados bancários |
Encontra-se nesta lista uma lógica já observada nos falsos reembolsos de operadora: o golpista insere-se num procedimento real, lento e mal compreendido.
Os sinais que o devem fazer parar
Alguns reflexos bastam para desmontar a quase totalidade destas tentativas.
Verifique a conta, não o logótipo. Um logótipo copia-se em três segundos. Observe a data de criação da conta, o número de publicações, o histórico. Um verdadeiro serviço de apoio ao cliente de uma grande cadeia tem milhares de mensagens atrás de si; uma conta falsa tem muitas vezes menos de cinquenta, todas publicadas nos últimos dias. Muitas marcas indicam no seu site oficial a lista exata das suas contas nas redes sociais: é a única fonte fiável.
Desconfie da rapidez. Uma resposta em menos de cinco minutos num domingo à noite, sobre um processo complexo, não é bom sinal. É uma anomalia.
Volte sempre ao canal oficial. Não clique em nenhum link recebido por mensagem privada ou por SMS. Abra você mesmo a aplicação do seu fornecedor, ou escreva o endereço do site à mão. É a regra de ouro: o link que vem até si é sempre menos seguro do que aquele que você vai procurar.
Nunca forneça os seus dados bancários completos. Um IBAN isolado não permite debitar a sua conta sem autorização, mas um número de cartão com data de validade e código de segurança, sim. E um código recebido por SMS vale como assinatura.
Esteja atento à mudança de canal injustificada. Passar da rede social para o SMS, depois do SMS para o WhatsApp, depois para uma chamada: cada salto torna a verificação mais difícil e afasta-o do registo escrito. É, em si mesmo, um sinal de alerta.
Como reclamar sem se expor
O reflexo da reclamação pública é compreensível: funciona muitas vezes, porque as marcas detestam litígios visíveis. Mas pode usá-lo sem se transformar em alvo.
- Mencione o problema, não os detalhes. «Litígio não resolvido há três semanas, agradeço que me contactem» é suficiente. Evite o número da encomenda, o valor exato, o número do contrato, a cidade e, evidentemente, o número de telefone à vista.
- Nunca publique capturas de ecrã sem desfocar. As capturas de faturas, de guias de entrega ou de seguimentos de encomenda contêm referências que o golpista vai repetir palavra por palavra para o convencer. Não é necessária uma caneta para ecrã tátil: a maioria dos telefones permite desfocar uma zona diretamente no editor de capturas.
- Dê preferência ao canal escrito oficial. Formulário de contacto do site, área de cliente ou carta registada para litígios sérios. Um bloco de papel de carta e alguns envelopes de janela continuam a ser a forma mais sólida de constituir um processo com valor probatório, nomeadamente antes de recorrer ao mediador.
- Documente do seu lado. Se o litígio se agravar, um caderno de acompanhamento de processo onde anota datas, interlocutores e referências servir-lhe-á mais do que um fio de publicações. É também um excelente reflexo em caso de queixa posterior.
Para litígios com uma operadora de telecomunicações, a via oficial existe e é gratuita: após uma reclamação escrita que tenha ficado sem resposta, pode recorrer-se ao mediador das comunicações eletrónicas. A Arcep publica igualmente recomendações claras sobre mensagens e chamadas indesejadas e recorda os canais de denúncia a utilizar. Nem uma nem outra entidade o contactará espontaneamente por mensagem privada.
Se já respondeu
Sem pânico, mas com método. A ordem conta.
- Interrompa a conversa. Não anuncie nada, não negocie, não ameace: bloqueie e denuncie a conta na plataforma.
- Ligue ao seu banco sem demora se comunicou um número de cartão, um IBAN ou ditou um código recebido por SMS. Peça o cancelamento do cartão e a vigilância da conta. O número encontra-se nas costas do seu cartão ou na sua aplicação bancária — nunca no SMS recebido.
- Altere as palavras-passe das contas associadas a esse número de telefone, começando pelo seu correio eletrónico. Um gestor de palavras-passe facilita muito a operação; na sua falta, um caderno de palavras-passe guardado fora de vista é melhor do que uma lista nas notas do telefone.
- Denuncie o SMS ao 33700, o dispositivo nacional francês de denúncia de mensagens fraudulentas. Reencaminhe a mensagem e depois indique o número do remetente quando lhe for pedido. O nosso guia detalha todo o percurso da denúncia ao 33700.
- Apresente queixa e faça a denúncia em Cybermalveillance.gouv.fr, que propõe um diagnóstico em linha e uma orientação de acordo com a sua situação. Em caso de usurpação de identidade ou de débito, a queixa é indispensável para o que vem depois, nomeadamente para obter um reembolso junto do banco.
Proteger alguém mais vulnerável
Esta fraude atinge particularmente as pessoas que estão a descobrir as redes sociais e consideram que uma mensagem privada com um logótipo oficial é uma comunicação fiável. Para um pai ou mãe idosos, o raciocínio faz sentido: escreveram à empresa, a empresa responde-lhes.
Alguns hábitos simples, a transmitir com calma:
- Uma regra única a retar: nunca se dá o número do cartão nem um código recebido por SMS, a ninguém, nunca, qualquer que seja o logótipo apresentado.
- Um reflexo de adiamento: «eu ligo-lhe de volta pelo número que consta no meu contrato». Colar os verdadeiros números do serviço de apoio ao cliente junto do telefone funciona notavelmente bem, e um telefone fixo com teclas grandes com memórias diretas evita procurar numa lista de contactos.
- Um contacto de confiança designado: saber a quem ligar na família antes de clicar em qualquer coisa. Na maioria das vezes, cinco minutos de espera bastam para fazer desmoronar a fraude.
Os nossos artigos sobre a proteção dos seniores face às fraudes por SMS e sobre o primeiro telefone de um adolescente complementam utilmente esta abordagem: as duas extremidades da pirâmide das idades são visadas pelos mesmos mecanismos psicológicos, com pretextos diferentes.
O que há a retar
O falso serviço de apoio ao cliente é uma das raras fraudes por SMS em que a vítima, sem o saber, apontou ela mesma a sua própria vulnerabilidade. Recorda uma regra que vai muito além do smishing: aquilo que publica online sobre os seus litígios, as suas expectativas e as suas compras constitui material explorável.
Três frases a guardar na memória:
- Um serviço de apoio ao cliente que responde em quatro minutos num domingo à noite provavelmente não é o verdadeiro.
- Um reembolso nunca pede um número de cartão, nem um código de seis dígitos.
- O bom canal é sempre aquele que você mesmo abre, não aquele que lhe é estendido.
Pode, aliás, recorrer a um serviço de envio de SMS para avisar rapidamente alguém próximo de que este tipo de mensagem está a circular: um texto curto, direto, do género «se um consultor te escrever depois da tua reclamação, não dês nada e liga-me». O formulário de envio de SMS gratuito está na página inicial, sem necessidade de registo. Às vezes, uma mensagem de dez palavras enviada no momento certo vale mais do que uma longa explicação.
