Chega um SMS em nome das Finanças. Diz que tens um reembolso de algumas centenas de euros à tua espera e que basta "confirmar os dados" através do link para o receberes. É maio, andas a pensar no IRS, e a ideia de dinheiro de volta soa perfeitamente plausível. Por isso é que este esquema apanha tanta gente todos os anos.

Os dois iscos: o reembolso e a dívida

A burla da Autoridade Tributária joga com duas emoções opostas, e usa a que for mais eficaz contigo. A primeira é a esperança: um SMS a anunciar um reembolso pendente, um valor a teu favor que só precisas de "validar". A segunda é o medo: uma mensagem a avisar de uma dívida fiscal por regularizar, com ameaça de penhora, juros ou processo se não pagares já.

Os dois caminhos terminam no mesmo sítio -- uma página que imita o Portal das Finanças e que te pede dados a mais. No fundo, tanto faz se ficaste contente com o reembolso ou aflito com a dívida. O objetivo é levar-te a clicar e a escrever os dados do cartão antes de pensares duas vezes.

A regra que desmonta a burla

Há uma regra simples que te protege em todos os casos: a Autoridade Tributária nunca te pede dados do cartão bancário por SMS, e-mail ou telefone. Os reembolsos do IRS são processados automaticamente para o IBAN que tens registado no teu cadastro, sem precisares de "confirmar" nada por link nenhum.

Pensa no que estás a ser convidado a fazer. Que sentido faz o Estado pedir-te o número do cartão, a validade e o código de segurança para te devolver dinheiro? Para receber um reembolso, o Fisco precisa do teu IBAN -- que já tem -- e não do teu cartão de crédito. Quando uma página em nome das Finanças pede dados de cartão, está a denunciar-se sozinha.

O mesmo vale para as supostas dívidas. Pagamentos ao Estado fazem-se através de referências Multibanco geradas no portal oficial, ou nos canais habituais, nunca por um link enviado num SMS com um prazo de horas.

Sinais de que o SMS é falso

Para além do pedido de dados do cartão, há padrões que se repetem nestas campanhas. Reconhecê-los faz-te parar antes de clicar:

  • Cria urgência artificial -- "últimas 24 horas", "sob pena de penhora", "processo automático";
  • O link não é o endereço oficial do Portal das Finanças; usa domínios parecidos mas alterados;
  • O valor é específico e apelativo, calculado para parecer real sem ser grande demais;
  • O português tem pequenos erros, frases tortas ou formatações estranhas;
  • Pede-te para "validar a identidade" com NIF, data de nascimento e dados bancários todos de uma vez.

Nenhum destes sinais sozinho é prova absoluta, mas em conjunto pintam um quadro claro. E mesmo que o SMS pareça impecável, a regra do parágrafo anterior continua a valer: dados de cartão nunca.

Como confirmar a sério

A única forma fiável de saber se tens mesmo um reembolso ou uma dívida é ignorar o link e ir tu ao sítio certo. Abre o navegador, escreve o endereço do Portal das Finanças à mão -- ou usa a app oficial -- e entra com as tuas credenciais. Lá vês o teu IRS, os reembolsos em processamento e qualquer valor em falta, sem intermediários.

Se preferires, podes ligar para os contactos oficiais da Autoridade Tributária publicados no portal e confirmar pela voz. O que nunca deves fazer é seguir o link do SMS, mesmo que seja só "para ver". A página falsa pode parecer idêntica à verdadeira, e a diferença está toda no endereço e no que te pede. Podes validar a informação diretamente no portal da Autoridade Tributária.

Este princípio -- desconfiar do link e confirmar pelo canal oficial -- repete-se em muitas fraudes por mensagem. Se queres a versão geral, lê o guia sobre smishing e SMS falsos. E como estes esquemas costumam andar em vagas, vale a pena conhecer também a burla do SMS da encomenda dos CTT, que usa exatamente a mesma técnica com outro disfarce.

O que fazer se já clicaste

Se introduziste os dados do cartão na página falsa, age sem demora. Liga ao banco pelo número do verso do cartão, pede o bloqueio e a verificação dos movimentos. Se introduziste também um código recebido por SMS do banco, avisa que esse código pode ter sido usado para autorizar uma operação. Guarda o SMS e capturas de ecrã como prova.

Depois, denuncia. Apresenta queixa junto da Polícia Judiciária e reporta a burla ao Gabinete de Cibercrime do Ministério Público. A queixa contribui para identificar as campanhas e travar os sites usados, além de poder ser exigida pelo banco.

Perguntas frequentes

O SMS apareceu na mesma conversa das mensagens reais das Finanças. É de confiança? Não. O nome do remetente é facilmente falsificado, por isso a mensagem fraudulenta cai na mesma conversa das legítimas. Avalia o conteúdo e o link, nunca o nome que aparece em cima.

Recebi um reembolso falso, mas tenho mesmo um reembolso a caminho este ano. Como distingo? Confirma sempre no Portal das Finanças, com o endereço escrito por ti. Se há um reembolso real, ele aparece lá -- e nunca depende de tu confirmares dados de cartão por link.

Cliquei no link mas não preenchi nada. Há risco? O risco maior está em introduzir dados. Só abrir a página costuma ser inofensivo; fecha-a, não escrevas nada e não instales nada que a página sugira. Se foste levado a uma aplicação para instalar, não a instales.

A mensagem ameaçava penhora se eu não pagasse hoje. E se for verdade? O Estado não comunica penhoras por SMS com links de pagamento e prazos de horas. Se tens dúvidas sobre dívidas reais, vê o teu cadastro no Portal das Finanças ou contacta a AT pelos canais oficiais. A pressa é a ferramenta do burlão, não da Administração.