Como verificar uma notificação da Hacienda ou da Seguridad Social

"Agencia Tributaria: tem um reembolso pendente de 342,18 €. Confirme aqui os seus dados bancários." Ou o contrário: "Tem uma dívida pendente com a Seguridad Social. Evite a penhora regularizando-a aqui." Os organismos públicos são um disfarce excelente para a fraude: toda a gente os conhece, ninguém quer ter problemas com eles, e os seus trâmites reais são suficientemente crípticos para que uma mensagem falsa pareça plausível.

Estas campanhas funcionam em vagas e repetem o mesmo esqueleto do SMS falso de multa da DGT e do SMS falso de encomendas: entidade conhecida + dinheiro pendente (a favor ou contra) + urgência + link. Se aprende a verificar uma, verifica todas.

A regra-chave: os organismos não tratam de nada por links em SMS

Fique com duas ideias:

1. A Hacienda e a Seguridad Social não lhe pedem dados bancários, senhas nem pagamentos através de um link num SMS ou e-mail inesperado. Os seus trâmites eletrónicos passam pelas suas sedes eletrónicas oficiais, às quais acede VOCÊ com os seus meios de identificação (Cl@ve, certificado digital, DNIe).
2. Um reembolso real não precisa que "confirme os seus dados" a partir de um link. Se a Hacienda lhe vai devolver dinheiro, deposita-o na conta que já consta da sua declaração. Não lhe pede um cartão novo por SMS.

Toda a mensagem que o empurre a carregar num link para receber, pagar ou "regularizar" algo com um organismo é suspeita por defeito. Não porque os organismos nunca enviem comunicações, mas porque o link como via de gestão não é a sua forma de trabalhar.

Como é a mensagem falsa

• O reembolso. O isco mais eficaz na campanha do IRS (abril-junho): "tem um reembolso pendente", com um valor concreto e credível. Leva-o a um site falso que imita a sede eletrónica, onde introduz os seus dados pessoais e bancários.
• A dívida ou a penhora. "Último aviso antes de penhora", "dívida pendente com a Seguridad Social". Joga com o medo em vez de com a ilusão, mas o destino é o mesmo: os seus dados e o seu cartão.
• A marcação ou o trâmite. Variantes que pedem para "confirmar a sua marcação" ou "atualizar os seus dados" com link. Menos urgentes na aparência, igualmente falsas.
• Domínios parecidos. Links com "aeat", "agenciatributaria", "seg-social" ou "sede" mais hífenes e palavras extra, em domínios que não são os oficiais. As sedes reais terminam em .gob.es.
• Remetente que não prova nada. Igual a todos os SMS: o remetente falsifica-se e não prova nem desmente nada.

Como confirmar se há algo real

O método é o de sempre: feche a mensagem e entre você no canal oficial. Com organismos públicos é ainda mais claro porque os canais oficiais são únicos e conhecidos:

1. Não carregue no link. Feche-o.
2. Entre você na sede oficial. Escreva o endereço no navegador (sede.agenciatributaria.gob.es, sede.seg-social.gob.es) ou use as suas apps oficiais. Não chegue pelo link da mensagem nem por uma pesquisa à pressa.
3. Identifique-se com Cl@ve ou certificado e consulte. Se houver um reembolso, uma dívida, um processo ou uma notificação, aparecerá aí. Se não aparecer nada, a mensagem era falsa.
4. Se não se maneja com a sede eletrónica, ligue para os telefones oficiais de informação (pesquisados por si no site oficial, não na mensagem) ou peça marcação presencial.

Se existir algo real, trata disso dentro da sede oficial. Jamais através do link de uma mensagem. É exatamente o mesmo hábito que recomendamos para verificar uma chamada ou SMS do seu banco.

O que fazer se já carregou ou deu dados

• Só carregou e fechou: quase de certeza que não aconteceu nada. Bloqueie, apague e siga.
• Introduziu dados do cartão: ligue já ao seu banco, bloqueie o cartão e peça um novo. Vigie os débitos das semanas seguintes.
• Introduziu Cl@ve, utilizador ou senha da sede: mude a senha quanto antes a partir da sede oficial e reveja se há trâmites ou débitos diretos que não reconheça. Se deu o PIN da Cl@ve permanente, renove-o.
• Denuncie com capturas da mensagem e do link. O 017 do INCIBE orienta grátis.
• Reporte o número remetente no diretório de números spam.

Perguntas rápidas

A Hacienda avisa por SMS de verdade alguma vez? A Hacienda pode enviar avisos informativos (por exemplo, que tem uma notificação disponível na sede), mas o aviso real remete-o a entrar VOCÊ na sede eletrónica, não lhe mete um link de gestão nem lhe pede dados na própria mensagem. Em caso de dúvida, trate-o como não verificado e confirme na sede.

E a Seguridad Social? O mesmo: comunicações informativas sim, gestão por link numa mensagem inesperada não. O sistema de notificações eletrónicas (DEHú) funciona entrando você no portal, não carregando em links que lhe chegam.

Na campanha do IRS são mais perigosos? Sim, porque o contexto ajuda o burlão: toda a gente está atenta à sua declaração e um "reembolso pendente" encaixa. Em abril, maio e junho, desconfie a dobrar de qualquer mensagem fiscal com link.

O e-mail com o logótipo oficial é mais fiável do que o SMS? Não. O logótipo copia-se num minuto e o remetente do e-mail também se falsifica. Aplique a mesma regra: nada de links recebidos, entre você na sede.

Se lhe chegou uma destas mensagens, reporte-a no diretório de números da NoCall: estas campanhas rodam o disfarce conforme a época, e o seu reporte ajuda a próxima pessoa a reconhecer o padrão a tempo.