"Compra não reconhecida na Amazon": a chamada ou o SMS falso para a "cancelar"

"Ligamos do departamento de segurança da Amazon. Detetámos uma compra de um iPhone no valor de 1149 euros na sua conta. Se não foi o senhor a efetuá-la, prima 1." Às vezes é uma voz gravada, às vezes uma pessoa com um guião muito ensaiado e, às vezes, um SMS com uma ligação para "cancelar a encomenda". O nome pode ser Amazon, PayPal, AliExpress, um grande armazém ou qualquer loja conhecida. O que nunca muda é o objetivo: que, com a pressa de travar uma cobrança que não existe, lhes dê os dados do seu cartão, um código do seu banco ou o controlo do seu telemóvel ou computador.

Como funciona esta burla?

O guião repete-se com poucas variações:

1. O isco. Uma chamada automática, um SMS ou um WhatsApp avisa-o de uma encomenda cara que não reconhece: um telemóvel, um portátil, uma consola, cartões-presente. O valor é alto de propósito, para que se assuste.
2. A passagem para um "agente". Se premir uma tecla, devolver a chamada ou tocar na ligação, atende-o alguém que se apresenta como serviço de segurança ou de apoio ao cliente. Costuma saber o seu nome, e por vezes a sua morada, porque esses dados circulam devido a fugas de informação antigas.
3. O "cancelamento". Para "anular a compra" ou "devolver-lhe o dinheiro", pedem-lhe uma destas coisas:
   • os dados completos do cartão, "para confirmar que é o titular";
   • o código que acabou de receber por SMS, que na verdade autoriza um pagamento ou uma alteração no seu homebanking;
   • que instale uma aplicação de "suporte" ou de "acesso remoto" (AnyDesk, TeamViewer, QuickSupport ou semelhantes) para que "um técnico resolva o problema";
   • que entre no seu homebanking "enquanto eles veem" para "processar o reembolso".
4. O golpe. Com o cartão fazem compras; com o código autorizam pagamentos ou associam o seu cartão ao telemóvel deles; com o acesso remoto veem o seu ecrã, leem os seus SMS e movimentam o seu dinheiro enquanto pensa que o estão a ajudar.

Há uma variante especialmente retorcida: o falso "reembolso a mais". Com acesso remoto, o burlão manipula o que vê no ecrã para parecer que lhe devolveram 1000 euros em vez de 100 e pede-lhe, aflito, que "devolva a diferença" por transferência ou com cartões-presente. Nunca houve reembolso nenhum: o dinheiro que envia é seu.

Quais são os sinais de alerta?

• Avisam-no de uma compra que não consegue ver na app oficial da loja. Se a encomenda não aparece em "As minhas encomendas", não existe.
• Apressam-no: "a compra é processada dentro de 30 minutos", "se desligar não a conseguiremos travar".
• Pedem-lhe para instalar uma app para cancelar uma encomenda. Nenhuma loja precisa de controlar o seu dispositivo para anular uma compra.
• Pedem-lhe códigos recebidos por SMS. Esses códigos são a sua assinatura: quem lhos pede ao telefone quer usá-los.
• Pedem-lhe que pague para receber dinheiro: cartões-presente, transferências ou "devolver a diferença".
• A ligação do SMS não leva ao site oficial, mas a um endereço parecido com letras ou palavras a mais.
• O número parece legítimo. Não confie: o número que aparece no ecrã pode ser falsificado (spoofing), e um nome conhecido no identificador de chamadas não prova nada.

O que faço já se me ligarem ou receber o SMS?

1. Desligue ou não responda. Não prima nenhuma tecla, não ligue de volta para o número que lhe dão e não toque na ligação.
2. Verifique por si, pelos seus próprios meios. Abra a app oficial da loja ou escreva o endereço à mão no navegador e reveja as suas encomendas. Se não houver nada de estranho, já tem a resposta.
3. Se houver mesmo uma encomenda que não reconhece, cancele-a na própria app ou contacte a loja através da secção de ajuda do site ou da app oficial, nunca pelo telefone que lhe deu quem ligou.
4. Não dê dados, códigos nem palavras-passe, mesmo que a pessoa saiba o seu nome, a sua morada ou os últimos dígitos do cartão.
5. Não instale nada a pedido de alguém que o contactou sem que o tenha solicitado.
6. Bloqueie o número e denuncie-o no diretório de números de spam para avisar outras pessoas.

Uma regra simples resume tudo: se são eles a ligar, desligue e ligue você por um canal que tenha procurado por si.

E se já dei dados ou instalei a app?

Aja depressa e por esta ordem:

1. Corte a ligação. Se instalou uma app de acesso remoto, termine a sessão, desligue o dispositivo da internet (modo de voo ou desligar o Wi-Fi) e desinstale a aplicação.
2. Ligue já ao seu banco, para o número oficial que está no verso do cartão ou na app do banco, não para um que lhe tenham dado. Peça o bloqueio do cartão, a revisão dos movimentos recentes e a suspensão de qualquer transferência pendente. Quanto mais cedo ligar, mais hipóteses há.
3. Mude as palavras-passe, a partir de outro dispositivo limpo se puder: primeiro o email, depois o homebanking e a conta da loja. Ative a verificação em dois passos.
4. Reveja a conta da loja: dispositivos ligados, novas moradas de entrega, cartões guardados e saldo de cartões-presente. Elimine o que não reconhecer.
5. Verifique o dispositivo. Se alguém teve acesso remoto, passe um antivírus de confiança e, em caso de dúvida, faça uma cópia dos seus dados e reponha o equipamento.
6. Guarde as provas: capturas dos SMS, o número que ligou, a hora, os comprovativos de pagamento e o nome da app que instalou.
7. Apresente queixa. Em Espanha, na Policía Nacional ou na Guardia Civil; noutros países, na polícia do seu país (em Portugal, PSP, GNR ou Polícia Judiciária), com tudo o que reuniu. O banco costuma pedir a queixa para tratar uma reclamação.

Se já houve cobranças ou transferências, em como recuperar o dinheiro de uma burla telefónica explicamos as vias de reclamação.

Onde denuncio e a quem peço ajuda?

• Polícia: em Espanha, a Policía Nacional (091) ou a Guardia Civil (062), numa esquadra ou posto; noutros países, a polícia nacional. Se estiver em perigo imediato, ligue para o 112, número de emergência em toda a UE.
• Linha de apoio em cibersegurança: em Espanha, o 017 do INCIBE, gratuito e confidencial, que o orienta sobre o que fazer com as suas contas e dispositivos; noutros países, a agência nacional de cibersegurança.
• OSI (Oficina de Seguridad del Internauta), do INCIBE, em Espanha: publica alertas sobre campanhas de fraude ativas, úteis para confirmar se a mensagem que recebeu já circula. Muitos países têm um serviço público de alertas semelhante.
• O seu banco, sempre pelos canais oficiais.
• A própria loja: as grandes plataformas têm na ajuda uma secção para comunicar mensagens ou chamadas suspeitas que usam o seu nome.

Perguntas frequentes

A Amazon liga-me alguma vez por causa de uma compra suspeita? Uma loja pode contactá-lo, mas não lhe pedirá ao telefone os dados do cartão, códigos do banco nem que instale programas de acesso remoto. Perante qualquer dúvida, desligue e reveja as suas encomendas na app oficial.

Não tenho conta na Amazon e ligaram-me na mesma. Porquê? Porque as chamadas são massivas. Usam o nome da loja mais conhecida sabendo que muita gente terá conta. O facto de não ter confirma que é uma fraude.

Só premi o 1 e desliguei. Há algum problema? Normalmente não. O mais provável é que tenham confirmado que o seu número está ativo e receba mais tentativas. Não dê dados nas chamadas seguintes e bloqueie os números.

Dei-lhes os dados do cartão, mas não o código do SMS. Estou a salvo? Não totalmente. Ligue ao banco para bloquear o cartão: com esses dados podem tentar compras em lojas que não pedem verificação adicional, e vão voltar a ligar-lhe para obter o código.

Em resumo

Uma compra que não reconhece verifica-se na app oficial da loja, nunca a partir da chamada ou da ligação que a anuncia. Ninguém legítimo precisa dos seus códigos, do seu cartão nem do controlo do seu telemóvel para cancelar uma encomenda. Se já caiu, corte o acesso, ligue ao banco, mude as palavras-passe e apresente queixa. Uma app como a NoCall pode avisá-lo de que um número já foi denunciado por outras pessoas antes de atender e, se receber uma destas chamadas, denuncie-a no diretório de números de spam da NoCall: o seu aviso ajuda outras pessoas a desligar a tempo.