Vendo no Wallapop ou no Vinted e o "comprador" pede-me dados ou envia-me um link

Publicas no Wallapop, Vinted ou Milanuncios (plataformas de segunda mão muito usadas em Espanha; a mesma burla circula no OLX, Facebook Marketplace e sites semelhantes em todo o lado) algo que já não usas e, poucos minutos depois, aparece um comprador entusiasmado. Não regateia, não faz perguntas sobre o artigo e tem muita pressa. Pede-te o WhatsApp ou o email "para ser mais rápido" e, pouco depois, envia-te um link: "Já te paguei, entra aqui para receber o dinheiro" ou "Já marquei o envio, confirma os teus dados para o estafeta passar". Se o abrires, verás uma página idêntica à da plataforma que te pede o número do cartão, a data de validade e o CVV. Isso não é um recebimento: é um roubo. E a regra que desmonta tudo é simples: para receber dinheiro nunca tens de dar os dados do teu cartão nem nenhum código.

Como funciona a burla do falso comprador?

O esquema tem variantes, mas segue quase sempre os mesmos passos:

• Tira-te da plataforma. O primeiro movimento é passar a conversa para WhatsApp, SMS, Telegram ou email. Fora do chat oficial, a plataforma não consegue detetar o engano nem proteger-te, e o burlão pode enviar-te links sem filtros.
• Envia-te um link falso. O site imita o design do Wallapop, Vinted, Milanuncios, dos correios ou de uma transportadora. Diz que o pagamento está "retido" ou "pendente de confirmação" e que, para o libertar, tens de introduzir o cartão. Com esses dados fazem compras ou débitos em teu nome.
• Pede-te códigos. Depois de introduzires o cartão, chega-te um SMS do banco com um código para autorizar uma operação. O site falso pede-o "para verificar que és o titular". Esse código é a tua assinatura: com ele autorizas um pagamento, não um recebimento.
• Variante Bizum. Em vez de te enviarem dinheiro, enviam-te um pedido de Bizum (o Bizum é o sistema espanhol de pagamentos entre telemóveis; noutros países há equivalentes, como o MB WAY em Portugal ou o Pix no Brasil) e dizem-te para o aceitares para receber. Se aceitares, és tu quem paga.
• Variante do "pagamento a mais". Dizem que te pagaram a mais por engano (ou "para o transportador") e pedem-te que devolvas a diferença. O pagamento original nunca existiu.

O que têm em comum é a pressão: o comprador "vai viajar", "o estafeta passa hoje" ou "o pagamento expira em 30 minutos". A pressa existe para não parares para pensar.

Como sei que o comprador é falso?

Nenhum sinal isolado é prova, mas vários juntos são um diagnóstico bastante fiável:

1. Quer continuar por WhatsApp, SMS ou email logo de início, sem motivo claro.
2. Não pergunta nada sobre o artigo nem negoceia o preço. É-lhe indiferente o que compra.
3. Envia-te um link para receberes. As plataformas tratam do pagamento e do envio dentro da própria app; o dinheiro não se "levanta" num site externo.
4. O domínio não é o oficial. Endereços com hífenes, palavras acrescentadas ("pagamento-seguro", "confirmar-envio") ou terminações estranhas. Olha com calma, não de relance.
5. Pede-te o cartão, o CVV, o PIN ou códigos SMS. Para receber dinheiro, no máximo precisas do teu IBAN, e só se venderes fora da plataforma. Nunca o CVV nem um código.
6. Perfil novo ou sem avaliações, muitas vezes com um nome genérico e sem foto.
7. Urgência e desculpas logísticas: um familiar vai buscar a encomenda, um estafeta "privado", um envio para o estrangeiro.

O que faço agora mesmo?

1. Não abras o link nem introduzas dados. Se já o abriste mas não escreveste nada, fecha-o; só abrir normalmente não causa problemas.
2. Volta ao chat oficial da plataforma. Se o comprador for real, aceitará comprar com o sistema de pagamento e envio integrado. Se recusar, tens a resposta.
3. Confirma os pagamentos só dentro da app ou no homebanking, entrando tu pela aplicação oficial, nunca a partir de um link que te enviaram.
4. Guarda provas: capturas do chat, o número ou perfil, o link (copia-o como texto, sem o abrir) e a data.
5. Bloqueia e denuncia o perfil na plataforma e o número no WhatsApp ou no telemóvel. Assim a plataforma pode remover a conta antes que tente com outros vendedores.

E se já introduzi os meus dados ou um código?

Não te culpes: estes sites estão muito bem feitos. O importante é a rapidez:

1. Liga imediatamente ao teu banco para o número que está no verso do cartão ou na app oficial. Pede para bloquear o cartão e rever as operações recentes.
2. Comunica os débitos que não reconheças como operações não autorizadas e pede o respetivo reembolso. Quanto mais cedo, mais hipóteses tens. Explicamos isto em como recuperar o dinheiro de uma burla telefónica.
3. Se aceitaste um pedido de Bizum (ou um pedido numa app de pagamentos semelhante), avisa também o banco: o Bizum funciona através dele. Mais detalhes em a burla do Bizum.
4. Muda as palavras-passe da conta na plataforma e do email, e ativa a verificação em dois passos.
5. Se partilhaste um código do WhatsApp, alguém pode tentar ficar com a tua conta: entra no WhatsApp, ativa a verificação em dois passos e avisa os teus contactos para ignorarem pedidos de dinheiro.
6. Vigia as tuas contas nas semanas seguintes. Os teus dados podem ser reutilizados em chamadas que se fazem passar pelo teu banco; antes de agir, aprende a verificar se uma chamada ou SMS do teu banco é verdadeira.

Onde apresento queixa?

• Em Espanha, na Policía Nacional (091) ou na Guardia Civil (062): apresenta queixa com todas as capturas, o link e os comprovativos do banco. O banco pode pedi-la para tratar da reclamação. Noutros países, na polícia nacional.
• Em Espanha, o INCIBE pelo 017: linha gratuita e confidencial de apoio em cibersegurança. Orientam-te sobre o que fazer e, no site do seu Gabinete de Segurança do Internauta (OSI), podes consultar alertas sobre campanhas ativas. Noutros países, a agência nacional de cibersegurança ou o serviço oficial de denúncia de fraudes.
• A própria plataforma: denuncia o perfil e a conversa a partir da app.
• 112 (número europeu de emergência) apenas se houver uma emergência real, por exemplo ameaças ou alguém que aparece à tua porta.

E se o contacto chegou de um número de telefone, acrescenta-o ao diretório de números de spam para que outros vendedores o reconheçam.

Perguntas frequentes

Podem roubar-me só com o número do cartão? Com o número, a validade e o CVV podem fazer-se compras online, sobretudo se conseguirem também o código de confirmação que o banco te envia. Por isso estes sites pedem tudo junto. Nunca o partilhes para receber.

O comprador diz que a plataforma "exige" verificar o meu cartão. É verdade? Não. Se a plataforma precisasse de algo, pedir-to-ia dentro da app oficial, não através de um link que um desconhecido te envia por WhatsApp.

É seguro vender em mão? Encontrar-se num local público e receber em dinheiro ou pelo sistema da plataforma é razoável. Desconfia de qualquer "comprovativo de pagamento" em captura ou email: o que conta é o dinheiro que vês na tua conta ou na app.

Enviaram-me o link por SMS e não pelo chat. Muda alguma coisa? Não. Muda o canal, a armadilha é a mesma. É a mesma lógica do SMS falso de encomendas.

Em resumo

Quando vendes, o dinheiro vem até ti: nunca tens de pagar, introduzir o cartão nem dar códigos para o receber. Mantém a conversa e o pagamento dentro da plataforma, desconfia da pressa e dos links e, se já introduziste dados, liga ao banco antes de tudo e apresenta queixa depois. Se quiseres um aviso extra contra números e SMS suspeitos, o NoCall ajuda-te a identificar quem está do outro lado antes de responderes.