Às 21h47 de uma terça-feira comum, o telemóvel de Marta Oliveira vibrou com uma chamada do "Millennium bcp". A voz do outro lado sabia o nome dela, sabia o número de telefone associado à conta e falava com a calma de quem faz aquilo há anos: "Detetámos uma transferência suspeita de 1.200 euros. Para cancelar, vai receber um pedido no MB WAY — basta aceitar." Marta aceitou. Só na manhã seguinte, ao ligar para o balcão da sua agência em Cascais, percebeu que tinha acabado de autorizar ela própria o levantamento do dinheiro.
Este tipo de chamada — vishing, a variante telefónica do phishing — tornou-se um dos golpes mais comuns junto de clientes bancários em Portugal nos últimos dois anos, e o MB WAY é hoje o instrumento preferido dos burlões precisamente porque a maioria dos portugueses confia nele. Não é preciso ser descuidado para cair numa destas armadilhas: os esquemas evoluíram, os números de telefone são falsificados para parecerem do banco (spoofing) e os textos das mensagens copiam quase ao milímetro o grafismo oficial da Caixa Geral de Depósitos, do Novobanco ou do Santander Totta.
Phishing, vishing e smishing: três portas para a mesma fraude
O phishing clássico chega por email e imita uma comunicação oficial — normalmente um alerta de segurança que pede para "confirmar os dados" através de um link. O vishing acontece por telefone, como no caso de Marta, e costuma explorar a urgência: uma suposta transferência suspeita, um cartão bloqueado, uma fatura em atraso. Já o smishing usa SMS, muitas vezes anunciando uma encomenda dos CTT ou da DHL retida na alfândega à espera de um pequeno pagamento de "taxa aduaneira".
O denominador comum entre os três é sempre o mesmo: criar pressão para agir depressa, antes que a vítima pare para pensar. Nenhum banco português pede a confirmação de dados de acesso, códigos de autenticação ou PIN por telefone, email ou SMS — isto está escrito nas condições gerais de qualquer conta à ordem, e a Associação Portuguesa de Bancos (APB) repete o aviso em praticamente todas as suas campanhas anuais. Se recebe um pedido desse género, desligue e ligue você mesmo para o número oficial impresso no cartão ou no site do banco.
Esquemas de investimento falsos: o golpe que cresce mais depressa
Enquanto o phishing bancário ataca contas correntes, um segundo tipo de fraude tem crescido a um ritmo diferente: plataformas de investimento que prometem retornos de 15% a 40% ao mês em criptomoedas, ações ou forex. A Comissão do Mercado de Valores Mobiliários (CMVM) mantém uma lista pública de entidades não autorizadas a operar em Portugal, atualizada regularmente, e a maioria dos nomes que lá aparecem tem sites com aspeto profissional, testemunhos falsos e até "gestores de conta" que ligam em português com sotaque de Lisboa.
O mecanismo é sempre parecido: um primeiro depósito pequeno, entre 250 e 500 euros, gera lucros visíveis num painel de controlo que a própria empresa controla. Convencida, a vítima investe mais — muitas vezes recorrendo a poupanças ou a um crédito pessoal — e é nesse momento que os levantamentos começam a ser recusados com desculpas sobre "impostos" ou "taxas de liberação de fundos" que nunca mais terminam. Evite qualquer plataforma que contacte primeiro por WhatsApp ou Instagram e que prometa rentabilidades fixas muito acima da média de mercado; nenhum investimento sério garante retorno, e quem garante está, quase sempre, a mentir.
Os sinais que costumam passar despercebidos
Há sinais óbvios — erros ortográficos, remetentes estranhos — mas também há outros mais subtis que só se aprendem depois de já ter sido alvo de uma tentativa:
- Pressão temporal artificial: "esta oferta termina em 24 horas" ou "a sua conta será bloqueada às 18h de hoje"
- Pedidos para instalar aplicações de acesso remoto como AnyDesk ou TeamViewer, alegadamente para "resolver" um problema técnico
- Links que, ao passar o rato por cima, mostram um domínio quase igual ao verdadeiro, mas com uma letra trocada ou um subdomínio estranho antes do nome do banco
- E, sobretudo, um contacto que já sabe demasiado sobre si — o nome completo, os últimos dígitos do cartão, até a morada — porque comprou esses dados numa fuga de informação anterior e está apenas a usá-los para parecer legítimo
O que fazer nos primeiros minutos depois de perceber o erro
Se já autorizou uma transferência ou partilhou um código, o tempo conta a seu favor apenas nos primeiros minutos. Ligue de imediato para a linha de apoio do seu banco e peça o bloqueio da conta e do cartão — todas as instituições em Portugal, de acordo com as regras da Diretiva de Serviços de Pagamento (PSD2) e da autenticação forte do cliente, têm de disponibilizar este serviço 24 horas por dia. Depois, apresente queixa na Polícia Judiciária, através da Secção de Cibercrime, e registe o incidente junto do Centro Nacional de Cibersegurança (CNCS), que recolhe estes casos para alertar outros utilizadores e, quando possível, cruzar padrões de fraude entre várias vítimas.
Recuperar o dinheiro nem sempre é possível, sobretudo quando já saiu do sistema bancário português através de uma carteira de criptomoedas ou de uma conta no estrangeiro. Ainda assim, vale sempre a pena documentar tudo — capturas de ecrã das conversas, números de telefone usados, IBAN de destino — porque é com esse rasto que a PJ consegue, por vezes, travar operações semelhantes contra outras pessoas antes de o dinheiro desaparecer de vez.
Prevenção prática: o que muda mesmo o risco
A autenticação de dois fatores (2FA) já é obrigatória na maioria dos serviços bancários portugueses, mas vale a pena ativá-la também no email principal e nas redes sociais, onde muitos golpes começam por um perfil clonado. Configure notificações push para todos os movimentos da conta — mesmo os pequenos — e desconfie sempre que um contacto pedir para "não contar a ninguém" ou para agir "antes que seja tarde demais": essa frase é, sozinha, um dos indicadores mais fiáveis de fraude em curso.
Não vale a pena guardar os códigos de autenticação em notas no telemóvel nem partilhá-los com familiares "para o caso de ser preciso" — mesmo dentro de casa, esse hábito multiplica os pontos onde a informação pode vazar. Prefira sempre confirmar qualquer contacto suspeito através de um canal diferente do que recebeu a mensagem: se ligaram do "banco", desligue e ligue você mesmo para o número que está no verso do cartão. Este passo simples elimina a esmagadora maioria das tentativas, porque o burlão perde exatamente a vantagem que tinha — a de escolher quando e como falar consigo.
Há, no entanto, uma exceção que vale a pena assinalar: quando a fraude já não passa por um contacto direto, mas por um anúncio patrocinado nas redes sociais com o rosto de uma figura pública em vídeo gerado por inteligência artificial a recomendar determinada plataforma de investimento. Nestes casos não há mensagem para ignorar nem chamada para desligar — a defesa está unicamente em desconfiar, por sistema, de qualquer promessa de enriquecimento associado a um nome famoso, porque nenhuma personalidade da economia portuguesa recomenda investimentos através de anúncios do Instagram.
A conta de Marta acabou por ficar sem os 1.200 euros — o banco não conseguiu travar o levantamento a tempo, porque a autorização tinha partido dela própria através do MB WAY. O caso ficou registado no CNCS e, meses depois, ajudou a identificar um padrão de chamadas com o mesmo guião em três distritos diferentes. É esse género de detalhe, aparentemente pequeno, que separa uma vítima isolada de um alerta que chega a tempo de proteger a pessoa seguinte na lista.