Contactos burlados em teu nome: o que acontece quando as mensagens saem do teu número

Os riscos de uma conta usada para spam descrevem o que acontece à conta: conversas lidas por outros, agenda copiada, mensagens escritas em teu nome. As consequências descrevem o que acontece às pessoas: ao cliente que paga para a conta errada, ao trabalho que para, aos telefonemas que é preciso fazer, à confiança que racha. Quando há contactos burlados em teu nome, é deste segundo lado que se trata.

Este tipo de dano tem uma característica particular: não cai primeiro sobre ti, mas sobre quem confiou em ti. Por isso merece ser visto de perto, com calma e sem dramatizar, mas também sem o desvalorizar.

Este artigo aprofunda a recomendação sobre as mensagens enviadas em teu nome, que parte de um gesto simples: levar a sério o contacto que pergunta «foste tu?».

Nota de variante: este texto está em português europeu. Onde se lê palavra-passe, no Brasil diz-se senha; telemóvel é celular e aplicação é aplicativo.

Um cenário realista

O João tem uma pequena oficina de carpintaria nos arredores do Porto. Trabalha por encomenda: cozinhas, roupeiros embutidos, uma ou outra janela. Com os clientes fala quase só por uma aplicação de mensagens, a partir do mesmo número de telemóvel há anos. É por lá que manda os orçamentos, as fotografias dos trabalhos e os dados bancários para os adiantamentos.

Numa terça-feira de manhã, a aplicação pede-lhe para confirmar outra vez o número. O João pensa que é uma atualização e deixa o assunto para a noite. Entretanto, da conta dele saem mensagens para alguns clientes com trabalhos em curso: «Bom dia, por causa de um problema com o banco, a partir de hoje os pagamentos passam a ser feitos para este novo IBAN. Obrigado e desculpe o incómodo.»

O tom é o dele, as conversas anteriores estão lá, a mensagem chega do número de sempre. Um cliente paga o adiantamento de uma cozinha para a nova conta. Outro, felizmente, telefona ao João a pedir confirmação.

Como se chega a este ponto está explicado no artigo sobre o roubo de contas de mensagens. Aqui interessa o que acontece depois. E as consequências repartem-se por cinco planos.

1. Consequências operacionais: quando o canal de trabalho falha

Exemplo prático

O João já não consegue usar a aplicação como antes: a conta aparece ativa noutro aparelho, ou a confirmação pede-lhe um código de segurança que ele nunca definiu. Entretanto, os clientes escrevem-lhe, mas ele não vê as mensagens ou já não sabe quais são autênticas.

Efeitos possíveis

• o canal principal com clientes e fornecedores fica pouco fiável durante horas ou dias;
• orçamentos, fotografias e acordos feitos por mensagem ficam inacessíveis quando são precisos;
• cada cliente tem de ser contactado por outra via, um a um;
• entregas e visitas a obras atrasam-se, porque o dia vai todo para arrumar a situação;
• é preciso refazer de raiz definições, dispositivos ligados e proteções da conta.

Porque é importante

Para muitos pequenos negócios, a aplicação de mensagens é, na prática, o departamento comercial. Quando esse canal deixa de ser fiável, o trabalho não para por uma avaria técnica: para porque já não se sabe em que mensagens confiar. É uma interrupção que não aparece em nenhuma fatura, mas que se sente logo.

2. Consequências financeiras: quando o pagamento vai para o sítio errado

Exemplo prático

O cliente que pagou o adiantamento para o novo IBAN — o código que identifica uma conta bancária — conta-o ao João uns dias depois, com o comprovativo na mão. O João não recebeu nada. O cliente pagou, mas não a ele.

Efeitos possíveis

• quantias pagas para contas que não pertencem nem ao cliente nem ao João;
• recebimentos esperados que não chegam, com efeitos na tesouraria de um negócio pequeno;
• trabalhos suspensos até a situação se esclarecer;
• custos indiretos: tempo, assistência técnica, eventual aconselhamento;
• em alguns casos, quantias que não se conseguem recuperar.

Porque é importante

Uma transferência já feita é, em regra, difícil de reverter. O banco de quem pagou pode tentar pedir a devolução ou comunicar o caso ao banco de destino, mas o resultado não está garantido e depende muito do tempo que passou. Por isso, dar por isso cedo e avisar logo os contactos conta mais do que qualquer outra coisa. Não há automatismos: falar de reembolsos «certos» seria uma promessa que ninguém pode fazer antecipadamente.

3. Consequências legais: quando a pergunta passa a ser «quem paga?»

Exemplo prático

O cliente considera que já pagou o adiantamento. O João considera que não o recebeu. Ambos têm as suas razões, e ambos foram enganados pela mesma mensagem. Entretanto, quem tomou a conta pôde ver também moradas, números de telefone e pormenores dos trabalhos de outros clientes.

Efeitos possíveis

• uma questão em aberto com o cliente sobre quem deve suportar a perda, que depende das circunstâncias concretas;
• a conveniência de apresentar queixa e de guardar provas: mensagens, comprovativos, horas, capturas de ecrã;
• comunicações a fazer ao banco e à plataforma de mensagens;
• se nas conversas havia dados pessoais de clientes, o João é o responsável pelo tratamento desses dados: cabe-lhe avaliar se houve uma violação de dados pessoais segundo o RGPD e, se for o caso, notificá-la à CNPD no prazo de 72 horas; os clientes afetados podem, por seu lado, apresentar queixa à CNPD.

Porque é importante

Quem é responsável por uma perda causada por uma mensagem falsa não se pode decidir em abstrato: depende do que foi escrito, de como foi verificado, dos acordos feitos e da lei aplicável. Em Portugal, a queixa pode ser apresentada na PSP ou na GNR, ou online no portal Queixa Eletrónica; os crimes informáticos são investigados pela Polícia Judiciária. Uma queixa bem documentada, com as mensagens e os comprovativos, ajuda quem tem de investigar e também o banco.

Que provas convém guardar, antes de apagar seja o que for:

• as capturas de ecrã das mensagens falsas, com a data, a hora e o número de onde saíram;
• o comprovativo da transferência feita pelo cliente e o IBAN indicado na mensagem;
• os avisos recebidos da plataforma — pedidos de confirmação do número, alertas de novo aparelho;
• uma nota curta, escrita no próprio dia, com a sequência do que aconteceu e de quem avisaste.

Guardar estas provas não obriga a apresentar queixa; deixa apenas essa porta aberta, para ti e para o cliente.

Este artigo é informação geral e não substitui aconselhamento jurídico. Não promete nenhum resultado sobre responsabilidades e reembolsos: num caso concreto, convém falar com um profissional e, se estiverem envolvidos dados pessoais de clientes, com quem trata da proteção de dados no teu negócio.

4. Consequências para a reputação: quando o teu nome se torna isco

Exemplo prático

A mensagem com o novo IBAN chegou a várias pessoas. Algumas não ligaram, uma pagou, outra falou disso com o vizinho que estava à espera de um orçamento. Numa vila, as notícias correm depressa.

Efeitos possíveis

• clientes que, a partir daí, pedem confirmação de cada mensagem;
• dúvidas sobre a seriedade do negócio, mesmo que o João não tenha feito nada de errado;
• a necessidade de explicar várias vezes, a pessoas diferentes, o que aconteceu;
• orçamentos pendentes que arrefecem;
• um nome de que outros se serviram para enganar.

Porque é importante

Nas burlas em teu nome, a tua reputação é precisamente a ferramenta usada contra os teus contactos: a mensagem funciona porque confiam em ti. A confiança não se repara mudando a palavra-passe. Reconstrói-se com transparência e com tempo, e por isso um aviso claro e rápido aos contactos faz parte da solução, não é uma confissão de culpa.

5. Consequências pessoais: quando pesa na pessoa

Exemplo prático

O João passa a noite ao telefone com os clientes. Sente-se em dívida com o que pagou, embora nunca tenha escrito aquela mensagem. Volta a abrir as conversas antigas, uma e outra vez, para perceber que mais terá sido lido.

Efeitos possíveis

• sentimento de culpa perante quem sofreu o dano;
• stresse e sensação de ter perdido o controlo de uma ferramenta de todos os dias;
• tempo pessoal absorvido por telefonemas, verificações e comunicações;
• conversas privadas e familiares lidas por estranhos;
• desconfiança em relação a uma ferramenta que antes se usava sem preocupação.

Porque é importante

É a consequência menos visível, mas muitas vezes a mais longa. Convém dizê-lo com clareza: se te aconteceu, não foi por ingenuidade. Estas burlas são construídas para parecerem normais, e atingem precisamente quem tem uma rede de contactos que confia. Sentir responsabilidade é compreensível; culpar-te não ajuda nem a ti nem a quem foi enganado.

O custo que ninguém põe nas contas: o tempo

A quantia que foi parar à conta errada sabe-se. O tempo gasto a pôr tudo em ordem, muito menos, e é quase sempre a parcela mais pesada.

Uma estimativa indicativa, com base na forma como estes casos costumam decorrer:

São horas que não estavam na agenda, tiradas à oficina e à família, e concentradas em dias em que já se está sob pressão.

A comparação fala por si: proteger a conta e combinar com os clientes como se confirmam os pagamentos leva menos de uma hora, uma única vez.

As consequências para os contactos burlados em teu nome

Neste tipo de incidente, as pessoas mais expostas não são o titular da conta, mas quem recebe as mensagens.

• Os clientes recebem um pedido credível, do número de sempre, e alguns pagam. O prejuízo, nesse momento, é deles.
• Os fornecedores podem receber pedidos de adiantamentos ou de dados que não têm motivo para pôr em causa.
• Os familiares e os amigos recebem, por sua vez, mensagens, ligações ou pedidos de «códigos chegados por engano», que servem para tomar também as contas deles.
• Os contactos dos contactos: uma conta tomada pode tornar-se o ponto de partida da seguinte, e a burla propaga-se de agenda em agenda.
• As pessoas cujos dados estavam nas conversas — moradas, fotografias da casa, documentos — sofrem uma exposição que não escolheram.

É por isso que, no Framework Cyber Welfare, a segurança de uma conta não é vista como um assunto privado: proteger o próprio número é proteger também quem confia nesse número. Os contactos burlados em teu nome não fizeram nada de estranho: confiaram numa voz conhecida.

A ligação com a recomendação

Todas estas consequências têm um ponto em comum: o tempo que passa entre a primeira mensagem falsa e o momento em que o titular dá por ela.

Quanto mais curto for esse tempo, menos pessoas recebem a mensagem e menos pagamentos saem. Muitas vezes, quem dá pelo problema primeiro é um contacto que escreve: «Mandaste-me uma mensagem estranha?» Levar essa pergunta a sério, verificar as mensagens enviadas e as sessões ativas, e agir logo é o que a recomendação R29 pede.

Para saber que indícios observar, há o artigo sobre os sinais de mensagens que não escreveste, que se junta aos sinais de conta comprometida, válidos para qualquer tipo de conta.

Como reduzir o risco

1. Leva a sério cada aviso dos contactos. Um «foste tu que escreveste?» costuma ser o primeiro sinal, e o mais fiável, de que algo não está bem.
2. Combina uma regra com os clientes: os dados bancários nunca mudam por mensagem. Se mudarem mesmo, confirma-se de viva voz, ligando para um número já conhecido. Escrevê-lo na fatura ou no orçamento ajuda toda a gente.
3. Ativa a autenticação multifator (MFA) — uma segunda prova de identidade além da palavra-passe — e, nas aplicações de mensagens, o PIN da verificação em dois passos. O caminho está explicado em proteger as contas com um segundo fator.
4. Revê de vez em quando os dispositivos ligados às aplicações de mensagens e desliga os que não reconheces. Nos computadores partilhados, termina sempre a sessão: as credenciais que ficam no porta-chaves de um aparelho alheio são uma porta que fica encostada.
5. Ativa os alertas de início de sessão nas contas, para que um novo acesso não passe despercebido.
6. Não reencaminhes códigos de verificação, nem a um contacto que os peça «porque chegaram por engano».
7. Se acontecer, segue uma ordem precisa: o artigo o que fazer se a tua conta envia mensagens explica os passos, incluindo a verificação do telemóvel para reconhecer software malicioso no telemóvel.

Ligação ao Framework Cyber Welfare

Este artigo trata a segurança de uma conta como uma responsabilidade partilhada com quem confia nela.

Níveis de maturidade digital.

• FL1 – Básico. Vês a conta de mensagens como um assunto só teu. É o ponto de partida mais comum, e não uma falha.
• FL2 – Inicial. Percebes que uma conta tomada atinge sobretudo quem confia em ti, e levas a sério os avisos dos contactos. É o nível de referência deste artigo.
• FL3 – Autónomo. Tens a MFA e o PIN de verificação ativos, e combinaste com clientes e familiares uma forma de confirmar pedidos de dinheiro.
• FL4 – Hábil. Tens um plano pronto: sabes quem avisar primeiro, por que canal, e que provas guardar.
• FL5 – Especialista-Guia. Ajudas outros pequenos negócios, ou a tua família, a montar as mesmas regras, sem alarmismo e sem culpabilizar quem já foi enganado.

Lista breve

• ☐ Sei que clientes ou contactos avisaria primeiro se a minha conta enviasse mensagens falsas
• ☐ Tenho um segundo canal para chegar a eles, independente da aplicação de mensagens
• ☐ Disse aos clientes que os meus dados bancários nunca mudam por mensagem
• ☐ Ativei o PIN da verificação em dois passos e a autenticação multifator onde é possível
• ☐ Revejo de vez em quando os dispositivos ligados e as mensagens enviadas

Conclusão

Uma conta de mensagens tomada por outra pessoa não produz «um problema informático». Produz um cliente que pagou à pessoa errada, telefonemas difíceis, um nome usado como isco e a sensação de ter de responder por algo que não fizeste.

A boa notícia é que grande parte destas consequências se reduz com hábitos ao alcance de qualquer pessoa: proteger a conta com um segundo fator, combinar com os clientes que os pagamentos se confirmam de viva voz, e ouvir o contacto que pergunta «foste tu que escreveste?». Se quiseres perceber em que ponto estás nos teus hábitos digitais em geral, podes fazer a Autoavaliação de Resiliência Digital.

Pergunta para pensar. Se amanhã um cliente recebesse do teu número uma mensagem com dados bancários diferentes, o que o levaria a parar e a telefonar-te antes de pagar?

Recursos relacionados

• ameaça informática — o que conta como ameaça, incluindo as burlas que não precisam de nenhum programa

Conteúdos relacionados

• Mensagens enviadas em teu nome — a recomendação de onde parte este artigo
• Riscos de uma conta usada para spam — o plano técnico: confidencialidade, integridade e disponibilidade
• O que fazer se a tua conta envia mensagens — as contramedidas, por ordem de prioridade, a começar por terminar as sessões que ficaram abertas
• Roubo de contas de mensagens — os mecanismos com que uma conta é tomada e usada para enganar os contactos

Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.