SIM‑Swap e o truque do ecrã preto: como reconhecer e travar o golpe

Encolhe-se os ombros, reinicia-se o telemóvel e segue-se em frente. Por vezes, é precisamente esse automatismo que, mais tarde, cobra um preço.

Cada vez mais, investigadores descrevem situações em que uma breve quebra de rede é o primeiro sinal de um problema bem maior. Burlões assumem o controlo do número de telemóvel, intercetam códigos e exploram de imediato qualquer falha.

Como funciona o SIM‑Swap (o truque do ecrã preto)

A Gendarmerie francesa alerta para um esquema que já se tornou comum por cá: o SIM‑Swap, também conhecido como truque do ecrã preto. À primeira vista, o processo parece banal; o impacto, porém, é devastador. Primeiro, os criminosos recolhem dados pessoais - através de e-mails de phishing, chamadas falsas, bases de dados comprometidas ou, simplesmente, pelas redes sociais.

Como atuam os criminosos, passo a passo

• Ganham confiança: telefonam como suposto banco, operador de telecomunicações ou serviço de entregas. Objetivo: obter mais informação.
• Contactam o operador e, por engenharia social, conseguem uma segunda via do cartão SIM ou ativam uma eSIM num equipamento que não é o seu.
• O seu smartphone perde rede de repente. Passa a mostrar apenas “Só chamadas de emergência” - ou nem isso.
• Todas as SMS com logins ou TAN passam a chegar aos criminosos. Códigos enviados por SMS são capturados.
• Em poucos minutos, surgem transferências, autorizações de cartões ou até contratos de crédito.

"Se o telemóvel ficar offline sem motivo e reiniciar não resolver, há perigo imediato. Os minutos contam."

Muitas vítimas só se apercebem do ataque quando notam movimentos estranhos no homebanking. Outras só veem a dimensão do prejuízo dias depois. O motivo é simples: a TAN por SMS continua a ser usada e é exatamente aí que este esquema ataca.

Sinais de alerta a reconhecer antes de faltar dinheiro

• Perda de rede inesperada, apesar de outros equipamentos terem sinal.
• O operador envia um e-mail a informar uma ativação de SIM que não foi pedida por si.
• Alertas de login em contas que não está a utilizar naquele momento.
• A app do banco indica tentativas de acesso rejeitadas ou novas autorizações de dispositivos.
• Alterações súbitas nos dados de recuperação em contas de cloud.

"Sem rede e, ao mesmo tempo, e-mails sobre ‘novos dispositivos’ ou ‘códigos de segurança’? Peça o bloqueio de imediato e só depois verifique as causas."

Medidas de proteção que realmente fazem diferença

A maior margem de segurança está no segundo fator de autenticação. Depender apenas de SMS não é suficiente. É preferível usar métodos baseados em aplicações ou chaves físicas - e também é possível reforçar as regras junto do operador.

• Mudar o banco para TAN por app ou por hardware. Evitar TAN por SMS sempre que possível.
• Proteger logins de apps com Face ID ou impressão digital. E, além disso, usar um código forte no dispositivo.
• Definir uma PIN de cliente no operador e exigir que a troca de SIM só seja feita numa loja, com documento de identificação.
• Ativar um bloqueio de portabilidade do número. Sem autorização, não há transferência do número para outro operador.
• Proteger o e-mail com Authenticator ou chave de segurança. O e-mail é a porta de entrada para muitos serviços.
• Ativar alertas regulares: notificação a cada movimento, autorização de cartão e novo dispositivo.

Método	Risco com SIM‑Swap	Conveniência	Custos
SMS‑TAN	alto, os códigos chegam ao atacante	médio	normalmente incluído
App‑TAN/Authenticator	baixo, é necessário desbloquear o dispositivo	alto	incluído
Chave de segurança (FIDO2)	muito baixo, é necessária presença física	médio	pagamento único de 30–60 €

O que fazer imediatamente se o telemóvel ficar offline

• Ligar ao banco e pedir bloqueio de contas, cartões e transferências. O número 116 116 ajuda a bloquear muitos cartões na Alemanha.
• Contactar o operador: bloquear já o SIM, desativar eSIM/segunda via emitida indevidamente e pedir um novo SIM.
• Verificar a gestão de dispositivos na app do banco e remover equipamentos desconhecidos. Alterar palavras-passe, começando pelo e-mail.
• Rever movimentos, devolver débitos diretos, e pedir redução temporária dos limites do cartão.
• Apresentar queixa. Guardar provas: e-mails, SMS, capturas de ecrã e registos de chamadas.
• Vigiar a sua situação de crédito: pedir uma auto-consulta numa entidade de informação de crédito e esclarecer pedidos de crédito não autorizados.

"Não apague as provas. Cada SMS, cada e-mail e cada carimbo temporal reforça a sua posição perante o banco, a polícia e o operador."

Porque é que os códigos por SMS são tão vulneráveis

Com a diretiva europeia de pagamentos PSD2, aplica-se a autenticação forte do cliente. Ainda assim, muitos bancos mantiveram a TAN por SMS por parecer simples. É precisamente essa simplicidade que os burlões exploram. Eles não alteram a conta bancária - deslocam o canal de receção. O código continua válido; o que muda é o dispositivo que o recebe. Em contraste, TAN por app, tokens de hardware e chaves de segurança associam o segundo fator a um equipamento específico, previamente autorizado. Isso dificulta muito o abuso.

O que os operadores já fazem - e como podem reforçar

Operadores na Alemanha exigem, para trocas de SIM, verificação de identidade, PIN de cliente ou deslocação a loja. Ainda assim, a engenharia social por vezes contorna estes controlos. Um conjunto de barreiras cumulativas tende a funcionar melhor: sem ativação por telefone sem PIN adicional, bloqueio contra portabilidade repentina, e ativações com atraso acompanhadas de aviso por e-mail e app. Os clientes devem pedir estas opções de forma explícita e confirmar regularmente se continuam ativas.

Quem está mais exposto a este tipo de burla

• Pessoas com número publicamente visível, por exemplo profissionais independentes com obrigação de publicar contactos.
• Utilizadores cujos endereços de e-mail aparecem em fugas de dados.
• Viajantes com perfis eSIM, que alternam frequentemente e, por isso, ativam mais vezes.
• Famílias que concentram códigos por SMS de várias contas num único telemóvel.

Verificação prática rápida para o dia a dia

Cenário: 19:40, o seu telemóvel mostra “Sem rede”. Sabe que, na sua rua, costuma haver cobertura. Plano para os próximos dez minutos: ligar ao banco e ativar um bloqueio temporário. Contactar o operador e bloquear o SIM. Em casa, ligar-se ao Wi‑Fi e mudar as palavras-passe do e-mail e do banco. Depois, confirmar movimentos. Só então tentar reiniciar. Se a rede voltar, trate de apurar a origem com o operador.

Criar um cartão de emergência

• Números importantes em papel: banco, 116 116, operador, pessoa de confiança.
• Lista curta de passos: bloquear, operador, palavras-passe, recolher provas, apresentar queixa.
• Definir onde guardar o cartão em casa e informar quem vive consigo.

Definições e detalhes úteis

SIM‑Swap é a transferência do seu número para outro SIM ou eSIM. A perda de rede acontece porque a rede só permite um cartão ativo. Um “bloqueio de portabilidade” abranda a passagem do número para um novo operador. Exigir troca de SIM apenas em loja aumenta a dificuldade para os atacantes. Uma chave de segurança (FIDO2) é especialmente eficaz para proteger acessos como e-mail, cloud e gestor de palavras-passe. Garantir segurança nesses pontos reduz o risco em toda a vida digital.

Quem usa muitos serviços ganha em fazer uma pequena auditoria: que contas ainda dependem de SMS‑TAN? Onde é possível mudar para App‑TAN ou para chave? Que operadores permitem uma PIN adicional ou um bloqueio contra alterações repentinas? Uma hora de inventário reduz o risco de forma clara - e, numa emergência, pode poupar dias de problemas.