Falsas SMS de reembolso de impostos: a onda de smishing da DGFiP que visa 12,6 milhões de agregados este verão

Todos os verões, o mesmo mecanismo reativa-se: à aproximação dos pagamentos de reembolso do fisco, os burlões enviam em massa SMS que imitam a DGFiP para enganar os contribuintes. Em 2026, a campanha atingiu uma dimensão sem precedentes: 12,6 milhões de agregados familiares vão receber uma transferência do Tesouro Público entre 24 de julho (primeira vaga) e 31 de julho (segunda vaga), e os cibercriminosos alinham as suas mensagens neste calendário. Para um serviço de SMS como o Texto SMS Gratuit, é a ocasião de recordar por que a confiança num número curto e a leitura crítica de cada link continuam a ser as vossas melhores defesas.

Como funciona a burla

O modo operatório, documentado pela Cybermalveillance.gouv.fr no seu alerta de 15 de julho de 2026, está agora bem oleado. Recebe um SMS, às vezes um e-mail ou uma chamada, que se parece em tudo com uma comunicação oficial da Direction générale des Finances publiques. A mensagem anuncia um reembolso de imposto num montante preciso (frequentemente entre 187 € e 262 €, por vezes mais), acompanhado de uma contagem decrescente de 48 horas para «validar» a transferência. O link integrado remete para um falso site que imita impots.gouv.fr, que leva o utilizador a introduzir os seus dados bancários ou credenciais fiscais.

Três indícios devem alertar imediatamente:

• O número emissor: um SMS da DGFiP nunca é enviado a partir de um número móvel francês clássico. Os canais oficiais são o espaço particular em impots.gouv.fr, a mensagem segura do site, ou um e-mail terminado em @dgfip.finances.gouv.fr.
• O URL do link: imita o endereço oficial mas utiliza um domínio exótico (impots-gouv-remboursement.com, dgfip-fr.net, etc.). Um h minúsculo substituído por um H maiúsculo, um traço a mais, um sufixo .top ou .click são típicos.
• O pedido de dados bancários: a DGFiP nunca pede o seu IBAN, número de cartão ou credenciais por SMS. Um verdadeiro reembolso chega automaticamente à conta já conhecida do fisco.

Foto: Unsplash — um simples SMS num ecrã basta para desencadear uma fraude bancária de várias centenas de euros.

Porque é que esta vaga é particularmente perigosa

Três razões explicam a virulência da campanha 2026. Primeiro, o calendário fiscal cai na perfeição: os contribuintes esperam efetivamente uma transferência, o que reduz a vigilância. Quando uma mensagem chega no momento certo, com o montante certo, instala-se a dúvida. Em segundo lugar, os piratas cruzam agora várias bases de dados de fugas passadas: nome, endereço, operador, por vezes mesmo o IBAN — foi precisamente isto que aconteceu na fuga de dados da Free em 2024 sancionada pela CNIL. Em terceiro lugar, a qualidade dos SMS enviados está a aumentar: sem erros ortográficos grosseiros, um logótipo copiado, um tom administrativo impecável, até uma menção legal no fim da mensagem. Em suma, a armadilha está tecnicamente bem feita.

A Arcep e os operadores implementaram várias barreiras, mas não apanham tudo: filtragem dos números sobretaxados, sinalização ao 33700, marcação dos SMS longos como «potencial spam» no iPhone e Android. Estas proteções não substituem a vigilância humana.

A boa atitude a adotar em três gestos

Face a um SMS que anuncia um reembolso, aplique a regra dos três cliques zero:

1. Zero cliques no link. Escreva você mesmo impots.gouv.fr na barra de endereço do seu navegador. Se um reembolso estiver realmente em curso, aparecerá no seu espaço particular, na rubrica «Situações de conta».
2. Zero chamada ao número. Os burlões deixam por vezes um número para ligar: é uma voz sobre IP estrangeira, faturada a preço forte, que visa mantê-lo em linha. Desligue imediatamente.
3. Zero transmissão de dados. Nem IBAN, nem palavra-passe, nem código recebido por SMS. Nenhum serviço público lhe pedirá estes elementos por SMS — é um marcador infalível de fraude.

Se recebeu um SMS deste tipo, encaminhe-o para o 33700 (plataforma gratuita de sinalização de spams SMS, operada pelos operadores sob o controlo da Arcep). Pode também sinalizar o site fraudulento no Signal-Spam e na Phishing Initiative.

Clicou? Eis a ordem das ações

Mesmo os mais prudentes podem deixar-se apanhar num dia de cansaço. Se clicou no link e introduziu informações, aja na seguinte ordem:

• Na primeira hora: faça imediatamente oposição no seu cartão bancário junto do seu banco. Cada minuto conta: a maioria das burlas prepara um pagamento online alguns minutos após a introdução dos dados.
• Em 24 horas: apresente uma denúncia na plataforma Perceval (perceval.interieur.gouv.fr) do Ministério do Interior francês. A Perceval transforma a sua submissão num dossier diretamente transmitido à polícia ou gendarmaria.
• Em 48 horas: altere as palavras-passe das suas contas sensíveis (banco online, e-mail principal, impots.gouv.fr). Se utilizou a mesma palavra-passe noutro serviço, altere-a também — é o princípio do credential stuffing que descrevíamos no nosso artigo sobre a proteção da vida privada dos seus SMS.
• Na semana: apresente queixa em esquadra ou gendarmaria, ou através do formulário de pré-queixa em linha. O artigo 226-4-1 do Código Penal francês pune a usurpação de identidade digital com um ano de prisão e 15 000 € de multa.

Foto: Unsplash — verificar as suas contas em linha você mesmo, a partir do navegador, continua a ser a salvaguarda mais eficaz.

A rede institucional por trás do alerta

A luta contra estas burlas mobiliza hoje um ecossistema completo, e isso é uma boa notícia. A Cybermalveillance.gouv.fr publica os alertas e mantém um guia «Sensibilização e boas práticas» atualizado; a DGFiP recorda nas suas redes sociais oficiais que nunca pede dados bancários por SMS ou e-mail; os operadores filtram os números sobretaxados e bloqueiam certos domínios a nível da rede; e o 33700, que celebra 18 anos em 2026, já conduziu ao encerramento de vários milhares de números fraudulentos. Por fim, a Arcep recordou no seu último relatório sobre a satisfação dos operadores em França que a luta contra o spoofing (usurpação de número) continua a ser uma prioridade para 2026-2027, com um sistema de autenticação dos números curtos em curso de generalização.

O que é preciso reter

• 12,6 milhões de agregados são abrangidos pelos reembolsamentos de impostos de 24 e 31 de julho de 2026: é o alvo.
• A DGFiP nunca pede o seu IBAN, cartão bancário ou credenciais por SMS.
• Três reflexos: não clique, não ligue de volta, não transmita nada.
• Em caso de clique: oposição cartão bancário → Perceval → alteração de palavras-passe → queixa.
• Sinalize qualquer SMS suspeito ao 33700 e qualquer página fraudulenta à Phishing Initiative.

Para enviar um SMS gratuito sem transmitir o seu número a terceiros e sem deixar rasto, o nosso formulário de envio continua acessível a todos, sem inscrição. Para qualquer questão sobre a confidencialidade das suas trocas, pode consultar o nosso FAQ, as nossas menções legais ou contactar-nos.