O SMS de «entrega de encomenda» é uma burla?

Como parece

Um exemplo real, anonimizado.

      [CTT] A sua encomenda não pode ser entregue devido a informação de morada incompleta. Confirme a sua morada nas próximas 24 horas para evitar a devolução: ctt-entrega[.]top/confirmar
    

As variantes usam CTT, Chronopost, DHL, UPS, FedEx, DPD, Seur, Rangel. A estrutura é sempre a mesma: urgência, uma pequena taxa ou «confirmação», e um link que nunca viu.

Sinais de alerta

Como detectá-lo em cinco segundos.

Não estava à espera de qualquer encomenda, ou a mensagem chega no mesmo dia para uma «entrega de ontem». Os burlões enviam estes SMS a milhões de números esperando que alguns destinatários tenham por acaso uma encomenda em curso.
O link não é o verdadeiro domínio do transportador. Os CTT reais são ctt.pt. O DHL real é dhl.pt. Os links de burla parecem ctt-entrega.top, dhl-pagamento.com, ctt-pt.help, ou usam um encurtador.
A taxa é suspeitosamente pequena. 1,99 €, 2,49 €, 3,50 €. O valor é demasiado baixo para parecer um alvo de fraude. O verdadeiro objectivo são os dados do seu cartão.
A gramática está ligeiramente errada. «A sua encomenda não pode ser entregar». «Por favor de confirmar». «Lamentamos mas por inconveniência». Os transportadores enviam milhões de SMS por dia e têm redactores profissionais.
Prazo urgente. «Em 24 horas», «ou a encomenda volta ao remetente». Os transportadores reais tentam novamente a entrega, deixam aviso e escrevem-lhe por email. Nunca exigem acção em poucas horas por SMS.
O remetente é um número longo, um código curto aleatório ou um gateway de email. Os SMS dos transportadores reais vêm de códigos curtos registados. Se o remetente for um número normal de um país estranho, é uma burla.

O que fazer

Faça isto em vez disso.

Se está à espera de uma encomenda real, abra você mesmo a app ou o site oficial do transportador digitando o URL. Use o número de seguimento da sua confirmação de encomenda original. Nunca o link do SMS.
Encaminhe o SMS. Em Portugal, pode reportar ao seu operador. A maioria dos operadores encaminha estas mensagens a uma equipa antifraude.
Apague a mensagem depois de a encaminhar. Bloqueie o remetente se o seu telefone permitir.
Se já clicou no link mas não introduziu nada, provavelmente está bem. Feche o separador. Execute o antivírus do telefone se tiver um (raro no iPhone).
Se introduziu os dados do cartão, ligue agora à linha antifraude do seu banco (número nas costas do cartão) e mande bloquear o cartão para emitir um novo. Altere depois a palavra-passe de qualquer conta onde tenha usado as mesmas credenciais.

O que não fazer

Nunca faça isto.

Não clique no link «para ver o que é». Algumas páginas de burla recolhem dados ao carregar (o seu IP, browser, por vezes mais). A maioria pede os dados do cartão no ecrã seguinte.
Não ligue para nenhum número da mensagem. Os burlões mantêm call centers falsos como backup caso o link seja bloqueado.
Não responda com «número errado», «STOP» ou qualquer outra coisa. Responder confirma que o seu número está activo, e entra numa lista de «respondentes» vendida a outras redes de burla.
Não pague qualquer taxa, por pequena que seja. As taxas alfandegárias reais em Portugal e na UE são cobradas pelo transportador na entrega, pelos CTT no levantamento, ou já no checkout da encomenda, nunca por SMS surpresa.

Perguntas rápidas

FAQ.

Estou mesmo à espera de uma encomenda. Como posso ter a certeza?

Abra o seu email de confirmação ou a app do vendedor (Amazon, eBay, o site da marca). Tire daí o número de seguimento. Depois digite você mesmo o URL oficial do transportador no browser (ctt.pt, dhl.pt, etc.) e cole o número de seguimento. Se a página de seguimento real mostrar que a encomenda anda normalmente, o SMS era burla. Se mostrar um problema de entrega, o transportador dir-lho-á na sua própria app, sem taxas surpresa.

Cliquei no link mas não introduzi nada. Estou em apuros?

Quase sempre não. Os telefones modernos isolam o browser, por isso visitar apenas uma página de burla não instala nada. A burla precisa do seu cartão ou palavra-passe para o monetizar. Feche o separador. No Android pode executar o Play Protect (Definições → Segurança → Google Play Protect → Verificar). No iPhone basta fechar o Safari e limpar o histórico.

Como conseguiram o meu número?

Não foi especificamente. Os burlões compram listas de números de fugas de dados passadas (LinkedIn, Facebook, operadores móveis, centenas de outras) ou geram números em massa. O SMS é enviado a milhões de uma vez. Não é um alvo pessoal, e é por isso que a mensagem é tão genérica.

Recebeu outra mensagem?

Verifique o seu texto exacto. Demora 5 segundos.

Gratuito, sem registo, nada é guardado. Funciona para SMS, email, WhatsApp, links e capturas de ecrã em 10 idiomas.

Verificar a minha mensagem →

Mais guias de burlas

O SMS de entrega de encomenda é uma burla?