SIM Swap: Burla do Cartão SIM Clonado em Portugal
O atacante reúne dados pessoais da vítima (NIF, morada, data de nascimento) e pede à operadora uma 2ª via do cartão SIM ou portabilidade do número. Quando consegue, intercepta os SMS de autenticação do banco e esvazia a conta em minutos.
O que é
Uma das burlas mais graves em termos financeiros. Combina engenharia social contra a operadora com acesso prévio a dados pessoais da vítima (obtidos por phishing, fugas de dados ou redes sociais). O sinal inicial mais frequente é o telemóvel ficar sem rede sem motivo aparente.
Como funciona
- 1
Recolha de dados: O criminoso obtém nome, NIF, morada e data de nascimento da vítima através de phishing anterior, compra na dark web ou redes sociais.
- 2
Pedido à operadora: Faz-se passar pela vítima e pede 2ª via do cartão SIM (alegando perda ou avaria) ou portabilidade para outra operadora.
- 3
Telemóvel da vítima fica sem rede: A partir desse momento, o número está activo no cartão do criminoso. Todos os SMS e chamadas vão para ele.
- 4
Acesso à conta bancária: Usa credenciais previamente roubadas + intercepta o SMS de autenticação forte do banco para autorizar transferências, MB WAY e compras online.
Exemplos reais
Vítima vê o telemóvel sem rede a meio do dia, pensa em problema da operadora, vai ao café almoçar. Quando volta a casa, a conta bancária tem 4 transferências para IBANs desconhecidos no total de 8 500€.
Mensagem do banco a confirmar 'pedido de novo NIB para débitos directos' enquanto o telemóvel está sem rede há horas.
Como se proteger
Se o telemóvel ficar inexplicavelmente sem rede mais de 30 minutos e sem causa óbvia (avaria de rede confirmada), ligue imediatamente à sua operadora de outro telefone.
Active autenticação em dois passos por app (Google Authenticator, Microsoft Authenticator) em vez de só SMS, sempre que o banco e serviços críticos permitam.
Active 'palavra-passe' ou PIN de atendimento na sua operadora para impedir pedidos de 2ª via sem confirmação reforçada (MEO, NOS, Vodafone, Nowo permitem).
Limite a informação pessoal pública nas redes sociais (data de nascimento, morada, nome da mãe).
Se já aconteceu: contacte de imediato o banco para bloquear conta e cartões, peça à operadora a reposição do número e apresente queixa à Polícia Judiciária.