É LegítimoÉ Legítimo?Analisar

Guia prático

O que é phishing?

Phishing é uma tentativa de enganar alguém para revelar dados, abrir um link perigoso, pagar um valor ou instalar software malicioso. O atacante faz-se passar por uma entidade de confiança: banco, transportadora, Finanças, EDP, uma loja ou até um colega de trabalho. Este guia explica como funciona e como se defende.

Por Atualizado em Publicado em 4 min de leitura
Verificar uma mensagemLer sinais

Alertas reais: CTT · Caixa Geral de Depósitos · Segurança Social

Como funciona um ataque de phishing

Um ataque tem sempre três partes. Primeiro, um pretexto credível: conta suspensa, encomenda retida, fatura em atraso, prémio, reembolso. Segundo, um gatilho emocional: medo, pressa ou ganância, para que decida sem pensar. Terceiro, uma ação: clicar num link, abrir um anexo, responder com dados ou ligar para um número.

A página ou a chamada para onde é levado recolhe o que o atacante quer: credenciais de acesso, dados de cartão, códigos de autorização ou a instalação de uma aplicação que dá controlo do dispositivo. Tudo o resto (logótipos, textos legais, cores) é decoração para que não repare no essencial.

Tipos de phishing mais comuns em Portugal

  • •Phishing por email: o clássico. Imita bancos, EDP, Finanças, PayPal, lojas e fornecedores.
  • •Smishing (SMS): CTT, Via Verde, MB WAY, Segurança Social, ANSR, bancos. É hoje o mais frequente.
  • •Vishing (chamada): 'departamento de segurança' do banco, suporte técnico, Finanças. Pede códigos ou acesso remoto.
  • •Quishing (QR code): códigos colados em parquímetros, cartas falsas de bancos ou multas.
  • •Phishing em redes sociais e WhatsApp: prémios do Continente ou IKEA, 'olá mãe, mudei de número', investimentos com celebridades.
  • •Spear phishing: ataques dirigidos a uma pessoa ou empresa, com dados reais para parecer credível.

Sinais de alerta numa mensagem de phishing

Urgência artificial, pedido de dados sensíveis, links ou anexos inesperados, remetente que não bate certo com o domínio oficial, tom genérico ('caro cliente') e erros de língua. Nenhum sinal sozinho é decisivo, mas dois ou três juntos são quase sempre suficientes. Em caso de dúvida, o critério mais fiável é o pedido: entidades reais não pedem códigos, palavras-passe, dados completos de cartão ou pagamentos por link.

Como se proteger no dia a dia

Não use links recebidos para entrar em contas sensíveis. Escreva o endereço ou use a app oficial. Ative a autenticação de dois fatores em tudo o que for possível (email, banco, redes sociais) e use uma palavra-passe diferente por serviço, guardada num gestor de palavras-passe.

Mantenha o telemóvel e o computador atualizados. Instale apps só das lojas oficiais. Fale com familiares mais velhos sobre os guiões mais comuns: quem já ouviu falar da burla da encomenda retida reconhece-a quando a recebe.

Exemplos reais

Frases que merecem cuidado

Variantes de mensagens reportadas por utilizadores. O texto muda; o pedido é sempre o mesmo.

Banco: 'Detetámos um acesso não autorizado. Confirme a sua identidade.'

Transportadora: 'Encomenda retida. Pague a taxa de 1,99 €.'

Finanças: 'Tem um reembolso de IRS pendente. Introduza o IBAN.'

Serviço público: 'Aviso de coima em aberto. Pague hoje para evitar agravamento.'

Chamada: 'Fala do departamento de fraude do seu banco. Preciso do código que acabou de receber.'

Se já aconteceu

Já cliquei ou já dei dados. O que faço?

  1. 1Feche a página e não introduza mais nada.
  2. 2Se deu credenciais: altere a palavra-passe a partir do site oficial e em qualquer outro serviço onde a repita. Ative a autenticação de dois fatores.
  3. 3Se deu dados bancários ou códigos: ligue já ao banco e peça bloqueio do cartão e do acesso.
  4. 4Se instalou alguma coisa: desinstale, corra um antivírus e, no Android, considere repor as definições de fábrica.
  5. 5Reporte ao CNCS e, se houve prejuízo, faça queixa à PSP ou GNR pela Queixa Eletrónica.

Guia completo: fui vítima, o que faço agora? · Onde denunciar

FAQ

Perguntas frequentes

Phishing acontece só por email?

Não. Hoje a maioria dos ataques em Portugal chega por SMS, WhatsApp e chamadas. Email continua a ser importante, sobretudo contra empresas.

Qual a diferença entre phishing, smishing e vishing?

É o canal. Phishing é o termo geral e o email; smishing é por SMS; vishing é por chamada de voz; quishing é por QR code.

Os filtros de spam protegem-me?

Ajudam, mas não chegam. Campanhas novas e domínios acabados de registar passam pelos filtros. A sua atenção continua a ser a melhor defesa.

Como reporto phishing em Portugal?

Ao CNCS (cncs.gov.pt), à entidade imitada e, se houve prejuízo, à PSP ou GNR pela Queixa Eletrónica. Casos graves seguem para a Polícia Judiciária.

Fontes oficiais

Confirme sempre nas entidades competentes

As recomendações deste guia seguem as orientações públicas destas entidades. Para reportar ou pedir ajuda, use os canais oficiais.

Guias relacionados

Continue a ler

Como identificar uma burla online

Os padrões que todas as burlas online repetem: pressa, autoridade, promessa e medo. Como reconhecer lojas falsas, prémios, suporte falso, 'olá mãe' e pedidos de dados em Portugal.

Ler guia

Verificar email falso

Aprenda a identificar emails falsos: remetentes imitados, domínios trocados, anexos perigosos, faturas falsas e páginas de login copiadas. Com exemplos reais em Portugal.

Ler guia

Verificar SMS suspeito

Recebeu um SMS com link, taxa ou ameaça de bloqueio? Veja os sinais de SMS falsos em Portugal, como confirmar pelo canal oficial e o que fazer se já clicou.

Ler guia

Vishing · chamada falsa de banco

O que é vishing e como funciona em Portugal: chamadas falsas do 'departamento de segurança' do banco, suporte técnico, Finanças ou operadoras que pedem códigos, acesso remoto ou transferências.

Ler guia

Ver todos os guias

Este guia foi escrito por João Sintra com base em campanhas reais reportadas no verificador e nas orientações públicas do CNCS, da ANACOM, do Banco de Portugal e da Polícia Judiciária. Encontrou um erro ou uma variante nova? Diga-nos. Veja a metodologia.

Verificar agora

Tem uma mensagem para confirmar?

Analisar mensagem