Guia prático
A maior parte dos roubos de conta não acontece por adivinhação: acontece porque a mesma palavra-passe foi usada em vários sítios e um deles teve uma fuga de dados. Este guia explica como criar palavras-passe que resistem, como as guardar sem as decorar e o que fazer quando uma delas aparece numa fuga.
Quando um site é atacado, a lista de emails e palavras-passe roubada é testada automaticamente em centenas de outros serviços (credential stuffing). Se usa a mesma palavra-passe no email, no banco e numa loja pequena, a loja é o elo fraco que abre tudo. Uma palavra-passe diferente por serviço limita cada fuga a esse serviço.
Comprimento importa mais do que símbolos. Uma frase de quatro ou cinco palavras sem relação entre si (por exemplo 'cavalo-lâmpada-verão-tijolo') é mais forte e mais fácil de lembrar do que 'P@ssw0rd1!'. Evite nomes, datas, nomes de animais, clubes e tudo o que esteja nas suas redes sociais. Evite padrões de teclado (qwerty, 123456) e substituições óbvias (a por @, o por 0). Mínimo recomendado: 12 caracteres; 16 ou mais para o email e o banco.
Um gestor (o do iPhone ou Android, o do navegador, ou apps como Bitwarden ou 1Password) cria e guarda palavras-passe únicas e longas para cada site, e preenche-as por si. Só precisa de decorar uma: a do gestor. Vantagem extra: o gestor só preenche no domínio certo, por isso não preenche numa página de phishing. Se o gestor não oferece a palavra-passe, olhe duas vezes para o endereço.
Serviços como o Have I Been Pwned permitem ver se o seu email apareceu em fugas conhecidas; muitos gestores de palavras-passe e navegadores avisam automaticamente. Quando souber de uma fuga: mude a palavra-passe nesse serviço e em qualquer outro onde a tenha reutilizado, ative a 2FA e fique atento a emails de phishing que usem o seu nome e dados dessa fuga.
Exemplos reais
Variantes de mensagens reportadas por utilizadores. O texto muda; o pedido é sempre o mesmo.
Fraca: benfica1904, Maria2019, qwerty123, P@ssw0rd.
Forte: rio-guarda-chuva-oitenta-pedra, ou 20 caracteres aleatórios do gestor.
Sinal de phishing: o gestor não preenche a palavra-passe na página 'do banco'.
Se já aconteceu
Guia completo: fui vítima, o que faço agora? · Onde denunciar
FAQ
É muito melhor do que reutilizar. Os gestores do Chrome, Safari e Firefox são cifrados e avisam de fugas. Proteja o dispositivo com PIN ou biometria e a conta com 2FA.
Já não se recomenda mudar por rotina. Mude quando houver suspeita de fuga ou de acesso indevido, e concentre-se em ter uma diferente por serviço com 2FA.
São credenciais ligadas ao dispositivo, desbloqueadas por biometria, que não podem ser roubadas por phishing. Muitos serviços já as oferecem. Use-as sempre que estiverem disponíveis.
Fontes oficiais
As recomendações deste guia seguem as orientações públicas destas entidades. Para reportar ou pedir ajuda, use os canais oficiais.
Alertas de phishing, boas práticas e reporte de incidentes de cibersegurança.
Regulador das comunicações. Recebe queixas sobre SMS e chamadas abusivas.
Informação oficial sobre fraude bancária, MB WAY, cartões e direitos do cliente.
Investigação criminal de burlas informáticas e cibercrime.
Guias relacionados
Autenticação de dois fatores (2FA)
O que é a autenticação de dois fatores, porque trava a maioria dos roubos de conta, os tipos (SMS, app, chave física) e como ativar no email, banco, MB WAY, Google, Apple, Instagram e WhatsApp.
Ler guiaComo evitar phishing
Dez hábitos práticos para evitar phishing, smishing e vishing no dia a dia: como tratar links, códigos, chamadas, palavras-passe e apps. Para si e para a sua família.
Ler guiaVerificar link suspeito
Como avaliar um link recebido por SMS, email ou WhatsApp: ler o domínio real, desconfiar de encurtadores, reconhecer páginas imitadas e verificar em segurança.
Ler guiaO que é phishing?
Phishing explicado em português simples: como funciona, os tipos mais comuns em Portugal (email, SMS, chamada, QR code), sinais de alerta e o que fazer se já clicou.
Ler guiaEste guia foi escrito por João Sintra com base em campanhas reais reportadas no verificador e nas orientações públicas do CNCS, da ANACOM, do Banco de Portugal e da Polícia Judiciária. Encontrou um erro ou uma variante nova? Diga-nos. Veja a metodologia.
Verificar agora
