Phishing: como reconhecer, evitar e denunciar

Recebeu um e-mail do «banco», um SMS sobre uma encomenda ou uma chamada da «polícia» e ficou com dúvidas? Em muitos casos, é phishing. Este guia explica o que é, como reconhecer os sinais, o que fazer antes e depois de clicar, e onde denunciar em Portugal.

Baseia-se em páginas do Centro Nacional de Cibersegurança (CNCS) e da Polícia Judiciária (PJ), todas listadas no fim. É informação geral e não substitui o aconselhamento de uma entidade oficial para o seu caso.

O que é o phishing?

Segundo o CNCS, o phishing é um tipo de ataque em que se usam técnicas de engenharia social para obter informação sensível de uma vítima através de e-mail. Quem ataca tenta enganar quem recebe a mensagem para que clique em anexos ou links maliciosos, ou para que partilhe dados em páginas fraudulentas. Para isso, imita uma marca credível ou faz-se passar por alguém de confiança.

O mesmo CNCS esclarece que a técnica não se limita ao e-mail:

• por SMS, chama-se smishing;
• por telefone (voz), chama-se vishing;
• também pode usar mensagens instantâneas em aplicações de redes sociais.

Quer o canal seja um e-mail, um SMS ou uma chamada, o mecanismo é o mesmo: criar confiança, criar pressa e levar a pessoa a revelar dados ou a fazer um pagamento. Pode ler mais sobre cada variante em Smishing: como reconhecer SMS falsos e em Vishing: a chamada falsa do banco.

Como reconhecer uma mensagem de phishing

Nenhum sinal sozinho chega, mas vários em conjunto devem fazer soar o alarme. A Polícia Judiciária, em vários alertas, recomenda observar as características da mensagem: o aspeto, os eventuais erros ortográficos, os argumentos persuasivos e as ofertas generosas e despropositadas. Reunindo as indicações da PJ e do CNCS, pode ter em conta:

1. O tom. A PJ aconselha a não se deixar guiar pelo tom ameaçador ou alarmista. O CNCS pede também atenção a solicitações autoritárias, promessas ou pedidos urgentes.
2. A oferta. A PJ lembra que ninguém dá prémios sem ter participado num concurso e que ninguém oferece produtos abaixo do preço de mercado.
3. O remetente. O CNCS recomenda confirmar a veracidade do endereço de e-mail, do perfil ou do número de telefone de origem.
4. O pedido. Um pedido de palavras-passe, de dados do cartão ou de «confirmação» de dados bancários é um sinal forte. Segundo a PJ, nenhum banco pede aos clientes que confirmem palavras-passe de acesso ou números de contrato, nem os números do chamado «cartão matriz», seja em páginas da Internet, por e-mail, por SMS ou por correspondência.
5. O canal. A PJ refere que as instituições credíveis e sérias não usam estes meios para comunicar com os seus clientes.
6. A língua. O CNCS aconselha a desconfiar de erros de linguagem, mas avisa que não se deve confiar numa mensagem só por ela não os ter.

Ou seja, uma mensagem bem escrita pode continuar a ser falsa. Em caso de dúvida, o critério mais seguro é não responder à mensagem e verificar o pedido por outro caminho.

O que fazer ao receber uma mensagem suspeita

Estas são as indicações do CNCS e da PJ, por ordem prática:

1. Não clique em links nem em anexos de e-mails, mensagens instantâneas ou SMS suspeitos.
2. Não responda e não siga instruções sem verificar o pedido.
3. Verifique por outro canal. Em caso de dúvida, a PJ aconselha a contactar previamente, por telefone, a empresa ou instituição cujo nome está a ser usado. O CNCS dá o exemplo de confirmar junto do gestor de conta do banco. Use um contacto que já conhecia ou que encontrou por si, e não o que vem na mensagem.
4. Escreva o endereço. Para compras, a PJ recomenda escrever sempre o endereço do site em vez de clicar, para evitar destinos falsos.
5. Bloqueie, reporte como spam e apague. É o que a PJ aconselha para e-mails falsos que imitam instituições de justiça.
6. Avise quem está perto de si. A PJ sugere passar o alerta a familiares, amigos e pessoas próximas.

Quer saber o que já é visível publicamente sobre si, por exemplo depois de uma mensagem suspeita? O Remove Me faz uma análise gratuita, sem inscrição. Procura o que está visível publicamente, as fugas de dados conhecidas (através do Have I Been Pwned) e um registo de corretores de dados. O código de 6 dígitos enviado para o seu e-mail desbloqueia o relatório. O Remove Me ainda não envia pedidos de apagamento em seu nome. Iniciar a minha análise gratuita.

O que fazer se já clicou ou introduziu dados

Pode acontecer a qualquer pessoa. O importante é agir depressa e com calma. As fontes oficiais lidas para este guia não descrevem um procedimento único e completo para quem já respondeu, por isso as medidas abaixo juntam o que a PJ e o CNCS dizem com bom senso geral.

1. Pare. Não introduza mais dados nem siga novas instruções.
2. Contacte a entidade em causa. Se os dados são bancários, fale com o seu banco através de um contacto oficial que encontrou por si. A PJ recomenda consultar o banco sempre que haja dúvidas sobre a legitimidade de uma operação.
3. Altere as palavras-passe das contas cujos dados partilhou e de outras onde use a mesma. Se tem muitas contas, um gestor de palavras-passe ajuda a ter uma palavra-passe diferente em cada uma.
4. Guarde as provas. Registe o número ou o endereço de origem e guarde capturas de ecrã. A PJ aconselha, no caso de chamadas, a registar o número do contacto.
5. Denuncie. Veja a secção seguinte.

A PJ explica ainda que a infeção por vírus ou software malicioso pode ocorrer em qualquer sistema informático, seja computador, tablet ou telemóvel. Se abriu um anexo suspeito, trate o equipamento com cautela e peça ajuda a quem entenda do assunto.

Onde denunciar o phishing em Portugal

O CNCS recomenda denunciar junto das autoridades sempre que se é alvo ou vítima de um ataque deste tipo. Na prática, tem estas vias:

• Polícia Judiciária. Na sua página sobre vishing, a PJ pede que contacte a Polícia Judiciária ou outra entidade policial. A Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica (UNC3T) indica o telefone 211 967 000.
• Queixa Eletrónica. O portal do Ministério da Administração Interna permite apresentar à GNR ou à PSP queixas por via eletrónica quanto a certos crimes, entre os quais a burla. A queixa é feita por pessoas identificadas, com autenticação por Cartão de Cidadão, Chave Móvel Digital, via CTT ou identificação presencial, e só segue depois de a identidade ser validada. O portal avisa que não serve para emergências: nesse caso, ligue 112.
• A própria plataforma ou entidade imitada. Muitas marcas têm canais para reportar mensagens falsas.

O artigo Burla online: o que fazer e onde apresentar queixa detalha o que acontece depois e como se preparar.

Esquemas descritos pela Polícia Judiciária

A PJ publica alertas sobre campanhas concretas. Servem de exemplo para perceber como o phishing se disfarça:

• E-mails falsos com nomes conhecidos. A PJ alertou para um e-mail que referia uma parceria entre o MBWAY e a Polícia Judiciária e pedia a atualização de dados do cartão multibanco. A PJ confirma que é falso e que serve apenas para recolher dados bancários.
• Convocatórias falsas. Circulam mensagens que usam abusivamente o logótipo da PJ e de outras instituições, simulando uma convocação. A PJ diz que são falsas.
• Chamadas gravadas. Num alerta de vishing, a PJ descreve uma gravação em inglês que diz vir da PJ ou da Europol e leva a vítima a transferir o saldo para «contas seguras». Não é um procedimento policial: não dê dados nem siga as instruções.
• Ofertas de trabalho e contas «emprestadas». A PJ alerta para propostas de trabalho de pretensas empresas estrangeiras que procuram um «agente comercial» para receber dinheiro na conta. Ceder a conta para receber dinheiro de proveniência duvidosa pode constituir crime, segundo a PJ.

Se o seu caso for um anúncio de venda ou compra, veja Burla no OLX e marketplaces. Se as mensagens forem apenas insistentes e não pedirem dados, leia Spam por SMS e e-mail.

Como verificar um e-mail e um link antes de agir

A PJ dá, em vários alertas, indicações muito concretas para quem recebe um e-mail suspeito:

• Não aceite mensagens não solicitadas nem de remetentes desconhecidos. Mesmo quando o remetente é conhecido, a PJ recomenda ler o conteúdo de forma crítica, para confirmar que a mensagem é legítima.
• Confirme o destino de um link antes de o seguir. Em caso de dúvida, a PJ sugere passar o rato por cima da hiperligação, sem clicar, e ver no canto inferior esquerdo do navegador para que endereço ela leva.
• Desconfie do domínio do remetente. Numa campanha de phishing em nome da PJ, os e-mails apresentavam falsamente o domínio da Polícia Judiciária, que não correspondia ao domínio legítimo de correio eletrónico da instituição. Um nome conhecido no endereço não garante, por si, que a mensagem seja verdadeira.
• Só dê palavras-passe no sítio certo. A PJ aconselha a nunca facultar dados pessoais ou palavras-passe de acesso a espaços reservados, a não ser no próprio acesso a esses espaços, e a ter presente a legitimidade das páginas consultadas.
• Mantenha um antivírus atualizado. A PJ recomenda a instalação de programas antivírus e a sua atualização regular.

Se está habituado a abrir o e-mail no telemóvel, lembre-se de que o CNCS inclui nos riscos as mensagens recebidas por aplicações e redes sociais. Os conselhos acima aplicam-se também aí, mesmo que o ecrã pequeno dificulte ver o endereço completo de um link.

Quando o e-mail da própria vítima é usado para burlar

A PJ descreve investigações em curso sobre burla informática em que é ilicitamente usada a conta de correio eletrónico da própria vítima. Num primeiro momento, sem alertas visíveis, os criminosos acedem à conta e a toda a documentação arquivada, como histórico de mensagens, agenda e anexos. Depois, a conta é usada para contactar a instituição bancária com que a vítima se relaciona, o que é deduzido a partir das mensagens guardadas, para ordenar transferências para outras contas.

A lição prática é que o e-mail não é só mais uma conta: é, muitas vezes, a chave de todas as outras. Uma palavra-passe forte e única para o e-mail, e a atenção a avisos de acesso estranho, merecem cuidado especial. Se suspeita que o acesso ao seu e-mail foi comprometido, veja o guia sobre fuga de dados e conta hackeada.

Chamadas e mensagens em nome de empresas e autoridades

Os alertas da PJ mostram que as burlas mudam de nome, mas não de método:

• Suporte técnico falso. Num alerta de 2015, a PJ descreveu telefonemas em inglês, em nome da Microsoft, a dizer que o computador tinha um vírus ou precisava de atualização. Procuravam obter dados de cartões de crédito e levar a vítima a instalar software malicioso, que podia dar acesso remoto ao computador. A PJ recomenda não responder a este tipo de contactos, não fornecer dados pessoais e não permitir qualquer interação com o seu sistema informático. O alerta é antigo, mas o mecanismo continua a ser reconhecível.
• Multas falsas. A PJ informa que não envia e-mails aos cidadãos a pedir o pagamento de uma pretensa multa de 100 € por acesso a sites de conteúdo adulto. Estas mensagens são uma burla informática na forma tentada e devem ser totalmente ignoradas, sem pagar qualquer quantia.
• Convocatórias falsas. Mensagens que usam o logótipo da PJ, da Interpol e nomes de responsáveis para simular uma convocação são falsas, segundo a PJ, e servem para aceder ilegitimamente e capturar dados pessoais.

O ponto comum é a invocação de uma autoridade ou de uma marca para impor medo ou pressa. É por isso que o CNCS pede cautela com solicitações autoritárias.

Mensagens instantâneas e redes sociais

O CNCS descreve vários tipos de mensagens fraudulentas em aplicações de mensagens e redes sociais:

1. mensagens que se fazem passar por uma pessoa conhecida ou por uma organização, para levar a vítima a fazer transferências bancárias;
2. mensagens que personificam uma organização para recolher informação sensível, como palavras-passe ou números de cartões;
3. mensagens que levam a instalar programas maliciosos;
4. mensagens de desinformação;
5. mensagens com conteúdos nocivos, que procuram perseguir, perturbar ou extorquir a vítima.

O CNCS refere ainda o caso «Olá, pai… Olá, mãe», em que alguém envia uma mensagem por WhatsApp a fazer-se passar pelo filho do destinatário e a pedir apoio financeiro. Foi dos casos mais denunciados ao Gabinete Cibercrime do Ministério Público em 2022. O conselho é verificar por outro canal, como telefone ou presencialmente, junto do remetente identificado, antes de qualquer transferência.

Como se proteger antes de acontecer

O CNCS e a PJ juntam, nos seus textos, algumas medidas simples:

• Reduza o que partilha em público. O CNCS avisa que partilhar dados sensíveis nas redes sociais pode dar informação a quem quer fazer spear phishing, isto é, phishing dirigido a uma pessoa específica.
• Configure as aplicações de mensagens. O CNCS aconselha a escolher as opções de privacidade mais restritivas, por exemplo não permitir que números desconhecidos associem o seu número a grupos.
• Instale aplicações só em lojas oficiais.
• Desconfie de números desconhecidos. Mesmo quando dizem ser de pessoas ou organizações conhecidas, o CNCS recomenda verificar por outro canal, como telefone, e-mail ou presencialmente.
• Fique atento aos avisos do seu banco. A PJ recomenda atenção aos «avisos de fraude» publicados pelos bancos nas suas páginas oficiais.

Saber que dados seus circulam publicamente também ajuda a reconhecer um contacto personalizado. Para saber que direitos tem sobre os seus dados pessoais, leia o guia de direitos RGPD.

O que as fontes não dizem

As páginas lidas não indicam números atuais de casos em Portugal para este ano, e por isso não os apresentamos. O CNCS publica dados de anos anteriores sobre incidentes; consulte a página original se precisar deles. Também não encontrámos, nas fontes lidas, um formulário único para denunciar phishing como cidadão: por isso indicamos a Polícia Judiciária e a Queixa Eletrónica, que são as vias que as próprias fontes referem.

Fontes

Consultadas a 31 de outubro de 2026.

• CNCS: Boas práticas contra o Phishing, o Smishing e o Vishing
• CNCS: Boas práticas contra mensagens instantâneas fraudulentas
• Polícia Judiciária: Alerta de mensagem phishing (MBWAY)
• Polícia Judiciária: Phishing, acesso às contas bancárias através da Internet
• Polícia Judiciária: Phishing na utilização da banca online
• Polícia Judiciária: Mensagem falsa
• Polícia Judiciária: Burla através de vishing
• Queixa Eletrónica (Ministério da Administração Interna)
• Polícia Judiciária: UNC3T
• Polícia Judiciária: Burla informática através de captura de credenciais de correio eletrónico
• Polícia Judiciária: Alerta de phishing (logotipos da PJ e da Interpol)
• Polícia Judiciária: Campanha de phishing em nome da PJ
• Polícia Judiciária: Pretensas mensagens com origem na PJ
• Polícia Judiciária: Telefonemas fraudulentos em nome da Microsoft