O que é Phishing? Como funciona e como se proteger?

O que é phishing?

O phishing é um ataque que explora a confiança numa pessoa, empresa ou instituição para induzir uma ação prejudicial. O atacante pode imitar um banco, uma transportadora, um serviço público, uma plataforma digital ou alguém conhecido da vítima.

A mensagem pode pedir que atualize dados, confirme a identidade, pague uma dívida, abra um documento ou partilhe um código. Embora muitos ataques usem páginas falsas para recolher credenciais, o phishing não precisa de um link nem de um site falso para funcionar: pode consistir numa chamada telefónica ou num pedido de transferência por email.

Qual é a diferença entre phishing, spam e malware?

• Phishing: tentativa de enganar uma pessoa através de uma identidade ou de um contexto aparentemente legítimo.
• Spam: comunicação não solicitada, frequentemente enviada em massa. Pode ser publicidade ou incluir uma tentativa de fraude.
• Malware: software malicioso que pode roubar informação, espiar atividades ou danificar sistemas.

Estes conceitos podem estar relacionados: um email de spam pode conter phishing e levar à instalação de malware.

Como funciona um ataque de phishing?

Muitos ataques de phishing seguem quatro etapas: imitar uma entidade, criar um motivo para agir, pedir uma ação e explorar a resposta da vítima.

1. Imitação de uma entidade de confiança

O atacante copia nomes, logótipos, assinaturas ou páginas de autenticação. Também pode usar uma conta de email comprometida, fazendo com que a mensagem chegue a partir de um endereço verdadeiro.

2. Criação de urgência, medo ou expectativa

A mensagem apresenta uma consequência ou vantagem que incentiva uma resposta rápida: uma conta prestes a ser bloqueada, uma entrega suspensa, um pagamento em atraso ou um alegado reembolso.

A urgência não prova que existe fraude, mas justifica parar e confirmar o pedido por um canal independente.

3. Pedido de uma ação

A vítima é levada a abrir um link, ler um código QR, descarregar um ficheiro, partilhar dados, aprovar uma notificação ou fazer uma transferência.

4. Utilização dos dados ou do acesso obtido

Os atacantes podem entrar numa conta, realizar operações fraudulentas, enviar novas mensagens em nome da vítima ou tentar comprometer outros serviços.

Alguns ataques recolhem palavras-passe e códigos de autenticação em tempo real. Outros procuram obter uma sessão já autenticada. Por isso, a autenticação multifator reduz o risco, mas nem todos os seus métodos oferecem a mesma proteção contra phishing.

Quais são os principais tipos de phishing?

As designações podem referir-se ao canal utilizado ou ao grau de personalização. Um ataque direcionado, por exemplo, pode começar por email e continuar por telefone.

Nas empresas, a fraude por comprometimento de email empresarial, também conhecida como BEC, pode envolver contas reais comprometidas ou a imitação de dirigentes e fornecedores. O objetivo pode ser desviar pagamentos sem utilizar anexos ou links maliciosos.

Exemplos de phishing em Portugal

Estes exemplos são ilustrativos de pretextos usados em fraudes. A utilização do nome de uma entidade não significa que os seus sistemas tenham sido comprometidos.

• Encomendas e transportadoras: uma mensagem que imita os CTT ou outra transportadora pede uma taxa ou a atualização da morada.
• Bancos e pagamentos: um falso alerta de segurança pede dados de acesso, códigos ou uma transferência para uma alegada “conta segura”.
• Autoridade Tributária: um email anuncia um alegado reembolso ou uma dívida e encaminha para uma página que recolhe dados.
• Serviços digitais: um aviso de suspensão de email, alojamento ou domínio pede a renovação imediata através de um link.
• MB WAY e plataformas de compra e venda: alguém pede códigos ou instruções na aplicação que não correspondem à operação que a vítima pretende realizar.
• Contactos pessoais: uma mensagem de um número novo ou de uma conta comprometida pede dinheiro e desencoraja uma chamada de confirmação.

Não decida apenas pela aparência da mensagem. Confirme se o pedido faz sentido e se aparece também na aplicação ou na área de cliente oficial.

Como identificar uma tentativa de phishing?

Para identificar phishing, avalie em conjunto a origem da mensagem, o contexto e a ação pedida. Um logótipo correto, uma mensagem sem erros ou um nome conhecido no remetente não comprovam autenticidade.

Sinais de alerta a verificar

• Pedidos inesperados de informação sensível: palavras-passe, códigos de autenticação, dados de cartões ou códigos de recuperação.
• Pressão para agir: ameaças de bloqueio, pagamentos imediatos ou instruções para manter segredo.
• Domínios diferentes dos oficiais: letras trocadas, palavras adicionais ou endereços sem relação com o serviço.
• Destinos pouco claros: links encurtados, códigos QR ou botões cujo endereço não é evidente.
• Anexos inesperados: sobretudo quando exigem macros, instalação de programas ou desativação de proteções.
• Alterações de pagamento: um novo IBAN comunicado apenas por mensagem.
• Pedidos de autenticação não iniciados: notificações ou códigos que surgem sem ter tentado entrar na conta.
• Resistência à confirmação: o interlocutor tenta impedir que contacte diretamente a entidade ou a pessoa em causa.

Como verificar o domínio de um link?

Identifique o nome do site, e não apenas palavras familiares no endereço. Em https://banco.nomedasuaempresa.pt/entrar, o domínio é nomedasuaempresa.pt: a palavra “banco” é um subdomínio e não comprova uma ligação a qualquer banco.

Da mesma forma, em https://nomedasuaempresa.pt/banco.pt, o texto “banco.pt” está no caminho da página, não no domínio.

Num computador, passar o cursor sobre um link pode ajudar a visualizar o destino sem o abrir. Ainda assim, em caso de dúvida, é mais seguro aceder diretamente à aplicação ou ao endereço oficial.

O cadeado e o HTTPS garantem que o site é legítimo?

Não. O HTTPS protege a ligação entre o navegador e o site, mas não confirma que o site pertence à entidade que afirma representar. Uma página de phishing também pode utilizar HTTPS.

O número de telefone ou o remetente podem ser falsificados?

Sim. O nome apresentado num email e o identificador de uma chamada podem ser manipulados. Além disso, uma conta verdadeira pode estar comprometida. Não use o nome ou o número mostrado como única prova de identidade.

Como se proteger de phishing?

A proteção mais eficaz combina a confirmação de pedidos com a segurança das contas e dos dispositivos.

Confirme por um canal independente

Se receber um pedido inesperado, abra a aplicação oficial, utilize um favorito previamente guardado ou contacte a entidade através de um número obtido numa fonte de confiança. Não use os contactos fornecidos na própria mensagem suspeita.

Se alguém lhe telefonar em nome do banco, desligue e contacte o banco pelo número oficial. Não transfira dinheiro para uma alegada “conta segura” por instrução de quem o contactou.

Ative autenticação multifator e prefira métodos resistentes a phishing

A autenticação multifator, ou MFA, acrescenta uma verificação à palavra-passe. Nunca partilhe códigos nem aprove pedidos de autenticação que não iniciou.

Sempre que o serviço disponibilizar essa opção, prefira passkeys ou chaves de segurança FIDO2. Estes métodos estão associados ao serviço legítimo e oferecem maior resistência a páginas falsas do que códigos introduzidos manualmente.

Use palavras-passe únicas

Crie uma palavra-passe diferente para cada serviço. Um gestor de palavras-passe ajuda a gerar e guardar credenciais e pode evitar o preenchimento automático num domínio diferente do guardado.

Proteja especialmente o email: o acesso a esta conta pode permitir a recuperação de palavras-passe de outros serviços.

Mantenha os dispositivos atualizados

Atualize o sistema operativo, o navegador e as aplicações. Mantenha as proteções de segurança ativas e instale software apenas a partir de fontes de confiança.

Nas empresas, confirme alterações de pagamento

Valide mudanças de IBAN e pedidos urgentes através de contactos já existentes, não dos indicados no pedido de alteração. Defina procedimentos de aprovação e facilite o reporte de mensagens suspeitas, sem penalizar quem comunica um erro.

O que fazer se clicou num link de phishing?

Clicar num link não significa, por si só, que a conta ou o dispositivo foram comprometidos. A resposta depende de ter fornecido dados, autorizado acessos ou aberto ficheiros.

Se apenas abriu a página

Feche-a e não interaja mais. Verifique se houve downloads inesperados e não abra esses ficheiros. Se autorizou notificações do site, remova essa permissão nas definições do navegador. Mantenha o navegador atualizado.

Se introduziu uma palavra-passe

Aceda ao serviço pela aplicação ou pelo endereço oficial e altere a palavra-passe. Se suspeitar que o dispositivo está comprometido, utilize outro equipamento de confiança.

• Altere a mesma palavra-passe noutros serviços onde a tenha reutilizado.
• Termine sessões desconhecidas ou todas as sessões, se essa opção existir.
• Reveja os métodos de recuperação, os dispositivos associados e as aplicações com acesso à conta.
• Se a conta afetada for o email, verifique também regras de reencaminhamento e filtros desconhecidos.

Se partilhou um código ou aprovou uma autenticação

Contacte imediatamente o apoio oficial do serviço. Altere as credenciais e revogue sessões ou acessos suspeitos. Mudar apenas a palavra-passe pode não terminar todas as sessões existentes.

Se forneceu dados bancários ou transferiu dinheiro

Contacte imediatamente o banco através de um número oficial. Explique o que aconteceu e peça orientação para bloquear os meios de pagamento afetados ou tentar travar ou recuperar a operação. A recuperação do dinheiro não é garantida.

Se descarregou, abriu ou executou um ficheiro

Descarregar um ficheiro não é o mesmo que o executar. Não abra ficheiros suspeitos. Se os abriu, instalou software ou concedeu acesso remoto, procure apoio técnico e evite utilizar o dispositivo para entrar em contas sensíveis até ser avaliado.

Num equipamento profissional, contacte imediatamente a equipa de informática e siga as suas instruções. Se houver sinais de atividade maliciosa, desligue a ligação à rede para limitar comunicações enquanto obtém apoio.

Guarde provas sem voltar a interagir

Conserve a mensagem original, capturas de ecrã, endereço do site, data, números utilizados e comprovativos de pagamento. Não volte a abrir links apenas para recolher informação.

Como denunciar phishing em Portugal?

O canal adequado depende do que aconteceu. Reportar uma mensagem numa aplicação não substitui o contacto com o banco nem uma denúncia às autoridades quando existe fraude.

1. Contacte a entidade afetada: informe o banco, o serviço digital ou a organização cuja identidade foi utilizada, através dos canais oficiais.
2. Reporte a mensagem na plataforma: utilize a opção de denunciar phishing, spam ou fraude no serviço de email ou na aplicação.
3. No trabalho, avise a equipa de segurança ou informática: mesmo que não tenha a certeza de que houve comprometimento.
4. Para incidentes de cibersegurança: consulte os canais de notificação do CERT.PT no site do Centro Nacional de Cibersegurança.
5. Se houver burla online por email, prejuízo ou utilização indevida de dados: apresente denúncia à Polícia Judiciária, PSP, GNR ou Ministério Público e entregue os elementos disponíveis.

Não publique mensagens de denúncia com palavras-passe, códigos, dados bancários completos ou documentos pessoais visíveis.

Perguntas frequentes sobre O que é Phishing e como evitar cair no estratagema

O que é phishing?

Phishing é uma fraude de engenharia social em que um atacante se faz passar por uma entidade de confiança para obter dados, aceder a contas, levar a vítima a transferir dinheiro ou instalar software malicioso.

Qual é a diferença entre phishing e spear phishing?

Phishing é o termo geral para este tipo de ataque. Spear phishing é uma modalidade direcionada a uma pessoa ou organização específica, que utiliza informação personalizada para tornar o pedido mais convincente.

Pode haver phishing no WhatsApp?

Sim. O phishing pode chegar por WhatsApp através de links, mensagens de números desconhecidos ou contas comprometidas. Confirme pedidos inesperados de dinheiro, dados ou códigos por outro canal, mesmo que pareçam vir de um contacto conhecido.

Uma mensagem sem erros pode ser phishing?

Sim. Uma mensagem de phishing pode estar bem escrita, usar logótipos verdadeiros e incluir informações corretas. A ausência de erros não comprova a autenticidade; verifique a origem, o contexto e a ação pedida.

O HTTPS garante que um site não é phishing?

Não. O HTTPS protege a ligação entre o navegador e o site, mas não confirma que o site pertence à entidade que afirma representar. Uma página de phishing também pode utilizar HTTPS.

A autenticação multifator impede todos os ataques de phishing?

Não. A autenticação multifator reduz o risco, mas códigos e aprovações podem ser obtidos ou manipulados por atacantes. Sempre que disponíveis, prefira métodos resistentes a phishing, como passkeys ou chaves de segurança FIDO2.

O que devo fazer se clicar num link de phishing?

Feche a página e não forneça informações. Se introduziu credenciais, altere-as pelo serviço oficial e termine sessões suspeitas. Se partilhou dados bancários ou fez um pagamento, contacte imediatamente o banco. Se abriu ficheiros ou instalou software, procure apoio técnico.

Como denunciar phishing em Portugal?

Reporte a mensagem à plataforma e à entidade cuja identidade foi utilizada. Para incidentes de cibersegurança, consulte os canais do CERT.PT no site do Centro Nacional de Cibersegurança. Se houver burla, prejuízo ou utilização indevida de dados, apresente denúncia às autoridades policiais ou ao Ministério Público.

Fontes oficiais e informação adicional

Para consultar recomendações de segurança, alertas e canais de apoio ou notificação em Portugal, utilize os sites oficiais:

• Centro Nacional de Cibersegurança e CERT.PT — recomendações e informação sobre resposta a incidentes.
• Centro Internet Segura — recursos de prevenção e apoio sobre segurança online.
• Banco de Portugal — informação sobre segurança na utilização de serviços bancários e pagamentos.
• Polícia Judiciária — informação institucional e canais de contacto.

Phishing: pare, confirme e só depois aja

O phishing procura transformar uma mensagem convincente numa decisão precipitada. Antes de clicar, pagar, instalar um programa ou partilhar dados, confirme o pedido através de um canal oficial e independente.

Combine esse hábito com palavras-passe únicas, autenticação resistente a phishing e dispositivos atualizados. Se já respondeu a uma tentativa de fraude, agir rapidamente pode ajudar a limitar as consequências.