🎣
Phishing
Como Reconhecer Phishing
Aprende a identificar emails, SMS e mensagens falsas antes de seres enganado.
Atualizado em Junho de 2026 · Leitura: 12 min
Dado importante: Segundo o relatório da Verizon de 2024, 36% de todas as fugas de dados começam com um email de phishing. Em Portugal, o CERT.PT registou um aumento de 58% em tentativas de phishing no último ano.
Um email de phishing é uma mensagem falsa que imita uma entidade de confiança — banco, CTT, Finanças — com o objetivo de roubar as tuas credenciais, dinheiro ou dados pessoais. Para o identificar em 30 segundos, verifica o remetente real, analisa os links sem clicar, e procura sinais de urgência forçada. Em caso de dúvida, não cliques — contacta a entidade diretamente pelo site oficial.
---
bpi-seguranca@gmail.com.---
Phishing (do inglês fishing, pescar) é um ataque informático em que um criminoso envia um email a fingir ser uma entidade legítima — o teu banco, os CTT, a Autoridade Tributária ou até a Microsoft — com o objetivo de te enganar a revelar dados pessoais, passwords ou informações bancárias.
O email parece real. Tem logótipo, cores e linguagem semelhantes aos originais. Mas o link leva-te a um site falso, ou o anexo instala um vírus no teu computador.
O objetivo é sempre um de três:
---
Apesar de ser um ataque antigo, o phishing continua a ser o método de cibercrime mais eficaz do mundo. A razão é simples: explora a psicologia humana, não as falhas do teu computador.
Urgência — "A tua conta vai ser suspensa em 24 horas!" O pânico faz-te agir sem pensar.
Medo — "Detetámos acesso não autorizado à tua conta." O instinto de protecção faz-te clicar imediatamente.
Curiosidade — "Tens uma encomenda à espera de levantamento." Quem não quer saber o que é?
Autoridade — O email aparenta ser do teu banco, da Autoridade Tributária ou da Polícia Judiciária. Não questionar a autoridade é um comportamento natural.
Engenharia social — Os atacantes estudam as suas vítimas. Usam o teu nome, o banco onde tens conta, ou referem uma compra recente para parecerem mais credíveis.
---
Porquê acontece: Os atacantes não conseguem usar o domínio real de um banco ou empresa. Por isso, usam domínios falsos que se parecem com os originais.
Exemplo: O BPI envia emails de @bpi.pt. Um email de phishing pode vir de seguranca@bpi-alertas.com ou noreply@bpi.support.
Como verificar: Clica no nome do remetente para ver o endereço completo. Ignora o nome visível ("BPI Segurança") — o que importa é o domínio depois do @.
---
Porquê acontece: Muitos ataques são lançados de outros países e traduzidos automaticamente. Mesmo quando os criminosos são portugueses, cometem erros de edição.
Exemplo: "O sua conta foi temporariamente suspensa por motivos de segurança." ou "Clique no ligação abaixo para validar."
Como verificar: Lê o email com atenção. Um banco ou empresa profissional nunca envia comunicações com erros gramaticais.
---
Porquê acontece: Os atacantes enviam o mesmo email a milhões de pessoas e não sabem o teu nome.
Exemplo: "Prezado cliente," ou "Caro utilizador," em vez de "Olá, João Silva."
Como verificar: O teu banco conhece o teu nome. Qualquer comunicação legítima usa o teu nome completo. Se começa com "Prezado cliente", desconfia.
---
Porquê acontece: A urgência desativa o pensamento crítico. Quando estás em pânico, não verificas os detalhes.
Exemplo: "Tens 48 horas para confirmar os teus dados ou a conta será encerrada permanentemente."
Como verificar: Nenhuma instituição encerra contas sem aviso prévio por carta registada. Se há urgência extrema num email, é quase sempre phishing.
---
Porquê acontece: O texto do link pode dizer www.cgd.pt mas, ao clicar, levas-te para www.cgd-seguranca.net.
Exemplo: O email diz "Clica aqui para aceder à tua conta" mas o link aponta para caixa-geral-depositos.verificacao.ru.
Como verificar: No computador, passa o rato por cima do link sem clicar — o endereço real aparece no canto inferior do ecrã. No telemóvel, pressiona e mantém o link para ver o URL completo.
---
Porquê acontece: Nenhuma instituição legítima pede passwords, números de cartão ou códigos de segurança por email.
Exemplo: "Por favor, responde a este email com o teu NIF, número de conta e código de acesso para verificarmos a tua identidade."
Como verificar: Este pedido é sempre fraude. Banco, Finanças, operadoras de telecomunicações — nenhuma entidade pede dados sensíveis por email.
---
Porquê acontece: Ficheiros .exe, .zip, .doc ou .pdf podem conter vírus ou ransomware que se instalam quando os abres.
Exemplo: Um email a fingir ser da AT com um "aviso de penhora.pdf" ou "fatura_1234.zip".
Como verificar: Se não estás à espera de nenhum ficheiro, não abras o anexo. Contacta a entidade por outro meio para confirmar se o email é legítimo.
---
Porquê acontece: A ganância, tal como o medo, desativa o pensamento crítico.
Exemplo: "Parabéns! Foste selecionado para receber um iPhone 15 gratuitamente. Clica aqui para reclamar."
Como verificar: Se parece bom demais para ser verdade, é porque é. Ninguém oferece iPhones por email.
---
Porquê acontece: Os atacantes registam domínios quase iguais aos reais para enganar à primeira vista.
Exemplo: www.ctt.com.pt é real. www.ctt-entregas.com ou www.ctt.pt.rastreio.net são falsos.
Como verificar: O domínio legítimo é sempre curto e direto. Qualquer coisa depois do domínio principal (.pt, .com) antes do / é suspeita.
---
Porquê acontece: O email pode parecer vir de info@banco.pt mas quando clicas em "Responder", a resposta vai para hacker@dominio-falso.com.
Exemplo: De: seguranca@millenniumbcp.pt | Responder para: suporte-cliente@millenniumbcp-verificacao.net
Como verificar: No teu cliente de email, verifica o campo "Reply-To" nas propriedades da mensagem. Se for diferente do remetente, é phishing.
---
Usa esta lista sempre que receberes um email suspeito:
@ corresponde ao site oficial da empresa?Regra de ouro: Se tens dúvida, não cliques. Vai sempre ao site oficial escrevendo o endereço diretamente no browser.
---
Estas são as imitações mais frequentes utilizadas em ataques de phishing em Portugal. Todos os exemplos são fictícios.
"Detetámos um acesso suspeito à tua conta. Para a tua segurança, clica aqui para confirmar os teus dados de acesso nas próximas 12 horas ou a tua conta será bloqueada."
Sinal de alerta: O teu banco nunca envia links de login por email. Em caso de acesso suspeito, liga para a linha de apoio ao cliente.
"Tens uma encomenda retida nos nossos armazéns. Para proceder à entrega, é necessário pagar uma taxa de 1,99€. Clica aqui para pagar."
Sinal de alerta: Os CTT cobram taxas aduaneiras por carta, nunca por email com link de pagamento.
"Tens um reembolso de IRS pendente no valor de 347,80€. Acede ao Portal das Finanças para reclamar o teu reembolso."
Sinal de alerta: A AT comunica através do Portal das Finanças ou carta. Nunca envia links de reembolso por email.
"A tua conta MB WAY foi limitada por atividade suspeita. Valida a tua identidade para continuar a utilizar o serviço."
Sinal de alerta: O MB WAY comunica através da aplicação, nunca por email com links de validação.
"A tua conta Microsoft foi comprometida. Alguém tentou aceder a partir da Rússia. Clica aqui para proteger a tua conta."
Sinal de alerta: Grandes empresas de tecnologia usam autenticação dentro das suas aplicações, não links em emails.
"O teu pagamento foi recusado. Atualiza os dados de faturação para continuar a ver os teus filmes favoritos."
Sinal de alerta: Acede sempre à Netflix diretamente em netflix.com para verificar o estado da conta.
"Tentámos entregar a tua encomenda mas não havia ninguém em casa. Reagenda aqui e paga a taxa de reentrega de 2,50€."
Sinal de alerta: Transportadoras legítimas deixam um aviso físico ou contactam por SMS, nunca com link de pagamento por email.
---
Se clicaste num link suspeito, eis o que pode acontecer:
Roubo de passwords — O site falso imita o real ao detalhe. Introduzes o teu utilizador e password, e os dados ficam imediatamente nas mãos do atacante.
Malware e vírus — O simples facto de abrires uma página pode desencadear o download automático de software malicioso (drive-by download), especialmente se o teu browser não estiver atualizado.
Ransomware — Um tipo específico de malware que encripta todos os teus ficheiros e exige um resgate para os recuperar.
Roubo de identidade — Com os teus dados pessoais, os criminosos podem abrir contas bancárias, contrair créditos ou cometer crimes em teu nome.
Fraudes bancárias — Acesso à tua conta bancária pode levar ao esvaziamento da conta em minutos, com transferências para contas mula no estrangeiro.
---
Segue estes passos sem demoras:
www.cert.pt ou à PSP/GNR.---
Usa uma password diferente em cada site. Se uma conta for comprometida, as restantes ficam seguras. Aprende como criar passwords impossíveis de adivinhar.
A forma mais prática de ter passwords únicas e fortes em todos os sites. Um gestor de passwords como o Bitwarden ou o 1Password gera e guarda as tuas passwords automaticamente.
Mesmo que um atacante roube a tua password, sem o segundo fator (código no telemóvel ou chave física) não consegue aceder à conta. Ativa o 2FA em todas as contas importantes: banco, email, redes sociais.
As passkeys são o futuro da autenticação. Em vez de uma password, usas a tua impressão digital ou Face ID. São impossíveis de phishing porque estão ligadas ao dispositivo físico. Já estão disponíveis no Google, Apple e Microsoft.
Mantém o sistema operativo, browser e aplicações sempre atualizados. As atualizações corrigem vulnerabilidades que os atacantes exploram.
No computador, passa sempre o rato por cima dos links. No telemóvel, pressiona e mantém para ver o URL real. Nunca cliques em links de emails ou SMS sem verificar o destino.
Usa um browser atualizado com proteção anti-phishing ativa. O Google Chrome, Mozilla Firefox e Microsoft Edge têm esta funcionalidade por padrão. Uma VPN de qualidade também acrescenta uma camada de proteção ao encriptar o tráfego em redes públicas.
Ativa os filtros de spam do teu serviço de email. O Gmail, Outlook e Apple Mail filtram automaticamente a maioria dos emails de phishing antes que chegues a vê-los.
---
| Mito | Verdade | |---|---| | "Só pessoas leigas caem em phishing" | Executivos, especialistas em TI e investigadores são igualmente vítimas | | "O antivírus protege-me de tudo" | O antivírus não consegue parar-te de introduzires voluntariamente os teus dados num site falso | | "Phishing só chega por email" | Existe smishing (SMS), vishing (chamadas) e phishing em redes sociais | | "Se o site tiver cadeado (HTTPS), é seguro" | Sites de phishing também usam HTTPS. O cadeado só significa que a ligação é encriptada, não que o site é legítimo | | "Os meus dados não interessam a ninguém" | Os dados de qualquer pessoa têm valor: acesso ao email, conta bancária ou identidade | | "Consigo sempre reconhecer um email falso" | Os ataques mais sofisticados (spear phishing) são quase indistinguíveis dos reais | | "Basta não abrir o anexo" | Alguns sites maliciosos instalam malware só por abrires a página | | "A minha empresa tem protecção, estou seguro no trabalho" | Os filtros empresariais não são infalíveis e os ataques cada vez mais sofisticados passam pelas defesas |
---
O que é exatamente um email de phishing? Um email de phishing é uma mensagem falsa que imita uma entidade legítima (banco, serviço público, empresa de tecnologia) para enganar o destinatário a revelar dados pessoais, passwords ou informações bancárias.
Como posso verificar se um email é legítimo? Verifica o domínio do remetente (o texto depois do @), passa o rato pelos links sem clicar para ver o URL real, e em caso de dúvida vai diretamente ao site oficial sem usar os links do email.
O que fazer se já cliquei num link suspeito? Não introduzas mais dados, desliga a internet, muda as passwords das contas afetadas a partir de outro dispositivo, contacta o teu banco se introduziste dados financeiros, e corre uma análise antivírus.
Phishing e spam são a mesma coisa? Não. Spam é publicidade não solicitada, geralmente inofensiva. Phishing é um ataque dirigido com intenção de fraude.
Os emails de phishing têm sempre erros de português? Não. Os ataques mais sofisticados, chamados spear phishing, são escritos com perfeição e personalizados com o teu nome e detalhes reais.
Posso ser vítima de phishing mesmo com antivírus? Sim. O antivírus não consegue impedir que introduzas voluntariamente os teus dados num site falso. A primeira linha de defesa és tu.
O HTTPS (cadeado verde) garante que o site é seguro? Não. O HTTPS significa que a ligação é encriptada, mas o site pode ser igualmente falso. Verifica sempre o domínio completo.
Recebi um email suspeito. A quem devo reportar? Em Portugal, podes reportar ao CERT.PT (cert.pt), à PSP ou GNR, ou ao serviço de denúncias do próprio provedor de email (Gmail, Outlook, etc.).
O phishing só acontece por email? Não. O smishing é phishing por SMS, o vishing é por chamada telefónica, e existe também phishing por WhatsApp, Instagram e outras redes sociais.
O que é spear phishing? É um ataque personalizado, direcionado a uma pessoa ou organização específica. O atacante usa informação real (nome, empresa, cargo, transações recentes) para tornar o email muito mais convincente.
Como posso proteger a minha empresa de ataques de phishing? Implementa autenticação multifator em todas as contas, forma os colaboradores para reconhecerem phishing, usa filtros de email avançados e estabelece um protocolo claro de reporte de emails suspeitos.
Os meus filhos podem ser alvo de phishing? Sim. Crianças e adolescentes são alvos frequentes através de jogos online, plataformas de streaming e redes sociais. É importante ensiná-los a nunca partilharem dados pessoais ou de pagamento sem confirmação de um adulto.
Posso reportar um email de phishing que imita o meu banco? Sim. Todos os bancos portugueses têm canais de reporte de fraude. Encaminha o email suspeito para o serviço de segurança do banco e elimina-o a seguir.
Existe phishing direcionado a utilizadores de iPhone ou Android? Sim. Existem ataques específicos para utilizadores iOS e Android, geralmente através de aplicações falsas ou SMS que imitam notificações do sistema. Aprende mais em Como Proteger o Teu Smartphone.
Uma VPN protege-me contra phishing? Não diretamente. Uma VPN encripta o teu tráfego e protege a tua privacidade em redes públicas, mas não impede que cliques num link malicioso. Saiba mais sobre o que é uma VPN e quando usá-la.
---
O phishing é o ataque mais comum e mais bem-sucedido do cibercrime moderno. Mas também é um dos mais fáceis de identificar com 30 segundos de atenção.
Resume-se a três hábitos:
Com autenticação de dois fatores ativa nas contas mais importantes e um gestor de passwords com passwords únicas em cada site, mesmo que sejas enganado por um ataque sofisticado, os danos ficam limitados.
A melhor proteção contra phishing és tu.
---
Imagem principal
Exemplo de email de phishing com setas a apontar para os sinais de alertaemail-phishing-sinais-de-alerta.webpInfografia
Infografia com os 10 sinais que identificam um email de phishinginfografia-10-sinais-phishing.webpChecklist
Checklist de 30 segundos para identificar emails de phishingchecklist-30-segundos-phishing.webpFluxograma
Fluxograma com os passos a seguir ao receber um email suspeitofluxograma-email-suspeito.webp---
Fontes: Verizon Data Breach Investigations Report 2024, CERT.PT, Microsoft Security Intelligence, Google Safe Browsing, Europol Internet Organised Crime Threat Assessment (IOCTA).
Aprende a identificar emails, SMS e mensagens falsas antes de seres enganado.