Um SMS sobre uma dívida, um email com um reembolso ou um aviso de bloqueio do banco podem parecer urgentes. Mas, antes de clicar, vale a pena parar. No Atelier do Empresário, explicamos como reconhecer estes esquemas e que cuidados adotar no dia a dia.
Phishing e smishing: o que significam?
Phishing é uma tentativa de engano, frequentemente por email, para obter dados ou levar a uma ação perigosa. Quando chega por SMS, chamamos-lhe smishing. Por chamada de voz, pode tratar-se de vishing. O mesmo tipo de fraude pode surgir nas aplicações de mensagens e nas redes sociais. [1]
O objetivo pode ser roubar uma palavra-passe, recolher dados bancários, provocar um pagamento ou instalar um programa malicioso. Para parecer verdadeiro, o contacto imita uma entidade conhecida ou alguém em quem confia. [1]
Exemplos simples: como a fraude pode chegar até si
Os exemplos seguintes são situações ilustrativas. Não são mensagens reais nem modelos de comunicação das entidades mencionadas.
| Situação | O que lhe podem dizer | Como agir |
|---|---|---|
| Falso reembolso de IRS | “Tem 387 € a receber. Confirme os dados do cartão hoje.” | Não use o link. Consulte o reembolso entrando diretamente no Portal das Finanças. |
| Falsa dívida fiscal | “Regularize de imediato para evitar uma penhora.” | Confirme a situação fiscal no Portal ou pelos contactos oficiais da AT. |
| Falso alerta do banco | “A sua conta será bloqueada. Indique o código recebido por SMS.” | Não partilhe o código. Termine o contacto e ligue para o banco por um número oficial. |
| Encomenda retida | “Pague 1,99 € para receber a encomenda.” | Verifique a entrega na app ou no site oficial da transportadora. O valor baixo não torna o pedido seguro. |
| Alteração de IBAN de fornecedor | “A nossa conta mudou. Pague esta fatura para o novo IBAN.” | Confirme a alteração por telefone, com um contacto que já conhecia, antes de transferir. |
A AT alertou em abril de 2026 para emails e SMS que simulavam reembolsos e induziam os contribuintes a validar dados ou efetuar pagamentos indevidos. Em setembro, o gov.pt divulgou outra campanha que misturava os nomes da Chave Móvel Digital e das Finanças. [2] [3]
Sinais de alerta que merecem uma pausa
- Urgência ou ameaça: pagar já, perder um reembolso, bloquear uma conta ou sofrer uma penalização.
- Pedido inesperado: confirmar dados, abrir um anexo ou instalar uma aplicação sem motivo que reconheça.
- Informação sensível: palavras-passe, PIN, códigos de autenticação ou dados completos do cartão.
- Incoerências: endereço estranho, mensagem que não corresponde à sua situação ou pedido diferente do habitual.
Uma mensagem bem escrita também pode ser falsa. O CNCS recomenda que não se confie apenas na ausência de erros. Já o Banco de Portugal alerta para a falsificação da identificação do remetente, conhecida como spoofing. Ver o nome do banco no telemóvel não prova que o contacto veio do banco. [1] [4]
O cadeado do site não chega para provar que é verdadeiro
O cadeado e o “https” indicam uma ligação cifrada. Não garantem, por si só, que a página pertence à entidade que diz representar. Os CTT fazem expressamente este alerta nas suas recomendações contra phishing. [5]
Não abra o link suspeito só para o testar. Entre por iniciativa própria na aplicação oficial ou escreva o endereço que já conhece. Também não use um número de apoio que venha na própria mensagem suspeita: pode estar a contactar novamente o burlão.
Recebeu uma mensagem em nome das Finanças?
A opção mais segura é entrar diretamente em www.portaldasfinancas.gov.pt. Depois de iniciar sessão, pode consultar A minha Área → Comunicações e verificar os emails e SMS registados. Confirme também a situação do reembolso ou dos pagamentos na área respetiva. [6]
A AT esclarece que não envia links para pagamento de impostos ou coimas por SMS ou email, nem solicita pagamentos por MB WAY. Em vez de seguir instruções recebidas, obtenha a informação de pagamento no canal oficial. [7]
Se continuar com dúvidas, utilize o e-balcão ou o Centro de Atendimento Telefónico da AT: 217 206 707, nos dias úteis, das 9h00 às 19h00, hora de Portugal continental. [8]
Sete hábitos que ajudam a proteger os seus dados
- Pare antes de agir. Uma mensagem urgente não deve dispensar a confirmação.
- Confirme por outro canal. Use a app oficial, o site conhecido ou um contacto que já tinha guardado.
- Não partilhe credenciais nem códigos. Não forneça ao interlocutor palavras-passe, PIN ou códigos de autorização, mesmo que diga estar a ajudar.
- Leia o que está a autorizar. Não aprove notificações de autenticação ou operações que não iniciou.
- Use palavras-passe diferentes e autenticação adicional. Ative o segundo fator quando disponível; não partilhe também esse segundo código.
- Mantenha os equipamentos atualizados. Atualize o sistema, o navegador e a proteção de segurança; instale aplicações de fontes oficiais.
- Avise a família e a equipa. Explique o esquema sem espalhar links ativos que possam levar outras pessoas a clicar.
No Portal das Finanças, a AT recomenda opções de autenticação forte, como a Chave Móvel Digital, o Cartão de Cidadão ou o segundo fator da AT. Nenhuma destas medidas dispensa atenção ao pedido que aparece no ecrã. [6]
Já clicou, partilhou dados ou fez um pagamento?
Não esconda o sucedido nem espere para ver o que acontece. Explique com precisão o que fez: abriu uma página, escreveu uma palavra-passe, partilhou um código, instalou uma aplicação ou autorizou um pagamento. A resposta deve ser ajustada à situação.
| O que aconteceu | O que fazer de imediato |
|---|---|
| Apenas abriu o link | Feche a página, não preencha dados nem aceite descargas. Atualize o equipamento e execute uma análise de segurança. Um clique, por si só, não permite concluir se houve comprometimento. |
| Introduziu uma palavra-passe | Altere-a no serviço verdadeiro, de preferência a partir de um equipamento de confiança. Altere-a também nas contas onde a reutilizou. |
| Forneceu dados bancários, do cartão ou códigos | Contacte imediatamente o banco por um canal oficial. Peça as medidas de bloqueio adequadas e identifique operações que não reconhece. |
| Fez uma transferência ou pagamento | Avise o banco de imediato e peça a análise das possibilidades de bloqueio ou recuperação. A recuperação do dinheiro não é garantida. |
| Instalou uma aplicação ou permitiu acesso remoto | Interrompa o acesso e a ligação à Internet do equipamento afetado. Use outro dispositivo para os contactos urgentes e procure apoio técnico de confiança. |
O NCSC, autoridade britânica de cibersegurança, recomenda a análise de segurança após abertura de ligações ou instalação de software suspeito e a alteração das palavras-passe comprometidas ou reutilizadas. Estas são medidas gerais de resposta; os contactos de denúncia indicados neste artigo são os de Portugal. [9]
Se estiverem em causa dados ou operações bancárias, a prioridade é avisar o banco imediatamente. O Banco de Portugal recomenda pedir o cancelamento das credenciais e, se necessário, do cartão. Não aguarde pela apresentação de queixa para contactar o banco. [10]
Guarde provas e reporte a situação
Antes de apagar a mensagem, quando possível e sem atrasar o contacto urgente com o banco, guarde capturas de ecrã, datas, remetentes, comprovativos e referências das operações. Não volte a abrir anexos ou links para recolher provas. [11]
- Banco: para proteger contas, cartões e meios de pagamento.
- PSP, GNR, Polícia Judiciária ou Ministério Público: para apresentar queixa quando exista suspeita de crime.
- CERT.PT / CNCS: para reportar o incidente de cibersegurança, através de cert@cert.pt.
- Entidade imitada: informe-a através de um contacto oficial e utilize a opção de denúncia de phishing ou spam do seu serviço de email, quando disponível.
Reportar ao CERT.PT não substitui a queixa às autoridades nem o contacto com o banco. A ENISA identifica o CERT.PT como canal de reporte em Portugal e indica a participação às autoridades policiais nos casos de fraude ou crime. [12]
Nas empresas, confirme também os pedidos que parecem habituais
A fraude pode apresentar-se como uma fatura de um fornecedor, um pedido da gerência ou uma instrução do contabilista. Recomendamos que a empresa confirme alterações de IBAN por um contacto já conhecido, defina quem aprova pagamentos e incentive a equipa a comunicar rapidamente qualquer erro, sem receio de o admitir.
Um email verdadeiro de um fornecedor pode também ter sido comprometido. Por isso, a confirmação deve acontecer por um canal independente, sobretudo quando há mudança de conta ou pressão para pagar. O CNCS recomenda confirmar instruções sensíveis noutras fontes, incluindo junto de um superior ou do gestor bancário. [1]
No Atelier do Empresário, recomendamos: pare, confirme e só depois decida
Não é preciso dominar a tecnologia para adotar um comportamento mais seguro. O primeiro passo é não decidir sob pressão. Um reembolso prometido ou uma ameaça de dívida deve ser confirmado nos canais oficiais.
Se recebeu uma comunicação fiscal que lhe suscita dúvidas, fale connosco para ajudar a esclarecer o enquadramento. Não envie palavras-passe, PIN ou códigos de autenticação. Havendo suspeita de comprometimento bancário ou do equipamento, contacte de imediato o banco e apoio técnico especializado.