Detector de BurlaIniciativa AMD
Todas as verificações

Recebi um email suspeito, é burla?

Resposta directa: O sinal mais importante é o domínio do remetente. Um email do seu banco tem de vir de @nomedobanco.pt (ou .com oficial), nunca de @banco-seguranca.info ou @gmail.com. Um domínio que não corresponda à entidade que a comunicação afirma representar pode constituir um sinal de risco. Perante dúvidas, confirme a comunicação através dos canais oficiais da entidade.

A maioria dos emails fraudulentos (phishing) imita marcas conhecidas: bancos, AT, CTT, Segurança Social, Netflix, Amazon. Antes de clicar em qualquer link ou abrir anexos, valide o remetente.

Sinais de alerta

  • •Domínio do remetente não pertence à entidade (ex.: «CTT» a enviar de @ctt-portugal.info em vez de @ctt.pt).
  • •Domínio com hífenes, palavras extra ou erros subtis (micros0ft.com, bpi-seguranca.com, at-portugal.net).
  • •Endereço pessoal genérico (@gmail.com, @hotmail.com, @outlook.com) a fazer-se passar por entidade oficial.
  • •Saudação genérica («Caro cliente», «Dear user») em vez do seu nome.
  • •Pressão e urgência: «conta será suspensa em 24h», «último aviso», «acção imediata».
  • •Pede credenciais, código SMS, NIF, IBAN ou dados de cartão por email.
  • •Links cujo destino real (visível ao passar o rato) não corresponde ao texto do link.
  • •Anexos inesperados (.zip, .htm, .exe, .iso, ou Word/Excel a pedir activação de macros).
  • •Erros de português, traduções automáticas ou tratamento na 2ª pessoa estranho.

O que fazer

  1. 1.Confirme o domínio do remetente. Tudo o que vem a seguir ao @ tem de corresponder ao domínio oficial da entidade (ex.: @cgd.pt, @bancobpi.pt, @at.gov.pt, @ctt.pt).
  2. 2.Em caso de dúvida, vá ao site oficial escrevendo o endereço directamente no browser, nunca pelo link do email.
  3. 3.Não abra anexos que não estava à espera, mesmo que pareçam vir de alguém conhecido.
  4. 4.Não responda nem use «Cancelar subscrição» em emails de burla, confirma ao atacante que o endereço está activo.
  5. 5.Marque como spam/phishing no seu cliente de email (Gmail, Outlook), ajuda a treinar os filtros.
  6. 6.Se já clicou ou inseriu dados: mude já as palavras-passe afectadas, active autenticação em dois factores e leia /fui-vitima.

Exemplos reais

  • «AT – Reembolso de 327,40€ disponível. Confirme o IBAN: at-reembolsos.com/...» — remetente @at-portugal-fiscal.info (não é @at.gov.pt).
  • «CGD – Detectámos acesso suspeito. Confirme a sua identidade aqui.» — remetente @cgd-seguranca.online (não é @cgd.pt).
  • «Os seus CTT: encomenda retida, pague taxa de 2,99€.» — remetente @ctt-pt-entregas.click (não é @ctt.pt).

Perguntas frequentes

Como descubro o domínio oficial de uma entidade?
Escreva o nome da entidade no Google e abra o site oficial. O domínio que vê na barra do browser (ex.: cgd.pt, at.gov.pt) é o que deve aparecer também no email do remetente, depois do @. Domínios .gov.pt são exclusivos do Estado português.
O nome do remetente é o do meu banco. Posso confiar?
Não. O nome a azul que aparece no topo do email é totalmente editável por quem envia. O que importa é o endereço completo entre <...>, ou seja, a parte a seguir ao @. Carregue no nome para ver o endereço real.
E se o domínio parece certo mas tem um caractere estranho?
É uma técnica conhecida (typosquatting/homógrafos): cgd.pt vs cgd-pt.com, microsoft.com vs micros0ft.com (com zero). Em caso de dúvida, não clique. Compare letra a letra com o domínio que tem nos seus documentos oficiais.
Onde denuncio um email de phishing em Portugal?
Pode reportar voluntariamente ao CERT.PT incidentes de cibersegurança relevantes, incluindo tentativas de phishing. Consulte os canais oficiais do CERT.PT/CNCS para saber como proceder (https://www.cncs.gov.pt/pt/como-reportar-um-incidente/). Se houve perda financeira, pode apresentar queixa junto das autoridades policiais.

Fontes oficiais

As recomendações operacionais desta página baseiam-se nas fontes abaixo. Consulte sempre os canais oficiais da entidade competente para informação actualizada.