Recebi um email suspeito, é burla?
Resposta directa: O sinal mais importante é o domínio do remetente. Um email do seu banco tem de vir de @nomedobanco.pt (ou .com oficial), nunca de @banco-seguranca.info ou @gmail.com. Se o domínio não corresponde à entidade, trate como burla.
A maioria dos emails fraudulentos (phishing) imita marcas conhecidas: bancos, AT, CTT, Segurança Social, Netflix, Amazon. Antes de clicar em qualquer link ou abrir anexos, valide o remetente.
Sinais de alerta
- •Domínio do remetente não pertence à entidade (ex.: «CTT» a enviar de @ctt-portugal.info em vez de @ctt.pt).
- •Domínio com hífenes, palavras extra ou erros subtis (micros0ft.com, bpi-seguranca.com, at-portugal.net).
- •Endereço pessoal genérico (@gmail.com, @hotmail.com, @outlook.com) a fazer-se passar por entidade oficial.
- •Saudação genérica («Caro cliente», «Dear user») em vez do seu nome.
- •Pressão e urgência: «conta será suspensa em 24h», «último aviso», «acção imediata».
- •Pede credenciais, código SMS, NIF, IBAN ou dados de cartão por email.
- •Links cujo destino real (visível ao passar o rato) não corresponde ao texto do link.
- •Anexos inesperados (.zip, .htm, .exe, .iso, ou Word/Excel a pedir activação de macros).
- •Erros de português, traduções automáticas ou tratamento na 2ª pessoa estranho.
O que fazer
- 1.Confirme o domínio do remetente. Tudo o que vem a seguir ao @ tem de corresponder ao domínio oficial da entidade (ex.: @cgd.pt, @bancobpi.pt, @at.gov.pt, @ctt.pt).
- 2.Em caso de dúvida, vá ao site oficial escrevendo o endereço directamente no browser, nunca pelo link do email.
- 3.Não abra anexos que não estava à espera, mesmo que pareçam vir de alguém conhecido.
- 4.Não responda nem use «Cancelar subscrição» em emails de burla, confirma ao atacante que o endereço está activo.
- 5.Marque como spam/phishing no seu cliente de email (Gmail, Outlook), ajuda a treinar os filtros.
- 6.Se já clicou ou inseriu dados: mude já as palavras-passe afectadas, active autenticação em dois factores e leia /fui-vitima.
Exemplos reais
- «AT – Reembolso de 327,40€ disponível. Confirme o IBAN: at-reembolsos.com/...» — remetente @at-portugal-fiscal.info (não é @at.gov.pt).
- «CGD – Detectámos acesso suspeito. Confirme a sua identidade aqui.» — remetente @cgd-seguranca.online (não é @cgd.pt).
- «Os seus CTT: encomenda retida, pague taxa de 2,99€.» — remetente @ctt-pt-entregas.click (não é @ctt.pt).
Perguntas frequentes
- Como descubro o domínio oficial de uma entidade?
- Escreva o nome da entidade no Google e abra o site oficial. O domínio que vê na barra do browser (ex.: cgd.pt, at.gov.pt) é o que deve aparecer também no email do remetente, depois do @. Domínios .gov.pt são exclusivos do Estado português.
- O nome do remetente é o do meu banco. Posso confiar?
- Não. O nome a azul que aparece no topo do email é totalmente editável por quem envia. O que importa é o endereço completo entre <...>, ou seja, a parte a seguir ao @. Carregue no nome para ver o endereço real.
- E se o domínio parece certo mas tem um caractere estranho?
- É uma técnica conhecida (typosquatting/homógrafos): cgd.pt vs cgd-pt.com, microsoft.com vs micros0ft.com (com zero). Em caso de dúvida, não clique. Compare letra a letra com o domínio que tem nos seus documentos oficiais.
- Onde denuncio um email de phishing em Portugal?
- Reencaminhe para o CNCS (Centro Nacional de Cibersegurança) através de cncs.gov.pt e, se houve perda financeira, apresente queixa na PSP/GNR ou Polícia Judiciária.