Telemóvel Seguro: Evitar Mensagens e Chamadas de Phishing

O telemóvel é hoje o alvo preferencial do phishing em Portugal: o phishing e o smishing foram o incidente mais registado pelo CERT.PT em 2024 e continuam a liderar em 2025-2026. As burlas chegam por SMS (smishing), por chamadas (vishing) e por WhatsApp, disfarçadas de transportadoras, Autoridade Tributária, bancos ou MB Way. Este guia reúne as boas práticas para reconhecer, travar e reportar estas tentativas — no telemóvel pessoal e na PME.

ℹ Em resumo

Regra de ouro: urgência + pedido de dados/código/PIN = fraude. Nenhuma entidade legítima — banco, AT, transportadora ou operadora — pede códigos, PINs ou palavras-passe por SMS, chamada ou WhatsApp. Se houver pressa, pare e verifique por outro canal.

Neste artigo

Conhecer o inimigo: smishing, vishing e quishing

Vector Como chega Objectivo do burlão
Smishing (SMS) SMS com link para página falsa: “encomenda retida”, “multa em falta”, “conta bloqueada” Roubar credenciais, cartões ou instalar malware
Vishing (chamada) Voz: falso banco, falsa operadora, “Olá, Pai/Mãe” e fraudes com clones de voz por IA Códigos de confirmação, transferências, acesso remoto ao telemóvel
Quishing (QR code) QR codes falsos em faturas, parquímetros e mensagens que abrem páginas de login falsas Roubar credenciais sem link visível
WhatsApp / redes sociais “Olá, Pai”, burla do MB Way “recebi por engano”, contas falsas de conhecidos Transferências imediatas, códigos de cartão, dados pessoais

Os números nacionais explicam a urgência: o phishing foi o incidente mais registado pelo CERT.PT (790 registos em 2024, mais 13%) e a engenharia social saltou para o segundo lugar, com o vishing a representar 18% dos subtipos observados. Na banca e nas mensagens que imitam a AT, transportadoras e serviços de entregas, o padrão repete-se: uma tarefa banal, um prazo curto e um link.

Sinais de alerta numa mensagem

O CNCS resume a campanha numa hashtag: #LerAntesClicarDepois. Antes de tocar num link ou responder, verifique estes sinais:

  • Urgência artificial — “hoje”, “nas próximas 24 horas”, “a sua conta será bloqueada”. O prazo curto serve para desactivar o pensamento crítico.
  • Pedido de dados ou códigos — nenhum banco, AT ou operadora pede PIN, códigos de confirmação, códigos de activação MB Way ou palavras-passe por mensagem ou chamada. Nunca.
  • Links disfarçados — pressione e segure no link para ver o destino real: domínios como ctt-envios.info ou at-portugal.net não são oficiais. Em caso de dúvida, escreva o endereço oficial à mão no browser.
  • Remetente genérico ou número estranho — números curtos estrangeiros, +44/+34 inesperados ou texto com erros grotescos de português.
  • Contexto que não pediu — “a sua encomenda está retida” quando não há encomenda nenhuma é a assinatura clássica.
  • Pedido de instalação de apps — instruções para instalar “suporte técnico”, APKs ou apps de controlo remoto são malware, não suporte.

As burlas mais frequentes em Portugal

Burla Mecanismo Defesa
MB Way “recebi por engano” Notificação real de transferência + WhatsApp a pedir devolução; a vítima torna-se “mula de lavagem” Nunca devolver manualmente; contactar o banco, que faz a reversão correcta
MB Way “introduza o PIN para receber” Campo de descrição do “Pedir Dinheiro” com texto falso sobre confirmação de depósito Receber nunca exige PIN; PIN = envio de dinheiro
SMS transportadora (CTT, DPD…) Link para “pago de portagem/encomenda retida” que pede dados de cartão Acompanhar encomendas só na app/site oficial, sem usar links de SMS
Vishing “banco a ligar” Pedido de confirmação de movimentos e códigos; às vezes com número que parece oficial Desligar e ligar para o número do verso do cartão; os bancos não pedem códigos
“Olá, Pai/Mãe” + clones de voz IA Chamada ou mensagem de um “filho” com novo número a pedir transferência urgente Ligar ao número conhecido do filho; acordar uma palavra-chave de família
AT / IRS falso “Reembolso pendente, confirme IBAN” com link para página falsa Consultar apenas o Portal das Finanças, escrevendo o endereço à mão

⚠ A fraude da IA

Com clones de voz, “a voz que conheço” deixou de ser verificação. Uma voz que pede dinheiro, códigos ou alteração de IBAN é suspeita por definição — confirme sempre num segundo canal que você iniciou (ligue você para o número oficial).

Boas práticas no telemóvel

As medidas técnicas reduzem a superfície de ataque mesmo quando a mensagem é convincente:

  • Activar filtros de SMS — no iPhone: Definições → Mensagens → Filtragem de mensagens desconhecidas. No Android (Google Messages): Protecção contra spam e a verificação de remetentes verificados (verified SMS).
  • Silenciar números desconhecidos — no iPhone, “Silenciar chamadas de desconhecidos”; no Android, filtragem de chamadas do Google Telefone e apps como Truecaller (com atenção à privacidade dos contactos).
  • Bloquear e reportar o número — cada SMS suspeito: reportar na própria app (opção “Reportar junk”/bloquear).
  • Manter o sistema actualizado — as actualizações de segurança do iOS/Android fecham as falhas que os trojans bancários exploram.
  • Apps só das lojas oficiais — a maioria dos trojans bancários Android (droppers) chega via APKs e lojas de terceiros. Desactivar a instalação de fontes desconhecidas.
  • Permissões mínimas — uma lanterna não precisa de aceder a SMS, contactos e acessibilidade. Apps de acessibilidade activadas por apps desconhecidas é o sinal clássico de trojan bancário.
  • Bloqueio biométrico + SIM PIN — o PIN do SIM impede que um ladrão use o cartão noutro telemóvel para receber os códigos de confirmação.
  • Não guardar senhas bancárias no browser do telemóvel e usar as apps oficiais do banco, que têm protecções próprias.

Protecção nas chamadas

  • Desligar e ligar você — a verificação só conta se você ligar para o número oficial (verso do cartão, site oficial). Nunca use o número que a chamada lhe indica.
  • Regra dos 3 segundos — pressão + urgência + sigilo (“não fale com ninguém”) = burla. Desligue.
  • Nunca instalar apps sob instruções telefónicas — o falso “apoio ao cliente” que pede para instalar uma app de acesso remoto está a tomar conta do telemóvel.
  • Palavra-chave familiar — combinada com os familiares mais próximos para validar emergências supostas (o contragolpe aos clones de voz).
  • Verificar o número no histórico — números ocultos, +353/+44 inesperados ou sequências estranhas merecem desconfiança; mas atenção: o caller ID também pode ser falsificado (spoofing).

Se caiu no golpe: os primeiros 30 minutos

Passo Acção
1 Ligar imediatamente ao banco (linha de cancelamento 24h) e pedir o cancelamento do cartão/conta e a contestação das transferências. Quanto mais rápido, maior a probabilidade de reverter.
2 Preservar as provas — não apagar SMS, WhatsApp, números, capturas de ecrã e comprovativos.
3 Participar à PSP/GNR/PJ (a queixa é essencial para acionar o mecanismo de reversão e para as investigações).
4 Reportar ao CERT.PT em cert.pt (o CNCS acompanha campanhas activas e pode ajudar a derrubar páginas falsas).
5 Se instalou uma app suspeita: modo de segurança/desinstalar, mudar senhas a partir de outro dispositivo e, no limite, repor o telemóvel.
6 Avisar os contactos se a sua conta de WhatsApp/mensagens foi comprometida — os burlões costumam atacar a lista de contactos da vítima.

Boas práticas na PME

  • Verificação multi-canal para pagamentos — qualquer alteração de IBAN ou pagamento urgente confirma-se por telefone para o número já conhecido do fornecedor, nunca pelos contactos da mensagem.
  • MFA resistente a phishing — passkeys/FIDO2 nas contas críticas (Microsoft 365, banca, sistemas internos); o SMS como segundo factor já é frágil face a SIM swapping.
  • Regra de ouro dos códigos — nenhum colaborador partilha códigos de verificação recebidos por SMS, nem com “o técnico” nem com “o administrador”.
  • Simulações e formação — campanhas internas de simulação de smishing/vishing, com o mote #LerAntesClicarDepois do CNCS como referência; e um canal simples para reportar mensagens suspeitas sem medo de punição.
  • Procedimento de incidente — quem ligar, a quem, em quanto tempo. Nos primeiros 30 minutos decide-se se a perda é de centenas ou de milhares de euros.

✓ O essencial em três frases

Urgência é o sinal número um de fraude. Códigos e PINs nunca se partilham — nem por SMS, nem por chamada, nem com quem “diz” ser o banco. E toda a alteração financeira se confirma num canal que você inicia.

Conclusão

O telemóvel é o canal onde a engenharia social funciona melhor: está sempre connosco, a interface é pequena e a urgência pesa mais. As defesas que funcionam são simples — desconfiar de prazos curtos, nunca partilhar códigos, verificar por um segundo canal iniciado por si, e reportar. Na PME, estas práticas deixam de ser conselho individual e passam a procedimento obrigatório, sobretudo em pagamentos.

Para aprofundar, veja o guia sobre phishing moderno (inclui smishing e quishing), a configuração de MFA FIDO2 resistente a phishing e a defesa contra ataques com IA.

Artigos Relacionados