Guia para detetar burlas de phishing nas compras online

As burlas de phishing levam os consumidores a revelar palavras-passe, números de cartões de crédito e dados pessoais através de comunicações fraudulentas. Este guia ensina-o a identificar e evitar tentativas de phishing dirigidas a quem compra online.

O que é o phishing

Phishing por e-mail

E-mails fraudulentos que se fazem passar por empresas legítimas:

Exemplos comuns:

• Falsas confirmações de encomenda de compras que não fez
• Avisos de suspensão da conta que exigem ação imediata
• Pedidos de reposição da palavra-passe que não pediu
• Problemas com a entrega de encomendas que exigem pagamento
• Prémios ou cartões-oferta ganhos que exigem verificação

Objetivo: roubar credenciais de acesso, números de cartões de crédito ou dados pessoais

Phishing por SMS (smishing)

Burlas por mensagem de texto que se fazem passar por lojas ou transportadoras:

Exemplos comuns:

• «A sua encomenda não pode ser entregue – clique para reagendar»
• «A sua conta Amazon tem atividade suspeita – verifique agora»
• «Ganhou um cartão-oferta Continente de 500 € – reclame aqui»
• «O seu pagamento falhou – atualize os dados de faturação»
• «Acompanhe a sua encomenda: [ligação suspeita]»

Objetivo: levá-lo a clicar em ligações maliciosas ou a fornecer informação sensível por SMS

Phishing nas redes sociais

Mensagens e publicações fraudulentas nas redes sociais:

Exemplos comuns:

• Contas falsas de apoio ao cliente
• Anúncios de promoções boas demais para serem verdade
• Falsos amigos a partilhar «promoções incríveis»
• Passatempos falsos
• Ligações maliciosas nos comentários

Objetivo: roubar credenciais, espalhar software malicioso ou levar as vítimas a fazer compras falsas

Phishing por telefone (vishing)

Chamadas de burlões que se fazem passar por empresas:

Exemplos comuns:

• «Apoio ao cliente da Amazon» a ligar sobre encomendas suspeitas
• «O seu cartão de crédito foi comprometido»
• «Autoridade Tributária» a exigir pagamento imediato
• «Apoio técnico» que detetou vírus no seu computador
• «Departamento de fraude do banco» a pedir a verificação da conta

Objetivo: pressionar as vítimas a fornecer informação ou a fazer pagamentos

Táticas comuns de phishing

Urgência e medo

Os burlões criam pânico para contornar o pensamento crítico:

Exemplos de linguagem urgente:

• «A sua conta será encerrada dentro de 24 horas»
• «Detetada atividade suspeita – aja já»
• «A sua encomenda será devolvida se não for levantada hoje»
• «Detetado um movimento não autorizado – confirme de imediato»
• «Último aviso antes da suspensão da conta»

Porque resulta: o medo sobrepõe-se à prudência e leva a decisões precipitadas

Proteção: as empresas legítimas nunca exigem ação imediata por e-mail

Falsos avisos de entrega

Aproveitam a expectativa de receber encomendas:

Cenários comuns:

• «Não foi possível entregar a sua encomenda»
• «Portes adicionais em falta»
• «Tem de pagar taxas alfandegárias»
• «É necessária assinatura para a entrega»
• «Confirme a morada de entrega»

Sinais de alerta:

• Avisos de entrega inesperados
• Saudações genéricas («Caro cliente»)
• Endereços de remetente suspeitos
• Pedidos de pagamento para a entrega
• Ligações para sites não oficiais

Verificação: consulte o histórico de encomendas diretamente no site da loja, e não através de ligações no e-mail

Pedidos de verificação de conta

Pedidos fraudulentos de informação sensível:

Pedidos comuns:

• «Verifique a sua conta para evitar a suspensão»
• «Atualize os seus dados de pagamento»
• «Confirme a sua identidade por motivos de segurança»
• «Volte a introduzir a palavra-passe devido a uma atualização do sistema»
• «Confirme a morada de faturação para concluir a encomenda»

A verdade: as lojas legítimas nunca pedem palavras-passe nem números completos de cartões de crédito por e-mail

Burlas de prémios e recompensas

Prémios falsos para recolher dados pessoais:

Alegações comuns:

• «Ganhou o prémio do nosso inquérito de satisfação»
• «Parabéns! Foi o cliente sorteado»
• «Reclame já o seu cartão-oferta de 1000 €»
• «Foi selecionado para recompensas VIP exclusivas»
• «Oportunidade de testar produtos gratuitamente»

Sinais de alerta:

• Nunca participou em nenhum passatempo
• Exige pagamento ou dados pessoais para reclamar o prémio
• Pressão para agir de imediato
• Nome da loja mal escrito ou endereço de e-mail suspeito

Identifique tentativas de phishing

Examine o endereço do remetente

Os e-mails fraudulentos usam endereços de remetente enganosos:

Sinais de alerta:

• Domínios mal escritos: amaz0n.com, worten-pt.com, ctt-correios.com
• Carateres aleatórios: apoio-cliente-amazon-398472@gmail.com
• Domínios de topo suspeitos: amazon.tk, worten.xyz, ctt.ru
• Truques com subdomínios: amazon.atualizacao-segura.com
• Fornecedores de e-mail genéricos: Gmail, Yahoo ou Hotmail em comunicações «oficiais»

Verificação:

• Passe o rato sobre o nome do remetente para ver o endereço de e-mail real
• Procure o domínio exato da empresa (@amazon.com, e não @amazon-services.com)
• Desconfie de fornecedores de e-mail gratuitos em comunicações empresariais

Analise o conteúdo do e-mail

Os e-mails de phishing têm sinais reveladores:

Sinais de alerta no conteúdo:

• Saudações genéricas: «Caro cliente» em vez do seu nome
• Erros gramaticais/ortográficos: as empresas profissionais reveem os textos
• Imagem de marca incoerente: logótipos, tipos de letra ou cores errados
• Anexos suspeitos: ficheiros inesperados, sobretudo .exe e .zip
• Linguagem urgente/ameaçadora: cria uma falsa sensação de emergência

Os e-mails legítimos incluem:

• O seu nome verdadeiro na saudação
• Gramática e formatação profissionais
• Imagem de marca coerente com o site da empresa
• Nenhum anexo ou apenas documentos esperados (faturas em PDF)
• Tom profissional e informativo, sem pressão

Inspecione as ligações antes de clicar

Os burlões disfarçam ligações maliciosas:

Como verificar as ligações:

1. Passe o rato sem clicar para ver o endereço real
2. Verifique o domínio com atenção para detetar erros ortográficos
3. Procure o HTTPS (mas os sites de phishing também o podem ter)
4. Confirme que leva ao site legítimo, e não a uma imitação
5. Os endereços encurtados (bit.ly, tinyurl) podem esconder o destino

Sinais de alerta nas ligações:

• O endereço não corresponde ao domínio da empresa
• Endereços IP em vez de nomes de domínio (123.456.789.012)
• Subdomínios em excesso (conta.seguranca.verificar.amazon-update.com)
• Domínios de topo suspeitos (.tk, .xyz, códigos de país invulgares)
• Typosquatting (amaz0n.com, com um zero em vez de «o»)

Prática segura: nunca clique em ligações de e-mails. Vá diretamente ao site da empresa, escrevendo o endereço ou usando marcadores.

Proteja-se

Verifique antes de agir

Verifique sempre de forma independente as comunicações suspeitas:

Passos de verificação:

1. Não clique em ligações de e-mails – escreva o endereço diretamente no navegador
2. Inicie sessão na sua conta diretamente no site oficial
3. Consulte o histórico de encomendas sem usar ligações de e-mails
4. Ligue para o apoio ao cliente usando o número do site oficial (e não o do e-mail)
5. Pesquise o nome da empresa + «burla» para ver se é um phishing conhecido

Para entregas de encomendas:

• Consulte o seguimento diretamente nos sites dos CTT, DPD, GLS, UPS, FedEx ou DHL
• Use o número de seguimento da confirmação da sua compra
• As transportadoras nunca exigem pagamentos através de ligações em e-mails

Ative as funcionalidades de segurança

Proteja as contas com várias camadas de segurança:

Autenticação de dois fatores (2FA):

• Ative-a em todas as contas de compras
• Prefira aplicações de autenticação ao SMS sempre que possível
• Cria uma segunda barreira mesmo que a palavra-passe seja roubada
• Disponível na Amazon, no PayPal e na maioria das grandes lojas

Filtragem de e-mail:

• Marque o phishing suspeito como spam/lixo
• Ative a proteção contra phishing nas definições do e-mail
• Use as funcionalidades de segurança do seu fornecedor de e-mail
• Considere ferramentas externas de segurança para o e-mail

Segurança das palavras-passe:

• Use palavras-passe únicas para cada conta
• Use um gestor de palavras-passe para gerar palavras-passe fortes
• Nunca reutilize palavras-passe em vários sites
• Altere as palavras-passe depois de uma suspeita de phishing

Denuncie o phishing

Denunciar ajuda a travar os burlões e a proteger outras pessoas:

Onde denunciar:

Phishing por e-mail:

• Reencaminhe para reportphishing@apwg.org
• Denuncie à empresa que está a ser imitada
• Denuncie à equipa de abusos do seu fornecedor de e-mail
• Notifique o CERT.PT do Centro Nacional de Cibersegurança (CNCS) e apresente queixa à Polícia Judiciária

Phishing por SMS:

• Denuncie ao seu operador móvel
• Apresente queixa à Polícia Judiciária em caso de tentativa de burla
• Bloqueie o número
• Apague a mensagem

Denúncias específicas por empresa:

• Amazon: stop-spoofing@amazon.com
• PayPal: phishing@paypal.com
• Apple: reportphishing@apple.com
• Google: reportphishing@google.com

O que fazer se for vítima de phishing

Medidas imediatas

Aja depressa para limitar os danos:

Se clicou numa ligação:

1. Não introduza nenhuma informação no site falso
2. Feche o navegador de imediato
3. Faça uma análise antivírus ao dispositivo
4. Limpe a cache e os cookies do navegador
5. Altere as palavras-passe a partir de outro dispositivo, se possível

Se introduziu informação:

1. Altere de imediato as palavras-passe de todas as contas
2. Ative o 2FA em todas as contas
3. Contacte o banco/os emissores dos cartões
4. Acompanhe as contas diariamente para detetar atividade não autorizada
5. Peça ao banco para reforçar a vigilância sobre a sua conta e novos pedidos de crédito

Se introduziu dados financeiros:

1. Ligue de imediato para o banco/emissor do cartão
2. Bloqueie ou substitua os cartões de crédito/débito
3. Esteja atento a movimentos não autorizados
4. Documente toda a atividade fraudulenta
5. Apresente queixa às autoridades para ficar com registo

Proteja as suas contas

Evite mais danos:

Passos de segurança da conta:

1. Altere todas as palavras-passe usando um dispositivo seguro
2. Reveja a atividade da conta para detetar acessos não autorizados
3. Verifique as regras de reencaminhamento do e-mail (os piratas podem acrescentar regras)
4. Revogue o acesso de aplicações externas às suas contas
5. Ative as notificações de início de sessão em todas as contas

Esteja atento ao roubo de identidade:

• Consulte a Central de Responsabilidades de Crédito do Banco de Portugal
• Peça ao banco alertas de fraude
• Esteja atento a novas contas abertas em seu nome
• Esteja atento a alterações de morada não autorizadas
• Se o seu Cartão de Cidadão tiver sido comprometido, peça o cancelamento e a substituição

Aprenda com a experiência

Reforce as defesas para evitar ataques futuros:

• Analise o que tornou o e-mail de phishing convincente
• Atualize as práticas de segurança com base no incidente
• Informe a família sobre os riscos do phishing
• Mantenha-se informado sobre as novas técnicas de phishing
• Confie no seu instinto – se algo lhe parecer estranho, provavelmente é

Reconhecimento avançado de phishing

Técnicas de phishing sofisticadas

Os burlões modernos usam métodos avançados:

Spear phishing:

• Dirigido a pessoas específicas
• Contém dados pessoais que o tornam convincente
• Refere compras ou atividades recentes
• Mais difícil de detetar do que o phishing genérico

Clone phishing:

• Copia e-mails legítimos que já recebeu
• Substitui as ligações por sites maliciosos
• Usa os seus números de encomenda e dados reais
• Quase idêntico aos e-mails verdadeiros da empresa

Whaling:

• Visa contas de valor elevado
• Faz-se passar por administradores ou figuras importantes
• Pede compras avultadas ou transferências bancárias
• Usa urgência e autoridade

Burlas nas compras festivas

Redobre a atenção nas épocas altas de compras:

• Falsas promoções de Black Friday/Cyber Monday
• Falsos avisos de envio durante as festas
• Burlas com cartões-oferta no Natal
• Phishing relacionado com o IRS na época de entrega das declarações
• Burlas de regresso às aulas em agosto/setembro

Phishing com códigos QR

Nova técnica que usa códigos QR:

• Códigos QR falsos em falsos avisos de entrega
• Códigos QR em e-mails de phishing
• Ligações para sites ou aplicações maliciosos
• Difíceis de inspecionar antes de os ler
• Proteção: leia apenas códigos QR de fontes de confiança

Conclusão

As burlas de phishing estão sempre a evoluir, mas reconhecer os padrões comuns protege-o da maioria dos ataques. Verifique sempre de forma independente as comunicações suspeitas, nunca clique em ligações de e-mails inesperados, ative a autenticação de dois fatores e confie no seu instinto quando algo lhe parecer errado.

Lembre-se: as empresas legítimas nunca pedem palavras-passe, números de cartões de crédito ou o número do Cartão de Cidadão por e-mail ou SMS. Na dúvida, vá diretamente ao site oficial da empresa em vez de clicar em ligações.

Para uma proteção adicional, consulte os nossos guias sobre prevenção de burlas, gestão segura de palavras-passe e autenticação de dois fatores. Mantenha-se atento, desconfiado e seguro online.