Recebeu um e-mail a pedir para mudar o IBAN de um projeto europeu? Cuidado

O Gabinete de Cibersegurança da Universidade de Aveiro (UA) lançou um alerta sobre o aumento de tentativas de phishing dirigidas a quem gere ou participa em projetos financiados por fundos europeus. Segundo a instituição, os atacantes enviam mensagens de correio eletrónico que aparentam ser legítimas para tentar desviar verbas, sobretudo pré-financiamentos e outros pagamentos que circulam entre a entidade coordenadora e os parceiros beneficiários. Trata-se de uma modalidade de fraude por comprometimento de e-mail empresarial (conhecida internacionalmente como BEC) que tem tido expressão global e que atinge especialmente o meio académico e científico, onde circulam consórcios com muitos parceiros e montantes avultados.

O que está a acontecer

De acordo com o comunicado divulgado pela academia, o Gabinete de Cibersegurança da UA detetou, nos últimos tempos, um aumento significativo de tentativas de ‘phishing’, especialmente relacionadas com projetos europeus, a nível global. A instituição explica que estes ataques visam obter ilicitamente o pré-financiamento e outros pagamentos enviados do coordenador para os beneficiários.

O modo de operação é revelador do grau de preparação dos atacantes. Segundo a UA, essas tentativas ocorrem através de e-mails que, à primeira vista, parecem genuínos, solicitando ao coordenador a alteração das contas bancárias dos beneficiários ou solicitando aos beneficiários a devolução do pré-financiamento ao coordenador. Ou seja, o esquema explora precisamente os pontos em que o dinheiro muda de mãos num consórcio: se um atacante conseguir convencer o coordenador a pagar para um IBAN que não é o do parceiro legítimo, a verba desaparece.

A universidade recorda a natureza do ataque: o phishing é um tipo de ataque em que se usam técnicas de engenharia social para capturar informação sensível de uma vítima, utilizando o e-mail. No apelo à comunidade académica, a UA alerta todos os membros para se manterem vigilantes e tomarem precauções antes de clicar em links ou responder a e-mails.

Porque é que o meio académico é um alvo apetecível

Os projetos financiados por programas europeus, como o Horizonte Europa ou o Programa Europa Digital, envolvem tipicamente consórcios com dezenas de parceiros de vários países. Nesse contexto circulam grandes montantes de pré-financiamento e existem procedimentos administrativos que, por natureza, incluem pedidos legítimos de dados bancários, faturas e confirmações de pagamento. É exatamente essa normalidade operacional que os atacantes exploram: um pedido para “atualizar o IBAN” ou “reenviar o pré-financiamento” não levanta suspeitas imediatas num ambiente onde esse tipo de comunicação é rotina.

Esta técnica é uma variante do chamado Business Email Compromise (BEC), ou fraude do CEO/fornecedor, em que o atacante se faz passar por uma entidade de confiança (o coordenador, um parceiro ou um serviço financeiro) para induzir uma transferência bancária. Ao contrário do phishing em massa, o BEC costuma ser dirigido, bem redigido e desprovido de anexos maliciosos óbvios, o que dificulta a deteção por filtros automáticos e coloca o fator humano no centro da defesa.

Sinais de alerta a que deve estar atento

• Pedidos inesperados de alteração de dados bancários (IBAN, banco, titular) associados a um projeto ou fornecedor.
• Mensagens com sentido de urgência (“é preciso resolver hoje”, “o pagamento está em risco”) para pressionar decisões rápidas.
• Endereços de remetente ligeiramente diferentes do habitual, com domínios trocados ou caracteres alterados (typosquatting).
• Fios de e-mail que parecem “continuar” uma conversa real, mas em que o endereço de resposta foi discretamente alterado.
• Pedidos para devolver pré-financiamento para contas que não constam da documentação oficial do consórcio.

Como proteger-se: medidas concretas

A defesa mais eficaz contra este tipo de fraude combina processos claros com verificação humana. Recomenda-se:

• Verificação por canal independente: antes de alterar qualquer IBAN ou autorizar uma transferência, confirme por telefone (usando um número já conhecido, nunca o que vem no e-mail) com a pessoa responsável.
• Regra dos “quatro olhos”: exigir dupla aprovação para alterações de dados de pagamento e para transferências acima de um determinado valor.
• Desconfiar da urgência: a pressão temporal é uma técnica de engenharia social; um pedido legítimo tolera uma verificação de poucos minutos.
• Inspecionar o remetente: verificar o endereço completo e o domínio, e passar o rato sobre os links antes de clicar.
• Autenticação multifator (MFA) nas contas de e-mail, para reduzir o risco de comprometimento das caixas de correio que serve de porta de entrada a estes esquemas.
• Reportar, não apagar: em caso de suspeita, comunicar à equipa de segurança ou de informática da organização para que possa investigar e alertar outros potenciais visados.

Se a transferência já tiver sido feita, o tempo é decisivo: contactar de imediato o banco para tentar travar ou reverter a operação e apresentar queixa às autoridades competentes aumenta as hipóteses de recuperação das verbas.

Porque é que isto importa em Portugal

Embora o alerta seja específico do meio académico, a mecânica da fraude é idêntica à que atinge PME, autarquias e grandes empresas em Portugal todos os dias. Qualquer organização que emita ou receba pagamentos com base em instruções recebidas por e-mail está exposta a este risco — de um escritório de contabilidade a uma fábrica que paga a fornecedores estrangeiros.

Este tipo de incidente cruza-se com dois quadros importantes. Por um lado, quando há tratamento indevido de dados pessoais (por exemplo, comprometimento de caixas de correio com informação de terceiros), aplicam-se as obrigações do RGPD, incluindo a eventual notificação de violações de dados à autoridade de controlo. Por outro, com a entrada em vigor do novo Regime Jurídico da Cibersegurança que transpõe a diretiva NIS2, um leque alargado de entidades — incluindo, em muitos casos, instituições de ensino superior e organizações que gerem infraestruturas e serviços relevantes — passa a estar sujeito a requisitos reforçados de gestão de risco e de reporte de incidentes.

O Centro Nacional de Cibersegurança (CNCS), através do CERT.PT, disponibiliza canais para reporte de incidentes e regularmente publica orientações sobre phishing e fraude por e-mail. Reportar não é apenas uma boa prática interna: contribui para uma imagem coletiva das ameaças que ajuda a proteger outras organizações que possam estar a ser alvo da mesma campanha.

Perguntas frequentes

O que é o phishing que a Universidade de Aveiro detetou?

São e-mails fraudulentos, aparentemente legítimos, ligados a projetos europeus, que tentam levar coordenadores ou beneficiários a alterar contas bancárias ou a devolver pré-financiamentos, desviando assim as verbas para contas controladas por criminosos.

Como sei se um pedido de alteração de IBAN é falso?

Nunca confie apenas no e-mail. Confirme sempre por um canal independente, como um telefonema para um número que já conhece, antes de alterar dados bancários ou autorizar pagamentos. Desconfie de urgência e de endereços de remetente ligeiramente diferentes do habitual.

Isto só afeta universidades e projetos europeus?

Não. A mesma técnica, conhecida como comprometimento de e-mail empresarial (BEC), atinge PME, autarquias e grandes empresas. Qualquer organização que faça pagamentos com base em instruções recebidas por e-mail está exposta a este risco.

O que fazer se já tiver feito a transferência?

Aja rapidamente: contacte de imediato o seu banco para tentar travar ou reverter a operação, reporte o incidente à equipa de segurança da sua organização e ao CERT.PT, e apresente queixa às autoridades. A rapidez aumenta a probabilidade de recuperar as verbas.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Universidade de Aveiro, através do seu Gabinete de Cibersegurança, e por imprensa nacional de referência.