Investigadores de segurança descrevem uma nova variante das clássicas burlas de “suporte técnico” que abandonou o computador de secretária e passou a ser desenhada para o ecrã do telemóvel. Em vez do típico alerta de “vírus detetado” num portátil, a vítima vê abrir-se uma página web que imita com detalhe a interface do Apple Pay e simula um pagamento avultado à App Store. Segundo a análise divulgada, a página aparece a mostrar o Apple Pay a processar um pagamento de 657 dólares na App Store, com um indicador de progresso em movimento. Nada disto corresponde a uma transação real: é um cenário construído em HTML e JavaScript com um único objetivo — levar o utilizador a telefonar para um número controlado por criminosos.
Resposta rápida: Uma página fraudulenta simula uma cobrança do Apple Pay num iPhone, incluindo animação de Face ID, recibo e aviso sonoro, para induzir pânico. O objetivo não é roubar dados no site, mas fazer com que a vítima ligue para um falso “apoio Apple”, onde os criminosos pedem acesso remoto, códigos ou pagamentos. Se vir este ecrã, não toque em nenhum botão nem ligue: feche o separador do browser e confirme as compras apenas nas definições da conta Apple. Em caso de prejuízo, apresente queixa à Polícia Judiciária e reporte o site fraudulento ao CERT.PT.
O que aparece no ecrã — e porque é tudo encenação
A eficácia do esquema assenta na imitação de elementos que os utilizadores de iPhone reconhecem de imediato. O primeiro ecrã foi concebido para dar a impressão de que é o próprio telemóvel a autorizar um pagamento, sendo que a indicação de “Face ID · a verificar identidade” é apenas uma animação. A seguir surge o desfecho: ao abrir os detalhes da transação, o pagamento aparece marcado como concluído e o telemóvel começa a debitar um alerta em voz alta sobre a cobrança não autorizada.
A análise técnica é clara quanto à natureza do conteúdo: a página examinada não contém qualquer transação real do Apple Pay nem verificação biométrica, recorrendo antes a valores de pagamento fixos no código, voz gerada pelo browser, avisos de segurança falsos e truques agressivos de navegação para empurrar a vítima para o telefone. Descrições independentes do mesmo esquema referem ainda uma animação de cadeado a abrir e um identificador de transação, elementos puramente decorativos que reforçam a ilusão de autenticidade (o conjunto de pistas visuais foi montado para convencer utilizadores menos treinados de que a cobrança é verdadeira).
Há ainda um mecanismo pensado para impedir a fuga: quem tenta usar o botão “recuar” do browser recebe um aviso a afirmar que a “sessão do Apple ID está ativa” e que sair da página poderia expor pagamentos e dados bancários — algo que não existe e é integralmente falso. É um travão psicológico, não uma proteção.
Cronologia típica do ataque
| Fase | O que acontece | Objetivo do atacante |
|---|---|---|
| 1. Isco | A vítima chega à página por redirecionamento, publicidade maliciosa, ligação em mensagem ou resultado de pesquisa | Colocar a vítima num contexto “Apple” |
| 2. Encenação | Animação de Face ID e indicador de processamento do pagamento | Simular autorização biométrica |
| 3. Choque | Recibo de cobrança de 657 dólares na App Store, marcado como concluído, com alerta de voz | Provocar pânico imediato |
| 4. Bloqueio | Avisos ao tentar sair da página, invocando uma alegada “sessão ativa” | Impedir o fecho do separador |
| 5. Chamada | Número de “apoio” em destaque, botão de verificação e janelas que propõem marcar a chamada | Passar do ecrã para a linha telefónica |
| 6. Exploração | Falso técnico pede acesso remoto, códigos ou pagamentos | Roubo de dados e de dinheiro |
A cobrança inflacionada funciona como isco para a chamada: o número surge em destaque, o botão vermelho de “verificação” aponta para ele e as falsas janelas de segurança propõem repetidamente marcá-lo.
A parte perigosa começa quando o telefone toca
O site é apenas o cenário; o crime consuma-se na conversa. Trata-se de uma tática consolidada de burla de suporte técnico: a autoridade norte-americana FTC alerta que os burlões usam avisos de cobranças inexistentes para conseguir a chamada e, depois, podem pedir acesso remoto ou pressionar as vítimas a enviar dinheiro através de cartões-presente, transferências bancárias, criptomoedas ou aplicações de pagamento. A própria Apple já sinalizou este padrão: a empresa avisa que os burlões podem alegar que alguém entrou na conta Apple ou fez cobranças não autorizadas no Apple Pay, usando a urgência para impedir que o utilizador contacte a Apple pelos seus próprios meios.
Nas orientações públicas da Apple, a regra é direta: os criminosos falsificam a identificação de chamadas para se fazerem passar por empresas como a Apple e invocam atividade suspeita na conta ou no dispositivo, recorrendo a ameaças ou lisonja para obter informação, dinheiro e até cartões-presente — perante uma chamada não solicitada alegadamente da Apple, a recomendação é desligar. A empresa também aconselha a não responder a chamadas ou mensagens suspeitas e a contactar a Apple apenas pelos canais oficiais de apoio (“contact Apple directly through our official support channels”).
Esta campanha não é um caso isolado. No início de 2026 foi documentada uma vaga de mensagens que imitavam recibos da Apple para conduzir vítimas a falsas linhas de apoio, incluindo um alegado cartão-presente Apple de 279,99 dólares com um número para contacto e um falso recibo “pago” de um MacBook Air de 2025 no valor de 1.157,07 dólares, também com um número a ligar por causa da “transação não autorizada”. O denominador comum é sempre o mesmo: um valor credível, urgência e um número de telefone.
Como reagir se este ecrã aparecer no seu telemóvel
- Não ligue para o número apresentado. Uma janela de segurança que fabrica uma emergência e manda telefonar para o número mostrado no ecrã deve ser tratada como burla.
- Feche o separador, não os botões. A recomendação prática é abrir a vista de separadores do browser e fechar o separador por completo, sem tocar em caixas de diálogo ou elementos da interface — e nunca ligar para o número.
- Desconfie da semelhança visual. Se uma interface parecida com o Apple Pay surgir dentro de um site, a parecença não prova nada.
- Verifique pela via oficial. Confirme o histórico de compras e as subscrições nas definições da conta Apple e no extrato do cartão, nunca através de ligações ou números recebidos.
- Nunca partilhe códigos. Não deve partilhar códigos de autenticação de dois fatores, códigos por SMS ou palavras-passe com ninguém, mesmo que a pessoa alegue ser da Apple.
Quem já interagiu com o esquema deve agir depressa. As recomendações habituais passam por rever no Wallet cada cartão em busca de transações desconhecidas, acompanhar de perto os extratos bancários nas semanas seguintes e contestar de imediato movimentos não reconhecidos, além de confirmar que o endereço de e-mail associado à conta Apple continua a ser o próprio. Se houve instalação de software de acesso remoto, o dispositivo deve ser considerado comprometido: remova a aplicação, altere palavras-passe a partir de outro equipamento e reveja as sessões ativas.
Porque é que isto importa em Portugal
Embora o exemplo analisado use dólares e um número norte-americano, o modelo é facilmente localizável: basta trocar a moeda para euros, o valor para um montante plausível e o número para uma linha nacional. As burlas por voz já são realidade documentada em Portugal — o CNCS tem alertado para campanhas que combinam smishing, vishing e spoofing, aproveitando o smartphone como superfície de ataque e o número de telefone associado para contornar autenticação multifator.
Para cidadãos, o caminho é duplo: o CNCS recebe reportes de sites fraudulentos e incidentes técnicos — quem descobre um site que procura captar informação de vítimas ou realizar burlas deve reportar o incidente ao CERT.PT pelos meios indicados —, enquanto a repressão criminal cabe à Polícia Judiciária, através de queixa. Em caso de prejuízo, recomenda-se notificar o CERT.PT e formalizar queixa-crime junto da Polícia Judiciária, ou em alternativa recorrer à queixa eletrónica.
Para PME e organizações, o tema não é meramente doméstico. Uma chamada destas atendida por um colaborador num telemóvel usado para trabalho pode terminar com credenciais corporativas expostas, acesso remoto concedido a um terceiro ou dados pessoais de clientes acessíveis — cenário com implicações no RGPD, que obriga à avaliação de risco e, quando aplicável, à notificação de violações de dados à CNPD. Acresce o quadro legal recente: o Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, transpôs a Diretiva (UE) 2022/2555 e entrou em vigor a 3 de abril de 2026, sendo que a sua concretização foi feita pelo Regulamento do Regime Jurídico da Cibersegurança (Regulamento n.º 756/2026, de 22 de junho), disponibilizado pelo CNCS. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (NIS2), a sensibilização dos colaboradores deixou de ser opcional: o regime introduz responsabilização pessoal dos titulares dos órgãos de gestão, recaindo sobre quem dirige a organização a aprovação das medidas, a supervisão da sua aplicação e a promoção de formação periódica.
A lição operacional é simples e transferível para qualquer marca: um ecrã não pode cobrar dinheiro, e nenhuma empresa legítima resolve fraudes obrigando-o a ligar para um número que ela própria mostrou num pop-up. A verificação faz-se sempre pelo canal que o utilizador escolhe — não pelo que o atacante oferece.
Perguntas frequentes
A cobrança que aparece no ecrã é real?
Não. A página analisada pelos investigadores não continha qualquer transação real do Apple Pay nem verificação biométrica. Os valores estão fixos no código da página e a animação de Face ID é apenas gráfica. Confirme sempre o histórico de compras nas definições da sua conta Apple e no extrato do cartão.
O que devo fazer quando este ecrã aparece no iPhone?
Abra a vista de separadores do browser e feche o separador por completo, sem tocar em caixas de diálogo ou elementos da interface, e não ligue para o número apresentado. Se o aviso persistir, limpe o histórico e os dados de navegação e force o encerramento da aplicação do browser.
Já liguei para o número. O que faço agora?
Desligue e não siga instruções recebidas. Acompanhe de perto os extratos bancários nas semanas seguintes e conteste imediatamente qualquer transação desconhecida. Altere as palavras-passe a partir de um dispositivo seguro, remova qualquer aplicação de acesso remoto instalada e, se houver prejuízo, apresente queixa à Polícia Judiciária.
A Apple telefona aos clientes por causa de cobranças suspeitas?
A orientação pública da empresa é a oposta: perante uma chamada não solicitada ou suspeita de alguém que diz ser da Apple ou do apoio Apple, a recomendação é simplesmente desligar. A Apple também não pede aos utilizadores que resolvam problemas de faturação ligando para números incluídos em mensagens não solicitadas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por investigadores de segurança, pela Apple, pela FTC, pelo CNCS/CERT.PT e no Decreto-Lei n.º 125/2025.