O Centro Nacional de Cibersegurança (CNCS) emitiu um alerta urgente sobre uma campanha ativa de distribuição de malware que utiliza, de forma ilegítima, o nome e a imagem do próprio CNCS para enganar organizações e cidadãos portugueses. Trata-se de um esquema de engenharia social sofisticado que aproveita a credibilidade de uma entidade oficial para instalar software malicioso nos dispositivos das vítimas.
Como funciona o ataque
A campanha chega por email e informa os destinatários sobre uma suposta falha de segurança crítica nos seus sistemas, alegando que é necessária uma atualização urgente. A mensagem apresenta-se como comunicação oficial do CNCS, com linguagem técnica e tom autoritário para criar um sentido de urgência.
Ao seguir as instruções e clicar no link indicado, a vítima é levada a descarregar um ficheiro que, após executado, instala malware no dispositivo. O objetivo dos atacantes é obter controlo remoto do computador da vítima, o que lhes permite aceder a dados, credenciais, documentos internos e potencialmente propagar o ataque à restante rede da organização.
O que o CNCS esclarece
O CNCS foi claro na sua comunicação pública: “O CNCS não utiliza este formato de contacto para solicitar a correção de vulnerabilidades”. A entidade não envia emails a pedir a instalação de atualizações ou a execução de ficheiros para corrigir falhas de segurança. Qualquer mensagem com este teor que alegue ser do CNCS é fraudulenta.
Porquê usar o nome do CNCS
Esta tática — usar o nome de organismos oficiais de cibersegurança para distribuir malware — é particularmente perversa. O CNCS é a entidade responsável por alertar para ameaças e proteger organizações, pelo que uma mensagem em seu nome gera menos suspeita e mais probabilidade de ser obedecida.
O CNCS alertou que “campanhas deste tipo utilizam frequentemente o nome de organismos do Estado de forma fraudulenta”, reforçando a importância de verificar sempre a origem das comunicações antes de agir. Esta técnica enquadra-se no que os especialistas denominam pretexting — uma forma de engenharia social em que o atacante constrói um cenário falso credível para manipular a vítima.
Como se proteger
- Não clique em links nem descarregue ficheiros de emails não solicitados, mesmo que pareçam ser de entidades oficiais.
- Verifique o endereço de email remetente — endereços fraudulentos frequentemente imitam domínios oficiais com pequenas alterações (ex: cncs.gov.pt.updates.com).
- Confirme diretamente com a entidade pretensa através dos seus canais oficiais antes de executar qualquer ação.
- Reporte ao CERT.PT ([email protected]) qualquer mensagem suspeita recebida em nome do CNCS ou de outras entidades do Estado.
- Denuncie junto dos responsáveis de segurança da sua organização e, se necessário, junto das autoridades (Polícia Judiciária — UNC3T).
O padrão mais amplo: phishing de entidades públicas em Portugal
Esta campanha insere-se num padrão crescente de ataques que exploram a credibilidade de entidades públicas portuguesas. Nos últimos meses, foram identificadas campanhas similares a usar o nome da Segurança Social, do Ministério da Saúde e de instituições bancárias. O CNCS, o Ministério Público e a PSP alertam regularmente para estes esquemas, que continuam a ser um dos vetores de ataque mais eficazes — precisamente porque exploram a confiança natural que os cidadãos depositam nas instituições do Estado.
Fonte: CNCS/CERT.PT, alertas publicados nas redes sociais oficiais do Centro Nacional de Cibersegurança.