Uma nova análise de investigadores de ameaças descreve uma variante particularmente perigosa das burlas de falso suporte técnico: páginas que imitam uma análise de segurança da Microsoft e que, em vez de se limitarem a exigir um telefonema, levam a vítima a desinstalar o próprio antivírus. A equipa de threat intelligence da Malwarebytes publicou a 24 de agosto de 2026 um artigo intitulado “Fake Microsoft security scans trick victims into uninstalling their antivirus”, que aborda precisamente este tipo de esquema. A mecânica é conhecida das autoridades e da própria Microsoft — o que muda é o objetivo final: deixar o computador sem defesas antes de qualquer outra coisa acontecer.
Resposta rápida: Páginas web que simulam uma análise do Microsoft Defender apresentam “ameaças” inexistentes e empurram o utilizador para um falso número de apoio. Nessa chamada, os burlões pedem acesso remoto e, em alguns casos, que a vítima desinstale o antivírus para “resolver o conflito”. Nenhum site consegue analisar o seu computador e as mensagens de erro da Microsoft nunca incluem números de telefone. Feche o navegador pelo Gestor de Tarefas, não ligue para o número e nunca desative nem remova a sua solução de segurança a pedido de terceiros.
Como funciona a falsa análise de segurança
O guião destas páginas está documentado há anos. Ao aceder ao site que aloja o esquema, o visitante vê uma imitação do Microsoft Defender Antivirus — frequentemente designado pelo antigo nome, “Windows Defender” — a “correr” uma análise ao computador, que “deteta” problemas graves como alegadas intrusões na rede e avisa o utilizador das ameaças associadas, urgindo-o a ligar para a linha de apoio indicada. Todas as alegações são falsas: nenhum site consegue detetar ameaças no dispositivo de quem o visita, o conteúdo não tem qualquer ligação à Microsoft e trata-se de uma burla de suporte técnico.
O passo seguinte é a chamada telefónica. Quem liga é atendido por alegados “técnicos certificados pela Microsoft” que pedem acesso remoto ao dispositivo, normalmente através de programas legítimos como o UltraViewer ou o TeamViewer. A própria Microsoft descreve o padrão na documentação do Defender: os esquemas de falso suporte técnico usam táticas de susto para levar os utilizadores a pagar por serviços desnecessários que supostamente resolvem problemas inventados, e os burlões podem apresentar mensagens de erro falsas nos sites visitados, colocar o navegador em ecrã inteiro e exibir janelas que não desaparecem, bloqueando na prática o browser.
Porque é que o pedido para remover o antivírus é o momento crítico
Convencer alguém a desinstalar a sua proteção não é uma novidade absoluta — é uma técnica com mais de uma década. Em 2010, o The Register descrevia um falso antivírus, o AnVi Antivirus, que apresentava mensagens a sugerir que as aplicações legítimas eram “não certificadas” e deviam ser removidas, avisando que a alternativa seria uma degradação drástica do desempenho do computador. Ao contrário de muito malware, que desativa silenciosamente o software de segurança, esta abordagem recorre à engenharia social para que seja o próprio utilizador a baixar as defesas.
A eficácia explica-se pela combinação de medo e autoridade. Como a Malwarebytes observou noutra investigação sobre falsas análises antivírus, um utilizador convencido de que o sistema está infetado fica predisposto a agir com urgência, e uma página que aparenta pertencer a um fabricante de confiança é exatamente o tipo de autoridade a que se submete; ao encenar uma análise que “encontra” ameaças e ao oferecer logo a cura, o atacante explora medo e confiança na mesma interação.
| Fase | O que a vítima vê | Objetivo do atacante |
|---|---|---|
| 1. Chegada | Redirecionamento a partir de publicidade maliciosa, notificações do navegador ou site comprometido | Colocar a vítima perante o alerta sem que ela o tenha procurado |
| 2. Falsa análise | Interface que imita o Microsoft Defender, com contagem de “ameaças” e som de alarme | Criar urgência e credibilidade |
| 3. Bloqueio | Ecrã inteiro, janelas que não fecham, aviso para não desligar o computador | Impedir o raciocínio e forçar o telefonema |
| 4. Chamada | “Técnico” que pede instalação de software de apoio remoto | Obter controlo do sistema |
| 5. Desarme | Instrução para desinstalar ou desativar o antivírus, alegando “conflito” ou “licença inválida” | Eliminar a deteção antes de instalar código malicioso ou extrair dados |
Sinais de alerta que desmontam o esquema
- Número de telefone no alerta. Se uma janela pop-up ou mensagem de erro exibir um número de telefone, não ligue: as mensagens de erro e de aviso da Microsoft nunca incluem um número de telefone.
- Contacto não solicitado. A Microsoft não envia mensagens não solicitadas nem faz chamadas espontâneas a pedir informação pessoal ou financeira, nem para “reparar” o computador.
- Análise feita “pelo browser”. Um
sitenão tem acesso ao sistema de ficheiros nem ao motor antivírus; qualquer barra de progresso é apenas animação numa página web. - Pedido para colar comandos. Como alerta a Malwarebytes a propósito das campanhas ClickFix, a Google, a Cloudflare, a Microsoft e outros serviços legítimos nunca pedem que cole comandos PowerShell no Windows para provar que é humano ou para resolver um problema.
- Pressão para desativar proteções. Nenhum apoio legítimo pede a remoção do antivírus como primeiro passo de diagnóstico.
O que fazer se já ligou ou deu acesso remoto
Em Portugal, a GNR tem divulgado avisos sobre este tipo de fraude. Perante um computador aparentemente bloqueado com um aviso de vírus, a força de segurança esclarece que se trata de uma burla de falso suporte técnico, desenhada para criar urgência e convencer o utilizador de que o equipamento está infetado. As recomendações passam por reiniciar o navegador ou o computador para fechar a janela e, sobretudo, não permitir o acesso remoto ao dispositivo por parte de desconhecidos.
Se o contacto já aconteceu, a orientação da Microsoft é clara: desinstalar tudo o que o falso técnico tenha pedido para instalar, ponderar a reposição do dispositivo, alterar palavras-passe e vigiar contas e atividade de início de sessão; caso tenha havido pagamento, contactar imediatamente o banco ou o emissor do cartão, e reportar a burla à Microsoft. É igualmente aconselhado manter o Microsoft Defender Antivirus ativo e atualizado e instalar todas as atualizações de segurança do Windows. Do lado das defesas do navegador, a Microsoft documenta um bloqueador de scareware no Edge, concebido para travar este tipo de páginas de burla. A documentação oficial descreve a funcionalidade em “Prevent online scams with the scareware blocker in Microsoft Edge”.
Um padrão que se repete: falsos sites de antivírus e de suporte
A falsa análise de segurança faz parte de um ecossistema mais amplo de personificação de marcas de software. Em março de 2026, a Malwarebytes descreveu um site falso que se fazia passar pela Avast, com aspeto legítimo, uma suposta análise de vírus e a alegação de que o sistema estava cheio de ameaças. Na altura da análise, apenas 27% dos motores no VirusTotal assinalavam a amostra, associada por regras YARA à família Venom Stealer, criada para roubar credenciais de navegador, cookies de sessão, carteiras de criptomoeda e dados de cartões guardados nos browsers. Em maio de 2025, a DomainTools tinha documentado uma campanha distinta em que os atacantes clonaram o site da Bitdefender para distribuir o Venom RAT e o infostealer StormKitty.
A mesma equipa detetou também um falso site de apoio da Microsoft, no domínio typosquatted microsoft-update[.]support, escrito em francês e a apresentar uma suposta atualização cumulativa para a versão 24H2 do Windows, com um número de artigo KB plausível, que na realidade instalava malware de roubo de palavras-passe e dados de pagamento. Noutra variante, falsos convites para festas levavam à instalação silenciosa do ScreenConnect, uma ferramenta legítima de apoio remoto abusada pelos atacantes para obter controlo total do sistema. O denominador comum é sempre o mesmo: usar uma marca reconhecível para obter uma ação voluntária do utilizador.
Porque é que isto importa para cidadãos, PME e organizações em Portugal
Para um utilizador doméstico, a consequência típica é o roubo de credenciais, o acesso ao homebanking ou a cobrança de “serviços” inexistentes. Para uma PME, o cenário é mais severo: um posto de trabalho sem antivírus e com uma ferramenta de acesso remoto instalada é um ponto de entrada ideal para ransomware ou para exfiltração de dados. Se esses dados incluírem informação pessoal de clientes ou colaboradores, a organização entra no âmbito do RGPD, com as obrigações de avaliação de risco, notificação à CNPD em 72 horas quando aplicável e, se houver risco elevado, comunicação aos titulares dos dados.
Acresce o novo quadro legal nacional. Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), as entidades abrangidas têm de demonstrar medidas de gestão de risco, incluindo sensibilização dos utilizadores e capacidade de deteção e resposta a incidentes. Um caso de falso suporte técnico que termine em acesso remoto não autorizado é, para essas entidades, um incidente a tratar e potencialmente a reportar. O CNCS e o CERT.PT mantêm canais de alerta e de apoio à resposta que devem ser acionados quando há suspeita de comprometimento.
Do ponto de vista prático, três medidas reduzem drasticamente a exposição: bloquear notificações de sites desconhecidos no navegador, restringir a instalação de software de acesso remoto nos postos de trabalho através de políticas ou de listas de aplicações permitidas, e treinar as equipas para reconhecerem que qualquer pedido de desativação de segurança é, por definição, suspeito.
Perguntas frequentes
Um site consegue mesmo analisar o meu computador?
Não. Nenhum site consegue detetar ameaças nos dispositivos de quem o visita. A barra de progresso e a lista de “ameaças encontradas” são apenas elementos gráficos de uma página web, desenhados para imitar a interface do Microsoft Defender.
Como distingo um alerta real do Microsoft Defender de uma burla?
Os alertas legítimos aparecem no Centro de Segurança do Windows, não numa página do navegador, e nunca pedem que ligue para alguém. As mensagens de erro e de aviso da Microsoft nunca incluem um número de telefone. Confirme sempre as deteções em Segurança do Windows, no histórico de proteção.
Devo desinstalar o antivírus se um “técnico” o pedir?
Nunca. O pedido para remover ou desativar a solução de segurança é o sinal mais claro de fraude, porque elimina a camada que detetaria o passo seguinte do ataque. Um serviço de apoio legítimo não começa por baixar as defesas do equipamento.
O que faço se já dei acesso remoto ao meu computador?
Desinstale o software que lhe pediram para instalar, pondere repor o dispositivo, altere as palavras-passe a partir de um equipamento limpo, vigie a atividade das contas e, se houve pagamento, contacte imediatamente o banco. Reative e atualize o antivírus e comunique o incidente ao responsável de segurança da sua organização ou às autoridades.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Malwarebytes, pela Microsoft, pela GNR e por investigadores de segurança.