O Gabinete de Cibercrime da Procuradoria-Geral da República (PGR) emitiu dois alertas significativos em junho de 2026 sobre campanhas de burla informática ativas em Portugal. Num dos casos, os criminosos combinam mensagens falsas com chamadas telefónicas para esvaziar contas bancárias; no outro, usam o nome do Gabinete Nacional de Cibersegurança para instalar malware. Ambas as campanhas são mais sofisticadas do que o phishing tradicional e estão a fazer vítimas em todo o país.
A burla bancária em quatro passos
A campanha mais recente identificada pela PGR combina SMS ou emails falsos com chamadas telefónicas de alta credibilidade, numa técnica conhecida como vishing (voice phishing). O esquema funciona em quatro fases:
- O isco digital: o alvo recebe uma mensagem que imita o banco (Santander, Caixa Geral de Depósitos, etc.), alertando para uma movimentação suspeita na sua conta.
- A chamada de “segurança”: pouco depois, os criminosos telefonam a fingir ser do departamento de cibersegurança do banco, confirmando dados reais da vítima para criar credibilidade.
- O alarme falso: informam que existe uma transferência suspeita de valor elevado e oferecem-se para a anular.
- A armadilha: convencem a vítima a fornecer o código de autenticação recebido por SMS ou a confirmar uma operação na aplicação bancária — transferindo efetivamente os seus próprios fundos para os atacantes.
A PGR é explícita: “Todo este procedimento dos agentes criminosos é uma encenação fraudulenta”. Os criminosos não têm qualquer função nos bancos e o suposto movimento suspeito não existe. Segundo a PGR, trata-se de uma iniciativa “muito mais complexa [que o phishing tradicional], que provoca de imediato prejuízos patrimoniais muito avultados às vítimas”.
Como os criminosos conhecem os seus dados
A principal razão pela qual estas burlas são eficazes é a utilização de dados reais da vítima. Os criminosos obtêm-nos de múltiplas formas: fugas de dados anteriores de instituições financeiras, listas compradas na dark web, ou dados obtidos em campanhas de phishing anteriores. Com o nome, número de conta parcial e eventualmente o email da vítima, conseguem construir uma narrativa altamente convincente.
Burla com falsa dívida à Autoridade Tributária
A PGR alertou anteriormente (abril de 2026) para uma campanha paralela que usa o nome da Autoridade Tributária e Aduaneira (AT). Os criminosos enviam mensagens em massa via WhatsApp e email, alegando que o destinatário tem dívidas fiscais por regularizar e exigindo pagamento urgente para “evitar penhora”. Ao aceder ao link, a vítima é direcionada para uma página falsa idêntica ao Portal das Finanças, onde são pedidos o NIF e o código de acesso.
Esta campanha foi detetada desde as últimas semanas de março de 2026 e representa um padrão recorrente: variantes anteriores já usaram os nomes da EDP, Segurança Social e SNS com a mesma mecânica.
Como se proteger
- Nunca forneça códigos de autenticação por telefone — os bancos nunca os pedem desta forma.
- Desligue e contacte o banco pelo número oficial se receber uma chamada suspeita.
- Não aceda a links em mensagens SMS, WhatsApp ou email sobre dívidas ou movimentos suspeitos — vá diretamente ao site ou aplicação oficial.
- Verifique qualquer dívida fiscal diretamente no Portal das Finanças (portaldasfinancas.gov.pt), nunca através de links recebidos por mensagem.
- Denuncie às autoridades: PGR (ministeriopublico.pt), CERT.PT ou GNR/PSP.
Fonte: Gabinete de Cibercrime da Procuradoria-Geral da República, alertas de junho e abril de 2026.