Uma nova investigação divulgada a 2 de setembro de 2026 pela empresa de segurança Malwarebytes conclui que os burlões deixaram de disparar às cegas: escolhem o canal, a hora e o dia com base naquilo que historicamente lhes dá mais retorno. A análise abrangeu mais de 20 tipos distintos de burla, das falsas chamadas de suporte técnico aos esquemas de reembolso, sextorsão e scareware, e concluiu que cada um privilegia um canal de entrega específico. Nove em cada dez mensagens sobre falsas portagens por pagar chegam por email ou SMS, enquanto cerca de seis em cada dez burlas românticas se desenrolam nas redes sociais. Os dados oficiais da Comissão Federal do Comércio norte-americana (FTC) e os registos do CERT.PT apontam na mesma direção: o canal de contacto tornou-se parte da estratégia criminosa.
Resposta rápida: Investigação da Malwarebytes publicada a 2 de setembro de 2026 mostra que cada tipo de burla tem um canal preferido — SMS e email para falsas portagens, redes sociais para burlas românticas e sorteios falsos, chamadas telefónicas para falso suporte técnico e esquemas fiscais. Os dados da FTC confirmam que as redes sociais foram, em 2025, o canal com maiores perdas reportadas. Em Portugal, o CERT.PT registou 3864 incidentes em 2025, cerca de metade ligados ao fator humano. Ação recomendada: desconfiar de qualquer mensagem urgente sobre dinheiro, nunca partilhar códigos de autenticação e confirmar sempre pelo canal oficial da entidade.
Cada burla tem o seu canal preferido
A investigação assenta em telemetria própria da empresa. Os dados foram recolhidos entre 15 de abril e 14 de julho de 2026 através dos sistemas internos de investigação de ameaças da Malwarebytes, estão anonimizados e refletem apenas o que a empresa consegue observar na sua própria infraestrutura — um limite importante a ter em conta, já que não se trata de estatística oficial de criminalidade.
Ainda assim, o padrão é consistente. Segundo a empresa, os falsos sorteios chegam muito mais frequentemente pelo feed de uma rede social do que por email ou SMS; metade das burlas que se fazem passar pela autoridade fiscal norte-americana chega por chamada telefónica; as burlas com falsas ofertas de emprego privilegiam o email; as burlas românticas surgem sobretudo nas redes sociais; e o falso suporte técnico prefere o telefone.
| Tipo de burla | Canal predominante (dados Malwarebytes) |
|---|---|
| Falsas portagens por pagar | Email ou SMS (nove em cada dez casos) |
| Burla romântica | Redes sociais (cerca de seis em cada dez) |
| Falsos sorteios e ofertas | Redes sociais |
| Falsas ofertas de emprego | |
| Falso suporte técnico | Chamada telefónica |
| Falsas mensagens da autoridade fiscal (EUA) | Chamada telefónica (cerca de metade) |
“Os burlões estão a ser mais deliberados sobre onde e quando abordam as pessoas”, afirmou Shahak Shalev, responsável global de investigação de burlas e IA da Malwarebytes, acrescentando que certos esquemas funcionam melhor em certas plataformas e em certos momentos, e que os criminosos repetem o que resulta. Para o utilizador, a leitura prática é simples: o contexto em que a mensagem aparece é, só por si, um sinal a ponderar.
Marcas e figuras públicas: a confiança emprestada
A engenharia social continua a apoiar-se em nomes que geram confiança imediata. Com base em reportes de utilizadores da empresa, as cinco marcas mais imitadas são Google, Microsoft, Apple, Roblox e Amazon, por esta ordem. No plano das pessoas, a Malwarebytes indica que MrBeast é a figura mais personificada, surgindo em cerca de 30% das burlas de personificação que monitoriza, desde falsos sorteios de criptomoedas a esquemas de “taxa de transferência”, seguido de Elon Musk e de Donald Trump.
A “hora de ouro” das mensagens fraudulentas
O estudo identifica também padrões temporais. O volume de SMS fraudulentos atinge o pico às 12h00 (hora da costa leste dos EUA), cerca de 874% acima da hora mais calma, a 1h00; e o volume cresce ao longo da semana a partir de um mínimo ao domingo, com as pessoas a receberem à sexta-feira aproximadamente mais 50% de mensagens fraudulentas do que no início da semana. Os valores refletem a base global de utilizadores da empresa e não uma amostra portuguesa, mas ilustram uma lógica conhecida: as mensagens são enviadas quando as pessoas estão distraídas, entre tarefas ou a caminho do fim de semana.
| Padrão observado | Dado reportado |
|---|---|
| Hora de maior volume de SMS fraudulentos | 12h00 ET (~874% acima da hora mais calma, 1h00 ET) |
| Dia de maior volume | Sexta-feira (~+50% face ao início da semana) |
| Dia de menor volume | Domingo |
| Período de recolha dos dados | 15 de abril a 14 de julho de 2026 |
O que dizem os dados oficiais sobre o canal de contacto
A tese de que o canal importa é sustentada por estatística pública. Segundo dados divulgados pela FTC em abril de 2026, quase 30% das pessoas que reportaram ter perdido dinheiro numa burla em 2025 indicaram que o esquema começou nas redes sociais, com perdas reportadas de 2,1 mil milhões de dólares — um valor oito vezes superior ao de 2020 e superior ao de qualquer outro método de contacto. A própria FTC sublinha que, como a maioria das burlas não é comunicada às autoridades, as perdas reais serão bastante superiores.
No detalhe, a repartição dos reportes com perda por canal de contacto em 2025 foi: sítio web ou aplicação (31%), redes sociais (28%), chamada telefónica (11%), email (10%) e SMS (7%). A FTC ressalva ainda que não recolheu reportes durante o encerramento administrativo de 2025, o que aconselha prudência nas comparações anuais. Quanto às plataformas, o Facebook foi aquela onde foi reportada a maior perda de dinheiro em 2025, com o WhatsApp e o Instagram em segundo e terceiro lugares, a considerável distância.
E em Portugal? O padrão repete-se com marcas locais
Portugal não foge ao guião. O CERT.PT registou em 2025 um total de 3864 incidentes, mais 40% do que em 2024, e pelo menos cerca de metade resultou da exploração de vulnerabilidades associadas ao fator humano — phishing por email, SMS ou redes sociais, levando a vítima a clicar em ligações falsas ou a introduzir palavras-passe e dados bancários, além de vários tipos de burlas. No mesmo período, a Linha Internet Segura foi contactada por 949 vítimas, mais 39% do que em 2024, das quais cerca de 13% eram crianças e jovens.
O diagnóstico do CNCS é coerente com esta leitura: o Relatório Riscos & Conflitos destaca o phishing e o smishing, outras formas de engenharia social e as burlas online entre as ciberameaças mais relevantes, com os cibercriminosos a figurarem como principais agentes de ameaça no ciberespaço de interesse nacional. O mesmo relatório nota que os principais visados são cidadãos, PME, administração pública, banca, transportes e saúde, e que estas entidades não são apenas vítimas: as suas marcas são frequentemente usadas no conteúdo das campanhas contra terceiros.
Do lado criminal, o RASI 2025 registou 365 802 participações criminais, um aumento de 3,1%, sendo a burla, nas suas diversas tipologias, o segundo tipo de crime mais participado, logo a seguir ao furto. Entre os ilícitos informáticos investigados destacam-se o ransomware, diversas formas de engenharia social como phishing e smishing, burlas online e comprometimento de contas, num quadro em que o crime de falsidade informática foi o que mais subiu (29,1%), seguido do acesso indevido ou ilegítimo (8,4%).
O equivalente nacional das falsas portagens é conhecido: campanhas de smishing e phishing em nome da Via Verde já foram objeto de alertas do Gabinete Cibercrime da Procuradoria-Geral da República e de equipas de segurança institucionais, ao lado de esquemas que imitam os CTT, a Autoridade Tributária ou bancos. O padrão é sempre o mesmo: uma alegada dívida de pequeno valor, um prazo curto e um link para pagamento com cartão.
Medidas concretas para cidadãos e PME
- Tratar como suspeita qualquer mensagem que combine urgência + dinheiro + ligação, sobretudo sobre portagens, encomendas, coimas ou reembolsos.
- Nunca partilhar códigos de autenticação recebidos por SMS ou aplicação. O Banco de Portugal recorda que nunca se deve divulgar informação pessoal, credenciais de acesso a canais digitais ou códigos de autenticação de operações, e que um banco ou prestador de serviços de pagamento nunca pediria esse tipo de informação por email, SMS ou telefone.
- Não instalar software de acesso remoto a pedido de quem telefona a dizer que é do suporte técnico ou do banco.
- Confirmar sempre pelo canal oficial: digitar manualmente o endereço da entidade ou usar a aplicação oficial, em vez de seguir a ligação recebida.
- Limitar a exposição nas redes sociais. A FTC alerta que os burlões usam aquilo que as pessoas publicam para definir a abordagem e recorrem à compra de anúncios para segmentar vítimas por idade, interesses ou hábitos de compra.
- Nas PME, definir um procedimento escrito de validação de pagamentos e alterações de IBAN por segundo canal, e formar as equipas nos cenários de CEO fraud e falso fornecedor.
Porque é que isto importa em Portugal
Para as organizações, o tema deixou de ser apenas “burlas a particulares”. Com a entrada em vigor do novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), as entidades abrangidas passam a ter de demonstrar medidas de gestão de risco que incluem, expressamente, higiene informática e formação em cibersegurança — precisamente as áreas onde o phishing e o smishing encontram terreno fértil. O CNCS e o CERT.PT continuam a ser o ponto de contacto para reporte e apoio na resposta a incidentes.
Há ainda a dimensão de proteção de dados: uma burla bem-sucedida contra um colaborador traduz-se, muitas vezes, no acesso indevido a dados pessoais de clientes, o que pode configurar uma violação de dados com obrigação de notificação à CNPD ao abrigo do RGPD. Por outras palavras: aquilo que começa como um SMS sobre uma portagem de dois euros pode terminar num incidente com consequências contratuais, financeiras e regulatórias.
Perguntas frequentes
Que tipos de burla chegam mais por SMS e email?
Segundo a investigação da Malwarebytes divulgada em setembro de 2026, nove em cada dez mensagens sobre falsas portagens por pagar chegam por email ou SMS, e as falsas ofertas de emprego privilegiam o email. Em Portugal, o equivalente mais comum são as campanhas que imitam a Via Verde, os CTT, a Autoridade Tributária ou bancos.
As redes sociais são realmente o canal mais perigoso?
Em termos de dinheiro perdido, os dados da FTC relativos a 2025 apontam nesse sentido: quase 30% de quem reportou perdas indicou que a burla começou numa rede social, com 2,1 mil milhões de dólares em perdas reportadas. Ainda assim, os sítios web e aplicações lideram em número de reportes com perda.
Porque é que recebo mais mensagens fraudulentas em certos momentos?
A telemetria da Malwarebytes mostra que o volume de SMS fraudulentos cresce ao longo da semana e atinge o pico à sexta-feira, com um máximo diário à hora de almoço no fuso horário norte-americano. A lógica é aproveitar momentos de distração, quando as pessoas reagem por impulso em vez de verificarem a mensagem.
O que devo fazer se já cliquei ou já paguei?
Contacte de imediato o banco para tentar bloquear ou reverter a operação, altere as palavras-passe das contas afetadas e ative a autenticação multifator. Apresente denúncia às autoridades e, tratando-se de uma organização, avalie a necessidade de reportar o incidente ao CERT.PT e, se houver dados pessoais comprometidos, notificar a CNPD nos prazos do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Malwarebytes, pela Federal Trade Commission, pelo CNCS/CERT.PT, pelo Sistema de Segurança Interna (RASI 2025) e pelo Banco de Portugal.