Três detidos, 1,3 milhões em faturas falsas: o alerta que a sua empresa ignora

A Polícia Judiciária anunciou a detenção de três homens no âmbito de uma investigação que junta duas realidades habitualmente tratadas em separado: a burla digital conhecida como CEO Fraud e a fraude fiscal com recurso a faturação falsa. Segundo o comunicado divulgado pela Diretoria do Norte, os detidos estão fortemente indiciados por crimes de branqueamento e fraude fiscal, com recurso ao modus operandi «CEO Fraud», estando em causa a utilização de faturação falsa num valor global de 1,3 milhões de euros, que lesou o Estado em mais de 250 mil euros. O caso mostra como o dinheiro desviado a uma empresa por email acaba, muitas vezes, a alimentar estruturas societárias criadas em Portugal para dissimular a origem dos fundos.

O que a Polícia Judiciária apurou

A operação foi conduzida pela Diretoria do Norte da Polícia Judiciária e resultou na detenção de três homens, de nacionalidade estrangeira e com idades entre os 30 e os 40 anos, que foram depois apresentados à autoridade judiciária competente para primeiro interrogatório e aplicação de medidas de coação. O inquérito é titulado pelo Departamento de Investigação e Ação Penal do Porto.

De acordo com o teor do comunicado da PJ, a investigação incidiu, numa primeira fase, sobre a utilização de contas bancárias tituladas por três sociedades comerciais para dissimular, movimentar e disponibilizar vantagens patrimoniais com origem num esquema de CEO Fraud de que foi vítima uma sociedade sediada na Nova Zelândia. Os valores — superiores a 150 mil euros — teriam sido sucessivamente transferidos e dispersados por várias contas tituladas ou controladas por terceiros, ficando uma parte substancial na disponibilidade dos gerentes das sociedades envolvidas, agora detidos.

Numa fase posterior, os investigadores concluíram que uma das sociedades recorreu a faturação falsa para criar indevidamente o direito à dedução de IVA, obtendo assim vantagens fiscais que não lhe eram devidas. O valor global da faturação falsa ascende a 1,3 milhões de euros e o prejuízo apontado ao Estado supera os 250 mil euros.

Porque é que a CEO Fraud continua a funcionar

A mecânica do esquema é conhecida das autoridades há anos. As campanhas de «CEO Fraud» caracterizam-se pelo envio de emails ou mensagens de texto em que um agente malicioso se faz passar por uma entidade relacionada com a organização alvo — por exemplo, o diretor executivo ou um fornecedor — e faz pedidos de natureza financeira a colaboradores, podendo levá-los a realizar transferências bancárias para contas associadas ao atacante.

O Centro Nacional de Cibersegurança tem detalhado variantes cada vez mais elaboradas. Entre as campanhas destacadas surgem mensagens em que o atacante se faz passar pelo diretor executivo da entidade alvo, ou por fornecedores, pedindo a alteração de dados bancários relacionados com pagamentos correntes, chegando a apresentar ficheiros «comprovativos» que são, na maioria dos casos, documentos forjados. O CNCS assinala ainda que, a nível internacional, foram identificados agentes maliciosos a recorrer a deepfakes — uso de inteligência artificial para modificar voz e imagem — para personificar superiores hierárquicos e autorizar transferências pouco comuns, recomendando que não se confie numa mensagem apenas porque a imagem ou a voz parecem reais.

Os números confirmam a persistência da ameaça. No relatório do CNCS relativo a 2024, a CEO Fraud manteve-se como o segundo subtipo de engenharia social mais registado, com 166 incidentes (17,89% do total), um aumento de 164% face a 2023. Já o mais recente Relatório Anual de Segurança Interna sublinha que a CEO Fraud «mantém-se uma ameaça relevante», com 192 incidentes registados em 2025, um aumento de 20% em relação ao ano anterior.

Portugal como praça de passagem: um padrão repetido

Este caso não é isolado e encaixa num padrão que a PJ e o Ministério Público têm descrito em várias investigações: a burla é executada contra empresas estrangeiras, mas as contas que recebem e fracionam o dinheiro são abertas em Portugal, em nome de sociedades constituídas para o efeito. Numa investigação concluída pela Diretoria do Norte, a PJ descreveu um grupo que operava através da constituição de sociedades comerciais fictícias e da abertura de contas em várias instituições financeiras, usadas como contas de passagem para receção, fracionamento e dispersão de fundos ilícitos, tendo sido apurada a circulação de montantes superiores a 3,5 milhões de euros com origem significativa em esquemas de CEO Fraud e Invoice Fraud. Nesse processo foram identificados 17 lesados, com prejuízos de cerca de 1,4 milhões de euros, não se excluindo outras vítimas dada a dimensão internacional da atividade.

Em julho de 2026, outra operação da Diretoria do Norte reforçou a escala do fenómeno: a PJ identificou uma organização composta por vários grupos ligados entre si, dedicada à criação de sociedades comerciais de «fachada» para fazer circular fundos de proveniência ilícita com origem em burlas e outros crimes informáticos, designadamente esquemas de CEO Fraud, tendo uma análise prévia apurado a circulação de cerca de 50 milhões de euros pelas contas controladas. A novidade do caso agora divulgado está na articulação entre o produto da burla e a engenharia fiscal: as mesmas sociedades que recebem o dinheiro servem depois para gerar dedução indevida de imposto.

Medidas concretas para PME e departamentos financeiros

Entre as recomendações do CNCS para mitigar este tipo de fraude contam-se limitar a exposição pública de organogramas e contactos internos, sensibilizar colaboradores para os riscos da partilha de informação profissional online, aplicar autenticação multifator em todas as contas, implementar mecanismos de autenticação de email como SPF, DKIM e DMARC, restringir mensagens de domínios suspeitos ou recentemente registados, manter sistemas de gestão de fornecedores com contactos verificados e garantir controlo rigoroso sobre alterações de dados de fornecedores. Em termos práticos, isto traduz-se num conjunto de rotinas simples:

• Regra de ouro: nenhuma alteração de IBAN é aceite por email. Confirmação obrigatória por telefone para um contacto já registado na ficha do fornecedor.
• Dupla aprovação para pagamentos acima de um limiar definido, com dois responsáveis distintos e registo escrito da validação.
• Configurar e monitorizar SPF, DKIM e DMARC no domínio da empresa, para dificultar a falsificação do remetente.
• Sinalizar visualmente emails externos e bloquear domínios semelhantes ao da organização (typosquatting).
• Treinar a equipa financeira para reconhecer os gatilhos de urgência, confidencialidade e autoridade — e para poder recusar sem receio de represálias.
• Definir antecipadamente o procedimento de reação: contactar o banco de imediato para tentar travar ou recuperar a transferência e acionar o plano de resposta a incidentes.

O CNCS sugere igualmente que as organizações estabeleçam acordos com as entidades bancárias para criar mecanismos de verificação adicionais nas transferências, minimizando as consequências de um ataque deste tipo.

Porque é que isto importa em Portugal

Para as empresas nacionais, o caso tem três leituras. A primeira é operacional: qualquer organização com um departamento de contas a pagar é alvo potencial, independentemente da dimensão. A segunda é legal — com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), as entidades abrangidas passam a estar sujeitas a obrigações reforçadas de gestão de risco, formação dos órgãos de gestão e notificação de incidentes significativos, e um caso de fraude por comprometimento de correio eletrónico pode enquadrar-se nesse perímetro. Neste contexto, o CNCS reforça o seu papel central na proteção do ciberespaço nacional, apoiando entidades públicas e privadas.

A terceira leitura é de proteção de dados: quando a fraude envolve o acesso indevido a caixas de correio, listas de fornecedores ou dados de colaboradores, há frequentemente uma violação de dados pessoais a avaliar à luz do RGPD, com eventual notificação à CNPD e aos titulares afetados. Vale a pena recordar também que a responsabilização criminal aqui apurada não recai apenas sobre quem envia o email: recai sobre quem empresta contas, sociedades e faturas ao circuito do dinheiro.

Em caso de ataque de CEO Fraud, o CNCS aconselha o contacto com o CERT.PT, através de [email protected], e com a Polícia Judiciária, através de [email protected]. Sublinhe-se que, nesta fase, os três detidos são suspeitos e beneficiam da presunção de inocência, competindo ao tribunal decidir sobre as medidas de coação e ao Ministério Público concluir o inquérito.

Perguntas frequentes

O que é a CEO Fraud?

É um esquema de engenharia social em que o atacante se faz passar por um responsável da organização ou por um fornecedor, normalmente por email ou mensagem, para induzir colaboradores a fazer transferências bancárias ou a alterar dados de pagamento para contas que controla.

O que está em causa nesta investigação da PJ?

Segundo o comunicado da Polícia Judiciária, três homens foram detidos por indícios de branqueamento e fraude fiscal ligados a um esquema de CEO Fraud, com faturação falsa de 1,3 milhões de euros usada para dedução indevida de IVA e um prejuízo para o Estado superior a 250 mil euros.

Que controlos evitam este tipo de fraude numa PME?

Dupla aprovação de pagamentos, confirmação telefónica obrigatória de qualquer alteração de IBAN por um contacto previamente validado, autenticação multifator, configuração de SPF, DKIM e DMARC, e formação regular da equipa financeira.

A quem devo reportar se a minha empresa for vítima?

Ao banco, de imediato, para tentar travar a transferência, e às autoridades: o CNCS aconselha o contacto com o CERT.PT e com a Polícia Judiciária. Se houver dados pessoais comprometidos, avalie a notificação à CNPD nos termos do RGPD.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Polícia Judiciária, pelo Centro Nacional de Cibersegurança e no Relatório Anual de Segurança Interna.