E-mail falso do Banco CTT: “a sua conta será suspensa”. Não carregue no link

Esta semana chegou-nos um e-mail que parecia ter sido enviado pelo Banco CTT. O assunto era alarmante: “a sua conta Bancoctt será suspensa a 14 de novembro”. É phishing: uma mensagem falsa feita para roubar os dados de acesso à conta. Mostramos aqui, parte por parte, o que o denuncia, para que o reconheça se lhe chegar uma mensagem parecida, deste ou de outro banco.

Este e-mail faz parte de uma vaga de campanhas contra clientes do Banco CTT, que o Ministério Público alertou em outubro e que está ligada a dezenas de queixas de clientes que ficaram sem dinheiro.

O e-mail, resumido

Retirámos os dados pessoais do destinatário. A mensagem dizia, no essencial:

• que foi implementado um “novo protocolo de segurança” na aplicação do banco;
• que é obrigatório confirmar a atualização na área de cliente;
• que, se não o fizer até 14 de novembro, a conta será suspensa e ficará sem transferências, pagamentos nem consulta de saldo;
• uma caixa a destacar o prazo, a consequência e a ação: “Confirmar via link”;
• um botão grande: “Confirmar atualização agora”;
• a assinatura de um suposto “Departamento de Segurança & Conformidade”.

Antes de tudo: veja sempre de onde vem o e-mail

O nome que aparece como remetente (“Banco CTT”, “Apple”, “Segurança”) pode ser escrito por qualquer pessoa. O que conta é o endereço de e-mail verdadeiro que está por trás desse nome. Habitue-se a confirmá-lo sempre, antes de ler o resto da mensagem.

• No telemóvel: toque no nome do remetente, no topo da mensagem, para ver o endereço completo.
• No computador: passe o rato por cima do nome do remetente. No Gmail pode também abrir o menu dos três pontos e escolher “Mostrar original”. No Outlook, use “Ver” e depois “Ver detalhes da mensagem” ou “Ver origem”.
• Compare o domínio, que é a parte depois do @, com o site oficial da entidade. Endereços como nomes aleatórios, domínios estrangeiros, contas de Gmail ou Outlook, ou nomes parecidos com letras trocadas são sinal de fraude.
• Faça o mesmo com os links: passe o rato por cima do botão, sem carregar, ou mantenha o dedo pressionado no telemóvel, e veja para que endereço aponta.

Atenção: um remetente com aspeto correto não garante que o e-mail é verdadeiro, porque os endereços também podem ser falsificados. Mas um remetente estranho garante que é falso. Na dúvida, abra a aplicação oficial e não responda à mensagem.

Os 7 sinais que denunciam a fraude

1. Ameaça e prazo. “Ação obrigatória”, “conta suspensa”, “prazo limite”. O objetivo é assustar para que aja sem pensar. Um banco não suspende a conta de um cliente por ele não ter carregado num link.
2. Um link para “confirmar”. É o coração da burla. O botão leva a uma página falsa, parecida com a do banco, que pede o utilizador, o código de acesso e depois o código SMS.
3. Tratamento genérico ou estranho. “Caro cliente” seguido de um nome de utilizador ou de parte do e-mail, em vez do nome completo. Os burlões usam o que têm à mão, muitas vezes o próprio endereço de e-mail.
4. O nome do banco mal escrito. “Bancoctt”, tudo junto. As empresas verdadeiras escrevem o próprio nome sempre da mesma maneira.
5. Um departamento vago. “Segurança & Conformidade” soa oficial, mas não há nome, contacto, morada nem referência que possa confirmar.
6. Emojis e destaques chamativos, como o sinal de proibido antes do prazo. Comunicações bancárias sérias raramente usam este tipo de grafismo para pressionar.
7. O remetente. Se passar o rato ou tocar no nome do remetente, normalmente vê um endereço que nada tem a ver com o domínio oficial do banco. O mesmo acontece com o endereço por trás do botão.

O que acontece se carregar no botão

Segundo o alerta do Ministério Público sobre estas campanhas, a página falsa pede primeiro os códigos de acesso ao homebanking. Nalgumas versões pede também os dados do cartão, com número, validade e código de segurança. No fim, pede o código que o banco envia por SMS. É esse código que permite aos criminosos validar uma compra, uma transferência ou a ativação da aplicação noutro telemóvel. A partir daí, podem esvaziar a conta.

Como se proteger

• Veja sempre a fonte do e-mail, ou seja, o endereço verdadeiro do remetente, antes de fazer qualquer coisa.
• Nunca carregue em links nem abra anexos de e-mails ou SMS sobre atualizações, bloqueios ou suspensões de conta.
• Abra sempre a aplicação oficial do banco, ou escreva o endereço à mão no navegador, para ver se há algum aviso verdadeiro.
• Nunca escreva códigos SMS numa página aberta a partir de uma mensagem. Leia sempre o texto da SMS: diz para que serve o código.
• Na dúvida, ligue ao banco pelo número que está no cartão ou no site oficial, e nunca pelo que vem na mensagem.
• Apague o e-mail e marque-o como phishing ou spam no seu serviço de correio.

Já falámos de outras mensagens com o mesmo esquema, como as SMS da encomenda retida dos CTT e as SMS falsas das Finanças e da Segurança Social.

Se já carregou no link

1. Ligue imediatamente ao seu banco, pela linha oficial, e peça o bloqueio dos acessos e cartões.
2. Mude o código de acesso ao homebanking a partir da aplicação oficial.
3. Verifique os movimentos e os dispositivos associados à conta.
4. Guarde o e-mail e capturas de ecrã da página falsa.
5. Apresente queixa na PSP, na GNR ou na PJ. Explicamos como em como apresentar queixa de uma burla em Portugal. Pode também reencaminhar o e-mail ao Gabinete Cibercrime do Ministério Público.

Recebeu uma chamada ou SMS em nome de um banco a seguir a um e-mail destes? Pesquise o número no Quem Liga e adicione-o para avisar outras pessoas.