Desbloquear o telemóvel em público: olhares indiscretos

Ficha complementar da lição “Olhares indiscretos: onde e como desbloqueias o telemóvel” — curso Segurança Online

Um bom código deixa de ser bom no momento em que alguém te vê escrevê-lo. É o ataque mais antigo que existe, não precisa de equipamento nenhum, e acontece nos sítios onde desbloqueias o telemóvel vinte vezes por dia sem pensar.

Em Portugal, quem o define com mais precisão é o Banco de Portugal, na página sobre os riscos dos canais digitais: o shoulder surfing «ocorre quando alguém consegue recolher informação pessoal ou confidencial de um cliente através de observação direta», em «transportes públicos, centros comerciais e aeroportos, quando uma pessoa utiliza o computador, tablet ou smartphone e insere passwords e dados confidenciais». A fonte portuguesa mantém o termo inglês: é assim que se escreve em português europeu.

A. Porque é que isto conta

As outras fichas deste grupo tratam de qual método de desbloqueio escolher e de quanto tempo o telemóvel deve esperar antes de se bloquear. Esta trata da terceira variável, a que quase ninguém considera: onde estás quando escreves o código.

Um código observado já não é um código. E a observação não custa nada — sem programas, sem competências, só proximidade e alguns segundos de atenção.

E conta mais do que contava: hoje os telemóveis são desbloqueados em público a toda a hora, e um telemóvel roubado a quem viu o código ser escrito é uma perda muito diferente.

B. Conceitos-chave

Sete ideias sobre o momento em que escreves o código, e sobre o que vem depois.

Shoulder surfing

Observar alguém a introduzir um código, uma palavra-passe ou um PIN, de perto ou à distância.

Porque é que isto te interessa: só precisa de posição, e por isso sobrevive a todas as melhorias técnicas — não há nada para quebrar. Nota o contexto: o Banco de Portugal descreve-a para clientes bancários, e é a única definição institucional que existe em português.

Porque é que o padrão é o mais exposto

Uma forma desenhada é grande, é lenta e vê-se como movimento, não como toques separados.

Porque é que isto te interessa: lê-se a vários metros e guarda-se com facilidade, porque é uma forma e não uma série de dígitos. Em português europeu esta forma chama-se padrão, como escreve a Samsung Portugal.

Numérico ou alfanumérico

Seis dígitos são seis toques num teclado grande. Um código alfanumérico são mais caracteres num teclado menor.

Porque é que isto te interessa: mais comprido e mais variado é genuinamente mais difícil de captar de relance. É uma segunda razão para o preferir, além da força.

O contexto de risco

Transportes públicos, filas, cafés, aeroportos, centros comerciais, escritórios partilhados, elevadores — onde alguém está perto e parado atrás ou ao teu lado.

Porque é que isto te interessa: reconhecer a situação é a competência toda. Na maior parte do teu dia o risco é nulo; em dois ou três momentos que se repetem, não é.

Câmaras e reflexos

As câmaras de videovigilância das lojas e das estações, e as superfícies que refletem: janelas, óculos, o vidro de uma porta.

Porque é que isto te interessa: vale saber sem ficar preocupado. É razão para inclinar o ecrã numa fila, não para te sentires vigiado em todo o lado.

Filtros de privacidade para o ecrã

Uma película que estreita o ângulo de visão, de modo que o ecrã só se lê de frente.

Porque é que isto te interessa: baratos e eficazes para quem trabalha em comboios ou em espaços abertos. Não para todos, e úteis para alguns.

O que acontece se o telemóvel desaparecer

É a segunda metade da história, e em Portugal está documentada. A ANACOM publicou a sequência em novembro de 2025: bloquear o cartão SIM junto do operador, pedir o bloqueio do equipamento através do IMEI, apresentar queixa às autoridades e mudar as palavras-passe das contas ligadas ao aparelho. Num podcast de outubro de 2025 acrescenta o que se faz antes: ativar o bloqueio de ecrã e os «backups automáticos», saber como localizar, bloquear ou apagar o dispositivo à distância, e guardar o número IMEI — que se descobre marcando *#06# no teclado, como explica a DECO PROteste, ou se recupera da fatura.

Porque é que isto te interessa: por três detalhes que não são óbvios. Primeiro, o bloqueio por IMEI passa sempre pelo operador — não existe em Portugal um balcão público onde se bloqueie um IMEI, e modelos estrangeiros desse tipo não se aplicam aqui. Segundo, a expressão «bloqueio do equipamento» tem dois sentidos muito diferentes: nas páginas de consumo da ANACOM designa também o vínculo comercial ao operador, com direito a desbloqueio; aqui é o bloqueio antifurto. Terceiro, a DECO PROteste avisa que «ao apagar todos os conteúdos do telemóvel, não poderá voltar a localizá-lo» — por isso a localização vem antes da limpeza remota.

E é aqui que isto liga ao código. O Banco de Portugal descreve o SIM card swap: alguém faz-se passar por ti numa loja, pede «uma segunda via do seu cartão de telemóvel» e passa a receber as tuas chamadas e mensagens, incluindo os códigos de utilização única. Um telemóvel na mão de outra pessoa é um problema; um telemóvel cujo código essa pessoa já viu é outro.

C. Um exemplo concreto: duas paragens de comboio

Desbloqueias o telemóvel num comboio cheio. Quem está atrás de ti vê o padrão que desenhas — um L grande, feito sempre da mesma maneira.

Não acontece nada durante o resto da viagem. Duas paragens depois, o telemóvel sai-te da mão quando as portas fecham.

• Sem o código observado, quem o levou tem um aparelho bloqueado e cifrado. Vale para revenda e mais nada.
• Com o código, tem o teu correio eletrónico, as tuas mensagens, a aplicação do banco e, se a aplicação de autenticação estiver no telemóvel, também os teus segundos fatores.

O furto foi de oportunidade. O que o tornou grave foram os dois segundos de observação que vieram antes.

O que teria mudado

• Um PIN ou um código alfanumérico em vez de um padrão: mais difícil de ler de relance, e sem forma nenhuma para guardar na memória.
• O ecrã inclinado para ti, ou o desbloqueio pela impressão digital naquela situação.
• Simplesmente reparar que um comboio cheio é um dos sítios onde vale a pena ser deliberado.

E, depois do furto, a sequência da ANACOM: SIM bloqueado no operador, IMEI comunicado, queixa apresentada — presencialmente ou pela Queixa Eletrónica da GNR e da PSP — e palavras-passe mudadas de outro aparelho.

É o único caso em que a biometria é claramente a melhor escolha: uma impressão digital ou um rosto não revelam nada a quem está a olhar.

D. Experimenta: repara nos momentos

Este exercício é de observação, não de configuração. Dá-lhe um dia.

Passo 1 — Contar onde desbloqueias

• Durante um dia, repara onde escreves o código: em casa, à secretária, nos transportes, em filas, em reuniões.
• Procuras os momentos públicos que se repetem, não uma contagem completa.

Passo 2 — Encontrar os teus dois hábitos mais expostos

• Quase todas as pessoas encontram um ou dois: o trajeto de todos os dias, ou a fila da mesma loja.
• São esses os momentos que vale a pena mudar. Os outros não precisam de atenção.

Passo 3 — Escolher a contramedida que serve

• Usa a biometria em público e guarda o código escrito para os sítios onde estás sozinho.
• Inclina o ecrã para ti, ou tapa-o com a outra mão.
• Abandona o padrão, se ainda usas um.
• Pensa num filtro de privacidade se trabalhas com frequência nos transportes.
• Aproveita e guarda o IMEI fora do telemóvel: marca *#06# e escreve-o onde chegues sem ele.

O objetivo não é vigilância o dia todo. É reconhecer as duas ou três situações que se repetem, onde um ajuste pequeno faz desaparecer a exposição.

E. Vídeos, artigos e outros recursos

Fontes institucionais portuguesas, uma fonte de consumo e fontes internacionais independentes.

Banco de Portugal — Riscos associados aos canais digitais
A definição portuguesa de shoulder surfing, e a de SIM card swap, na página do Portal do Cliente Bancário.
https://clientebancario.bportugal.pt/pt-pt/riscos-associados-aos-canais-digitais

ANACOM — Minuto ANACOM: Telemóvel roubado? (19 de novembro de 2025)
A sequência oficial: bloquear o SIM, pedir o bloqueio pelo IMEI, apresentar queixa, mudar as palavras-passe.
https://www.anacom-consumidor.pt/-/minuto-anacom-telemovel-roubado-

ANACOM — Podcast: Proteja-se em caso de furto ou perda do telemóvel (9 de outubro de 2025)
Os cinco passos, incluindo guardar o IMEI antes de precisares dele.
https://www.anacom-consumidor.pt/-/podcast-anacom-proteja-se-em-caso-de-furto-ou-perda-do-telemovel

DECO PROteste — Telemóvel roubado ou perdido: o que fazer (30 de outubro de 2025)
O *#06#, a localização remota, a reposição de fábrica e o aviso de que apagar o aparelho fecha a localização.
https://www.deco.proteste.pt/tecnologia/telemoveis/dicas/telemovel-roubado-ou-perdido-o-que-fazer

Queixa Eletrónica (GNR e PSP)

Queixa por burla, com Cartão de Cidadão ou Chave Móvel Digital. Para emergências, 112.
https://queixaselectronicas.mai.gov.pt/Queixas/Burla

Polícia Judiciária — Alertas ao Cidadão
https://www.policiajudiciaria.pt/alertas-2/

Linha Internet Segura (APAV) — 800 21 90 90
Apoio a quem foi vítima.
https://cibercrime.apav.pt/index.php/linha-internet-segura

CNCS — Boas práticas no uso de smartphones
https://www.cncs.gov.pt/pt/boas-praticas-para-smartphones/

NCSC (Reino Unido) — Cyber security advice for you and your family

Em inglês: a análise do desbloqueio em público como comportamento — onde te sentas, como inclinas o ecrã — não tem fonte pública portuguesa.
https://www.ncsc.gov.uk/section/advice-guidance/you-your-family

NCSC (Reino Unido) — What to do if your account is hacked
Em inglês: os passos da primeira hora depois de perderes um aparelho com as tuas contas dentro.
https://www.ncsc.gov.uk/section/respond-recover/hacked-accounts

EFF — Keeping your data safe
https://ssd.eff.org/module/keeping-your-data-safe

Links verificados em setembro de 2026.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Comportamento Seguro, ao nível FL2. Ao contrário do resto do curso, não há definição nenhuma para mudar — há um hábito.

Competências

• Reconhecer as situações em que escrever um código está exposto.
• Usar a biometria em público e o código escrito em privado.
• Tapar o ecrã com naturalidade, sem que se torne uma encenação.
• Saber a sequência do dia mau: SIM, IMEI, queixa, palavras-passe.

Para profissionais e organizações

• Considerar filtros de privacidade para quem trabalha habitualmente em transportes ou em espaços abertos.

Consciência

• Perceber que um código observado já não é um código.
• Reconhecer que o padrão é a opção que mais se lê à distância.
• Ver a ligação entre observação e furto: o segundo é muito pior depois do primeiro.
• Saber que o bloqueio pelo IMEI se pede ao operador: não há em Portugal um balcão público para isso.

Para futuros formadores e embaixadores

• Manter isto proporcionado: dois ou três momentos que se repetem, não a desconfiança permanente de quem está ao lado.

Comportamento Seguro

• Ser deliberado ao desbloquear em sítios cheios ou públicos.
• Preferir a biometria onde as pessoas estão perto.
• Não usar um padrão num aparelho que andas a levar para a rua.
• Guardar o IMEI num sítio que não seja o próprio telemóvel.

Para organizações

• Incluir isto na formação de sensibilização, onde quase sempre falta por completo.

G. Perguntas para levar contigo

1. Onde é que desbloqueias o telemóvel mais vezes fora de casa?
2. Alguém atrás de ti conseguiria ler o teu código, ou seguir a forma que desenhas?
3. Usas a biometria em público, ou escreves o código independentemente de quem está perto?
4. Se o telemóvel te saísse da mão agora, a pessoa que ficasse com ele já saberia abri-lo?
5. Sabes o teu IMEI, ou onde o ir buscar sem o telemóvel?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que se aplicam ao momento em que escreves o código.

O método de desbloqueio

• MS3 — Prefere um código ao padrão: uma forma desenhada é a coisa mais fácil de ler à distância.
• R5 — Um PIN de seis dígitos, como mínimo.
• MS4 — Um código alfanumérico de 8 caracteres ou mais, que também é mais difícil de captar de relance.

O contexto

• R7 — Mantém curto o bloqueio do ecrã por inatividade, para que um telemóvel posto na mesa não fique aberto.
• R10 — Evita tratar de serviços sensíveis em redes públicas e, em geral, em sítios públicos.

Compromisso mínimo: biometria em público, código escrito em privado. É a regra mais simples, e cobre quase tudo isto.

Três ajustes pequenos

1. Se usas um padrão num telemóvel que levas para a rua, muda-o para um PIN ou um código.
2. Ativa a biometria e usa-a quando as pessoas estão perto.
3. Identifica os teus dois momentos mais expostos — normalmente um trajeto ou uma fila — e sê deliberado neles.

Não custa nada, e fecha a única falha que nenhuma definição fecha.

Em resumo

• Um código observado já não é um código, e observar não custa nada. O Banco de Portugal chama-lhe shoulder surfing e mantém o termo inglês.
• O padrão é a opção que mais se lê; o código alfanumérico é a mais difícil de captar.
• A biometria é a escolha certa em público precisamente porque não revela nada.
• Se o telemóvel desaparecer: SIM bloqueado no operador, IMEI comunicado, queixa, palavras-passe mudadas — e a localização antes da limpeza remota.
• O objetivo é reparar em dois ou três momentos que se repetem, não andar atento o dia todo.

Outros recursos deste curso

O resto do grupo dedicado ao aparelho:

• Código de desbloqueio do telemóvel: escolher o método certo
• Bloqueio automático do ecrã: quanto tempo o deixas aberto
• Bloqueio do ecrã do smartphone: a barreira por trás da qual está tudo

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.