Palavra-código de família: trava as burlas feitas com IA

Ficha complementar da lição “Defender-te do engano com IA: outro canal e palavra-código” — curso Privacidade online

Uma voz conhecida já não prova quem está a falar. A resposta não é desconfiar das pessoas de quem gostas, mas combinar de antemão dois hábitos simples: uma palavra-código de família que nunca vai para a internet e uma lista de números de confiança que já tinhas. Este recurso mostra-te como prepará-los, em casa e no trabalho.

A. Porque é que isto importa

O recurso anterior explicou como uma voz pode ser copiada e porque é que os sinais de um áudio falso são pouco fiáveis. Este trata do que funciona: quando não consegues ter a certeza de quem fala, podes apoiar-te no que já sabes, como um número guardado há muito tempo ou uma palavra combinada à mesa da cozinha.

Os dois hábitos assentam numa ideia de privacidade. Quem prepara uma chamada convincente usa o que se consegue encontrar sobre ti: a tua voz num vídeo, os nomes dos teus familiares, quem aprova os pagamentos na tua empresa. A palavra-código de família funciona porque é um dado que deixaste, de propósito, fora da tua pegada digital. Ligar de volta funciona porque o número vem dos teus registos, não da mensagem.

Nenhum dos hábitos nasce do medo. Dão à tua família e aos teus colegas uma forma calma e combinada de verificar, sem constrangimento.

O que dizem as fontes

Em Portugal, a burla do «Olá mãe, olá pai» é a versão mais conhecida deste problema. A DECO PROTESTE descreve-a como uma mensagem de WhatsApp de um suposto filho ou filha, que diz estar a usar um número novo e, depois, pede com urgência o pagamento de uma conta no multibanco. O artigo nota que surgem esquemas novos e que a inteligência artificial já permite recriar a voz de alguém.

Para se defender, a DECO PROTESTE aconselha a contactar diretamente o familiar, seja qual for a urgência, e a combinar um código com as pessoas mais próximas, para o pedir quando alguém solicitar dinheiro ou informação privada. Resume o resto numa frase: «Desconfie de urgência e pressão.» O guia europeu sobre fraudes financeiras num mundo de inteligência artificial, que a EBA, a EIOPA e a ESMA publicaram em português em 2025, propõe o mesmo com outro nome: combinar com a família uma «palavra segura», uma «frase secreta» para confirmar a identidade quando alguém com uma voz familiar liga a pedir dinheiro com urgência.

Noutro artigo, sobre fraudes digitais, a DECO PROTESTE aconselha a confirmar a informação junto da instituição pelos contactos oficiais, sem usar os que vêm na mensagem suspeita. Perante a pressão, diz que «o melhor é parar, e ligar para alguém». Num terceiro, sobre deepfakes, lembra que os detetores automáticos também erram e que os seus resultados são indicativos, não definitivos. A sua regra é parar, verificar a origem e confirmar noutro local antes de agir.

O Banco de Portugal, numa página em inglês, avisa que ter os teus dados básicos não prova, por si só, que um contacto é genuíno. Recomenda contactar a entidade pelos contactos oficiais e comunicar de imediato ao banco, pelos canais habituais, qualquer suspeita de fraude.

No trabalho a lógica é a mesma. O Centro Nacional de Cibersegurança (CNCS) descreve a fraude do CEO, em que alguém se faz passar por um responsável ou por um fornecedor para pedir uma transferência ou a alteração de dados bancários. Recomenda confirmar essa alteração com a própria entidade, por um contacto telefónico já conhecido e não pelo que consta da assinatura da mensagem, e verificar o titular da conta de destino. Inclui ainda o cuidado com deepfakes de voz e de imagem.

B. Conceitos-chave

Quatro ideias em que assentam os dois hábitos.

Canal separado

Confirmar um pedido por um caminho diferente daquele por onde chegou. Uma mensagem de voz pede dinheiro: não respondes à mensagem, ligas para o número habitual da pessoa. Um e-mail pede para mudar o IBAN de um fornecedor: telefonas ao fornecedor.

Porque é que isto importa para ti: Quem controla o primeiro canal pode continuar a representar o seu papel lá dentro. Um caminho que escolheste tu é muito mais difícil de controlar.

Um número que já conheces

Um contacto que chegou a ti antes do pedido: guardado no telemóvel há meses, impresso no verso do cartão do banco, numa fatura antiga ou no site oficial da organização.

Porque é que isto importa para ti: Ligar para o número que acabou de te ligar, ou para o que vem na mensagem, pode levar-te de volta a quem te quer enganar. A confirmação vale o que vale o sítio de onde tiraste o número.

Palavra-código de família

Uma palavra ou uma frase curta, combinada em pessoa por um grupo pequeno, como a tua família próxima, e usada apenas para confirmar a identidade numa emergência. A DECO PROTESTE fala em «código» e o guia europeu em «palavra segura»; neste curso chamamos-lhe palavra-código. Em inglês, diz-se safe word.

Porque é que isto importa para ti: É uma informação sobre a tua família que não consta de nenhuma publicação, perfil ou gravação, porque nunca lá a puseste. Uma voz clonada pode soar bem, mas uma palavra que fica fora da internet é muito mais difícil de descobrir.

Urgência e segredo como sinal

As burlas feitas com IA continuam a usar a pressão de sempre: age já, não contes a ninguém, paga de uma forma difícil de desfazer. No caso do «Olá mãe, olá pai», o pedido é pagar uma conta de imediato.

Porque é que isto importa para ti: Não precisas de distinguir o falso. Basta notares a pressão, porque é esse o momento de aplicar os hábitos. Quem liga a sério pode esperar dois minutos enquanto verificas.

C. Um exemplo concreto: a quinta-feira do João

O João tem 50 anos e uma pequena empresa em Lisboa. É ele quem aprova os pagamentos, e o site da empresa mostra-o, com a fotografia e o contacto direto.

Na quinta-feira, ao fim da tarde, recebe uma chamada de um número que não conhece. A voz é a da responsável comercial de um fornecedor com quem trabalha há anos. Diz que o banco da empresa mudou e pergunta se a fatura deste mês pode ser paga hoje no IBAN novo.

À noite chega-lhe uma mensagem de voz, de um número que não tem guardado, com a voz do irmão: partiu o telemóvel, está a usar o de um amigo e precisa de dinheiro para uma emergência. Pede que não diga nada à mãe.

Os dois pedidos pareciam verdadeiros. Ambos traziam um motivo para ter pressa e outro para não confirmar nada.

O que mudou o resultado

• O João disse a quem ligava que voltava a telefonar e desligou. Foi buscar o número do fornecedor a uma fatura antiga, nos seus ficheiros, e pediu para falar com a responsável comercial. Não tinha sido ela a ligar, e o banco não tinha mudado.
• Não respondeu à mensagem de voz: ligou para o número habitual do irmão. O irmão atendeu a meio do jantar, com o telemóvel a funcionar sem problemas.
• No almoço de domingo, o João, o irmão e a mãe escolheram juntos uma palavra-código de família, disseram-na em voz alta e combinaram não a escrever em mensagem nenhuma.
• Na segunda-feira, explicou à equipa que qualquer alteração de dados bancários de um fornecedor seria confirmada por telefone, para um número dos registos da empresa, e aprovada por uma segunda pessoa. Confirmar um pedido vindo dele não era falta de educação: era a regra.

Nada disto exigiu conhecimentos técnicos: só caminhos que já existiam, deixados prontos para a vez seguinte.

D. Agora é a tua vez: a tua lista de números de confiança e a tua palavra-código (20 minutos)

Quatro passos. Os passos 1 e 2 podes fazê-los a sós; os passos 3 e 4 podem esperar até estares com as pessoas com quem vais partilhar a palavra. As fontes recomendam combinar um código; os conselhos para o escolher e usar são orientações do Cyber Welfare.

Passo 1 — Escreve a tua lista de números de confiança (6 minutos)

• Anota quem poderia pedir-te dinheiro ou informação com urgência: família próxima, banco, entidade patronal, principais fornecedores.
• Junto a cada nome, escreve um número que já conhecias: guardado há muito, impresso numa fatura ou no site oficial. Não copies um de uma mensagem acabada de receber.
• Guarda uma cópia em papel em casa, para o caso de perderes o telemóvel.

Passo 2 — Escolhe a palavra (4 minutos)

• Procura algo fácil de lembrar sob pressão e difícil de adivinhar a partir do que existe sobre ti na internet: nada de animais de estimação, datas de aniversário, ruas ou coisas que tenhas publicado.
• Uma opção é juntar duas ou três palavras sem relação, como um objeto, uma cor e um lugar. Outra é uma pergunta cuja resposta nunca tenha sido publicada.
• Prevê uma palavra diferente para cada grupo (família próxima, amigos, trabalho): se uma se souber, não abre todas as portas.

Passo 3 — Partilha-a pessoalmente (5 minutos)

• Diz a palavra cara a cara, ou numa chamada que tenhas começado tu para um número da tua lista.
• Não a envies por mensagem, e-mail ou chat, nem a guardes em notas partilhadas. Se a escreveres, usa um papel que fique em casa.
• Se achares que alguém a pode ter ouvido, escolhe simplesmente outra.

Passo 4 — Combina a regra e experimenta uma vez (5 minutos)

Digam a regra em voz alta, em conjunto:

1. Perante um pedido urgente de dinheiro, códigos ou dados pessoais por chamada, mensagem de voz ou videochamada, pede a palavra.
2. Quem recebe a chamada inesperada pede a palavra e quem liga di-la. Não a digas tu primeiro, não a partilhes por escrito na internet e não a reveles a quem te contactar sem aviso para a pedir.
3. Se a palavra estiver errada, ou se quem liga fugir à pergunta, desliga e liga para um número da tua lista.
4. Confirmar não é ofender.

Depois, ensaiem uma vez: uma pessoa liga a outra com um pedido urgente inventado e quem recebe a chamada pede a palavra. Uma regra simples proposta por este curso: repetir o ensaio de vez em quando, para que a palavra não se perca com o tempo.

O curso «Defesa Offline» aprofunda a parte física destes hábitos, como confirmar quem é uma pessoa quando a tens à tua frente.

E. Vídeos, artigos e outros recursos

Primeiro as fontes sobre burlas por mensagem e chamada, depois as da fraude nas empresas e dos canais de queixa.

Burlas por voz, mensagem e chamada

EBA, EIOPA e ESMA — Fraudes e burlas financeiras num mundo de inteligência artificial
Guia das autoridades europeias, em português, que recomenda combinar com a família uma «palavra segura» e usar contactos verificados.
https://www.eba.europa.eu/sites/default/files/2026-01/fa63af9a-bafd-4821-baee-48c7c8fb6490/Online%20financial%20frauds%20and%20scams%20in%20an%20AI%20world_PT.pdf

DECO PROTESTE — «Olá mãe, olá pai»: como se defender deste tipo de burlas?
Como começa a burla, porque convém contactar diretamente o familiar e combinar um código; artigo de 9 de abril de 2025.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/noticias/ola-mae-ola-pai-defender-burlas

DECO PROTESTE — Fraudes digitais: conheça o plano de proteção para não cair na armadilha
Confirmar pela via oficial, não usar os contactos da mensagem e parar perante a pressão; artigo de 29 de outubro de 2025.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/noticias/fraudes-digitais-conheca-plano-protecao-nao-cair-armadilha

DECO PROTESTE — Deepfakes: como identificar fotos, vídeos e vozes criados por inteligência artificial?
A clonagem de voz, os limites dos sinais e dos detetores e a confirmação noutro local antes de agir.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/dicas/como-identificar-deepfake-saiba-reconhecer-sinais

Banco de Portugal — #toptip campaign: Digital financial fraud: would you fall for it too?
Página em inglês: contactos não solicitados, dados básicos que não provam nada e contacto pelos canais oficiais.
https://www.bportugal.pt/en/page/toptip-campaign-digital-financial-fraud-would-you-fall-it-too

Fraude nas empresas e onde apresentar queixa

Centro Nacional de Cibersegurança (CNCS) — Contexto Atual – CEO Fraud/BEC
O que é a fraude do CEO, como se confirma uma alteração de dados bancários e quem contactar em caso de incidente (versão de abril de 2024).
https://www.cncs.gov.pt/pt/contexto-atual-ceo-fraud/

DECO PROTESTE — Burlas com criptoativos: Banco de Portugal denuncia esquema com chamadas fraudulentas
Utilizada apenas para os canais de queixa: GNR, PSP, Polícia Judiciária, Ministério Público e Queixa Eletrónica (17 de junho de 2025).
https://www.deco.proteste.pt/tecnologia/ciberseguranca/noticias/burlas-criptoativos-banco-portugal-denuncia-esquema-chamadas-fraudulentas

Ligações verificadas em outubro de 2026. Se um endereço mudar, procurar o título no site da entidade ajuda muitas vezes a encontrá-lo.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Este recurso apoia-se no pilar Comportamento Seguro: dois hábitos combinados de antemão e aplicados sem hesitar. O nível de referência deste conteúdo é o FL2 – Inicial.

Competências

• Construir uma lista de números de confiança a partir de contactos que já conhecias.
• Escolher uma palavra difícil de adivinhar e que nunca tenha sido publicada.
• Confirmar um pedido por um canal separado, em casa e no trabalho.

Consciência

• Reconhecer que uma voz ou um rosto conhecidos, por si sós, já não bastam como prova de identidade.
• Perceber que as burlas se constroem com informação que se consegue encontrar, e que a palavra funciona porque fica fora dela.
• Tratar a urgência e o segredo como o momento de confirmar, não como razão para ter pressa.

Comportamento Seguro

• Desligar e ligar para um número dos teus próprios registos.
• Pedir a palavra quando uma chamada te surpreende, não a dizer primeiro e não a dar a quem te contacta do nada.
• Confirmar qualquer alteração de dados bancários por telefone, com a aprovação de uma segunda pessoa.

G. Perguntas para refletir

• Se esta noite uma voz de quem gostas te pedisse dinheiro, para que número ligavas e de onde o tiraste?
• O que poderia alguém saber sobre a tua família, ou sobre o teu negócio, a partir do que já é público?
• Com quem gostarias de combinar primeiro uma palavra e quando vais voltar a ver essa pessoa?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base de dados do Cyber Welfare que se aplicam mais diretamente a este tema.

1. Confirma antes de agir

• R16 — E-mails que se fazem passar pelo banco: ao banco entra-se pela porta que já conheces: trata-os como um motivo para confirmar e não para agir, entrando pela aplicação oficial, por um marcador guardado ou por um endereço que escrevas tu. A página explica também que não deves ligar para números indicados no texto, o que se aplica à chamada de um falso funcionário do banco que pode surgir depois da mensagem.

No trabalho, o CNCS recomenda confirmar os pedidos de alteração de dados bancários com a própria entidade. Podes transformar isso numa regra interna, com uma segunda pessoa a aprovar, e explicá-la à equipa antes de ser preciso, para que confirmar seja uma regra e não um sinal de desconfiança.

Esforço mínimo: escreve hoje a tua lista de números de confiança, com pelo menos a pessoa da família mais próxima e o teu banco, e guarda uma cópia em papel.

2. Quando é o teu nome que está a ser usado

• R29 — Mensagens enviadas em teu nome: o que fazer quando um contacto te avisa: verifica as sessões e os dispositivos ligados à tua conta, fecha os acessos que não reconheças e diz aos teus contactos o que devem ignorar.

Esforço mínimo: combina esta semana, em pessoa, uma palavra-código de família com pelo menos uma pessoa.

Se estiverem em causa dinheiro ou dados bancários, contacta o teu banco o mais depressa possível pelos canais oficiais. Segundo a DECO PROTESTE, podes apresentar queixa à PSP, à GNR, à Polícia Judiciária ou ao Ministério Público, ou através da Queixa Eletrónica; a DECO PROTESTE indica que a queixa é gratuita e não exige advogado.

Numa empresa, o CNCS indica que se contacte o CERT.PT e a Polícia Judiciária. Se precisares de apoio depois de uma burla, a APAV tem a Linha de Apoio à Vítima, 116 006.

Em resumo

• Uma voz conhecida já não prova quem fala. Não a avalies: confirma o pedido.
• Usa um canal separado: desliga e liga para um número que já conhecias, nunca para um tirado da mensagem.
• A palavra-código de família funciona porque fica fora da internet. Escolhe-a em pessoa com a tua família, pede-a quando um pedido for urgente e não a digas tu primeiro.
• No trabalho, confirma qualquer alteração de dados bancários por um contacto já conhecido e com uma segunda pessoa a aprovar.

Recursos associados neste curso

• Burlas com voz clonada: como o que publicas serve de amostra
• Spear phishing: porque é que uma mensagem falsa sabe tanto de ti
• Chamadas de spam: por onde anda o teu número e como reduzi-las
• O que não publicar nas redes sociais? Revê as tuas publicações

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.