Proteger o banco online: o e-mail e o número de telefone

Ficha complementar da lição “Banco online: proteger o e-mail e o número de telefone” — curso Segurança Online

Proteger o banco online é, em boa parte, uma decisão que quase ninguém pensa em tomar: se o endereço de e-mail ligado ao banco é o mesmo que usas para compras, newsletters e tudo o resto. Separá-lo leva cerca de uma hora.

Convém fixar uma frase do Banco de Portugal antes de começar: «a instituição nunca lhe solicitará os dados de acesso». Nada do que vem a seguir depende de saberes reconhecer, no momento certo, uma mensagem bem feita.

A. Porque é que isto conta

A ficha sobre os dois fatores no banco online trata da forma como um segundo fator é contornado. Esta trata da medida preventiva que retira, à partida, boa parte dessa possibilidade.

Quase todos usamos um endereço de e-mail para tudo: o banco, o cartão do supermercado, fóruns, newsletters, serviços de que já nem nos lembramos. Esse endereço está publicado, partilhado, vendido e incluído em todas as fugas de dados que essas empresas já sofreram.

Como o Banco de Portugal arruma os riscos

O Portal do Cliente Bancário enumera-os com nome próprio: phishing, vishing (por chamada), smishing (por mensagem), pharming — onde a vítima acaba numa «página espelho» —, spyware, shoulder surfing e SIM card swap, que o Banco de Portugal escreve mesmo em inglês, por não haver forma portuguesa institucional.

A definição do SIM card swap é a mais precisa que há em português, e explica porque é que o número conta tanto como o e-mail: «Ocorre quando alguém recolhe informação sobre um cliente, diretamente ou nas redes sociais, e consegue fazer-se passar pelo cliente numa loja de comunicações e solicitar uma segunda via do seu cartão de telemóvel.» O ataque não é ao teu telemóvel: é ao atendimento da operadora.

B. Conceitos-chave

Seis ideias sobre separação, e não sobre proteção.

Os pontos de acesso

O endereço de e-mail e o número de telefone que o teu banco usa para te contactar, confirmar operações e reabrir o acesso.

Porque é que isto te interessa: quem controla um dos dois está perto da conta. Proteger a aplicação do banco e deixar estes partilhados é proteger uma porta de três.

Um endereço de e-mail dedicado

Um endereço criado só para contas financeiras: banco, serviços de pagamento, investimentos. Usado em mais nenhum sítio e dado a ninguém.

Porque é que isto te interessa: não pode aparecer na fuga de dados de uma loja onde compraste uma vez, porque a loja nunca o teve. Não é uma proteção mais forte: é uma exposição muito menor.

Porque é que o endereço partilhado é o ponto fraco

Aparece em listas de marketing, em bases de dados de fugas e nos contactos de quem já te escreveu.

Porque é que isto te interessa: nada disso é culpa tua e nada disso está sob o teu controlo. A única variável que controlas é se esse endereço é também o que o teu banco usa.

Fazer-se passar por ti

Alguém que usa os teus dados para convencer um serviço — ou uma pessoa — de que é tu. O SIM card swap é a versão mais clara: uma loja de comunicações é convencida a emitir uma segunda via do cartão de telemóvel.

Porque é que isto te interessa: as proteções técnicas contam menos quando a via de recuperação pode ser convencida a abrir a conta. E há um sinal a conhecer: se o telemóvel deixa de ter rede sem motivo aparente, o número pode ter passado para outro cartão. Quem o enumera é a Caixa Geral de Depósitos — nenhuma fonte pública portuguesa trata os sinais.

Os alertas do banco

Notificações de movimentos e de alterações aos dados da conta. «Ative alertas» é o que o Banco de Portugal recomenda nos canais digitais.

Porque é que isto te interessa: são gratuitos, quase todos os bancos os oferecem e muitos vêm desligados. Transformam um problema que descobrias ao fim do mês num que descobres em segundos. Uma precisão: os alertas de que o Banco de Portugal fala são de movimentos, não de início de sessão — estes existem em muitos serviços e a R8 pede-os, mas nenhuma fonte pública portuguesa os trata.

Um número de telefone separado, quando for prático

Algumas pessoas mantêm um segundo número só para serviços financeiros.

Porque é que isto te interessa: é razoável, e é mais esforço do que a maioria aceita. Com um número só, a chamada à operadora descrita na ficha seguinte conta mais.

C. Um exemplo concreto: um endereço, quinze anos

Um endereço de e-mail criado em 2010 e usado para tudo desde então.

• Foi dado a talvez duzentos serviços ao longo de quinze anos.
• Vários desses sofreram fugas de dados — é o normal, não a exceção.
• É o endereço de recuperação do banco, e o endereço para onde o banco escreve.

Nada disto exige um atacante com competências especiais. O endereço é conhecido, circula em listas e é o caminho para a conta que interessa. É também o que explica as campanhas que o Gabinete de Cibercrime publica com regularidade — em nome da Autoridade Tributária, da Segurança Social ou de um banco português —, enviadas em massa para endereços que já andam por aí.

Depois da separação

• Um endereço novo, criado só para contas financeiras.
• Registado no banco, nos serviços de pagamento e em mais nada.
• Com a sua própria palavra-passe gerada e o seu próprio segundo fator.
• Nunca usado para subscrever nada, nunca publicado, nunca usado para enviar mensagens.

A medida não é o endereço novo estar melhor protegido. É quase ninguém saber que ele existe.

D. Experimenta: a separação, por ordem

Cerca de uma hora, repartida por alguns dias. A ordem conta, porque não queres ficar fechado fora das tuas próprias contas.

Passo 1 — Cria o endereço

• Num fornecedor em que confies, e com um nome que não te identifique nem identifique o teu banco.
• Uma palavra-passe única e gerada, e um segundo fator — uma aplicação de autenticação ou uma chave, não uma mensagem escrita.
• Guarda os códigos de recuperação — cada serviço lhes dá um nome — num sítio a que chegues sem o telemóvel.

Passo 2 — Muda-o primeiro no banco

• Atualiza o endereço de e-mail registado nas definições do teu banco.
• Confirma que a mensagem da alteração chega ao endereço novo antes de seguires.

Passo 3 — Depois os outros serviços financeiros

• Serviços de pagamento, contas de investimento, tudo o que guarde dinheiro.
• Um de cada vez, confirmando cada um.

Passo 4 — Fixa a regra e cumpre-a

• O endereço novo não serve para mais nada. Nunca.
• Não para uma newsletter, não para uma entrega, não para uma loja que o peça.
• No momento em que for usado noutro sítio, começa a tornar-se o endereço antigo.

Passo 5 — Liga os alertas

• Já que estás nas definições de cada banco: notificações de movimentos, alertas de início de sessão e avisos de alteração dos dados.
• «Ative alertas» é literalmente o que o Banco de Portugal recomenda. Se o teu banco só oferecer alertas de movimentos, liga esses.

O passo 4 é a medida toda. O endereço só funciona enquanto se mantiver desconhecido, e a disciplina é nunca o escrever em mais lado nenhum.

E. Vídeos, artigos e outros recursos

Fontes institucionais portuguesas primeiro, e uma fonte inglesa para o ponto que nenhuma delas cobre.

Banco de Portugal — Riscos associados aos canais digitais
A taxonomia desta ficha e a definição portuguesa do SIM card swap, com a «segunda via do cartão de telemóvel».
https://clientebancario.bportugal.pt/pt-pt/riscos-associados-aos-canais-digitais

Banco de Portugal — Cuidados a ter na utilização de canais digitais
É aqui que se lê que a instituição nunca pede os dados de acesso, e que convém evitar hotspots públicos.
https://clientebancario.bportugal.pt/pt-pt/cuidados-ter-na-utilizacao-de-canais-digitais

ANACOM — Minuto ANACOM: Telemóvel roubado? (19 de novembro de 2025)
A ordem oficial quando o telefone sai das tuas mãos: bloquear o cartão SIM na operadora, bloquear o equipamento pelo IMEI, apresentar queixa, alterar as palavras-passe.
https://www.anacom-consumidor.pt/-/minuto-anacom-telemovel-roubado-

ANACOM — Alerta: chamadas fraudulentas em nome da ANACOM aumentam (8 de junho de 2026)
Caso recente, com mais de 180 reclamações: os autores usam dados pessoais parcialmente corretos e às vezes invocam falsos processos da Polícia Judiciária. O conselho a copiar é pedir para ser contactado mais tarde.
https://www.anacom-consumidor.pt/-/alerta-chamadas-fraudulentas-em-nome-da-anacom-aumentam

CNCS — Boas práticas no uso de palavras-passe
Doze caracteres, uma palavra-passe por serviço, gestor e autenticação multifator, pela autoridade nacional.
https://www.cncs.gov.pt/pt/boas-praticas-passwords/

Autoridades Europeias de Supervisão (EBA, EIOPA, ESMA) — Fraudes e burlas financeiras num mundo de inteligência artificial (PDF, 2025)
Em português europeu, do nível europeu acima do Banco de Portugal.
https://www.eba.europa.eu/sites/default/files/2026-01/fa63af9a-bafd-4821-baee-48c7c8fb6490/Online%20financial%20frauds%20and%20scams%20in%20an%20AI%20world_PT.pdf

Caixa Geral de Depósitos, Saldo Positivo — SIM Swapping: o que é e como proteger o seu telemóvel (18 de novembro de 2024)
Fonte secundária, de um banco comercial: o texto português mais completo sobre os sinais.
https://www.cgd.pt/Site/Saldo-Positivo/formacao-e-tecnologia/Pages/sim-swapping.aspx

NCSC (Reino Unido) — Ativar a verificação em dois passos no e-mail

Em inglês, e fica em inglês: é a fonte da ideia em que esta ficha assenta — a caixa de correio protege-se primeiro, porque reconstrói as outras contas. Nenhuma fonte pública portuguesa o formula.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/activate-2-step-verification-on-your-email

Links verificados em setembro de 2026. A linha do consumidor da ANACOM é o 800 206 665; a página de segurança do teu banco diz que alertas oferece.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Consciência, ao nível FL3. A ação é simples; perceber porque funciona é a substância.

Competências

• Criar e proteger um endereço dedicado às contas financeiras.
• Mudar o endereço registado no banco sem perder o acesso.
• Encontrar e ativar os alertas de movimentos e de início de sessão.

Para profissionais e organizações

• Aplicar a mesma separação às contas que autorizam pagamentos.

Consciência

• Perceber que um endereço partilhado acumula exposição que não controlas.
• Reconhecer a via de recuperação como parte da segurança da conta.
• Saber que a separação funciona porque o endereço é desconhecido — e é por isso que a disciplina conta.

Para futuros formadores e embaixadores

• Perguntar quantos serviços têm o endereço principal de alguém: o número estimado faz o argumento sozinho.

Comportamento Seguro

• Manter o endereço financeiro só para contas financeiras.
• Manter os alertas ligados e lê-los.
• Rever que endereço está registado em cada serviço financeiro.
• Não dar palavras-passe, IBAN nem códigos de autenticação por e-mail ou telefone.

Para organizações

• Separar as contas ligadas a finanças dos endereços de correspondência geral.

G. Perguntas para levar contigo

1. Quantos serviços têm o teu endereço de e-mail principal? Estima, e depois pensa em quantos deles já tiveram uma fuga de dados.
2. É esse o endereço para onde o teu banco escreve?
3. Recebes uma notificação quando sai dinheiro da tua conta, ou descobres quando vais ver?
4. Se alguém controlasse a tua caixa de correio principal durante uma hora, a que chegava?
5. Sabes o que farias, e por que ordem, se o telemóvel desaparecesse hoje?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que se aplicam às contas financeiras.

O endereço de e-mail financeiro

• MS17 — Proteger o endereço de e-mail associado à conta bancária com uma palavra-passe única, forte e aleatória, e com autenticação multifator.
• R1 — Nunca reutilizar essa palavra-passe.
• R2 — Guardá-la num gestor de palavras-passe.
• R4 — Usar uma aplicação de autenticação ou uma chave física em vez de mensagens escritas.

Compromisso mínimo: a MS17 é a recomendação que esta ficha inteira desenvolve. A separação é o que a torna eficaz, e não apenas correta.

A conta em si

• R8 — Ativar os limites de tentativas e os alertas de início de sessão.
• R9 — Chegar ao banco por HTTPS, a partir de um marcador. O Banco de Portugal pede a verificação do «https://»; sobre o cadeado, vale a precisão da ficha do phishing: atesta a cifragem, não a identidade.
• MS12 — Verificar onde é que o teu número de telefone aparece publicamente e pedir a remoção.

Compromisso mínimo: se ficares por aqui, fica pelo marcador. É gratuito e retira toda a classe de ataques que começa numa ligação recebida.

Em resumo

• O endereço para onde o banco escreve faz parte da segurança do banco.
• Um endereço partilhado acumula exposição em fugas de dados em que não tiveste parte nenhuma.
• Um endereço dedicado funciona porque quase ninguém sabe que existe — por isso nunca o uses noutro sítio.
• O número é o outro ponto de acesso: o SIM card swap é, diz o Banco de Portugal, um pedido de segunda via do cartão numa loja de comunicações.
• Liga os alertas enquanto estás nas definições: são gratuitos e costumam vir desligados.

Outros recursos deste curso

O resto do quadro do banco online:

• Autenticação de dois fatores no banco online: os pontos de acesso
• Chave de segurança para o banco online, com o gestor
• Como reconhecer o phishing feito para convencer

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.