Infostealer: o software malicioso que rouba os acessos

Ficha complementar da lição “O software malicioso que rouba os acessos” — curso Segurança Online

A maior parte do software malicioso acaba por se denunciar. Um infostealer é feito para não o fazer: copia aquilo que o teu navegador se lembra a teu respeito e envia-o para outro lado. Esta ficha explica o que ele leva, como costuma chegar, e a ordem dos passos que volta a fechar a porta.

Uma nota antes de começar. O termo fica em inglês também em português — infostealer —, porque não existe decalque atestado: é assim que o CNCS e a imprensa portuguesa o escrevem. E é o único tema deste lote em que Portugal tem a fonte certa e ela não foi acessível: a página do CNCS sobre infostealers não abriu durante a verificação, e nenhuma outra autoridade portuguesa trata o assunto de frente. A ficha usa por isso fontes internacionais no que é essencial, e diz onde o faz. O que existe em português é o nome do crime: a Polícia Judiciária emitiu um alerta ao cidadão sobre «burla informática através de captura de credenciais de correio eletrónico» — e captura de credenciais é o termo português que o curso adota.

A. Porque é que isto conta

As lições anteriores desta secção ensinaram-te a ler sinais, e esse continua a ser o hábito certo. Mas há uma família de software malicioso construída para não dar sinal nenhum, e o alvo não é o teu aparelho. São os teus acessos.

O que ela procura é aquilo que o navegador guarda para que tu não tenhas de guardar, incluindo os cookies de sessão — os ficheiros pequenos que provam que já iniciaste sessão. Uma sessão é criada depois de teres passado a palavra-passe e o segundo fator, por isso quem a copia não precisa de nenhum dos dois. O segundo fator continua a contar, porque impede que uma palavra-passe roubada sirva para entrar outra vez. Só não consegue proteger uma sessão que já foi copiada.

Nada disto significa que tenhas sido descuidado. Os infostealers chegam quase sempre com o aspeto de uma coisa inteiramente banal.

O que se vê disto em Portugal

O Banco de Portugal trata o resultado sem nomear o veículo: fala de roubo de identidade e atribui os incidentes a «palavras-passe fracas, falta de proteção adequada ou cliques em links maliciosos». Diz onde se chega, não como. A Polícia Judiciária dá o enquadramento penal, com o alerta sobre captura de credenciais de correio eletrónico. E o CNCS, num boletim do Observatório de Cibersegurança de 2024 citado pela imprensa portuguesa, descreve os infostealers como código malicioso que «recolhe dados extremamente delicados tais como palavras-passe, cookies, detalhes bancários, carteiras de criptomoedas, emails e outros documentos».

Esta última é uma citação de segundo grau — o curso cita a imprensa que cita o CNCS — e fica assim declarada, porque a página original não foi acessível.

B. Conceitos-chave

Seis ideias sobre o que um infostealer leva e sobre o que limita o estrago.

Infostealer

Software malicioso desenhado para recolher informação de um aparelho e enviá-la para outro lado. A agência nacional de cibersegurança australiana descreve estes programas como feitos «para serem indetetáveis»; muitos apagam-se a si mesmos quando acabam. Encontram-se sobretudo em computadores.

Porque é que isto te interessa: «o meu computador parece estar bem» não é prova de nada, em nenhum dos sentidos. A pergunta é de onde veio o teu software, não como se sente o teu aparelho. Os números do boletim do CNCS de 2024, tais como a imprensa os reporta, dão a medida: trinta variantes seguidas, entrada por spearphishing com anexo em 43% dos casos e com ligação em 30%, e, do lado das capacidades, keylogging em 60%, captura de ecrã em 36% e recolha direta de credenciais em 46%.

Palavras-passe guardadas e preenchimento automático

Os acessos e os dados de cartão que o navegador preenche por ti.

Porque é que isto te interessa: num aparelho limpo é uma escolha razoável. Mas nenhuma forma de guardar palavras-passe é segura num aparelho já infetado, e é por isso que a prioridade é manter o aparelho limpo. O CNCS é mais direto do que isso na sua página sobre palavras-passe: diz para usar um gestor de palavras-passe e para não as guardar no navegador. É a recomendação portuguesa que mais se aproxima deste tema.

Cookie de sessão

Um ficheiro pequeno que o navegador guarda depois de iniciares sessão, para que o sítio não te peça a palavra-passe em cada visita. Pensa nele como a pulseira de um festival: mostraste o bilhete e a identificação à entrada, e a partir daí a pulseira é a única coisa que alguém verifica.

Porque é que isto te interessa: um cookie de sessão copiado pode deixar alguém entrar numa conta sem a tua palavra-passe e sem o teu segundo fator, porque as duas verificações já tinham sido feitas quando a sessão foi criada.

O que um segundo fator faz, e o que não faz

Um segundo fator — um código de uma aplicação, uma chave de segurança, uma chave de acesso — é pedido quando alguém inicia sessão.

Porque é que isto te interessa: impede que palavras-passe roubadas funcionem por si. Não cobre uma sessão que já foi copiada. Mantém-no, e acrescenta o passo que ele não pode fazer por ti: terminar sessões.

Terminar sessões

A maioria dos serviços grandes deixa-te ver onde é que a tua conta tem sessão iniciada e terminá-la, muitas vezes sob nomes como «os teus dispositivos» ou «terminar sessão em todos os dispositivos». Nenhuma fonte primária portuguesa trata a sessão ativa como um objeto que se revoga à distância: este ponto fica na documentação das plataformas e nas fontes internacionais. O mais próximo em português é a instrução do Banco de Portugal para os canais digitais — «termine a sessão e saia da página» —, que é sobre a sessão à tua frente, não sobre as outras.

Porque é que isto te interessa: terminar uma sessão torna o cookie copiado inútil. Mudar a palavra-passe pode não ter esse efeito em todos os serviços, por isso fazem-se as duas coisas.

Um aparelho limpo

Um aparelho em que tens boas razões para confiar: limpo, reposto, ou nunca exposto.

Porque é que isto te interessa: se o infostealer ainda estiver a correr, copia também a palavra-passe nova que escreveres. Muda as palavras-passe só a partir de um aparelho limpo.

C. Um exemplo concreto: o editor de vídeo gratuito

O Rui procurou um editor de vídeo conhecido, e um anúncio no topo dos resultados oferecia uma transferência gratuita. Instalou, funcionou, e o Rui esqueceu-se do assunto.

Algumas semanas depois, dois amigos perguntaram-lhe porque é que a conta dele numa rede social lhes estava a enviar ligações estranhas.

O Rui mudou a palavra-passe no mesmo portátil e ativou um segundo fator. Dois dias depois, as mensagens voltaram. Nada do que ele fez foi despropositado. Mas o portátil continuava infetado, por isso a palavra-passe nova foi copiada também, e o segundo fator nada fez quanto à sessão que já tinha sido levada.

O que mudou o desfecho

• O Rui deixou de iniciar sessão em qualquer coisa no portátil e passou a usar um telemóvel que nunca tinha tido o editor instalado.
• A partir do telemóvel, mudou primeiro a palavra-passe do e-mail, porque é o e-mail que redefine as outras, e depois usou «terminar sessão em todos os dispositivos» no e-mail e na rede social.
• O portátil foi reposto e restaurado a partir de uma cópia de segurança feita antes da transferência; o editor voltou, do sítio do próprio fabricante.

As mensagens pararam. A diferença foi a ordem: aparelho limpo primeiro, depois as palavras-passe, e só depois terminar todas as sessões.

D. Experimenta: uma verificação discreta dos teus acessos (20 minutos)

Quatro passos curtos. Nenhum deles parte do princípio de que algo está errado.

Passo 1 — Vê o que instalaste

• Abre a lista dos programas e das extensões do navegador no teu computador.
• De cada um, pergunta: veio da loja do sistema ou do sítio do próprio fabricante? Ou de um sítio de transferências, de um anúncio numa pesquisa, de uma cópia «gratuita» de um programa pago, de um ficheiro numa mensagem?
• Repara nas vezes em que colaste um comando porque uma página te pediu para «confirmar que não és um robô» ou para «corrigir» um erro.

Passo 2 — Abre a lista de sessões do teu e-mail

• Na tua conta de e-mail principal, encontra a lista dos aparelhos ou dos locais onde tens sessão iniciada, em geral em Segurança.
• Procura aparelhos, navegadores ou locais que não reconheças. Se algo parecer errado, passa já ao passo 3.

Passo 3 — Escreve a tua ordem

• Para o dia em que possas precisar dela, escreve estas quatro linhas num sítio a que chegues sem o computador:
• Parar de iniciar sessão no aparelho de que suspeitas.
• A partir de um aparelho limpo, mudar primeiro a palavra-passe do e-mail, depois as das outras contas importantes.
• Usar «terminar sessão em todos os dispositivos» em cada uma delas, para que todas as sessões existentes acabem.
• Limpar o aparelho suspeito — analisar, ou repor em caso de dúvida — antes de voltar a iniciar sessão nele.

Passo 4 — Toma uma decisão

• Escolhe um programa do passo 1 que não consigas garantir.
• Remove-o, ou substitui-o pela versão da loja oficial ou do sítio do próprio fabricante.

O passo 3 leva dois minutos, e num dia mau ninguém se lembra da ordem.

E. Vídeos, artigos e outros recursos

As fontes portuguesas primeiro, onde existem. A definição, a cadeia de infeção e o que fazer depois ficam em fontes internacionais, porque nenhuma fonte portuguesa verificada as trata.

CNCS — Boas práticas no uso de palavras-passe
A recomendação portuguesa mais próxima deste tema: doze caracteres, uma palavra-passe por serviço, um gestor de palavras-passe, e não as guardar no navegador.
https://www.cncs.gov.pt/pt/boas-praticas-passwords/

Polícia Judiciária — Alertas ao Cidadão
Onde está o alerta sobre «burla informática através de captura de credenciais de correio eletrónico», que dá o termo português e o nome do crime.
https://www.policiajudiciaria.pt/alertas-2/

Banco de Portugal — Dia da Internet Mais Segura: dicas para se proteger do roubo de identidade
O resultado visto do lado do cliente bancário: como as credenciais acabam em mãos alheias.
https://clientebancario.bportugal.pt/pt-pt/noticias/dia-da-internet-mais-segura-dicas-para-se-proteger-do-roubo-de-identidade

Banco de Portugal — Cuidados a ter na utilização de canais digitais
«Termine a sessão e saia da página», e a recomendação de evitar equipamentos públicos.
https://clientebancario.bportugal.pt/pt-pt/cuidados-ter-na-utilizacao-de-canais-digitais

Tek (SAPO) — Infostealers estão cada vez mais sofisticados: o CNCS explica o que é e como atua este malware
Reporta o Boletim n.º 1/2024 do Observatório de Cibersegurança do CNCS, de onde vêm os números desta ficha. Citação de segundo grau, porque a página do CNCS não foi acessível; as recomendações do boletim são dirigidas a organizações.
https://tek.sapo.pt/noticias/computadores/artigos/infostealers-estao-cada-vez-mais-sofisticados-cncs-explica-o-que-e-e-como-atua-este-malware

Australian Signals Directorate — Information stealer malware
Em inglês: o que os infostealers levam, como se espalham e porque são difíceis de notar. É a definição dirigida ao cidadão que falta em português.
https://www.cyber.gov.au/threats/types-threats/malware/information-stealer-malware

Australian Signals Directorate — Recover from malware
Em inglês: os passos de recuperação, incluindo mudar as palavras-passe a partir de um aparelho sem software malicioso.
https://www.cyber.gov.au/report-and-recover/recover-from/malware

NCSC (Reino Unido) — What to do if your device is infected
Em inglês: uma sequência calma de passos para limpar um telemóvel, um tablet ou um computador.
https://www.ncsc.gov.uk/section/respond-recover/citizen-infected-devices

Europol — Europol and Microsoft disrupt world’s largest infostealer Lumma
Em inglês: a operação internacional de maio de 2025 contra um dos infostealers mais usados.
https://www.europol.europa.eu/media-press/newsroom/news/europol-and-microsoft-disrupt-world%E2%80%99s-largest-infostealer-lumma

Microsoft Security Blog — Lumma Stealer: delivery techniques and capabilities

Em inglês: como o Lumma chegou às pessoas — anúncios em pesquisas, software pirateado, falsas páginas de «confirma que não és um robô», sítios comprometidos.
https://www.microsoft.com/en-us/security/blog/2025/05/21/lumma-stealer-breaking-down-the-delivery-techniques-and-capabilities-of-a-prolific-infostealer/

Microsoft (pt-PT) — O que é a página Atividade recente
O melhor equivalente em português europeu de uma lista de sessões e acessos recentes.
https://support.microsoft.com/pt-pt/account-billing/o-que-é-a-página-atividade-recente-23cf5556-4dbe-70da-82c8-bb3a8d8f8016

Google — Atividade dos dispositivos e eventos de segurança
Onde ver os aparelhos com sessão iniciada na conta, em português europeu.
https://myaccount.google.com/intro/device-activity?hl=pt-PT

Ligações verificadas em setembro de 2026. A página do CNCS sobre infostealers existe mas não respondeu durante a verificação: não é citada, para não lhe atribuir conteúdo que não foi lido.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Consciência, ao nível FL2, como contraponto às três lições de sintomas que a antecedem.

Competências

• Rever de onde vieram os programas do teu computador.
• Ler a lista de sessões de uma conta e terminar sessões.
• Executar uma recuperação na ordem certa, a partir de um aparelho limpo.

Para profissionais e organizações

• Ter um processo para tratar credenciais roubadas, e não apenas para evitar que o sejam: é o que o boletim do CNCS pede às organizações.

Consciência

• Perceber que algum software malicioso é feito para não deixar sinal.
• Saber que uma sessão roubada salta a palavra-passe e o segundo fator, e que o segundo fator continua a travar palavras-passe roubadas.
• Saber que captura de credenciais é uma burla informática, com um alerta próprio da Polícia Judiciária.

Para futuros formadores e embaixadores

• Contar a história pela ordem errada primeiro, como o Rui a viveu. É o que faz a ordem certa ficar.

Comportamento Seguro

• Obter software apenas nas lojas oficiais e nos sítios dos fabricantes.
• Nunca colar um comando porque uma página o pediu.
• Guardar as palavras-passe num gestor e não no navegador, como o CNCS recomenda.

G. Perguntas para levar contigo

1. De onde veio o último programa que instalaste no computador? Saberias descobri-lo?
2. Se o teu portátil estivesse infetado esta noite, que aparelho usarias para mudar a palavra-passe do e-mail?
3. Quando foi a última vez que viste a lista dos locais onde o teu e-mail tem sessão iniciada?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que se aplicam mais diretamente aqui.

1. Prevenção

• R26 — Transferir aplicações apenas das lojas oficiais; para programas de computador, a loja do sistema ou o sítio do próprio fabricante.
• R25 — Verificar a autenticidade de um programa antes de o instalar.
• R17 — Não abrir anexos inesperados.
• R6 — Manter o sistema, o navegador e as aplicações atualizados, com as atualizações automáticas ligadas.

Compromisso mínimo: remove ou substitui hoje um programa que não consigas garantir.

2. Limitar o estrago

• R4 — Ativar um segundo fator, a começar pelo e-mail principal. Impede que palavras-passe roubadas funcionem por si.
• R1 e R2 — Uma palavra-passe diferente por conta, guardada num gestor de confiança: uma palavra-passe roubada abre uma porta, não muitas.
• MS1 — Deixar o gestor gerar as palavras-passe, para que a nova nunca seja uma variação da roubada.
• R8 — Ativar os alertas de início de sessão. Não disparam sempre por uma sessão roubada, mas apanham as tentativas de usar palavras-passe roubadas.
• R19 — Manter uma cópia de segurança, que é o que torna possível repor um computador sem perder nada.

Compromisso mínimo: escreve a tua ordem de recuperação de quatro linhas do passo 3 e guarda-a longe do computador.

Em resumo

• Um infostealer é feito para não dar sinal. O alvo são os teus acessos, não o teu aparelho.
• Uma sessão copiada salta a palavra-passe e o segundo fator. O segundo fator continua a travar a reutilização de palavras-passe roubadas.
• Se suspeitares: aparelho limpo primeiro, depois a palavra-passe do e-mail, depois terminar sessão em todos os dispositivos, e só depois o resto.
• Em português há o nome do crime — captura de credenciais, burla informática — e a recomendação do CNCS de não guardar as palavras-passe no navegador. O resto desta ficha vem de fontes internacionais, e fica dito.

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.