Spear phishing: porque é que uma mensagem falsa sabe tanto de ti

Ficha complementar da lição “Phishing: reconhecer e prevenir” — curso Privacidade online

O spear phishing, ou phishing dirigido, é uma mensagem de burla escrita para uma só pessoa: usa o teu nome, o teu trabalho, um colega ou um acontecimento recente para te parecer familiar. Este recurso olha para o phishing pelo lado da privacidade: de onde vêm esses detalhes, como ver o que já existe sobre ti e como deixar menos material à próxima mensagem.

A. Porque é que isto importa

O phishing é a burla que se faz passar por uma pessoa ou por uma entidade de confiança para obter dados ou levar-te a agir. Costuma explicar-se ensinando a reconhecer mensagens e páginas falsas, e isso está tratado no curso Segurança Online. Mas o phishing é também uma forma de reunir dados pessoais: uma palavra-passe, um número de conta, a resposta a uma pergunta de segurança. E são os dados pessoais que tornam uma mensagem credível.

É aqui que entra a privacidade. Neste curso, privacidade resume-se a três perguntas: o que se sabe sobre ti, quem o sabe e o que decides deixar saber. Uma mensagem personalizada responde às duas primeiras, escrita por alguém que não escolheste. Perceber como foi montada é o ponto de partida para mudar isso.

Uma mensagem convincente não é culpa tua. Foi feita para parecer normal, e dar por ela é uma competência que se treina, não um exame em que se passa ou se chumba.

O que dizem as fontes

O Centro Nacional de Cibersegurança (CNCS) escreve, a propósito das redes sociais: «Através de posts é possível conduzir os utilizadores a partilharem informação privada». Na página atualizada em setembro de 2022, recomenda as definições de privacidade mais restritas, aceitar pedidos de ligação só de pessoas conhecidas e não indicar o telemóvel nem a morada no perfil.

A DECO PROTESTE, associação de defesa do consumidor, descreve, a propósito das chamadas em que alguém se faz passar pelo banco, que quem liga refere dados concretos sobre a vítima, que podem estar à vista em perfis públicos de redes sociais. Com esses pormenores, a chamada parece mais credível.

O Banco de Portugal aconselha, perante um e-mail de origem duvidosa, a não responder, a não clicar nas ligações nem abrir anexos e a ir diretamente ao site da entidade.

As violações de dados são a outra origem. Segundo a DECO PROTESTE, numa violação de dados pessoas sem autorização acedem a dados a que não deviam aceder, entre eles nomes, cartões de identificação, números de contribuinte, moradas e endereços de e-mail. A propósito de um ataque informático a um retalhista, em março de 2025, a mesma entidade avisou que as pessoas afetadas podem ser alvo de phishing, para os criminosos obterem os dados que lhes faltam, e aconselhou mais atenção aos e-mails e SMS recebidos.

B. Conceitos-chave

Cinco ideias que ligam o phishing ao que se sabe sobre ti.

O phishing como recolha de dados

Uma mensagem, uma chamada ou uma página web que finge vir de alguém de confiança para obter algo de ti. Muitas vezes esse algo é um dado: uma palavra-passe, um código de utilização única, os dados do cartão.

Porque é que isto importa para ti: Muda a pergunta que fazes. Já não é só «isto é verdadeiro?», mas também «o que me estão a pedir que entregue?». A DECO PROTESTE lembra, a propósito das chamadas fraudulentas, que «o banco nunca solicita por telefone palavras-passe, credenciais de acesso ou códigos».

O spear phishing

Uma mensagem de phishing escrita para uma pessoa ou para um grupo pequeno, com detalhes que lhe assentam: um nome, uma função, um colega, uma viagem. Em inglês, spear é uma lança: em vez de lançar uma rede, aponta-se a uma presa concreta. A mensagem pode pedir-te que inicies sessão através de uma ligação (link) ou que abras um anexo.

Porque é que isto importa para ti: Uma mensagem que menciona algo verdadeiro sobre ti parece de confiança. Saber que os detalhes verdadeiros se podem encontrar ou ter sido expostos ajuda-te a separar «esta mensagem conhece-me» de «esta mensagem vem de alguém que eu conheço».

O que se encontra sobre ti

Tudo o que alguém consegue descobrir sem te perguntar: o que publicas em aberto, o que outras pessoas publicam sobre ti, os perfis que mostram a tua empresa e a tua função, as listas onde aparecem o teu telemóvel, a tua morada ou o teu e-mail.

Porque é que isto importa para ti: É a matéria-prima do spear phishing e a parte em que podes influir mais. Cada detalhe parece inofensivo; juntos, contam uma história. O CNCS recorda que, depois de publicado, um conteúdo pode ser copiado e partilhado por outras pessoas.

As violações de dados

Uma violação de dados pessoais é um incidente em que os dados guardados por um serviço ficam expostos ou são roubados; na linguagem corrente fala-se também em fuga de dados. Não a podes desfazer, mas podes verificar se o teu e-mail apareceu nalguma e mudar as palavras-passe que ficaram expostas. Para essa verificação, a DECO PROTESTE indica o Have I Been Pwned, um serviço gratuito, com o site em inglês.

Porque é que isto importa para ti: Assim, uma fuga antiga não abre portas novas.

Se já clicaste

Acontece, e pode resolver-se com calma. O que importa é saber o que partilhaste.

Se indicaste dados do banco ou de um cartão, contacta o banco de imediato: é o primeiro passo que a GNR indica a quem foi vítima. Se escreveste uma palavra-passe, muda-a em todas as contas em que a usas. Guarda as mensagens e as capturas de ecrã, que podem servir de prova. Se o teu número foi usado na burla, a DECO PROTESTE aconselha a avisar os teus contactos e o teu operador.

Podes apresentar queixa na GNR, na PSP, na Polícia Judiciária ou no Ministério Público, presencialmente ou através do portal Queixa Eletrónica. A APAV tem a Linha de Apoio à Vítima, 116 006, em chamada gratuita. O 112 serve apenas para perigo imediato.

Porque é que isto importa para ti: Uma sequência clara transforma um momento inquietante numa lista curta de passos, e não tens de a percorrer sem apoio.

C. Um exemplo concreto: a Eva e o convite para falar num evento

A Eva tem 35 anos e trabalha em marketing, em Lisboa; lida todos os dias com dados de clientes. Numa segunda-feira chega-lhe um e-mail que parece vir da organização de um evento do setor onde falou na primavera passada.

A mensagem usa o nome completo e a função dela, refere o título da intervenção, menciona o Rui, o colega que a acompanhou, e convida-a a voltar. Para «confirmar a inscrição como oradora», tem de iniciar sessão num portal com o e-mail e a palavra-passe do trabalho e carregar os diapositivos do ano anterior.

Cada detalhe era verdadeiro, e por isso nada parecia estranho.

O que a fez parar foi o pedido para iniciar sessão através de uma ligação. Procurou o contacto da organização no site do evento e perguntou. A organização confirmou que não tinha enviado convite nenhum.

O que mudou quando a Eva seguiu o rasto dos detalhes

Nessa noite, com mais curiosidade do que alarme, fez o exercício que se segue e procurou a origem de cada detalhe:

• O nome, a função e a empresa estavam no perfil profissional público.
• A intervenção e o Rui apareciam numa publicação pública, com uma fotografia dos dois no palco.
• O e-mail do trabalho seguia o mesmo padrão dos endereços dos colegas, que constam de uma lista pública.
• Uma verificação mostrou o e-mail dela em duas violações de dados, em serviços de que se tinha esquecido; numa delas ficara exposta uma palavra-passe.

Tomou três decisões. Ainda usava essa palavra-passe em duas contas, por isso mudou-a em ambas e ativou um segundo fator no e-mail principal. Limitou a publicação do evento aos contactos. E reencaminhou a mensagem falsa para a equipa informática da empresa, para os colegas ficarem avisados.

Manteve o perfil profissional público, porque o trabalho dela o exige. Também isso foi uma decisão, agora tomada com conhecimento do uso que lhe podem dar.

D. Agora é a tua vez: vê o que alguém mal-intencionado poderia encontrar sobre ti (20 minutos)

Quatro passos curtos. Não são um teste: mostram-te o que se encontra sobre ti, para decidires o que fazer com isso.

Passo 1 — Verifica o teu e-mail em violações de dados (5 minutos)

• Escreve o teu e-mail principal num serviço de verificação de violações de dados, como o Have I Been Pwned, que a DECO PROTESTE indica. Segundo as perguntas frequentes do serviço, o site não regista explicitamente as pesquisas, mas usa ferramentas de análise e de diagnóstico.
• Se preferires não escrever o endereço num serviço de terceiros, podes saltar este passo: o resto do exercício continua a fazer sentido.
• Regista cada violação e o que expôs: e-mails, palavras-passe, telefones.
• Não encontrar nada é informação útil, embora não garanta que os teus dados não estejam noutro sítio. Encontrar alguma coisa não diz nada sobre os teus hábitos: as violações acontecem nas empresas.

Passo 2 — Olha para ti de fora (6 minutos)

• Pesquisa o teu nome completo juntamente com a cidade, a empresa ou a profissão.
• Abre os teus perfis principais sem sessão iniciada, ou numa janela privada do navegador, para ver mais ou menos o que vê uma pessoa que não te segue.
• Faz uma lista dos detalhes que alguém poderia usar: empresa, função, colegas, nomes de familiares, datas de viagem, o teu e-mail ou o padrão dos endereços da empresa.

Passo 3 — Escreve a mensagem que te poderiam enviar (4 minutos)

• Escolhe três detalhes da lista e imagina uma mensagem curta e credível feita com eles.
• Anota o que te pediria para fazer: iniciar sessão, pagar, enviar um documento, confirmar um dado.
• Essa é a mensagem para a qual vale a pena ter uma resposta pensada de antemão.

Passo 4 — Faz uma ou duas alterações (5 minutos)

• Se uma violação expôs uma palavra-passe que ainda usas, muda-a em todas as contas onde a usas.
• Escolhe um detalhe do passo 2 que não precisas de mostrar em público e limita quem o pode ver. O CNCS aconselha a não indicar o telemóvel nem a morada nos perfis e nas publicações.

• Se encontraste ligações que mostram dados teus nos resultados de uma pesquisa pelo teu nome, a CNPD explica que podes pedir aos motores de pesquisa que as retirem, indicando cada ligação. O pedido dirige-se ao responsável pelo tratamento e o direito ao apagamento só se aplica em certas circunstâncias. Sem resposta no prazo legal de 30 dias, ou perante uma recusa sem justificação, é possível recorrer à CNPD.

O objetivo não é desaparecer. É saber o que alguém pode encontrar sobre ti e decidir que parte disso continua à vista.

Já tratado no curso Segurança Online

Como reconhecer o phishing feito para convencer
Trata do lado da segurança: páginas clonadas, endereços parecidos, códigos captados em tempo real e o hábito de chegar às contas importantes por um marcador guardado. Este recurso olha para os dados pessoais que tornam uma mensagem convincente.

E. Vídeos, artigos e outros recursos

Primeiro as fontes portuguesas, de entidades públicas e de defesa do consumidor, e depois a ferramenta do exercício.

Entidades públicas

CNCS — Boas práticas nas redes sociais
O que o Centro Nacional de Cibersegurança recomenda sobre informação pessoal, definições de privacidade e pedidos de ligação. Atualizada em setembro de 2022.
https://www.cncs.gov.pt/pt/boas-praticas-nas-redes-sociais/

GNR — Burlas online
O que é o phishing, o que fazer se fores vítima e onde apresentar queixa, incluindo a Queixa Eletrónica e a linha da APAV.
https://www.gnr.pt/Cons_Burlas.aspx

CNPD — Direito ao apagamento dos dados
Quando se aplica o direito ao apagamento, como o exercer junto do responsável pelo tratamento e como pedir a remoção de ligações nos motores de pesquisa.
https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/

Banco de Portugal — Dia da Internet Mais Segura. Dicas para se proteger do roubo de identidade.
Conselhos sobre phishing, palavras-passe e definições de privacidade, de fevereiro de 2024.
https://clientebancario.bportugal.pt/pt-pt/noticias/dia-da-internet-mais-segura-dicas-para-se-proteger-do-roubo-de-identidade

Defesa do consumidor

DECO PROTESTE — Spoofing: mensagens falsas usurpam identidade e levam a burlas
Como os burlões se fazem passar por outra entidade, que pormenores usam e o que fazer se fores vítima.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/dicas/spoofing-mensagens-falsas-usurpam-identidade-levam-burlas

DECO PROTESTE — Data breach: 6 dicas para se proteger da violação de dados online
O que é uma violação de dados e seis dicas para reduzir o risco, com a indicação do Have I Been Pwned.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/dicas/data-breach-6-dicas-proteger-violacao-dados-online

DECO PROTESTE — El Corte Inglés alvo de ataque cibernético: o que fazer
O que fazer depois de uma violação de dados num retalhista, incluindo o aviso sobre phishing. Março de 2025.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/noticias/el-corte-ingles-alvo-ataque-cibernetico-que-fazer

Ferramenta do exercício

Have I Been Pwned — FAQs
O que faz o serviço de verificação de violações de dados e como trata as pesquisas. Em inglês.
https://haveibeenpwned.com/FAQs

Ligações verificadas em outubro de 2026. Se um endereço mudar, procurar o título no site da entidade ajuda muitas vezes a encontrá-lo.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

O nível de referência deste conteúdo é o FL2 – Inicial. Este recurso apoia-se no pilar Consciência: perceber como se pode usar o que se sabe sobre ti e escolher o que deixar à vista.

Competências

• Verificar se o teu e-mail apareceu numa violação de dados conhecida.
• Ver os teus perfis mais ou menos como os vê uma pessoa que não te conhece.
• Seguir com calma a lista curta de passos depois de um clique.

Consciência

• Reconhecer que uma mensagem que sabe coisas verdadeiras sobre ti foi montada, não enviada por alguém que conheces.
• Saber de onde vêm esses detalhes: publicações públicas e violações de dados antigas.
• Ver o phishing como recolha de dados.

Comportamento Seguro

• Confirmar um pedido inesperado por um canal que tenhas encontrado tu.
• Mudar uma palavra-passe exposta em todas as contas onde a usas.
• Deixar público apenas o que tens um motivo para mostrar.

G. Perguntas para refletir

• Que três detalhes sobre ti tornariam mais convincente uma mensagem de burla, e onde os pode encontrar alguém de fora?
• Alguma conta antiga que já não usas partilha a palavra-passe com algo importante?
• Quando uma mensagem sabe algo verdadeiro sobre ti, qual é a tua primeira verificação?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base de dados do Cyber Welfare que se aplicam mais diretamente a este tema.

1. Antes de agires perante uma mensagem

• R16 — E-mails que se fazem passar pelo banco: ao banco entra-se pela porta que já conheces: se uma mensagem te pede dados, contacta a entidade pelos meios que já tens.
• R17 — Não abras anexos de origem desconhecida: primeiro percebe quem os envia e porquê, mesmo quando a mensagem usa o teu nome.
• R23 — Seguir apenas pessoas conhecidas nas redes sociais: o teu círculo decide quem te vê: quem não conheces não vê os detalhes que partilhas com os teus contactos.

Esforço mínimo: da próxima vez que uma mensagem souber algo verdadeiro sobre ti e te pedir que atues, confirma-a por um canal que tenhas encontrado tu.

2. Para que os dados recolhidos valham menos

• R4 — Proteger as contas com um segundo fator: a defesa que aguenta quando a palavra-passe cede: começa pelo e-mail principal, para que uma palavra-passe exposta numa violação não chegue sozinha.
• R29 — Mensagens enviadas em teu nome: o que fazer quando um contacto te avisa: se uma conta tua cair em mãos alheias, pede aos teus contactos que desconfiem das mensagens recentes que saíram dela.

Esforço mínimo: verifica o teu e-mail principal num serviço de verificação de violações de dados e muda cada palavra-passe exposta que ainda uses.

Em resumo

• O spear phishing usa detalhes verdadeiros sobre ti para parecer familiar: a familiaridade foi montada, não conquistada.
• Esses detalhes podem vir do que se encontra online e de violações de dados antigas.
• Podes verificar o teu e-mail em violações conhecidas, ver os teus perfis como os vê quem não te conhece e escolher o que fica público.
• Se clicaste, age sobre o que partilhaste: contacta o banco, muda as palavras-passe e apresenta queixa.

Recursos associados neste curso

• Chamadas de spam: por onde anda o teu número e como reduzi-las
• Burlas com voz clonada: como o que publicas serve de amostra
• Palavra-código de família: trava as burlas feitas com IA
• Privacidade nas redes sociais: revê as definições em 10 minutos

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.