Golpe SMS dos CTT: nova vaga de smishing engana portugueses com falsas taxas alfandegárias

Uma onda renovada de fraude por SMS está a atingir Portugal

O Centro Nacional de Cibersegurança (CNCS) e a PSP voltaram a emitir alertas sobre uma vaga particularmente agressiva de smishing a fazer-se passar pelos CTT. As mensagens, enviadas em massa para números portugueses, informam a vítima de que uma encomenda está retida por falta de pagamento de uma pequena taxa alfandegária — normalmente entre 1,79€ e 2,99€. O valor baixo é intencional: reduz a resistência psicológica e leva o utilizador a clicar sem pensar.

Porque é que esta variante é mais perigosa

A novidade nesta campanha não está no esquema em si, que já é conhecido, mas na sofisticação técnica. Os domínios usados — como ctt-pt.info, ctt-encomenda.com ou variantes com caracteres cirílicos praticamente indistinguíveis a olho nu — são registados e queimados em poucas horas, dificultando o bloqueio por parte das operadoras e do próprio CNCS. Além disso, as páginas de destino já usam certificados HTTPS válidos e replicam com precisão milimétrica o novo layout do site oficial dos CTT.

Depois de introduzir os dados do cartão, a vítima é encaminhada para uma página que pede um código de autenticação forte (SCA) recebido por SMS do banco. Ao introduzi-lo, autoriza sem saber uma transferência ou a adição do cartão a uma carteira digital controlada pelos criminosos, contornando assim a proteção adicional imposta pela regulamentação PSD2.

O papel das carteiras digitais no golpe

Investigadores da comunidade portuguesa de cibersegurança têm documentado que muitas destas fraudes acabam com o cartão da vítima adicionado a um Apple Pay ou Google Wallet num telemóvel do atacante. A partir daí, os pagamentos por aproximação são feitos em lojas físicas, muitas vezes fora do país, e o titular só se apercebe quando recebe as notificações. Este vetor tem crescido de forma preocupante e representa hoje uma das principais causas de perda financeira associada a smishing em Portugal.

Como se proteger de forma prática

Os CTT recordam que nunca pedem pagamentos por SMS com links. Se receber uma mensagem suspeita, o procedimento recomendado é simples: não clicar, apagar e, idealmente, reencaminhar para o número 505, o canal criado pela ANACOM e operadoras para reportar comunicações fraudulentas. Verificar o estado de encomendas deve ser feito exclusivamente na aplicação oficial ou escrevendo o endereço ctt.pt manualmente no navegador.

No telemóvel, ativar o filtro de remetentes desconhecidos (disponível em iOS e Android) reduz significativamente a exposição. Nos cartões bancários, vale a pena rever os limites de pagamento contactless e ativar notificações instantâneas para qualquer movimento, por mais pequeno que seja.

O que fazer se já clicou

Se introduziu dados de cartão numa destas páginas, deve contactar o banco de imediato para bloquear o cartão e verificar se existem carteiras digitais associadas que não reconhece. É também aconselhável apresentar queixa junto da PSP ou GNR e reportar o incidente à Linha Internet Segura. Quanto mais rápido for o cancelamento, menor é a janela de exploração dos criminosos — e, em muitos casos, é possível travar cobranças antes que sejam efetivamente liquidadas.

Uma ameaça que veio para ficar

Enquanto o custo de enviar SMS em massa continuar a ser residual e a taxa de sucesso destas campanhas se mantiver na casa dos dígitos únicos — o que ainda assim é altamente lucrativo à escala — o smishing dificilmente vai desaparecer. A defesa mais eficaz continua a ser a informação: partilhar estes alertas com familiares menos atentos ao mundo digital, sobretudo idosos, é provavelmente o gesto de cibersegurança mais útil que qualquer utilizador em Portugal pode fazer hoje.

Siga o NetThings no Google News

Fique a par de todas as novidades tecnológicas em tempo real.

⭐ SEGUIR NO GOOGLE NEWS

Acompanhe-nos também em:

FACEBOOK INSTAGRAM X