A 12 de outubro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Banco CTT: Verificação de Segurança da Sua Conta». A mensagem diz que foi detetada «uma tentativa de acesso não autorizado» à conta Homebanking e que a sessão foi «temporariamente suspensa». Analisámos o e-mail num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os cinco sinais de alerta
- «Banco CTT – Segurança». Um cabeçalho simples, com as cores do banco.
- «Exmo(a). Senhor(a)». Saudação genérica, sem o nome do cliente.
- Um alarme falso. «Tentativa de acesso não autorizado» e «sessão temporariamente suspensa»: o medo faz agir depressa.
- «Ação necessária». Pede para «confirmar os dados da conta» — exatamente o que um banco nunca pede por e-mail.
- O botão não leva ao banco. «Reativar a Minha Conta» é um link curto de um serviço público.
Um domínio parecido com o do banco
O endereço de envio é no_reply[@]bancoctt[.]eu[.]pt: à primeira vista parece do banco, mas o domínio é bancoctt[.]eu[.]pt, diferente do domínio do site do Banco CTT (bancoctt.pt). A mensagem vai buscar o ícone ao site verdadeiro do banco; o resto não vem de lá.
Como reconhecer: leia o domínio do remetente até ao fim. Uma terminação diferente — como «.eu.pt» em vez de «.pt» — chega para ser outro endereço.
O link curto que esconde o destino
O botão aponta para hxxps://shorturl[.]asia/8wn0ai, um endereço de um serviço público de links curtos. Quando o visitámos, a 5 de novembro de 2026, o serviço mostrou uma página de verificação (HTTP 403); por isso, não observámos o destino.
Este mês analisámos outros e-mails em nome do Banco CTT, com outro aspeto: falso pedido para reativar o acesso e falsa «verificação obrigatória».
Recebeu um e-mail destes?
- Não clique. Se receber um alerta de segurança, entre no homebanking escrevendo o endereço do banco à mão, ou ligue para o número que está no site oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores deste e-mail — o link curto e o remetente — e o hash do ficheiro de cada e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxps://shorturl[.]asia/8wn0ai | Link curto do botão | Bloquear este link (não o serviço de links curtos) |
no_reply[@]bancoctt[.]eu[.]pt | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Banco CTT foi imitado e não tem qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR ao e-mail recebido a 12/10/2026, em laboratório isolado.