A 4 de novembro de 2026, uma caixa de correio em Portugal recebeu cinco e-mails em nome do «Banco CTT», com três assuntos diferentes — «Banco CTT Online: Confirme a Atualização de Segurança Hoje», «O seu acesso ao Banco CTT Online será suspenso – Atualize agora» e «Notificação de Segurança: Prazo de 5 Dias Úteis para Regularização» — e o mesmo conteúdo. Dizem que a «atualização de segurança» da conta não foi concluída e que o acesso será suspenso se não for feita em cinco dias úteis. Analisámos os e-mails num laboratório isolado: são phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os seis sinais de alerta
- «Atualização de Segurança Pendente». Um título técnico, para parecer um procedimento normal do banco.
- «Estimado(a) Cliente». Saudação genérica, sem o nome do cliente.
- «Apesar das notificações anteriores». Finge que já houve avisos — para criar culpa e pressa.
- Prazo de «5 dias úteis». Sem a atualização, o acesso ao Banco CTT Online e à aplicação seria «temporariamente suspenso».
- O botão não leva ao banco. «Atualizar Dados de Segurança» passa por serviços de rastreio de cliques e segue para outro domínio.
- Ameaça de «taxas». Diz que a reposição manual do acesso pode ter «taxas de reposição / gestão»: mais uma razão para clicar já.
Remetentes que não são o banco
O nome mostrado é «Banco CTT», «S.A.», mas os cinco e-mails vieram de três endereços diferentes do domínio speed[.]at — 972853[@]speed[.]at, 963018[@]speed[.]at, 640247[@]speed[.]at —, que não é um domínio do Banco CTT.
Como reconhecer: veja o endereço completo do remetente, não apenas o nome. Uma mensagem do Banco CTT vem de um domínio do banco.
Um link que passa por vários sítios
O botão não aponta diretamente para o destino: passa primeiro por dois serviços legítimos de rastreio de cliques, usados por plataformas de envio de e-mail, e só depois segue para hxxps://vavillacesme[.]com/bco/Bot[.]php (com um código no fim que muda a cada clique). Quando seguimos o link, a 5 de novembro de 2026, o serviço de rastreio recusou o acesso (HTTP 403); por isso, não observámos a página final.
Este mês analisámos outros e-mails em nome do Banco CTT, com outro aspeto: falso pedido para reativar o acesso, falsa «conta em risco de bloqueio» e falsa «verificação obrigatória».
Recebeu um e-mail destes?
- Não clique. Para confirmar os seus dados, entre no homebanking escrevendo o endereço do banco à mão, ou use a aplicação oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores destes e-mails — o destino do botão e os remetentes — e o hash do ficheiro de cada e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxps://vavillacesme[.]com/bco/Bot[.]php | Destino do botão (sem o código final) | Bloquear |
972853[@]speed[.]at | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
963018[@]speed[.]at | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
640247[@]speed[.]at | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Banco CTT foi imitado e não tem qualquer responsabilidade nestas mensagens.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR aos e-mails recebidos a 04/11/2026, em laboratório isolado.