A 5 de outubro de 2026, em menos de uma hora, chegaram a caixas de correio em Portugal quatro e-mails iguais com o assunto «RE: Confirmação de dados – 72 horas para concluir», seguido de um código diferente em cada um. Dizem vir do «Banco CTT» e avisam que a conta «foi colocada em restrição temporária». Analisámos as mensagens num laboratório isolado: é phishing.
Os cinco sinais de alerta
- Leis e entidades a dar peso. O texto cita a Diretiva dos Serviços de Pagamento (DSP2), a Lei n.º 83/2017, o Aviso 2/2018 do Banco de Portugal e a CMVM. São referências reais, usadas para dar ar oficial a um pedido que nenhuma delas exige por e-mail.
- Conta «em restrição» e 72 horas. «A sua conta foi colocada em restrição temporária. Prazo para concluir a confirmação: 72 horas.»
- O botão não leva ao banco. «Confirmar dados» abre um endereço numérico, sem nome de domínio — nunca o site do banco.
- Conselhos de segurança copiados. O bloco «Situações suspeitas» repete os conselhos do banco («nunca lhe irá pedir o PIN, a palavra-passe…») para inspirar confiança — no mesmo e-mail que pede para confirmar dados.
- Código do modelo à vista. No rodapé, o link de cancelamento deixa ver pedaços de código do modelo («style=“color:#231F20…”») — um erro na montagem do modelo da mensagem.
O remetente e o destino
O nome mostrado é «Banco CTT», mas cada e-mail veio de um endereço diferente de um serviço de alojamento web (csh-…[@]smtp-out-sh[.]livemail[.]co[.]uk), sem SPF, DKIM nem DMARC, e foi enviado por um script PHP, normalmente usado em sites. O assunto começa por «RE:», como se respondesse a uma conversa que nunca existiu.
O botão não tem um nome de domínio: aponta para um endereço numérico escrito em formato IPv6, com um endereço IPv4 lá dentro — por exemplo, hxxp://[0000:0000:0000:0000:0000:FFFF:5E2E:AC76]/dhx-qcy?lang=pt. O caminho (três letras ou números, um hífen e mais três) muda de e-mail para e-mail.
Quando seguimos os links, a 6 de novembro de 2026, o servidor não respondeu; por isso não observámos a página.
Já vimos este formato de link — endereço numérico em IPv6 e caminho com três caracteres, um hífen e mais três — noutras campanhas que analisámos: «Caixa Empresas» e Millennium bcp, Universo+ e Crédito Agrícola.
Outros e-mails em nome do Banco CTT que analisámos: «reativar o acesso», «conta em risco de bloqueio» e «acesso não autorizado».
Recebeu um e-mail destes?
- Não clique. Entre no homebanking escrevendo o endereço do banco à mão ou use a aplicação oficial; em caso de dúvida, ligue para o número que está no seu cartão ou no site oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores destes quatro e-mails — os links, os remetentes e os hashes dos ficheiros dos e-mails à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS, gateways de correio e ferramentas de deteção.
| Indicador | Papel | Ação |
|---|---|---|
hxxp://[0000:0000:0000:0000:0000:FFFF:5E2E:AC76]/dhx-qcy?lang=pt | Destino do link | Bloquear |
hxxp://[0000:0000:0000:0000:0000:FFFF:5E2E:AC76]/mbl-qk5?lang=pt | Destino do link | Bloquear |
hxxp://[0000:0000:0000:0000:0000:FFFF:5E2E:AC76]/6zc-2lz?lang=pt | Destino do link | Bloquear |
hxxp://[0000:0000:0000:0000:0000:FFFF:5E2E:AC76]/0ap-inh?lang=pt | Destino do link | Bloquear |
csh-dpyhbc[@]smtp-out-sh[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
csh-bg46j4[@]smtp-out-sh[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
csh-5aerml[@]smtp-out-sh[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
csh-mtut2g[@]smtp-out-sh[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
8ae789dcc870ed4be879a02127121b4ef598c59c3e7a7d525d573c8dc4d429ad | Ficheiro do e-mail | Bloquear (SHA-256) |
c3e647d758119e5cec7d612690bb4c6051ca329882cf48c4363e60dc05cd4262 | Ficheiro do e-mail | Bloquear (SHA-256) |
9e1639ed2aaa6fbf1bbff207b094a42690a7de3877b400bc155ce70d5f53b4bc | Ficheiro do e-mail | Bloquear (SHA-256) |
03413aeaae21d5fed793bd85cd9e47614ee5044d304de4134d1e84e805059070 | Ficheiro do e-mail | Bloquear (SHA-256) |
Na lista, os mesmos links aparecem também escritos de outras duas formas (com o endereço IPv4 e em IPv6 abreviado), para que as ferramentas os reconheçam em qualquer formato.
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na análise feita a 6 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos, nos links e nos ficheiros à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a entidade imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Banco CTT foi imitado e não tem qualquer responsabilidade nestas mensagens.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing e de anexos maliciosos com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566, Phishing
- Análise da HJFR aos quatro e-mails recebidos a 05/10/2026, em laboratório isolado.