A 15 de outubro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Atualização obrigatória dos seus dados», enviado em nome do «Banco CTT – Apoio ao Cliente». A mensagem diz que os dados de contacto do cliente estão «incompletos ou desatualizados» e pede que o acesso aos Canais Digitais seja reativado através de um botão. Analisámos o e-mail num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os cinco sinais de alerta
- «Reativação do acesso». O título fala em reativar o acesso aos Canais Digitais — um problema de que o cliente não tinha conhecimento.
- Pretexto de segurança e de normas. «Por motivos de segurança e em cumprimento das normas em vigor»: o pedido é apresentado como uma obrigação.
- Telemóvel e morada «neste canal». O e-mail convida a alterar o número de telemóvel e a morada através do próprio botão. O telemóvel é o meio que os bancos usam para confirmar operações: um pedido para o mudar a partir de um e-mail merece desconfiança redobrada.
- O botão não leva ao banco. «Reativar Acesso» aponta para um domínio que não é do Banco CTT.
- Rodapé com texto legal. A mensagem reproduz o texto legal e os direitos de autor do banco — qualquer pessoa os pode copiar para um e-mail.
Um remetente que não é o banco
O nome mostrado é «Banco CTT – Apoio ao Cliente», mas o endereço de envio é noreply--@tecnicofrio[.]pt, que não é um domínio do Banco CTT. A mensagem passou nas verificações SPF, DKIM e DMARC — para o domínio tecnicofrio[.]pt. Estas verificações só confirmam que o e-mail foi enviado com autorização do domínio que aparece no endereço; não dizem nada sobre a marca que aparece no logótipo.
Como reconhecer: veja o endereço completo do remetente, não apenas o nome. Uma mensagem do Banco CTT vem de um domínio do banco.
Para onde leva o botão
O botão «Reativar Acesso» aponta para hxxps://rockett[.]pt, que também não é um domínio do Banco CTT. Quando visitámos o endereço, a 5 de novembro de 2026, o serviço de proteção usado pelo site mostrava um aviso de «Suspected Phishing» (phishing suspeito) em vez da página; por isso, não observámos o conteúdo da página.
Como reconhecer: passe o rato por cima do botão antes de clicar — no computador, o destino aparece no canto inferior do browser. No telemóvel, mantenha o dedo sobre o botão para ver o endereço sem o abrir.
Em outubro já tínhamos analisado outro e-mail em nome do Banco CTT, com outro texto e outro destino; está no artigo Phishing: sete truques vistos em e-mails reais.
Recebeu um e-mail destes?
- Não clique. Para confirmar os seus dados, entre no homebanking escrevendo o endereço do banco à mão, ou use a aplicação oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte o banco pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e ao banco imitado.
Para equipas de TI
Juntámos os indicadores deste e-mail — o URL completo, o domínio de destino, o remetente e o hash do ficheiro do e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxps://rockett[.]pt | Destino do botão «Reativar Acesso» | Bloquear |
rockett[.]pt | Domínio de destino | Bloquear |
noreply--@tecnicofrio[.]pt | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou na mensagem recebida e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Banco CTT foi imitado e não tem qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR ao e-mail recebido a 15/10/2026, em laboratório isolado.