A 14 de outubro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Confirmação dos seus dados de acesso!», enviado em nome de «BCTT». O texto anuncia uma «Atualização e Verificação Obrigatória» e pede a validação dos dados de acesso ao Banco CTT. Analisámos o e-mail num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os cinco sinais de alerta
- «Atualização e Verificação Obrigatória». Um título que transforma um pedido estranho numa obrigação.
- «Exmo(a). Sr(a)». Saudação genérica, sem o nome do cliente.
- Pede os dados de acesso. «Validação e atualização dos respetivos dados de acesso» — os dados que dão entrada no homebanking, que um banco nunca pede por e-mail.
- Tranquilizar para baixar a guarda. «Nenhuma taxa ou custo será aplicado»: uma garantia que ninguém pediu.
- O botão não leva ao banco. «Atualizar Minha Conta» é um link curto que redireciona para outro domínio.
O link curto que esconde o destino
O botão aponta para hxxps://tr[.]ee/tZdvL8, um endereço de um serviço público de links curtos. Quando o visitámos, a 5 de novembro de 2026, o link curto redirecionava para hxxps://c7d6998f6b[.]nxcli[.]io/BCTT/bctt, cujo domínio já não respondia; por isso, não observámos a página.
O mesmo destino já tinha aparecido num e-mail em nome do Banco CTT recebido a 12 de outubro, com outro aspeto, que mostrámos no artigo Phishing: sete truques vistos em e-mails reais.
Como reconhecer: um link curto não mostra para onde vai. Passe o rato por cima do botão — no telemóvel, mantenha o dedo sobre ele — e desconfie de qualquer endereço que não seja o do banco.
Um remetente que não é o banco
O nome mostrado é «BCTT», mas o endereço de envio é bctt[.]support@corapylgaco[.]shop, que não é um domínio do Banco CTT.
Recebeu um e-mail destes?
- Não clique. Para confirmar os seus dados, entre no homebanking escrevendo o endereço do banco à mão, ou use a aplicação oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte o banco pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e ao banco imitado.
Para equipas de TI
Juntámos os indicadores deste e-mail — os URLs completos, o domínio de destino, o remetente e o hash do ficheiro do e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxps://tr[.]ee/tZdvL8 | Link curto do botão «Atualizar Minha Conta» | Bloquear (só este URL — o serviço de links curtos é usado por muitos sites legítimos) |
hxxps://c7d6998f6b[.]nxcli[.]io/BCTT/bctt | Destino do link curto | Bloquear |
c7d6998f6b[.]nxcli[.]io | Domínio de destino | Bloquear |
bctt[.]support@corapylgaco[.]shop | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Banco CTT foi imitado e não tem qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR ao e-mail recebido a 14/10/2026, em laboratório isolado.