Phishing: falsa «citação judicial» em PDF com palavra-passe

A 5 de novembro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Envio de Citação Judicial N.º 4934 – Documento em Anexo», seguido do nome do destinatário e da data. Traz um PDF protegido por uma palavra-passe indicada no próprio e-mail. Analisámos a mensagem e o PDF num laboratório isolado: é phishing.

Os quatro sinais de alerta

1. Um e-mail de duas linhas. O corpo tem só «Notificação em anexo.» e a palavra-passe — sem número de processo, tribunal ou prazo.
2. «Notificação em anexo». Uma citação judicial não chega como anexo de um e-mail enviado de um domínio registado cinco dias antes.
3. A palavra-passe no próprio e-mail. O PDF está protegido pela palavra-passe «8048», escrita no próprio e-mail: não protege nada do destinatário, mas impede que os filtros de correio leiam o conteúdo.
4. «Assistente de Juiz». Assina «Pablo Álvarez, Assistente de Juiz, Tribunal de Justiça de Lisboa» — e o PDF mistura português com espanhol («a las 10:25 h»).

O que está no PDF

Abrimos o PDF no laboratório, com a palavra-passe do e-mail. É uma página feita de uma imagem: «Serviço Eletrónico de Notificações Judiciais · Citação Judicial Eletrónica», um processo «09042918-2026», a «Administração da Justiça» como entidade emissora e uma convocatória para uma audiência «reagendada para o dia 04/12/2026 a las 10:25 h», ao abrigo do «artigo 98.º, n.º 1, do Código de Processo Civil».

O botão «Consultar a citação» não leva a lado nenhum: o PDF não tem ligações, JavaScript, formulários nem códigos QR. O que resta é o «Telefone de contacto», com dois números. Um é a linha oficial dos Registos; o outro não consta da lista oficial de linhas do Estado (consulta de 6 de novembro de 2026). Não ligue para números que aparecem num documento destes: use os contactos dos sites oficiais.

O remetente

O nome mostrado é «Citação Judicial», mas o endereço é mail1[@]mail1[.]acnotifica[.]com, de um domínio registado cinco dias antes do envio. As citações e notificações eletrónicas reais consultam-se nas plataformas da Justiça, entrando pelo endereço oficial. Veja também: falsa notificação judicial do CITIUS e falsa «Notificação Formal» de um advogado.

Para equipas de TI

Juntámos os indicadores deste e-mail — o remetente e os hashes do e-mail e do PDF à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS, gateways de correio e ferramentas de deteção.

Indicador	Papel	Ação
mail1[@]mail1[.]acnotifica[.]com	Remetente	Bloquear este endereço no gateway de correio (não o domínio)
97a140a6f76c2ecc580e28f59edc1a7cd4bbc0e76a46d294ef76e4d27969c739	PDF anexo (protegido por palavra-passe)	Bloquear (SHA-256)
6be669ef581f61e969102c2b5ffaefe0cd2895f04287d9b49a0ef1325f471900	Ficheiro do e-mail	Bloquear (SHA-256)

Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.

Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na análise feita a 6 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos, nos links e nos ficheiros à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a entidade imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.

Os tribunais e o Ministério da Justiça foram imitados e não têm qualquer responsabilidade nesta mensagem.

Fontes

• MITRE ATT&CK — T1566, Phishing
• MITRE ATT&CK — T1566.001, Phishing: Spearphishing Attachment
• Análise da HJFR ao e-mail recebido a 05/11/2026 e ao PDF anexo, em laboratório isolado.