A 4 de novembro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Documento CITIUS disponível para o seu processo REF: 23443469». Diz ser uma notificação do Ministério Público, através do CITIUS, sobre uma «Resolução de Arquivamento Provisório», com 10 dias úteis para responder. Analisámos a mensagem num laboratório isolado: é phishing.
Os seis sinais de alerta
- «Tribunal Judicial Português». Um cabeçalho inventado, com o nome do sistema CITIUS.
- Um processo com número inventado. «Resolução de Arquivamento Provisório» num processo «1245/25.4T9PNT.L1-7».
- Prazo e ameaça. «10 (dez) dias úteis… sob pena de arquivamento definitivo» e «sanções legalmente previstas».
- O botão não leva ao CITIUS. «Aceder ao Documento no CITIUS» abre um servidor na nuvem e leva no link o endereço de e-mail do destinatário.
- Conselhos de segurança copiados. «O Tribunal Judicial nunca solicitará dados pessoais ou bancários por e-mail» — para inspirar confiança.
- Um magistrado que assina e-mails. «Dr. Miguel Silva, Magistrado do Ministério Público», sem contacto direto.
Um link que esconde a página
O endereço do destinatário vai no próprio link — o servidor só mostra o conteúdo a quem chega com esse identificador. Sem ele (e com um endereço inventado), o servidor reencaminhou-nos para um motor de pesquisa, a 5 de novembro de 2026; por isso não observámos a página. Não abrimos o link original: confirmaria ao remetente que a caixa de correio existe.
O remetente é lisboa[.]judicial-tribunaisorgpt[@]greenstreembv[.]com, de um domínio registado em julho de 2026 — não é um endereço dos tribunais.
As notificações eletrónicas reais consultam-se na área reservada do CITIUS, entrando pelo endereço oficial. Veja também outro caso com tema judicial: falsa «Notificação Formal» de um advogado.
Recebeu um e-mail destes?
- Não clique. Se tem um processo, confirme no CITIUS entrando pelo endereço oficial ou contacte o tribunal pelo telefone publicado no site da Justiça.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores deste e-mail — o destino do botão e o remetente — e o hash do ficheiro do e-mail à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS, gateways de correio e ferramentas de deteção.
| Indicador | Papel | Ação |
|---|---|---|
hxxps://pdf-538925b1[.]eastus[.]cloudapp[.]azure[.]com/ | Destino do botão (sem o identificador do destinatário) | Bloquear |
lisboa[.]judicial-tribunaisorgpt[@]greenstreembv[.]com | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou na mensagem recebida e na análise feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos, nos links e nos ficheiros à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a entidade imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O CITIUS e os tribunais foram imitados e não têm qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing e de anexos maliciosos com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566, Phishing
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR ao e-mail recebido a 04/11/2026, em laboratório isolado.