A 9 de outubro de 2026, uma caixa de correio em Portugal recebeu um e-mail em nome do «Crédito Agrícola», com o assunto «Fwd: Último aviso – confirmação de dados do Cliente» e um código no fim. Diz que é o «último pedido» para confirmar os dados online e que, sem resposta, a confirmação terá de ser feita numa agência. Analisámos o e-mail num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os cinco sinais de alerta
- «ÚLTIMO AVISO». Finge ser o fim de uma série de contactos que nunca existiram.
- Ameaça à conta. «É necessária a sua ação para manter a conta ativa».
- Leis e supervisores. Cita a PSD2, a Lei n.º 83/2017, o Banco de Portugal e a CMVM para parecer oficial.
- Ir à agência como castigo. Sem resposta online, «será necessário deslocar-se presencialmente a uma Agência».
- O botão não leva ao banco. «Confirmar Dados» aponta para um endereço numérico, sem nome de domínio.
Um remetente que não é o banco
O nome mostrado é «Crédito Agrícola», mas o endereço de envio é csh-1keh95[@]smtp-out-hp3[.]livemail[.]co[.]uk, um endereço aleatório de um servidor de alojamento web, e não de um domínio do Crédito Agrícola.
Um link sem nome
O botão «Confirmar Dados» não tem um nome de domínio: aponta para um endereço numérico escrito em formato IPv6, com um endereço IPv4 lá dentro — hxxp://[0000:0000:0000:0000:0000:FFFF:D93C:ED68]/usf-7o8?lang=pt. É o mesmo truque, e o mesmo servidor, dos e-mails «Millennium Private» do artigo Phishing em nome da CGD e do Millennium bcp. Quando visitámos o link, a 5 de novembro de 2026, o servidor recusou o acesso (HTTP 403); por isso, não observámos a página.
O texto deste e-mail é o mesmo de dois e-mails em nome do cartão Universo+ que também analisámos — com outra marca e outras cores.
Recebeu um e-mail destes?
- Não clique. Para confirmar os seus dados, entre no homebanking escrevendo o endereço do banco à mão, ou use a aplicação oficial. O Portal do Cliente Bancário explica como reconhecer estas fraudes.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores deste e-mail — o destino do botão (também na forma IPv4, na lista) e o remetente — e o hash do ficheiro de cada e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxp://[0000:0000:0000:0000:0000:FFFF:D93C:ED68]/usf-7o8?lang=pt | Destino do botão (endereço numérico) | Bloquear |
csh-1keh95[@]smtp-out-hp3[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
O Crédito Agrícola foi imitado e não tem qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Banco de Portugal — Portal do Cliente Bancário
- Análise da HJFR ao e-mail recebido a 09/10/2026, em laboratório isolado.