A 3 de novembro de 2026, uma caixa de correio em Portugal recebeu um e-mail com o assunto «Confirme a fatura — prazo curto», enviado em nome de «Edp Fatura». A mensagem diz que uma fatura EDP «foi emitida e aguarda confirmação no portal» e pede que o documento seja confirmado «nas próximas horas». Analisámos o e-mail num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os seis sinais de alerta
- Faixa amarela de urgência. «Confirme a sua fatura EDP — acção recomendada hoje».
- «PRIORIDADE». Uma etiqueta para que a mensagem pareça mais importante do que as outras.
- «Exmo.(a) Cliente». Saudação genérica, sem o nome do cliente nem o número de contrato.
- «Nas próximas horas». Ameaça vaga de «complicações no seu contrato» se não confirmar já.
- O botão não leva à EDP. «Confirmar fatura agora» aponta para um domínio sem relação com a EDP.
- Etiquetas da campanha. O rodapé mostra «Consulta02 · Variante 01»: restos do modelo usado para enviar várias versões da mesma mensagem.
Um remetente que não é a EDP
O nome mostrado é «Edp Fatura», mas o endereço de envio é edp[@]coinz-jp[.]com, que não é um domínio da EDP.
Como reconhecer: veja o endereço completo do remetente e desconfie de faturas que não mostram o seu nome, o número de cliente nem o valor.
O link que não abrimos
O botão aponta para hxxps://edp-consulta[.]appclock[.]digital/consulta02; o domínio appclock[.]digital foi registado a 28 de junho de 2026. O link do e-mail terminava com um código que identificava quem o recebeu (retirámo-lo do endereço acima). Por isso, não o abrimos: visitar um link destes pode confirmar ao remetente que a caixa de correio existe e está ativa. Pela mesma razão, não use «Cancelar inscrição» em e-mails suspeitos.
Recebeu um e-mail destes?
- Não clique. Para ver as suas faturas, entre na área de cliente da EDP escrevendo o endereço à mão, ou use a aplicação oficial.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores deste e-mail — o destino do botão, o anfitrião e o remetente — e o hash do ficheiro de cada e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxps://edp-consulta[.]appclock[.]digital/consulta02 | Destino do botão (sem o código do destinatário) | Bloquear |
edp-consulta[.]appclock[.]digital | Anfitrião do destino (domínio registado a 28/06/2026) | Bloquear |
edp[@]coinz-jp[.]com | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
A EDP foi imitada e não tem qualquer responsabilidade nesta mensagem.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR ao e-mail recebido a 03/11/2026, em laboratório isolado.