Phishing: falsa «Notificação Formal» de um advogado

A 15 de outubro de 2026 chegou a uma caixa de correio em Portugal uma «Notificação Formal» assinada por um «Advogado Flavio Nunes». Em três linhas, ameaça com uma ação judicial por quebra de contrato e manda consultar o processo num link. O e-mail não identifica o contrato, o tribunal nem o processo, e não tem contactos. Analisámos a mensagem num laboratório isolado: é phishing. Mostramos os sinais de alerta e o que fazer se receber uma notificação destas.

Os cinco sinais de alerta

1. «Notificação Formal». Um título oficial, sem identificar o tribunal, o processo nem o contrato.
2. «Prezado(a)». Saudação genérica, sem o nome do destinatário.
3. Ameaça de ação judicial. «Será ajuizada ação judicial por quebra de contrato contra você» — pressão para clicar. O texto está escrito em português do Brasil («descumprimento», «ajuizada», «você»).
4. Link disfarçado de número de processo. O texto «JUS-PROS9920983-3» parece uma referência judicial, mas o destino é um site sem relação com qualquer tribunal.
5. Assinatura sem contactos. «Advogado Flavio Nunes», sem morada, telefone nem número de inscrição profissional.

O link que parece um número de processo

Na coluna «Link do Processo», o texto clicável é «JUS-PROS9920983-3». O destino real é hxxps://notafiscalseletronicas[.]com/, um domínio registado a 30 de setembro de 2026 — 15 dias antes do envio do e-mail. Quando o visitámos, a 5 de novembro de 2026, o site recusou o acesso aos nossos pedidos de análise (HTTP 403); por isso, não observámos a página nem qualquer ficheiro.

Como reconhecer: passe o rato por cima do link antes de clicar — no computador, o destino aparece no canto inferior do browser. Um número de processo não precisa de ser um link: o processo verdadeiro consulta-se junto do tribunal.

Quem enviou

O nome mostrado é «Advogado Flavio Nunes», mas o endereço de envio é marielg@forestalgye[.]com[.]ar, que não corresponde a esse nome. A mensagem passou nas verificações SPF e DKIM para o domínio forestalgye[.]com[.]ar, que não publica política DMARC. Estas verificações só confirmam que o e-mail foi enviado com autorização desse domínio; não dizem nada sobre quem assina a mensagem.

Antes de reagir a uma ameaça judicial por e-mail

• Um processo judicial verdadeiro identifica o tribunal e o número do processo, que pode confirmar diretamente junto do tribunal ou com um advogado da sua confiança.
• Desconfie de mensagens que juntam urgência, ameaça e um único link — sobretudo quando não sabe de que contrato se trata.
• Não descarregue nem abra ficheiros enviados por links deste tipo.

Para equipas de TI

Juntámos os indicadores deste e-mail — o URL completo, o domínio de destino, o remetente e o hash do ficheiro do e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.

Indicador	Papel no e-mail	Ação
hxxps://notafiscalseletronicas[.]com/	Destino do link «JUS-PROS9920983-3»	Bloquear
notafiscalseletronicas[.]com	Domínio de destino (registado a 30/09/2026)	Bloquear
marielg@forestalgye[.]com[.]ar	Remetente	Bloquear este endereço no gateway de correio (não o domínio)

Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.

Nota. Este artigo descreve apenas o que a HJFR observou na mensagem recebida e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.

Fontes

• MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link e T1656, Impersonation
• Centro Nacional de Cibersegurança — cncs.gov.pt
• Análise da HJFR ao e-mail recebido a 15/10/2026, em laboratório isolado.