A 10 de outubro de 2026, uma caixa de correio em Portugal recebeu dois e-mails iguais em nome do cartão «Universo+», com o assunto «Último aviso – confirmação de dados do Cliente Universo+» (um deles com «Fwd:» no início) e um código diferente no fim. Dizem que é o «último pedido» para confirmar os dados e que, sem resposta, o cartão pode ser bloqueado. Analisámos os e-mails num laboratório isolado: são phishing. Mostramos os sinais de alerta e o que fazer se receber uma mensagem igual.
Os cinco sinais de alerta
- «ÚLTIMO AVISO». Finge ser o fim de uma série de contactos que nunca existiram.
- Ameaça ao cartão. «Confirme os seus dados ou o cartão pode ser bloqueado».
- Leis e supervisores. Cita a PSD2, a Lei n.º 83/2017 e o Banco de Portugal para parecer oficial.
- «Já tentámos contactá-lo(a)». Pede que conclua o processo «o mais rapidamente possível», senão o cartão é «temporariamente suspenso».
- O botão não leva à Universo. «Confirmar dados» aponta para um endereço numérico, sem nome de domínio.
Remetentes que não são a Universo
Os dois e-mails vieram de endereços aleatórios de um servidor de alojamento web — csh-9d98n6[@]smtp-out-hp3[.]livemail[.]co[.]uk, csh-nxsr5t[@]smtp-out-hp3[.]livemail[.]co[.]uk —, e não de um domínio da Universo.
Um link sem nome
O botão «Confirmar dados» não tem um nome de domínio: aponta para um endereço numérico escrito em formato IPv6, com um endereço IPv4 lá dentro — por exemplo, hxxp://[0000:0000:0000:0000:0000:FFFF:D93C:EDA2]/w14-d9r?lang=pt. É o mesmo truque, e o mesmo servidor, dos e-mails «Caixa Empresas» do artigo Phishing em nome da CGD e do Millennium bcp. Quando visitámos os links, a 5 de novembro de 2026, o servidor recusou o acesso (HTTP 403); por isso, não observámos a página.
O texto destes e-mails é o mesmo de um e-mail em nome do Crédito Agrícola que também analisámos — com outra marca e outras cores.
Recebeu um e-mail destes?
- Não clique. Para confirmar dados do cartão, use a aplicação ou a área de cliente oficial, escrevendo o endereço à mão.
- Se clicou e introduziu dados: altere de imediato a palavra-passe, contacte a entidade pelo número oficial e siga a nossa lista de verificação para incidentes de cibersegurança.
- Reporte ao CERT.PT (cert@cert.pt) e à entidade imitada.
Para equipas de TI
Juntámos os indicadores destes e-mails — os destinos do botão (também na forma IPv4, na lista) e os remetentes — e o hash do ficheiro de cada e-mail — à nossa lista de IOCs de phishing, em listas de texto com um indicador por linha, prontas a importar em firewalls, proxies, DNS e gateways de correio.
| Indicador | Papel no e-mail | Ação |
|---|---|---|
hxxp://[0000:0000:0000:0000:0000:FFFF:D93C:EDA2]/w14-d9r?lang=pt | Destino do botão (endereço numérico) | Bloquear |
hxxp://[0000:0000:0000:0000:0000:FFFF:D93C:EDA2]/y1m-vtw?lang=pt | Destino do botão (endereço numérico) | Bloquear |
csh-9d98n6[@]smtp-out-hp3[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
csh-nxsr5t[@]smtp-out-hp3[.]livemail[.]co[.]uk | Remetente | Bloquear este endereço no gateway de correio (não o domínio) |
Os endereços estão desativados (hxxp, [.]) para não serem clicáveis: para os usar numa ferramenta, troque hxxp por http e [.] por um ponto.
Nota. Este artigo descreve apenas o que a HJFR observou nas mensagens recebidas e na visita feita a 5 de novembro de 2026. A referência a domínios, endereços, serviços ou servidores identifica a infraestrutura técnica que aparece nos cabeçalhos e nos links à data da análise; não significa que os titulares desses domínios ou endereços, os seus fornecedores ou a marca imitada tenham participado ou tido conhecimento. Informação prestada de boa-fé, a confirmar pelos próprios.
A Universo foi imitada e não tem qualquer responsabilidade nestas mensagens.
Workshops de sensibilização
Casos reais como este são a melhor matéria para preparar equipas. Nos workshops da HJFR treinamos a deteção de phishing com exemplos recentes, em português.
Fontes
- MITRE ATT&CK — T1566.002, Phishing: Spearphishing Link
- Centro Nacional de Cibersegurança — cncs.gov.pt
- Análise da HJFR aos e-mails recebidos a 10/10/2026, em laboratório isolado.